Twój ekspert od kopii zapasowych i ochrony danych!Rozwiązanie dopasowane do Twoich potrzeb
Strona główna›Poradniki›DRP i BCP
DRP i BCP
Jak często testować DRP?
Proszę co najmniej raz w miesiącu automatycznie sprawdzać, czy kopie nadal się uruchamiają, a co najmniej raz w roku wykonać rzeczywiste przełączenie z prawdziwą czynnością biznesową. Test należy powtórzyć przy każdej zmianie serwera, sieci, usługodawcy lub osoby przechowującej klucz.
Najważniejsze
- Codziennie: przegląd nieudanych kopii zapasowych. Co miesiąc: techniczne uruchomienie środowiska zapasowego.
- Co kwartał: przywrócenie z pomiarem czasu. Co roku: rzeczywiste przełączenie z powrotem do produkcji.
- NIST przewiduje coroczny test zdolności do wznowienia działania; RODO oraz francuska agencja ANSSI wymagają regularnych testów.
- Każda istotna zmiana (serwer, nowa wersja główna, administrator, usługodawca, łącze internetowe) wymaga przeprowadzenia testu.
- Najważniejsze: zapisana data ostatniego testu i usunięte rozbieżności.
Co mówią instytucje i przepisy
- NIST. Poradnik SP 800-34, opracowany dla amerykańskich systemów federalnych, przewiduje coroczne testowanie zdolności do wznowienia działania i zespołów w celu wykrycia słabych punktów. Sam plan należy aktualizować z częstotliwością ustaloną przez organizację, na przykład co roku, oraz po każdej istotnej zmianie.
- RODO. Art. 32 wymaga środków pozwalających przywrócić dostępność danych osobowych w odpowiednim czasie oraz procedury regularnego testowania i oceniania skuteczności środków bezpieczeństwa.
- ANSSI (Francja). Zdaniem francuskiej krajowej agencji ds. cyberbezpieczeństwa kopie zapasowe należy regularnie testować, a procedurę przywracania systemu informatycznego spisać i regularnie stosować. W przypadku ćwiczeń kryzysowych agencja zaleca myślenie w kategoriach strategii wieloletniej, z formatami o rosnącym stopniu zaawansowania.
Żaden z tych tekstów nie wymaga testów „co miesiąc w warunkach rzeczywistych”. Wszystkie zbiegają się w kierunku częstych kontroli i pełnego testu co najmniej raz w roku.
Dlaczego nie „co miesiąc w warunkach rzeczywistych”
Rzeczywiste przełączenie przerywa produkcję lub grozi jej przerwaniem. Wykonywanie go co miesiąc kosztuje wiele godzin pracy i zmęczenia, a zespoły w końcu zaczynają robić to byle jak. Lepszy jest jeden rzetelny test w roku niż comiesięczny rytuał, podczas którego nikt nie otwiera aplikacji.
Z drugiej strony czekanie cały rok, by odkryć, że kopia zapasowa już się nie uruchamia, to zbyt długo. Stąd częsta, lekka kontrola techniczna i rzadki, ale pełny test biznesowy.
Realistyczny harmonogram dla MŚP
| Kiedy | Co |
|---|---|
| Codziennie | Przegląd nieudanych kopii zapasowych. DRP zasilany uszkodzoną kopią to uszkodzony DRP |
| Co miesiąc | Techniczne uruchomienie środowiska zapasowego bez wyłączania produkcji |
| Co kwartał | Przywrócenie pliku lub bazy danych z pomiarem czasu |
| Co roku | Rzeczywiste przełączenie lub odpowiednik, z użytkownikiem biznesowym i powrotem do produkcji |
| Przy każdej zmianie | Nowy serwer, nowa wersja główna, odejście administratora, zmiana usługodawcy lub łącza internetowego |
Sektory silnie regulowane lub systemy krytyczne (opieka zdrowotna, produkcja ciągła) skracają interwał „co roku”, czasem nawet do pół roku. Nie jest to jednak minimalny standard dla usługowej firmy z sektora MŚP. Szczegóły każdego poziomu opisuje poradnik Jak przetestować DRP?.
