Backup không đủ, khôi phục được mới là thứ cứu bạn

Sao lưu (backup) chỉ có giá trị nếu khôi phục được: đúng dữ liệu, trong thời gian chấp nhận được, bằng quy trình đã thử trước. Phần lớn doanh nghiệp nhỏ "có backup" theo nghĩa có một tính năng đang bật ở đâu đó, nhưng chưa bao giờ khôi phục thử, nên tới lúc cần mới phát hiện bản sao lưu hỏng, thiếu cơ sở dữ liệu, hoặc cũ tới mấy tuần. Bài này đưa cách đo, cách kiểm thử và mức sao lưu hợp lý cho website, phần mềm doanh nghiệp.

Ba câu chuyện có thật (đã đổi tên)

Cửa hàng nội thất: website WordPress có plugin sao lưu tự động lên Google Drive. Ngày bị chèn mã độc, mở Drive ra thấy 40 file sao lưu. File nào cũng đã bị chèn mã, vì plugin sao lưu sau khi mã độc xâm nhập, và không giữ bản cũ.

Công ty phân phối: phần mềm quản lý kho có backup cơ sở dữ liệu hằng đêm trên chính máy chủ đó. Ổ cứng máy chủ hỏng, mất cả phần mềm lẫn bản sao lưu cùng lúc.

Trung tâm đào tạo: hosting có tính năng "backup hằng tuần". Ngày cần khôi phục là thứ Bảy, bản gần nhất là Chủ nhật tuần trước, mất 6 ngày dữ liệu đăng ký học. Khôi phục xong lại phát hiện thiếu thư mục ảnh vì gói backup chỉ gồm cơ sở dữ liệu.

Cả ba đều "có backup". Không trường hợp nào từng khôi phục thử.

Hai con số quyết định: RPO và RTO

Trước khi nói cách làm, cần hai chỉ số để biết mình cần gì. Chúng là ngôn ngữ chung khi làm việc với bất kỳ đơn vị vận hành nào.

RPO (Recovery Point Objective), mất dữ liệu tối đa chấp nhận được: nếu sao lưu mỗi đêm, RPO là 24 giờ, tức là tệ nhất mất một ngày dữ liệu. Website giới thiệu công ty có thể chấp nhận RPO 7 ngày. Website bán hàng với đơn mỗi giờ thì RPO nên là vài giờ hoặc ngắn hơn cho cơ sở dữ liệu.

RTO (Recovery Time Objective), thời gian khôi phục tối đa chấp nhận được: từ lúc quyết định khôi phục tới lúc hệ thống chạy lại. RTO 4 giờ nghĩa là phải có sẵn hạ tầng thay thế và quy trình đã thử. RTO "vài ngày" nghĩa là chấp nhận dựng lại từ đầu.

Chọn RPO và RTO trước, rồi mới chọn cách sao lưu. Làm ngược lại là lý do nhiều doanh nghiệp trả tiền cho backup không phù hợp.

Nguyên tắc 3-2-1 nói đơn giản

Nguyên tắc chuẩn của ngành, áp được cho mọi quy mô:

• 3 bản: dữ liệu đang chạy cộng ít nhất 2 bản sao lưu.
• 2 loại nơi lưu khác nhau: ví dụ máy chủ và dịch vụ lưu trữ đám mây, để một loại hỏng không kéo theo loại kia.
• 1 bản ở nơi khác: khác máy chủ, khác nhà cung cấp hoặc khác khu vực. Đây chính là điểm công ty phân phối ở trên thiếu.

Với website và phần mềm doanh nghiệp nhỏ, cách thực tế là: sao lưu tự động hằng ngày ra một dịch vụ lưu trữ độc lập với hosting, giữ nhiều phiên bản theo ngày và tuần, và ít nhất một bản không thể bị xoá hay sửa từ máy chủ (để mã độc không phá được bản sao lưu).

