На протяжении десятилетий команды корпоративной инфраструктуры следовали почти священному правилу: никогда не смешивайте производственные данные и резервные копии.
Производственные рабочие нагрузки размещались на высокопроизводительных первичных СХД. Резервные копии находились где-то еще — часто на отдельном оборудовании, в отдельной сети или даже в другом здании. Логика была здравой. Изоляция снижает риски. Если одна система выходит из строя, другая продолжает работать.
Это правило родилось из вполне реальных ограничений устаревшей инфраструктуры. Но среды, которые делали это правило необходимым, больше не существуют, и слепое следование ему без пересмотра лежащих в его основе предпосылок теперь может увеличить риски, а не снизить их. Для регулируемых отраслей этот вопрос также перестал быть чисто академическим: такие нормативные акты, как европейский Закон о цифровой операционной устойчивости (DORA), теперь четко определяют, как должны быть изолированы резервные копии и как часто нужно подтверждать возможность их восстановления. Выбираемая вами архитектура должна удовлетворять как аудитора, так и противостоять злоумышленнику.
Вопрос не в том, важна ли изоляция по-прежнему. Она важна. Вопрос в том, какая именно изоляция действительно защищает современные предприятия сегодня.
Почему это правило появилось изначально
Традиционное разделение производственных данных и резервных копий решало четыре реальные проблемы:
1. Изоляция сбоев. Устаревшие массивы, контроллеры и прошивки были ненадежными. Катастрофический сбой в производственной системе мог повредить или уничтожить все, что с ней связано. Отдельная инфраструктура резервного копирования уменьшала радиус поражения.
2. Изоляция производительности. Задачи резервного копирования создавали высокую нагрузку — длинные последовательные операции записи напрямую конкурировали с чувствительным к задержкам производственным ввод-выводом. Разделение защищало производительность приложений.
3. Защита с помощью воздушного зазора (air-gap). Физически разделенные системы — особенно ленточные накопители или автономные диски — не могли быть зашифрованы или удалены злоумышленниками, взломавшими производственную среду.
4. Разнообразие носителей (3-2-1 rule). Различные системы и типы носителей снижали риск того, что один сценарий сбоя уничтожит все копии данных.
Все это имело абсолютный смысл в мире вращающихся дисков, хрупких контроллеров и ограниченной прозрачности.
Почему это правило перестает работать сегодня
Современная инфраструктура изменила модель угроз — и модель восстановления.
Круглосуточные глобальные операции 24×7
В условиях глобальной экономики 24×7 простои представляют собой кризис уровня совета директоров. Целевые показатели времени восстановления сократились с дней до минут. Традиционные платформы резервного копирования были созданы для хранения данных, а не для их восстановления за считанные минуты, и целевые показатели RTO, близкие к нулю, обнажают этот разрыв.
Снимки (snapshots) — это не резервные копии… но одних резервных копий недостаточно
Это правда: сами по себе снимки не обеспечивают достаточной защиты — и Everpure никогда не позиционировала их таким образом. Вместо этого неизменяемые SafeMode™ снимки служат первым уровнем восстановления, оптимизированным для скорости и точности, в то время как интегрированные платформы резервного копирования и внесистемные уровни обеспечивают независимые пути восстановления, управление и долгосрочное хранение.
Физическая изоляция больше не равна безопасности
«Изолированная» (air-gapped) система, которая подключена к сети, доступна по сети и управляется администратором, не является изолированной в полной мере — независимо от вендора. Сейчас значение имеют неизменяемость, соблюдение политик хранения и защита учетных данных, а не только физическое расстояние.
Изоляция производительности — это архитектурная проблема, а не количество оборудования
Современные масштабируемые архитектуры (scale-out) и архитектуры на базе флеш-памяти рассчитаны на работу со смешанными нагрузками. Идея о том, что трафик резервного копирования неизбежно должен отнимать ресурсы у производственного ввода-вывода, отражает ограничения старых систем, а не современных.
Регуляторы теперь закрепляют правило письменно, и оно отличается от старого
Для финансовых организаций в ЕС регламент DORA применяется с января 2025 года. Его требования к управлению ИКТ-рисками предполагают наличие систем резервного копирования, которые можно активировать без ущерба для безопасности или непрерывности производства, выполнение восстановления на системах, физически и логически изолированных от исходной системы, а также тестирование процедур восстановления, а не предположения об их работоспособности.
NIS2 задает аналогичные требования для гораздо более широкого круга ключевых и важных организаций: управление резервным копированием и аварийное восстановление названы мерами управления рисками, а не лучшими практиками.
