Теплый резерв: как бизнесу продолжить работу, если облачный провайдер целиком вышел из строя
Для тех, кто вечно занят: резюме статьи за 1 минуту
- Облачный провайдер может отключиться целиком, по договору такая авария может считаться форс-мажором, и тогда убытки от простоя могут остаться на компании.
- Запасная копия в соседнем дата-центре того же провайдера защищает от поломки в одном здании, но не от аварии сразу на нескольких площадках.
- Теплый резерв — готовые копии рабочих систем у другого провайдера в другом регионе, которые включают при аварии. Он сокращает простой с нескольких дней до нескольких часов.
- Резерв, восстановление с которого ни разу не проверяли, может не сработать в нужный день.
- Какой способ резервирования нужен компании, показывает простой расчет: сколько бизнес потеряет за несколько дней простоя с поправкой на вероятность аварии и сколько стоит резерв за год.
На связи Авдей Мартынович, руководитель подразделения по работе с СМБ в ALP ITSM. До ALP я был ИТ-директором региональной компании, теперь моя команда сопровождает ИТ таких же компаний.
Про ALP ITSM. Сервисная ИТ-компания, на рынке с 1996 года. Сопровождаем ИТ-инфраструктуру малого и среднего бизнеса.
Что октябрьская авария изменила для бизнеса в облаке
В октябре 2026 были выведены из строя полностью или частично три дата-центра Яндекса.
Вот чем это обернулось для бизнеса.
Оплата простоя может остаться на клиенте. Если аварию признают форс-мажором, убытки от простоя могут остаться на стороне клиента, в зависимости от условий договора. Плату за облако он отменил: сервисы Yandex Cloud стали бесплатными для текущих клиентов с 8 по 31 октября включительно.
Быстро и дешево не починят. Оборудование для замены поставляют до полугода, а один из производителей электроники не исключает роста цен в четвертом квартале из-за дефицита («Коммерсантъ»). По оценке аналитика, которую приводит «Фонтанка», серверы и системы хранения данных за несколько дней подорожали на 10–15%.
Запасная копия стояла по соседству
В первые дни после аварии к нам обратилась компания, у которой сайты и часть систем работали в облаке в одном из регионов. О защите компания позаботилась заранее: резервные копии хранились там же, а запасная копия серверов стояла в соседнем дата-центре того же провайдера. Площадки разные, но находятся рядом, и защита, рассчитанная на аварию в одном здании, отключилась вместе с основными системами.
Восстановить все на прежней площадке сразу не получилось, и компании пришлось переезжать. Даже в обычное время восстановление из копий на новом месте занимает несколько дней. При массовой аварии, когда новое размещение ищут сразу многие клиенты, оно может растянуться на недели.
Полностью компания не остановилась: учетная система стояла на другой площадке. Сейчас резерв они сейчас переносят к независимому провайдеру в другом регионе.
В марте 2021 года похожее случилось в Страсбурге: сгорел дата-центр европейского провайдера, и у части клиентов резервные копии хранились в том же дата-центре, что и рабочие серверы.
Копия защищает, только если лежит на другой площадке и там есть мощности, чтобы ее развернуть.
Чем бэкап отличается от теплого резерва и второй рабочей площадки
Выбор методики резервирования зависит от двух вопросов: сколько часов бизнес может простоять и данные за какой период готов потерять.
Резервное копирование. На второй площадке хранятся только копии данных. Восстановление занимает несколько дней, а теряются данные со времени создания последней копии, часто это сутки перед аварией. Подходит системам, без которых компания проживет несколько дней.
Теплый резерв. На второй площадке заранее подготовлены копии рабочих систем, они постоянно обновляются, но выключены до аварии. Включение занимает несколько часов, а теряются данные только за последние минуты: точный интервал зависит от инструмента и настройки. Так стоит защищать учет, склад и сайт, если они не могут простаивать дольше одного рабочего дня.
