Serwer plików pada w sobotę po południu. Plan odtworzenia zakłada kilka godzin, ale ostatnia kopia pełna pochodzi z niedzieli, a po niej przyszło sześć kopii przyrostowych. Administrator odtwarza je jedną po drugiej i przy środowej dostaje błąd odczytu. Dane da się przywrócić tylko do wtorku, a kolejne dni pracy działu trzeba odtworzyć z poczty i z pamięci.
Rodzaje kopii zapasowych zwykle porównuje się przez pryzmat miejsca na dysku i czasu wykonywania kopii. W cyberbezpieczeństwie i ciągłości działania ważniejsze jest co innego: ile zestawów trzeba odtworzyć w najgorszym dniu cyklu, od ilu kopii zależy każdy punkt odtworzenia i czy ten najgorszy dzień ktoś kiedykolwiek sprawdził.
Jakie są rodzaje kopii zapasowych i czym się różnią?
Podstawowe rodzaje kopii zapasowych to kopia pełna, przyrostowa i różnicowa, a różnią się tym, od jakiego punktu odliczają zmiany. NIST SP 800-34 Rev. 1, przewodnik po planowaniu ciągłości systemów z maja 2010 r. (aktualizowany w listopadzie 2010 r.), opisuje je jako trzy typowe metody tworzenia kopii systemów.
Kopia pełna obejmuje wszystkie pliki na dysku albo w wybranym folderze. Kopia przyrostowa obejmuje pliki utworzone lub zmienione od ostatniej kopii, niezależnie od jej rodzaju. Kopia różnicowa obejmuje pliki utworzone lub zmienione od ostatniej kopii pełnej, więc plik zmieniony po niej trafia do każdej kolejnej kopii różnicowej, aż do następnej pełnej.
Samo pojęcie kopii zapasowej wyjaśnia słownik, a podstawowe porównanie rodzajów kopii, strategię 3-2-1-1-0 i miejsce kopii w planie odtwarzania opisuje przewodnik czym jest backup. Przy wyborze schematu liczą się jednak konsekwencje, których tabela cech nie pokazuje.
Od czego zależy czas odtwarzania z kopii przyrostowej i różnicowej?
Czas odtwarzania zależy przede wszystkim od liczby zestawów, które trzeba odtworzyć po kolei, a ta liczba rośnie z każdym dniem cyklu. NIST SP 800-34 Rev. 1 zauważa, że do odtworzenia z kopii przyrostowych mogą być potrzebne nośniki z wielu operacji, a przy kopii różnicowej wystarczą kopia pełna i ostatnia różnicowa.
Różnicę najlepiej widać w tygodniowym cyklu z kopią pełną w niedzielę:
| Dzień awarii | Kopia przyrostowa: zestawy do odtworzenia | Kopia różnicowa: zestawy do odtworzenia | Co rośnie w ciągu tygodnia |
|---|---|---|---|
| poniedziałek | pełna i poniedziałkowa | pełna i poniedziałkowa | nic, oba schematy są równe |
| środa | pełna i trzy przyrostowe | pełna i środowa różnicowa | długość łańcucha przyrostów |
| piątek | pełna i pięć przyrostowych | pełna i piątkowa różnicowa | rozmiar kopii różnicowej |
| sobota | pełna i sześć przyrostowych | pełna i sobotnia różnicowa | oba: łańcuch i rozmiar |
Najgorszy dzień dla kopii przyrostowej to ostatni dzień przed następną kopią pełną. Dla kopii różnicowej liczba zestawów jest stała, ale ostatnia kopia różnicowa jest wtedy największa, bo zawiera wszystkie zmiany z tygodnia.
Ten czas trzeba porównać z RTO systemu. NIST definiuje RTO jako maksymalny czas, przez jaki zasób może pozostać niedostępny, zanim skutki dla innych zasobów i procesów staną się nieakceptowalne. Do czasu kopiowania danych trzeba doliczyć przygotowanie środowiska, weryfikację i uruchomienie aplikacji, a każdy z tych kroków wydłuża się, gdy zestawów jest więcej.
Jak rodzaj kopii wpływa na RPO i utratę danych?
Rodzaj kopii nie wyznacza RPO bezpośrednio, bo RPO zależy od tego, jak często powstaje kopia, a nie od tego, czy jest pełna, przyrostowa, czy różnicowa. NIST SP 800-34 Rev. 1 opisuje RPO jako punkt w czasie przed awarią, do którego da się przywrócić dane procesu z najnowszej kopii, czyli miarę dopuszczalnej utraty danych.
