Az Ön szakértője a biztonsági mentés és az adatvédelem terén!Az Ön igényeire szabott megoldás
DRP és BCP
Mi az a DRP?
A katasztrófa utáni helyreállítási terv (DRP) azokat az eszközöket és lépéseket foglalja össze, amelyekkel egy katasztrófa után az informatika újraindítható egy helyettesítő környezetben, a vállalat által elfogadhatónak ítélt időn belül. Akkor lép életbe, amikor a termelés már leállt, és akkor ér véget, amikor visszatértek a megszokott környezetbe.
A lényeg
- A DRP nem szoftver, hanem egy dokumentáció, amely rögzíti, mit kell újraindítani, hol, milyen sorrendben, ki dönt és hogyan lehet visszatérni.
- Szolgáltatásonként két küszöböt határoz meg: az elfogadható leállási időt (RTO, franciául DMIA) és az elfogadható adatvesztést (RPO, franciául PDMA).
- RPO-ja megegyezik az őt tápláló mentésével: a DRP soha nem állít vissza frissebb állapotot, mint az utolsó ép másolat.
- Dátummal igazolt teszt nélkül ez csak dokumentum, nem terv. A CNIL (a francia adatvédelmi hatóság) a terv alkalmazásának rendszeres tesztelését ajánlja.
Egy irányadó definíció
A NIST, az amerikai szabványügyi intézet, a katasztrófa utáni helyreállítási tervet olyan, az információs rendszerre összpontosító tervként határozza meg, amelynek célja egy rendszer, alkalmazás vagy infrastruktúra működésének helyreállítása egy helyettesítő helyszínen egy vészhelyzetet követően. Az üzletmenet-folytonossági terv ezzel szemben az üzleti folyamatok fenntartására irányul a zavar alatt és után.
Az SGDSN, a nemzetbiztonságért felelős francia szerv, a helyreállítást a folytonossági terv részeként kezeli: a lényeges tevékenységek fenntartása, szükség esetén csökkentett üzemmódban, majd tervezett újraindítás. A két terv kiegészíti egymást; a különbséget a Mi a különbség a DRP és a BCP között? című útmutató részletezi.
Mit tartalmaz?
A DRP nem szoftver, hanem élő dokumentáció:
- az újraindítandó szolgáltatások listája, sorrendben (címtár, adatbázisok, alkalmazások, majd munkaállomások);
- az elfogadott maximális leállási idő (RTO) és az az adatmennyiség, amelynek újbóli rögzítését még elfogadjuk (RPO);
- a másolatok helye, és az, hogyan lesznek belőlük elinduló szerverek;
- ki dönt az átállásról, kinél van a titkosítási kulcs, ki értesíti a felhasználókat;
- hogyan történik a visszatérés, miután az eredeti helyszínt megjavították;
- az utolsó teszt dátuma, és hogy mit mutatott ki.
Az utolsó sor nélkül csak egy dokumentumunk van. Tervünk nincs.
A NIST három fázisra bontja a tervet; ez a felosztás egy kkv néhány oldalas tervének felépítéséhez is hasznos:
| Fázis | Milyen kérdésre ad választ? |
|---|---|
| Aktiválás és riasztás | Ki észleli az incidenst, ki dönt az indításról, ki kit értesít? |
| Helyreállítás | Milyen lépésekkel indulnak újra a szolgáltatások, milyen sorrendben, milyen környezetben? |
| Visszatérés a normál működéshez | Hogyan ellenőrizhető a működés, hogyan lehet visszatérni az eredeti környezetbe és lezárni az incidenst? |
Az ANSSI, a francia nemzeti kiberbiztonsági ügynökség, a sorrendet hangsúlyozza: meg kell határozni a helyreállítás stratégiáját és sorrendjét, különös tekintettel az infrastruktúra-szolgáltatásoktól (DNS, címtár, időszinkronizálás) való függőségekre.
DRP és mentés
A mentés biztosítja az adatokat, és ha rendszerképről van szó, magát a rendszert is. A DRP biztosítja azt a helyet, ahol ez a rendszer újraindul, és azt az eljárást, amellyel a munkatársak használni tudják: hálózat, címek, DNS vagy IP, licencek, fiókok. Ha vannak felhőben tárolt mentéseink, de nincs előre kijelölt tartalék szerverünk, csak annyit tudunk, hogy „valahol”, valamikor vissza tudunk állítani. A DRP megnevezi ezt a helyet és ezt az időpontot.
A DRP RPO-ja megegyezik az őt tápláló mentésével. Ha az utolsó ép másolat előző este 22 órakor készült, a világ leggyorsabb DRP-je is a 22 órás állapotot adja vissza, nem a másnap 10 órait. Az ANSSI azt is előírja, hogy a mentési stratégia vegye figyelembe a maximálisan elfogadható adatvesztést (PDMA) és a maximálisan elfogadható leállási időt (DMIA): ezek az RPO és az RTO francia elnevezései, részletesen lásd: Mi az az RPO? és Mi az az RTO?.
Mi nem DRP?
- A BCP. A BCP célja, hogy a szolgáltatás szinte egyáltalán ne álljon le. A DRP elfogad egy leállást, majd azt követő újraindítást.
