DRP и BCP

Изнесен DRP: предимства и ограничения

Изнесеният DRP поверява на доставчик мястото, където сървърите се рестартират, и често – съхранението на копията. Той спестява на МСП покупката на второ сървърно помещение. Но не го освобождава от необходимостта да знае кой задейства плана, къде е ключът и дали последният тест е бил успешен.

Актуализирано през октомври 2026 г.4 мин четене5 цитирани източника

Накратко

Предимства: няма втора сграда, разходите зависят главно от използването, копията вече са извън обекта, тестове без собствен хардуер.
Ограничения: RPO остава това на резервното копие, RTO зависи от хората и от работното време, ключът е ваша отговорност.
ANSSI, националната агенция за киберсигурност на Франция, препоръчва криптиране преди изпращането към доставчика и проверка дали времето за възстановяване е съвместимо с допустимото ви време на прекъсване.
Договорът трябва да изброява местата на хостване, да предвижда обратимост и, ако се обработват лични данни, клаузите по член 28 от ОРЗД.
Автоматичният тест на стартирането не е бизнес тест.

Предимства

Няма втора сграда. Инстанциите съществуват при доставчика. В деня на бедствието не се налага спешно да купувате сървър.
Разходите зависят главно от използването. При модел, в който активирането се таксува на ден, месеците без инцидент струват само подготовката (хранилище, агенти, адреси), а не постоянно работещ парк.
Копията вече са извън обекта. DRP и външното резервно копиране се допълват взаимно. Не се налага да пренасяте ленти.
Технически тестове без собствен хардуер. Стартирането на образ при доставчика не изисква тестов сървър в склада.
Избрана географска зона. Полезно, когато законът или договорът налагат определена държава, при условие че договорът наистина го посочва. ANSSI препоръчва да се изисква от доставчика списък на всички места на съхранение на данните, включително основния и резервните обекти.

Ограничения

RPO не е магия. То остава равно на възрастта на избраното резервно копие. Доставчикът не може да възстанови данни, които никога не са били копирани.
RTO зависи от хората. Ако единственият оправомощен човек е недостъпен, инстанцията не се стартира. Изнасянето не създава дежурство, което не сте закупили. При доставчик, който работи от 9:00 до 17:30 ч. в делнични дни, бедствие в събота вечер изчаква, освен ако договорът не предвижда друго. ANSSI призовава към внимание по този въпрос: времето за възстановяване при доставчика трябва да е съвместимо с максимално допустимото ви време на прекъсване.
Ключът. Ако само вие можете да декриптирате, само вие можете да възстановите. ANSSI препоръчва именно резервните копия да се криптират със собствено средство на организацията преди изпращането към доставчика. Това е защита срещу неправомерен достъп до съдържанието. То е и отговорност: изгубен ключ означава неизползваем DRP. Коректен доставчик няма да ви предложи да пази ключа „за да ви помогне“, без да обясни, че тогава ще може да чете данните.
Мрежата. Потребителите трябва да могат да достигнат резервната среда. Изнесен DRP без предвиден IP адрес и без тестван VPN възстановява недостъпни сървъри.
Връщането. Връщането към поправения обект, заедно с въведените междувременно данни, е самостоятелен проект. Договорите говорят много за превключването натам и малко за връщането.
Тестът на стартирането не е бизнес тест. Автоматичната месечна проверка на стартирането е реално предимство. Тя не доказва, че бизнес софтуерът работи.
Зависимостта. Смяната на доставчик изисква повторно прочитане на копията. Договорът трябва да посочва в какъв срок и в какъв вид получавате данните си: това ANSSI нарича обратимост – възможността да поемете обратно изнесената функция или да я поверите на трета страна, със съдействие на доставчика по време на миграцията.

Какво трябва да съдържа договорът

Ръководството на ANSSI за изнасяне на дейности препоръчва към договора да се приложи план за осигуряване на сигурността (PAS) и да се предвиди одит на процедурите за резервно копиране и възстановяване. Когато копията съдържат лични данни, което почти винаги е така, доставчикът е обработващ лични данни по смисъла на ОРЗД. Тогава член 28 изисква писмен договор, а ръководството за обработващи лични данни на CNIL, органа за защита на данните във Франция, описва подробно съдържанието му.

