RPO ограничивает отставание состояния данных, RTO — согласованную длительность восстановления. Свежую копию можно долго запускать, а быстро возвращённая услуга может работать со слишком старыми данными.
RPO
Определение
RPO — это допустимая давность восстановленных данных: насколько старым может быть состояние, к которому вернулись после сбоя. Длительность самого восстановления RPO не ограничивает — за неё отвечает RTO.
Также ищут: Recovery Point Objective · point in time · целевая точка восстановления · допустимая потеря данных
Зачем это знать
В расписании копирования указан момент запуска задания, а для решения нужна последняя доступная и пригодная точка данных. Её время, целевой предел и начало отсчёта фиксируют отдельно от длительности возврата сервиса.
Карта понятия
Что подтверждено
Recovery Point Objective задаёт момент, до которого должны быть восстановлены данные после сбоя.
Граница применимости: Это целевой показатель бизнеса. Фактическую точку подтверждают восстановлением и временем состояния данных; момент завершения задания копирования не подменяет эту отметку.
RPO ограничивает потерю данных по времени, но не длительность восстановления. Скорость возврата сервиса задаёт RTO.
Граница применимости: Разграничение двух целевых показателей восстановления по определениям NIST.
Учебный сбой произошёл в 13:00. Проверенная копия содержит состояние на 12:40, хотя задание завершилось в 12:55. Отставание точки данных равно 20 минутам, а не пяти; цель RPO в 15 минут для этого случая не выполнена.
Граница применимости: Расчёт при явно заданных времени сбоя и подтверждённой точке данных. Время завершения задания не меняет содержимое копии; часовой пояс и часы в примере едины.
Расписание резервного копирования само по себе не доказывает RPO. Неуспешный запуск, недоступная копия или отсутствующий вход восстановления могут оставить пригодную точку старше последнего запланированного задания.
Граница применимости: Редакторский вывод из целевой точки и требований плана восстановления. Пригодность проверяется по фактически доступным данным и зависимостям конкретного способа восстановления.
После ошибочного изменения или атаки самая свежая копия может уже содержать повреждение. Для восстановления выбирают доказанно пригодное состояние и отдельно фиксируют его отставание; более старую безопасную точку нельзя выдать за выполнение прежней цели без проверки.
Граница применимости: Сопоставление RPO и восстановления после разрушительных событий. Момент отсчёта и допустимая потеря задаются сценарием; дата копии сама по себе не доказывает отсутствие повреждения.
Одинаковое окно потери в десять минут может включать ноль, десятки или тысячи изменений. RPO измеряет временную границу и не задаёт автоматически число потерянных заказов или их стоимость.
Граница применимости: Редакторское разграничение временной цели и содержимого восстанавливаемых данных. Число и значимость операций оценивают по журналам и правилам бизнеса отдельно.
Для нулевого RPO нужно заранее определить, какие записи считаются подтверждёнными и какие копии должны пережить выбранный отказ. Само слово «синхронная» не доказывает этот договор для всех аварий и не возвращает состояние до корректно повторённого ошибочного удаления.
Граница применимости: Редакторский вывод из определения RPO и способов репликации NIST. Условие подтверждения, устойчивость копий и защита от логической ошибки — отдельные свойства конкретной системы.
Не путать
Репликация — механизм переноса состояния, RPO — требование к результату выбранного восстановления. Режим подтверждения и наблюдаемое отставание реплики не заменяют проверку доступной пригодной точки после заданного сбоя.
Что проверить
- Зафиксируйте допустимое окно и момент, от которого оно считается.
- Различайте время состояния данных, запуск и завершение задания.
- Подтвердите доступность последней пригодной точки восстановления.
- Проверьте поведение при пропущенном задании или недоступной копии.
- После логической ошибки отдельно установите последнюю безопасную точку.
- Оцените потерянные бизнес-операции отдельно от временного окна.
- Для нулевой цели укажите подтверждённые записи и покрываемый отказ.
Первоисточники
- Recovery Time Objective — CSRC Glossary
Определяет RTO как допустимую длительность recovery phase до ущерба mission/business process.
Утверждения: 02
- Backup — CSRC Glossary
Определяет backup как копию files и programs, созданную для recovery.
- Contingency Planning Guide for Federal Information Systems
Первичный planning guide по BIA, recovery strategies, RPO/RTO, contingency и disaster recovery plans.
Утверждения: 04
- Guide for Cybersecurity Event Recovery
Определяет recovery planning как цикл приоритизации, playbooks, realistic testing, metrics и улучшения по lessons learned.
Утверждения: 05
- #StopRansomware Guide
Требует offline encrypted backups, регулярной проверки доступности и целостности и учитывает попытки ransomware удалить доступные копии.
Утверждения: 05
- Security Guidelines for Storage Infrastructure
Разделяет backup, replication, immutability, continuous data protection и point-in-time copies; описывает synchronous и asynchronous replication.
Утверждения: 07