Rodzaj kopii wpływa natomiast na koszt częstych kopii. Kopię przyrostową wykonuje się szybko i zajmuje mało miejsca, więc można ją robić częściej, na przykład kilka razy dziennie. Kopia pełna wykonywana co godzinę byłaby dla dużego zbioru danych zbyt kosztowna, choć dawałaby najprostsze odtwarzanie.
NIST SP 800-209 z października 2020 r. pokazuje tę samą zależność na przykładzie migawek: jeśli wymagania pozwalają stracić najwyżej pięć minut zatwierdzonych danych, migawki trzeba wykonywać co pięć minut albo częściej. Częstotliwość ustala się z RPO, a rodzaj kopii dobiera tak, żeby ta częstotliwość była wykonalna.
Dlaczego jedna uszkodzona kopia przyrostowa może zablokować odtworzenie?
Jedna uszkodzona kopia przyrostowa blokuje odtworzenie wszystkich późniejszych punktów, bo każda kolejna kopia przyrostowa zawiera tylko zmiany względem poprzedniej. Gdy brakuje ogniwa ze środy, kopie z czwartku, piątku i soboty nie mają się do czego odnieść.
NIST SP 800-209 formułuje zasadę ogólniej: systemy kopii często używają kopii przyrostowych, które zapisują zmiany względem kopii bazowej, a takich kopii nie da się użyć do odtworzenia bez kopii bazowej. Dokument zaleca, żeby kopie przeznaczone do odtworzenia po cyberataku miały niezależną, pełną kopię bazową.
Kopia różnicowa ma krótszy łańcuch: każdy punkt zależy tylko od ostatniej kopii pełnej. Uszkodzona kopia różnicowa ze środy nie przeszkadza w odtworzeniu z czwartkowej. Oba schematy łączy jednak jeden słaby punkt: jeśli zawiedzie kopia pełna, nie działa żaden punkt z całego cyklu. Dlatego kontrola integralności kopii pełnej ma największe znaczenie, a w schemacie przyrostowym trzeba sprawdzać także każde ogniwo łańcucha.
Najważniejsze:
- Kopia przyrostowa wymaga w najgorszym dniu kopii pełnej i wszystkich przyrostów z cyklu.
- Uszkodzony przyrost odcina wszystkie późniejsze punkty odtworzenia, a uszkodzona kopia pełna cały cykl.
- RPO wyznacza częstotliwość kopii, a rodzaj kopii decyduje, czy ta częstotliwość jest wykonalna.
Ile miejsca i jak długiego okna kopii wymaga każdy schemat?
Kopia pełna wymaga najwięcej miejsca i najdłuższego okna, kopia przyrostowa najmniej, a kopia różnicowa rośnie z każdym dniem cyklu. NIST SP 800-34 Rev. 1 opisuje te same zależności: kopia pełna trwa długo, a powtarzanie jej dla rzadko zmienianych plików, takich jak pliki systemowe, prowadzi do nadmiernego zapotrzebowania na nośniki.
Kopie przyrostowe według tego samego dokumentu oszczędzają nośniki i skracają czas wykonywania kopii. Kopia różnicowa trwa krócej niż pełna, ale dłużej niż przyrostowa, bo ilość danych zmienionych od ostatniej kopii pełnej rośnie każdego dnia aż do następnej kopii pełnej.
W praktyce okno kopii ma znaczenie przy systemach pracujących całą dobę i przy łączach do zdalnego magazynu. Jeśli kopia różnicowa z końca tygodnia nie mieści się w nocnym oknie, schemat trzeba zmienić, zanim zacznie się ją przerywać albo przesuwać.
Jak retencja łączy się z rodzajem kopii?
Retencja musi uwzględniać zależności między kopiami: kopii pełnej nie można usunąć, dopóki przechowywana jest choć jedna zależna od niej kopia przyrostowa lub różnicowa. Polityka, która każe trzymać 30 dni kopii, a kasuje kopię pełną po 7 dniach, w praktyce przechowuje kopie, których nie da się odtworzyć.
NIST SP 800-209 zaleca, żeby plan ochrony danych powstał przed wdrożeniem i dla każdego poziomu danych określał częstotliwość, retencję i rodzaj kopii, na przykład 48 migawek godzinowych i 30 kopii dziennych. NIST SP 800-34 Rev. 1 dodaje, że polityka powinna wskazywać minimalną częstotliwość i zakres kopii zależnie od krytyczności danych i tempa, w jakim przybywa nowych informacji.
Wynika z tego prosta kontrola: dla każdego punktu odtworzenia, który polityka obiecuje, w magazynie musi istnieć komplet zestawów potrzebnych do jego odtworzenia. Sprawdza się to na najstarszym obiecanym punkcie, bo tam najłatwiej o usuniętą kopię bazową.
Czy migawka zastępuje kopię pełną?
