Hur snabbt ett företag bör kunna återställa sina viktigaste system beror på hur kritiska systemen är för verksamheten, hur mycket driftstopp som kan accepteras och hur stor konsekvensen blir vid ett avbrott. Ett sådant krav kan uttryckas genom RTO, Recovery Time Objective, som anger den maximalt accepterade tiden för återställning.
En professionell återställningsstrategi kombinerar RTO med RPO, backupfrekvens, systemberoenden, prioritering och regelbundna återställningstester. Kritiska system kan behöva återställas betydligt snabbare än system som kan vara otillgängliga under längre tid utan att verksamheten påverkas allvarligt.
RTO som grund för återställningstid
RTO anger hur lång tid företaget maximalt accepterar att ett system är otillgängligt efter en incident. RTO är därför ett centralt mått när företaget planerar backup, disaster recovery och kontinuitet.
Ett system med mycket hög verksamhetskritikalitet kan kräva återställning inom minuter eller timmar, medan mindre kritiska system kan ha ett längre accepterat avbrott. RTO bör fastställas utifrån verksamhetens faktiska behov.
Verksamhetskritiska system och prioritering
Alla system behöver inte återställas samtidigt. Företaget bör identifiera vilka system som är mest avgörande för försäljning, kundservice, ekonomi, produktion och andra centrala verksamhetsprocesser.
Genom att prioritera systemen kan återställningsresurserna användas där de ger störst effekt. Prioriteringen bör vara dokumenterad innan en incident inträffar.
Affärspåverkan vid driftstopp
Den accepterade återställningstiden bör baseras på konsekvenserna av ett driftstopp. Ett längre avbrott kan påverka intäkter, kundrelationer, produktion, interna processer och företagets möjlighet att leverera sina tjänster.
Genom att bedöma kostnaden och risken för olika typer av avbrott kan företaget fastställa realistiska återställningsmål för respektive system.
Systemberoenden och återställningsordning
Återställningstiden påverkas även av beroenden mellan olika system. Ett affärssystem kan exempelvis vara beroende av databaser, identitetstjänster, nätverk, integrationer eller andra centrala komponenter.
Återställningsordningen behöver därför ta hänsyn till den tekniska arkitekturen. Ett system kan inte alltid återställas korrekt innan dess underliggande beroenden fungerar.
Återställningskapacitet och teknisk beredskap
Företagets RTO måste vara tekniskt möjligt att uppnå med den valda backup- och återställningslösningen. Återställningskapacitet, lagringsmiljö, nätverk, automatisering och tillgängliga resurser påverkar hur snabbt systemen kan komma tillbaka.
Ju kortare RTO som krävs, desto större krav kan ställas på teknisk beredskap och automatiserade återställningsprocesser.
RPO och acceptabel dataförlust
RPO och RTO kompletterar varandra men beskriver olika saker. RPO anger hur långt tillbaka i tiden företaget kan acceptera att data går förlorad, medan RTO anger hur snabbt systemet ska vara tillbaka i drift.
Ett system kan därför behöva både täta återställningspunkter och snabb återställning. Kombinationen av RPO och RTO ger en tydligare bild av verksamhetens faktiska återställningskrav.
Backupfrekvens och återställningspunkter
Backupfrekvensen behöver anpassas efter verksamhetens RPO och systemets förändringstakt. Tätare säkerhetskopiering kan minska mängden data som går förlorad vid ett avbrott.
Flera återställningspunkter kan dessutom ge större flexibilitet när företaget behöver välja en fungerande version efter exempelvis ett systemfel eller en cyberattack.
Skillnader mellan kritiska och mindre kritiska system
Återställningskraven bör vara olika för system med olika betydelse för verksamheten. Ett centralt affärssystem kan exempelvis ha mycket kortare RTO än ett internt arkiv eller ett system som används mer sällan.
Genom att dela in systemen efter kritikalitet kan företaget skapa en kostnadseffektiv strategi där resurserna koncentreras till de funktioner som har störst påverkan på verksamheten.
Återställningstester och verifiering
Regelbundna återställningstester används för att verifiera om företaget faktiskt kan uppnå sina definierade återställningstider. Det är inte tillräckligt att en backup har skapats om återställningen i praktiken tar längre tid än verksamheten accepterar.
Tester bör mäta faktisk återställningstid och identifiera tekniska eller organisatoriska hinder. Resultaten kan sedan användas för att förbättra processen.
Kontinuitetsplanering och förbättring
RTO bör vara en del av företagets kontinuitets- och incidenthantering. Återställningsplanen bör beskriva ansvar, prioritering, kontaktvägar och tekniska steg för att återgå till fungerande drift.
Kraven bör dessutom ses över när verksamheten förändras. Nya system, större datamängder, förändrade kundkrav och nya säkerhetsrisker kan göra att tidigare RTO-nivåer behöver justeras.
Vanliga frågor om återställningstid för företag
Hur snabbt bör ett företag kunna återställa sina viktigaste system?
Det beror på systemets betydelse och verksamhetens tolerans för driftstopp. Kritiska system kan behöva återställas inom minuter eller timmar, medan mindre kritiska system kan ha längre återställningstid.
Vad betyder RTO inom backup?
RTO, Recovery Time Objective, anger den maximalt accepterade tiden för att återställa ett system eller en verksamhetsfunktion efter ett avbrott.
Vad är skillnaden mellan RTO och RPO?
RTO anger hur snabbt ett system ska återställas, medan RPO anger hur långt tillbaka i tiden företaget kan acceptera att data går förlorad.
Vilka system bör återställas först?
System som är mest kritiska för företagets centrala verksamhetsprocesser bör normalt prioriteras, exempelvis centrala affärssystem, databaser och andra system som verksamheten är direkt beroende av.
Hur vet man om företagets RTO är realistiskt?
RTO bör verifieras genom praktiska återställningstester där den faktiska återställningstiden mäts och jämförs med det definierade målet.
Påverkar backupfrekvensen återställningstiden?
Backupfrekvensen påverkar främst RPO och mängden data som kan förloras. RTO påverkas framför allt av hur snabbt system och data faktiskt kan återställas.
Varför behöver företag testa återställningen?
Tester används för att kontrollera om tekniken, rutinerna och organisationen klarar att återställa kritiska system inom den tid som verksamheten kräver.
Sammanfattning
Ett företag bör kunna återställa sina viktigaste system inom den tidsgräns som verksamhetens risknivå och kontinuitetskrav kräver. För kritiska system kan det innebära minuter eller timmar, medan mindre kritiska system kan ha längre accepterade återställningstider.
RTO bör fastställas tillsammans med RPO och baseras på verksamhetens kritiska processer, systemberoenden och konsekvenserna av driftstopp. Regelbundna återställningstester är viktiga för att verifiera att de definierade målen faktiskt går att uppnå.
