Votre restauration n'est pas testée tant que vous ne l'avez pas chronométrée

L'affirmation

Savoir que vos sauvegardes existent et même qu'elles sont valides n'est pas la même chose que savoir que vous pouvez vous remettre d'un sinistre, car le nombre qui détermine si une reprise est survivable est un que la plupart des équipes n'ont jamais mesuré : combien de temps la restauration prend réellement. Une sauvegarde qui se restaure en vingt minutes et une qui se restaure en neuf heures sont des niveaux de protection complètement différents, et si vous n'avez jamais exécuté la restauration de bout en bout avec un chronomètre, vous ne savez pas laquelle vous avez — et vous le découvrirez pendant la panne, le pire moment pour apprendre que la réponse est neuf heures.

Pourquoi l'existence de la sauvegarde n'est pas la réponse

Les équipes se sentent raisonnablement protégées une fois les sauvegardes en cours et vérifiées. Mais une sauvegarde ne répond qu'à la question « les données peuvent-elles être récupérées », et la question qui gouverne réellement votre entreprise pendant un sinistre est « combien de temps serons-nous en panne ». Ce sont deux choses différentes, et l'écart entre elles est le temps de restauration. Une sauvegarde parfaitement valide qui prend neuf heures à restaurer signifie une panne de neuf heures, et si votre entreprise ne peut survivre à neuf heures d'arrêt, alors votre sauvegarde valide, vérifiée et fidèlement exécutée ne répond pas réellement à votre exigence de reprise — vous ne l'avez simplement pas encore découvert, faute de l'avoir chronométrée.

Les deux nombres qu'exige un plan de reprise

La reprise après sinistre a deux chiffres directeurs, et les deux doivent être décidés comme exigences d'affaires avant de pouvoir être confrontés à la réalité :

• L'objectif de temps de reprise est la durée pendant laquelle vous pouvez être en panne. Si la réponse est « pas plus d'une heure », alors une restauration qui prend quatre heures échoue à l'objectif, aussi bonne que soit la sauvegarde.
• L'objectif de point de reprise est la quantité de données que vous pouvez vous permettre de perdre — l'écart entre la dernière sauvegarde et le moment de la défaillance. Si vous sauvegardez chaque nuit, votre point de reprise va jusqu'à 24 heures, ce qui signifie qu'une défaillance juste avant la sauvegarde nocturne pourrait perdre une journée entière de données.

Ce sont des décisions, pas des faits sur votre configuration actuelle : l'entreprise décide ce dont elle a besoin, puis vous mesurez si la stratégie de sauvegarde actuelle y répond. La plupart des équipes n'ont jamais énoncé ni l'un ni l'autre, ce qui signifie qu'elles exploitent une stratégie de sauvegarde sans savoir ce qu'elle est censée atteindre.

Exécutez la restauration et mettez-y un chronomètre

Le test qui transforme un espoir en quantité connue est une restauration complète, de votre vraie sauvegarde, dans un environnement vierge, chronométrée du début jusqu'au service des requêtes :

Exercice de restauration, chronometre de bout en bout :
1. provisionner un hote de base neuf             [t0]
2. recuperer la derniere sauvegarde de son emplacement
3. la restaurer completement
4. executer les controles d'integrite et un echantillon de vraies requetes
5. noter le temps total ecoule                   [t_fin]
Temps de restauration = t_fin - t0

Le temps écoulé est le nombre que vous n'aviez pas. Récupérer la sauvegarde par le réseau est souvent la surprise — une grande sauvegarde dans un stockage objet distant peut prendre des heures à télécharger avant même que la restauration ne commence, et ce temps de téléchargement fait partie de votre vrai temps de reprise même si aucune documentation de restauration ne le mentionne. Chronométrer le tout, téléchargement compris, est ce qui produit un chiffre honnête.

Que faire quand le nombre est trop grand

Si le temps de restauration mesuré dépasse votre objectif, vous avez plusieurs leviers, et connaître le nombre vous dit lequel tirer :

Gardez une copie chaude. Une réplique tenue continuellement à jour peut être promue en minutes plutôt que restaurée en heures, transformant une longue restauration en un court basculement. C'est la réponse standard quand l'objectif de temps de reprise est serré.

Restaurez plus souvent en miniature. Des restaurations incrémentales plus petites et plus fréquentes, ou une relève régulièrement rafraîchie, gardent l'écart petit et la promotion rapide.

Rapprochez la sauvegarde. Si le téléchargement domine le temps de restauration, garder une sauvegarde récente sur un stockage plus rapide ou plus proche coupe le plus grand terme.

Chacun de ceux-ci coûte de l'argent, et le temps de restauration mesuré est ce qui vous dit si le coût est justifié — vous rachetez un nombre précis d'heures de panne, et vous ne pouvez pas faire ce marché sensément avant de savoir combien d'heures sont en jeu.

Testez la restauration à intervalle, pas une seule fois

Un temps de restauration mesuré une fois est un temps de restauration qui était vrai une fois. Les bases grandissent, et une restauration qui prenait vingt minutes quand la base faisait 5 Go prend bien plus longtemps à 200 Go — le temps de reprise se dégrade en silence à mesure que l'entreprise réussit et que les données s'accumulent. Planifiez l'exercice de restauration, au moins chaque trimestre, pour que le nombre reste à jour et que vous remarquiez quand la croissance l'a poussé au-delà de votre objectif. L'exercice attrape aussi l'autre défaillance : une sauvegarde qui a discrètement cessé d'être restaurable parce qu'un format a changé, un identifiant a expiré, ou une étape du processus s'est brisée — découverte sur le calendrier, un jour calme, plutôt que pendant le sinistre contre lequel elle devait protéger.

La norme à tenir

Vous n'avez pas de sauvegarde testée tant que vous n'avez pas un temps de restauration mesuré, un objectif énoncé de durée d'arrêt tolérable, et la confirmation que le premier est plus petit que le second. Tout ce qui est moindre est une sauvegarde dont vous espérez qu'elle vous sauvera, exécutée contre une exigence que vous n'avez jamais couchée sur papier, avec un temps de reprise que vous n'avez jamais mesuré. Exécutez la restauration, démarrez le chronomètre, et transformez ces trois inconnues en nombres — car la seule sauvegarde qui vous protège est une dont vous avez prouvé que vous pouvez vous rétablir, dans un temps que vous pouvez réellement vous permettre, avant d'être forcé de le faire pour de vrai.