Sao lưu cái gì: danh sách thường thiếu

"Backup website" nghe đủ nhưng thường thiếu một trong các phần sau:

• Cơ sở dữ liệu: đơn hàng, khách hàng, bài viết. Phần quan trọng nhất, hay bị bỏ qua khi chỉ sao lưu "file".
• Thư mục tải lên: ảnh sản phẩm, tài liệu. Thường lớn nên bị loại khỏi gói backup mặc định.
• Mã nguồn và cấu hình: theme, plugin, file cấu hình, biến môi trường, khoá kết nối tới cổng thanh toán hay dịch vụ bên thứ ba.
• Tên miền, DNS, chứng chỉ: không phải file, nhưng cần ghi lại cấu hình để dựng lại đúng.
• Tài khoản và quyền: ai giữ tài khoản hosting, tên miền, kho mã. Mất tài khoản thì có backup cũng không đưa lên đâu được.

Với phần mềm riêng còn thêm: các dịch vụ phụ (hàng đợi, bộ nhớ đệm), tập lệnh triển khai, và tài liệu về thứ tự khởi động.

Checklist kiểm thử khôi phục

Đây là phần hầu hết doanh nghiệp bỏ qua và là toàn bộ ý nghĩa của bài viết. Kiểm thử khôi phục ít nhất mỗi quý, với website quan trọng thì mỗi tháng:

1. Chọn ngẫu nhiên một bản sao lưu trong tuần gần nhất, không phải bản mới nhất.
2. Khôi phục lên môi trường tách biệt (máy chủ thử hoặc thư mục riêng), không đè lên hệ thống đang chạy.
3. Bấm giờ từ lúc bắt đầu tới lúc trang mở được. So với RTO.
4. Kiểm tra dữ liệu mới nhất trong bản sao lưu: đơn hàng cuối, bài viết cuối. Khoảng cách tới hiện tại chính là RPO thực tế.
5. Mở 5 trang hoặc chức năng quan trọng nhất: trang chủ, một sản phẩm, giỏ hàng, đăng nhập, một báo cáo. Ảnh có hiện không, thanh toán có kết nối không.
6. Ghi lại kết quả: ngày thử, thời gian, lỗi gặp, ai làm. Tài liệu này là thứ để đối chiếu với đơn vị vận hành.
7. Sửa quy trình nếu bất kỳ bước nào thất bại, rồi thử lại trong tuần.

Nếu chưa từng làm bước 1 đến 7, nên coi như doanh nghiệp chưa có backup, dù tính năng có đang bật.

Mức sao lưu hợp lý theo loại hệ thống

• Website giới thiệu, landing page: sao lưu hằng ngày, giữ 30 ngày, RPO 24 giờ, RTO 1 ngày làm việc. Chi phí gần như bằng 0 khi làm đúng.
• Website bán hàng: cơ sở dữ liệu mỗi 1 đến 6 giờ, file hằng ngày, giữ 30 đến 90 ngày, RPO vài giờ, RTO 4 đến 8 giờ.
• Phần mềm nghiệp vụ (kho, bán hàng, CRM): cơ sở dữ liệu liên tục hoặc mỗi giờ, giữ 90 ngày, có môi trường dự phòng để RTO dưới 4 giờ.
• Mini app, mobile app: sao lưu phần máy chủ như phần mềm nghiệp vụ; phần ứng dụng cần lưu mã nguồn và tài khoản kho ứng dụng.

Moniro làm gì với hệ thống của khách

Trong gói bảo trì website và bảo trì phần mềm riêng, sao lưu là hạng mục cố định, không phải tuỳ chọn:

• Sao lưu tự động hằng ngày ra nơi lưu độc lập với hosting, giữ theo ngày và tuần, có bản không thể sửa xoá từ máy chủ.
• Khôi phục thử định kỳ trên môi trường tách biệt, kết quả và thời gian ghi vào báo cáo tháng trên cổng dịch vụ.
• Khi có sự cố, khách tạo ticket, đội vận hành khôi phục theo cam kết thời gian trong SLA.
• Toàn bộ tài khoản, tên miền, mã nguồn đứng tên doanh nghiệp; Moniro chỉ được uỷ quyền vận hành.

Điểm cuối cùng quan trọng: backup tốt nhất cũng vô nghĩa nếu doanh nghiệp không giữ quyền sở hữu tài sản của mình. Bài chi phí ẩn khi tự vận hành có nói kỹ về rủi ro phụ thuộc một người.