Migawka nie zastępuje kopii pełnej, bo zwykle zależy od danych źródłowych, które ma chronić. NIST SP 800-209 opisuje migawkę jako oszczędną formę kopii z określonego momentu, która przechowuje tylko zmienione fragmenty danych względem źródła, przez co przy niedostępnym źródle migawki często też są bezużyteczne.
Ten sam dokument zauważa, że w niektórych schematach, takich jak migawki, używa się wyłącznie kopii przyrostowych, a kopią bazową są dane produkcyjne. Zaleca też, żeby kopie przeznaczone do odtworzenia po cyberataku nie zależały od produkcyjnych danych bazowych. Ransomware, który zaszyfruje wolumen źródłowy, może więc odebrać firmie również migawki tego wolumenu.
Migawki mają swoje miejsce: dają szybki powrót do stanu sprzed godziny po błędzie użytkownika albo nieudanej aktualizacji. Pod nimi musi jednak leżeć niezależna kopia pełna, najlepiej odizolowana i niezmienna. Dlaczego niezmienność jest właściwością całego układu, a nie samego nośnika, wyjaśnia tekst o kopii niezmiennej.
Jak dobrać schemat kopii do wymagań systemu?
Schemat kopii dobiera się od wymagań systemu: najpierw RTO i RPO, potem okno kopii i retencja, a dopiero na końcu rodzaj kopii, który te wymagania spełnia przy rozsądnym koszcie. NIST SP 800-34 Rev. 1 podaje jako przykład kopię pełną w weekend i kopie różnicowe każdego wieczoru.
System z krótkim RTO, na przykład baza transakcyjna, potrzebuje jak najmniejszej liczby zestawów do odtworzenia: częstej kopii pełnej albo kopii różnicowych, uzupełnionych migawkami na szybki powrót. System z dużą ilością rzadko zmienianych danych, na przykład archiwum dokumentów, dobrze znosi kopię pełną raz w tygodniu lub rzadziej i codzienne przyrosty, bo dłuższe odtwarzanie mieści się w jego RTO.
Stacje robocze i usługi SaaS rządzą się innymi prawami: liczy się tam odtworzenie pojedynczych plików i skrzynek, a nie całego systemu. Tu decyduje głównie retencja i wersjonowanie. Jak działają kopie w chmurze i kopie usług Microsoft 365, opisują teksty o kopii zapasowej w chmurze i backupie Office 365.
Jak sprawdzić, że wybrany schemat mieści się w czasie odtwarzania?
Schemat sprawdza się testem odtworzenia w najgorszym dniu cyklu, czyli z ostatniego punktu przed kolejną kopią pełną, i pomiarem czasu od decyzji o odtworzeniu do działającej aplikacji. Test z poniedziałku, kiedy łańcuch ma jedno ogniwo, nie mówi nic o sobocie.
NIST SP 800-209 zaleca okresowe testy kopii, co najmniej raz w miesiącu dla danych krytycznych, a dla aplikacji z rygorystycznymi wymaganiami co do szybkości odtworzenia pełny test odtworzenia do odizolowanego środowiska. Stan prawny na 21 września 2026 r. RODO w art. 32 ust. 1 wymienia zdolność do szybkiego przywrócenia dostępności danych osobowych i regularne testowanie skuteczności środków, a dyrektywa NIS2 w art. 21 ust. 2 lit. c, wdrażanym w Polsce przez ustawę o krajowym systemie cyberbezpieczeństwa, wymienia ciągłość działania, w tym zarządzanie kopiami zapasowymi, wśród środków zarządzania ryzykiem, które państwa członkowskie mają nałożyć na podmioty.
Wynik testu warto zapisać w trzech liczbach: czas odtworzenia, liczba zestawów i wiek najstarszego zestawu w łańcuchu. Jeśli czas przekracza RTO, rozwiązaniem jest częstsza kopia pełna albo przejście na kopie różnicowe, a nie optymistyczne założenie w planie.
Jak porównać schematy kopii przed decyzją?
Schematy porównuje się na tych samych kryteriach: liczbie zestawów w najgorszym dniu, wrażliwości na uszkodzenie jednej kopii, oknie kopii, zajętości magazynu i tym, co trzeba zmierzyć w teście. Poniższa tabela zestawia trzy typowe schematy dla cyklu tygodniowego.