Co jest ważniejsze niż częstotliwość
Zapisana data ostatniego testu i usunięte rozbieżności. DRP przetestowany jedenaście miesięcy temu, z raportem, jest w lepszym stanie niż DRP „testowany na bieżąco”, po którego testach nie ma śladu, co zostało sprawdzone. NIST wymaga, aby każde ćwiczenie kończyło się raportem zawierającym obserwacje i rekomendacje usprawnień.
Jeśli ostatni test odbył się ponad dwanaście miesięcy temu, proszę powiedzieć to zarządowi wprost. To informacja, a nie powód do wstydu. Błędem jest natomiast zapewnianie klienta lub ubezpieczyciela, że plan jest gotowy do użycia.
Po rzeczywistym incydencie
Prawdziwa awaria jest testem, pod warunkiem że w ciągu tygodnia powstanie z niej raport: co trwało dłużej, niż zakładano, czego brakowało, co zmieniamy w planie. Bez tego ten sam problem dotknie firmę po raz drugi w ten sam sposób. Zob. też Serwer przestał działać: co robić?.
W WeDoBack
Kontrola uruchomienia odbywa się co miesiąc i jest zawarta w ofercie DRP, bez wpływu na produkcję: odpowiada wierszowi „co miesiąc” w tabeli, w odniesieniu do obrazu, a nie do czynności biznesowej. Test w warunkach rzeczywistych planuje się na podstawie wyceny, w wymiarze do dziesięciu godzin: to naturalny kandydat na test coroczny. Żadna część oferty nie testuje za Państwa procedury po stronie ludzi (kto decyduje, gdzie jest klucz, jak powiadamia się zespół). Ta część podąża za rytmem odejść i zatrudnień, a nie za rytmem oprogramowania.
Najczęściej zadawane pytania
Czy istnieje prawny obowiązek dotyczący częstotliwości testów?
Nie ma ogólnej reguły dla wszystkich MŚP. RODO (art. 32) i ANSSI, francuska agencja ds. cyberbezpieczeństwa, wymagają testowania „regularnie”, nie określając częstotliwości. NIST w przypadku amerykańskich systemów federalnych przyjmuje test coroczny. Niektóre sektory regulowane, a także Państwa umowy lub ubezpieczyciel, mogą narzucać częstsze testy.
Czy prawdziwa awaria liczy się jako test?
Tak, pod warunkiem że w ciągu tygodnia powstanie z niej raport: co trwało dłużej, niż zakładano, czego brakowało, co zmienia się w planie. Bez takiego zapisu incydent nie pomoże ulepszyć planu.
Co powiedzieć klientowi lub ubezpieczycielowi, jeśli ostatni test odbył się ponad rok temu?
Prawdę, wraz z datą. Zapewnianie, że plan jest gotowy do użycia, bez niedawnego testu grozi rozdźwiękiem między obietnicą a rzeczywistością w dniu awarii. Lepiej podać planowaną datę następnego testu.
Dowiedz się więcej
Źródła
Dokumenty sprawdzone w październiku 2026 r.
- SP 800-34 Rev. 1, Contingency Planning Guide for Federal Information Systems — NIST
- Rozporządzenie (UE) 2016/679 (RODO), art. 32 — EUR-Lex
- Kopie zapasowe systemów informatycznych – podstawy (ANSSI-BP-100, v1.1, 27 listopada 2025, w języku francuskim) — ANSSI (agencja francuska)
- Organizacja ćwiczenia z zarządzania kryzysem cybernetycznym (w języku francuskim) — ANSSI (agencja francuska)
- SP 800-84, Guide to Test, Training, and Exercise Programs for IT Plans and Capabilities (wrzesień 2006, w języku angielskim) — NIST
- Oferta DRP (plan odtwarzania po awarii) — WeDoBack
Planują Państwo projekt kopii zapasowych, DRP lub BCP?
Ponad 20 lat doświadczenia w ochronie danych firmowych.
Poproś o wycenę+33 9 72 50 78 28Proszę chronić swoje dane z WeDoBack
Szyfrowana kopia zapasowa poza siedzibą firmy, niezmienna pamięć masowa, DRP i BCP: proszę opisać nam swoje serwery, a zaproponujemy właściwe połączenie rozwiązań.