При внимательном прочтении ни один текст не говорит: «храните резервные копии вне производственного массива». Они говорят: обеспечьте независимый путь восстановления, удерживайте его вне радиуса поражения защищаемой системы и докажите, что он работает. Это описание изоляции доменов сбоев и протестированного восстановления, а не подсчета количества оборудования. Старое правило пыталось достичь этого за счет расстояния. Регулирование требует результата, оставляя выбор архитектуры за вами. Именно поэтому модель многоуровневого хранения, описанная ниже, не является компромиссом: быстрый локальный уровень обеспечивает время восстановления, необходимое бизнесу, а независимый уровень предоставляет изолированный и тестируемый путь, требуемый нормативными актами. Ни то, ни другое не является необязательным.
Скорость восстановления стала ключевой метрикой риска
В условиях атак программ-вымогателей и операционных сбоев разница между минутами и часами восстановления часто определяет, будет ли инцидент преодолим или приведет к катастрофе. Конференция Black Hat USA 2026 ясно показала вектор развития: искусственный интеллект сделал атаки дешевыми и быстрыми, и окно времени, за которое должно произойти восстановление, стремительно сужается.
Что приходит на смену старому правилу: интеллектуальная многоуровневая система восстановления
Современной заменой принципу «никогда не смешивайте производство и резервное копирование» является не безрассудная консолидация, а осознанное многоуровневое хранение (tiering).
Вместо вопроса «находятся ли производство и резервная копия в одной системе?» лучше задать другой: «обладают ли мои уровни восстановления независимыми доменами сбоев и обеспечивают ли они неизменяемость?»
Современная стратегия защиты данных обычно включает в себя:
1. Уровень быстрого локального восстановления
- Неизменяемые снимки для быстрого отката
- Предназначены для оперативного восстановления (минуты, а не часы)
- Защищены блокировкой хранения и элементами управления на основе политик
2. Независимый уровень резервного копирования
- Отдельные системы, расположения или плоскости управления
- Предназначены для восстановления при компрометации первичных систем
- Часто интегрируются с корпоративным ПО для резервного копирования
Независимый больше не означает слепой. Обнаружение аномалий на уровне СХД теперь может напрямую передавать данные на платформу резервного копирования, поэтому при появлении необычных шаблонов записи на производственном томе команда резервного копирования узнает, какие защищенные рабочие нагрузки затронуты и каким точкам восстановления можно доверять, еще до того, как кто-либо откроет заявку (тикет). Рабочие процессы обнаружения аномалий Everpure с Commvault и Veeam делают именно это: раздельные домены сбоев, общие сигналы.
3. Удаленный уровень / уровень архивирования
- Облачное объектное хранилище или защищенная удаленная площадка для резервного копирования
- Предназначено для аварийного восстановления, соблюдения нормативных требований и долгосрочного хранения
Эта модель не исключает разделения, но заменяет грубое физическое разделение целенаправленной изоляцией на каждом уровне восстановления.
Почему это важно для современных предприятий
Организации, которые цепляются за старое правило, в конечном итоге сталкиваются с:
- Медленным восстановлением, увеличивающим время простоев
- Недоиспользуемой инфраструктурой резервного копирования
- Сложными операционными бункерами (silos)
- Безопасностью, которая хорошо выглядит на бумаге, но терпит неудачу при атаке
Организации, внедряющие многоуровневые архитектуры восстановления, получают:
- Более быстрое RTO для наиболее распространенных сценариев сбоев
- Истинную неизменяемость там, где это действительно важно
- Эффективное использование производительности флеш-памяти и сокращения объема данных
- Упрощенные операции без ущерба для устойчивости к сбоям
Именно поэтому гибкие современные платформы, такие как решения от Everpure, не призывают к отказу от резервного копирования или воздушных зазоров (air gaps). Они выступают за то, чтобы сделать локальный уровень восстановления быстрым, неизменяемым и надежным, сохраняя при этом четкую интеграцию со стратегиями защиты на удаленных площадках и от сторонних производителей.
Принцип «Никогда не смешивайте производство и резервное копирование» не был ошибочным, но он устарел
Он отражал риски, технологии и типы сбоев своего времени. Современная реальность требует более тонкого подхода:
- Изоляция по-прежнему важна
- Неизменяемость важна еще больше
- Скорость восстановления имеет наибольшее значение
Будущее защиты данных заключается вовсе не в том, чтобы любой ценой разделять системы. Оно заключается в создании уровней восстановления, которые ведут себя при сбоях по-разному, восстанавливаются быстрее и целенаправленно работают вместе.
Это не нарушение правила. Это его замена чем-то лучшим.