Точка	Защо	Къде да проверите
Места на хостване, основно и резервно	Законово или договорно изискване за местоположение	Договор, PAS
Работно време на поддръжката и на активирането	То е част от реалния RTO	Условия на услугата
Включени тестове и тестове срещу оферта	Измерване на RTO преди бедствието	Търговска оферта
Кой държи ключа за криптиране	Поверителност и възможност за възстановяване	Договор, вътрешна процедура
Обратимост	Получаване на данните обратно при смяна на доставчик	Специална клауза
Съдба на данните при прекратяване на договора	ОРЗД: връщане или унищожаване на всички копия	Договор за обработване
Последващи обработващи	ОРЗД: предварително писмено разрешение	Договор за обработване
Уведомяване при нарушение	ОРЗД: обработващият уведомява клиента	Договор за обработване

Освен това член 32 от ОРЗД изисква средства за своевременно възстановяване на наличността и достъпа до личните данни, както и процедура за редовно тестване на ефективността на мерките. Изнесеният DRP допринася за това, ако наистина се тества.

Кога това е правилният избор

МСП без второ сървърно помещение, един или няколко сървъра, чийто престой се измерва в часове, а не в минути, и желание да не се инвестира в бездействащ хардуер. Когато престоят се измерва в минути, по-скоро разгледайте BCP, като имате предвид постоянните му разходи: вижте Изнесен BCP: предимства и ограничения.

При WeDoBack

Изнесеният DRP съответства на публикуваната оферта DRP: хранилище от 175 € без ДДС на TB на месец, агенти, публични IP адреси по 0,54 € без ДДС на месец, инстанции, активиране при бедствие, таксувано на ден, месечен тест на стартирането без засягане на производствената среда, тест в реални условия до 10 часа срещу оферта. Данните се криптират на машината преди изпращането с ключ, който се държи от клиента, и се съхраняват на сървъри, предназначени за резервно копиране, с резервиране в няколко европейски държави или в зоната, наложена от законодателството на клиента. Използваните центрове за данни и решения са сертифицирани по ISO 27001 и HDS, а обработването е в съответствие с ОРЗД. Поддръжката с реални хора е на разположение от 9:00 до 13:00 и от 14:00 до 17:30 ч. (парижко време). Това работно време е част от реалния RTO. То трябва да бъде прочетено преди подписването, а не след бедствието.

Вижте офертата DRP Поискайте оферта

Често задавани въпроси

Кои клаузи да проверите в договор за изнесен DRP?

Местата на хостване (основно и резервно), работното време на поддръжката и на активирането, начина на задействане, включените тестове, обратимостта (в какъв вид и в какъв срок получавате обратно данните си) и, за личните данни, клаузите по ОРЗД: документирани инструкции, сигурност, последващи обработващи, съдба на данните при прекратяване на договора.

Може ли доставчикът да пази ключа за криптиране за по-голяма сигурност?

Може, но тогава ще може да чете данните ви. Ако само вие държите ключа, никой друг не може да декриптира копията, но трябва да го съхранявате на сигурно място, извън обекта, като поне двама души знаят как да го намерят. ANSSI препоръчва криптиране със собствено средство на организацията преди изпращането.

Достатъчен ли е изнесеният DRP за съответствие с ОРЗД?

Той допринася за изпълнението на член 32, който изисква средства за своевременно възстановяване на наличността на личните данни и процедура за редовно тестване на мерките. Сам по себе си не е достатъчен: необходими са и договор за обработване, съответстващ на член 28, регистър на нарушенията и документирани тестове.

Научете повече

Източници

Документи, прегледани през октомври 2026 г.

Изнасяне на дейности и сигурност на информационните системи: ръководство за управление на рисковете (2010 г.) — ANSSI (френска агенция)
Резервно копиране на информационни системи – основи (ANSSI-BP-100, v1.1, 27 ноември 2025 г.) — ANSSI (френска агенция)
Европейски регламент относно защитата на личните данни – ръководство за обработващи лични данни (издание от септември 2017 г.) — CNIL (френски орган)
Регламент (ЕС) 2016/679 (ОРЗД), членове 28 и 32 — EUR-Lex
Оферта DRP: възстановяване на дейността след бедствие — WeDoBack

Проект за архивиране, DRP или BCP?

Над 20 години опит в защитата на корпоративни данни.

Поискайте оферта +33 9 72 50 78 28

Защитете данните си с WeDoBack

Криптирано архивиране извън обекта, неизменимо съхранение, DRP и BCP: опишете ни вашите сървъри и ние ще ви предложим подходящата комбинация.

Поискайте оферта Вижте офертите и цените