| Kryterium | Kopia pełna codziennie | Pełna w niedzielę i różnicowe | Pełna w niedzielę i przyrostowe | Co zmierzyć w teście |
|---|---|---|---|---|
| Zestawy w najgorszym dniu | jeden | dwa | siedem | czas odtworzenia w sobotę |
| Uszkodzona kopia przyrostowa lub różnicowa | traci się jeden dzień | traci się jeden dzień | traci się dni do końca cyklu | odtworzenie z pominięciem uszkodzonej kopii |
| Uszkodzona kopia pełna | traci się jeden dzień | traci się cały cykl | traci się cały cykl | kontrola integralności kopii pełnej |
| Okno kopii | najdłuższe codziennie | rośnie do końca tygodnia | najkrótsze poza niedzielą | czas kopii w ostatnim dniu cyklu |
| Zajętość magazynu | największa | średnia, rośnie w cyklu | najmniejsza | zajętość przy pełnej retencji |
| Wymóg retencji | każda kopia niezależna | pełna trzymana do końca cyklu i dłużej | pełna i cały łańcuch trzymane razem | komplet zestawów dla najstarszego punktu |
| Pasuje do | małe, krytyczne systemy z krótkim RTO | systemy z krótkim RTO i dużą ilością danych | duże zbiory rzadko zmieniane, dłuższe RTO | zgodność wyniku z RTO i RPO |
Każdy schemat wygrywa w innym miejscu, dlatego ostatnia kolumna mówi, co sprawdzić w teście, zanim schemat trafi do polityki.
Najważniejsze:
- Testuj odtworzenie w ostatnim dniu cyklu, bo tam łańcuch jest najdłuższy.
- Retencja musi chronić kopię pełną tak długo, jak długo istnieje zależna od niej kopia.
- Migawki przyspieszają odtwarzanie, ale pod nimi musi leżeć niezależna kopia pełna.
Jak nFlo może pomóc w doborze i testowaniu kopii zapasowych?
W ramach kompleksowych usług dla rozwiązań backupowych nFlo zaczyna od audytu obecnych kopii: co jest chronione, jakie są RPO i RTO i gdzie są luki w pokryciu. Na tej podstawie projektuje strategię dopasowaną do RPO i RTO, wdraża rozwiązania Veeam lub Commvault i co miesiąc odtwarza losową maszynę wirtualną albo bazę danych do izolowanego środowiska.
Firmom, które chcą przechowywać kopie w chmurze w Polsce, nFlo wdraża Xopero ONE. Według opisu produktu platforma chroni stacje robocze, serwery Windows i Linux, Microsoft 365 i Google Workspace, przechowuje dane w centrach danych w Polsce, ma deduplikację, konfigurowalną retencję (dni lub wersje), kopie niezmienne i wersjonowanie. Jako partner Xopero pomagamy dobrać plan, wdrożyć agentów i skonfigurować polityki. Jeśli chcesz sprawdzić, czy Twoje kopie odtworzą się w najgorszym dniu cyklu, skontaktuj się z nami.
Co jeszcze warto wiedzieć o rodzajach kopii zapasowych?
Która kopia zapasowa odtwarza się najszybciej?
Kopia pełna, bo do odtworzenia wystarcza jeden zestaw. Przy kopii różnicowej potrzebne są dwa zestawy, pełny i ostatni różnicowy, a przy przyrostowej pełny i wszystkie kolejne przyrosty, co opisuje NIST SP 800-34 Rev. 1.
Czy kopia przyrostowa jest mniej bezpieczna niż różnicowa?
Sama w sobie nie, ale tworzy dłuższy łańcuch zależności. Uszkodzenie jednej kopii przyrostowej odcina wszystkie późniejsze punkty odtworzenia, a przy kopii różnicowej każdy punkt zależy tylko od kopii pełnej. Dlatego przy przyrostach ważniejsza jest kontrola integralności każdej kopii.
Jak często wykonywać kopię pełną?
Tak często, żeby odtworzenie w najgorszym dniu cyklu mieściło się w RTO systemu. NIST SP 800-34 Rev. 1 podaje jako przykład kopię pełną w weekend i kopie różnicowe każdego wieczoru, ale właściwy cykl wynika z testu odtworzenia, a nie z przykładu.
Czy migawka (snapshot) jest kopią zapasową?
Nie samodzielnie. NIST SP 800-209 opisuje migawkę jako zapis zmian względem danych źródłowych i zaznacza, że gdy źródło jest niedostępne, migawki zwykle też są bezużyteczne. Migawka przyspiesza odtwarzanie, ale nie zastępuje niezależnej kopii pełnej.
Czy przepisy wymagają konkretnego rodzaju kopii zapasowych?
Stan prawny na 21 września 2026 r. Ani RODO, ani dyrektywa NIS2 nie wskazują rodzaju kopii. RODO wymaga zdolności szybkiego przywrócenia dostępności danych i regularnego testowania środków, a NIS2 wymienia zarządzanie kopiami zapasowymi wśród środków, które państwa członkowskie mają nałożyć na podmioty (w Polsce przez ustawę o krajowym systemie cyberbezpieczeństwa).