- A puszta replikáció. A replika követi az eredetit, a támadást is beleértve. A DRP-nek képesnek kell lennie egy korábbi verzió kiválasztására.
- A szolgáltató szóbeli ígérete. A „majd segítünk” mért RTO és éves teszt nélkül nem terv.
Kkv-k esetében
A hasznos DRP néhány oldalból áll, és két-három szerverre terjed ki, nem egy vállalatcsoport ábráján szereplő ötven alkalmazásra. Ilyen helyzetekre ad választ: tűz a szerverteremben, 48 órán belül nem javítható fizikai szerver, a termelést használhatatlanná tevő zsarolóvírus. Ha mindent egyformán próbál lefedni, sosem fogják tesztelni.
A GDPR 32. cikke megköveteli, hogy egy incidens után a személyes adatokhoz való hozzáférés kellő időben helyreállítható legyen. A CNIL a személyes adatok biztonságáról szóló útmutatójában azt ajánlja, hogy készüljön informatikai folytonossági és helyreállítási terv a közreműködők listájával, a felhasználók és a szolgáltatók tudják, kit kell riasztaniuk, és rendszeresen teszteljék a mentések visszaállítását és a terv alkalmazását. A lépésről lépésre haladó módszert a Hogyan építsen fel DRP-t egy kkv számára? című útmutató ismerteti.
A WeDoBacknél
A WeDoBack DRP az ügyfél szervereit tartalék példányokon indítja újra, az ügyfél által kiválasztott mentési verzióból. A számítási erőforrásokat a helyreállítás pillanatában osztjuk ki, nem folyamatosan. Havi automatikus teszt ellenőrzi, hogy ezek a példányok elindulnak, a termelés érintése nélkül. Valós körülmények közötti, legfeljebb tízórás teszt egyedi árajánlat alapján kérhető. A katasztrófa napján történő aktiválást napi díjjal számlázzuk. A DRP tárhely ára 175 €-tól indul (áfa nélkül) TB-onként havonta, ehhez jön szerverenként egy ügynök, a példányok, valamint az internetről elérhető szolgáltatásokhoz nyilvános IP-címek havi 0,54 € (áfa nélkül) áron. A másolatokat küldés előtt a gépen titkosítjuk, az ügyfél birtokában lévő kulccsal: a helyreállításhoz ennek a kulcsnak rendelkezésre kell állnia. A megjavított eredeti szerverre való visszatérés is a terv része: az adatokat oda visszaállítjuk, és a mentés folytatódik.
Gyakori kérdések
Kötelező-e a DRP egy kkv számára?
Egyetlen jogszabály sem írja elő minden kkv számára a DRP-t. A GDPR 32. cikke azonban megköveteli, hogy egy incidens után a személyes adatokhoz való hozzáférés kellő időben helyreállítható legyen, a CNIL, a francia adatvédelmi hatóság pedig azt ajánlja, hogy készüljön – akár egyszerű – informatikai folytonossági és helyreállítási terv, és azt rendszeresen teszteljék. Az ügyfélszerződések, a biztosító vagy ágazati szabályozás is előírhatja.
Mi a különbség a DRP és az egyszerű mentés között?
A mentés megőrzi az adatokat, esetenként a rendszer képét is. A DRP ezen felül meghatározza azt a helyet, ahol a rendszerek újraindulnak, az indítási sorrendet, a hálózatot, a fiókokat és azt a személyt, aki az átállásról dönt. Puszta mentéssel csak annyit tudunk, hogy „valahol”, valamikor vissza tudunk állítani; a DRP megnevezi ezt a helyet és ezt a határidőt.
Ki készítse el a DRP-t?
A vezetés határozza meg a prioritásokat és az elfogadható határidőket; az informatikát üzemeltető munkatárs vagy a szolgáltató írja le a technikai lépéseket. Az SGDSN, a nemzetbiztonságért felelős francia szerv, azt ajánlja, hogy a dokumentumokat lehetőleg egy külső fél ellenőrizze, majd tesztekkel és gyakorlatokkal próbálják ki őket.
További olvasnivaló
Források
A dokumentumokat 2026 októberében tekintettük meg.
- SP 800-34 Rev. 1, Contingency Planning Guide for Federal Information Systems – NIST
- Útmutató üzletmenet-folytonossági terv készítéséhez (2013-as kiadás) – SGDSN (Franciaország)
- Információs rendszerek mentése – Alapelvek (ANSSI-BP-100, v1.1, 2025. november 27.) – ANSSI (francia ügynökség)
- GDPR gyakorlati útmutató – A személyes adatok biztonsága (2024-es változat) – CNIL (francia hatóság)
- DRP ajánlat: a működés helyreállítása katasztrófa után – WeDoBack
Biztonsági mentési, DRP- vagy BCP-projektje van?
Több mint 20 év tapasztalat a vállalati adatok védelmében.
Árajánlatot kérek+33 9 72 50 78 28Védje adatait a WeDoBack segítségével
Titkosított, telephelyen kívüli biztonsági mentés, megváltoztathatatlan tárolás, DRP és BCP: írja le nekünk szervereit, mi pedig javasoljuk a megfelelő kombinációt.