Две рабочие площадки. Обе работают одновременно, поэтому переключение занимает минуты, а данные почти не теряются. Это самый дорогой вариант для тех, кто не может остановиться даже на час.
Бэкап похож на запасное колесо в багажнике, а теплый резерв — на запасную машину с полным баком в гараже в другом районе: уехать на ней можно в тот же день, но ее нужно время от времени проверять и заводить.
Для малого и среднего бизнеса теплый резерв обычно разумная середина: он заметно дешевле второй рабочей площадки, а простой сокращает с нескольких дней до нескольких часов.
Почему запасная копия у того же провайдера не всегда спасает
Копия в соседнем дата-центре того же провайдера выручит, если в одном здании отказали оборудование, питание или связь.
При этом дата-центрами одного провайдера управляет одна компания по одним правилам, и часто они стоят недалеко друг от друга. Если авария задела сразу несколько площадок, запасная копия может отключиться вместе с основной. В октябре провайдер сам советовал клиентам пользоваться любыми доступными планами восстановления, а не только переключением между своими дата-центрами.
Даже там, где запасная копия сработала, расширить мощности было трудно: в период массового переезда свободные мощности быстро заканчиваются.
Это не претензия к конкретному облаку: так устроен риск любого провайдера. Поэтому у резервной площадки два требования:
- Другой провайдер. Иначе резерв упрется в те же ограничения на выдачу ресурсов, что и основная площадка.
- Другой регион. Резерв в соседней области может попасть под то же событие, поэтому регион выбирают так же внимательно, как провайдера. Искать его стоит внутри страны: закон запрещает записывать и хранить персональные данные граждан России в базах за рубежом (152-ФЗ).
Основная площадка остается там, где удобно, а в другом месте готовят только запасной выход, поэтому переезжать целиком не придется.
Как устроен теплый резерв
1. Копирование. Данные рабочих систем постоянно копируются на резервную площадку с отставанием в минуты, а не в сутки, как у ночного бэкапа. Точный интервал зависит от инструмента и настройки.
2. Ожидание. Пока все в порядке, запасные серверы выключены, и компания платит в основном только за хранение копий.
3. Переключение. При аварии резерв включают по заранее записанному плану, и сотрудники продолжают работать уже на резервной площадке.
Сложнее всего третий шаг. Сотрудники должны знать, как попасть на резерв, а банк, маркетплейсы и оператор электронного документооборота — куда теперь отправлять данные. Поэтому порядок действий записывают пошаговой инструкцией и проверяют на деле.
Теплый резерв защищает только системы, которые компания держит на своих серверах или в арендованном облаке: учет, склад, сайт и файлы. Облачную CRM, телефонию и внешнюю почту он не спасет: для их данных нужны отдельные копии, а для внешних сервисов вроде отчетности стоит заранее продумать запасной вариант.
Октябрь показал это на примере облака 1С. Сервис, через который работают 1С-Отчетность и 1С-ЭДО, тоже стоял в дата-центре Яндекса. Зависимость от внешнего сервиса есть у любой учетной системы. Своя 1С на резерве в эти дни работала бы, а отправка отчетов и документов все равно зависела бы от чужой площадки.
Зачем проверять резерв
Наш опыт показывает, что первая проверка резерва почти никогда не проходит гладко. Выясняется, что системы запускаются не в том порядке, у бухгалтерии ярлык ведет на старый сервер, а пароль от резерва знает один человек, и его, по закону подлости, нет на месте.
Проверка не мешает работе: ее проводят в отдельном от рабочих систем контуре, и если что-то пойдет не так, все возвращают как было. Удачным тест считают, когда главный бухгалтер сформировал в резервной базе такую же оборотно-сальдовую ведомость, что и в боевой, а кладовщик провел тестовую отгрузку. Время от начала до конца восстановления ближе к реальности, чем любой норматив из договора, хотя смену адресов для банка и ЭДО так не проверить, ее проверяют отдельно.
Сценарий проверки лучше брать неудобный, например отключение площадки целиком. Системы в компании меняются, поэтому резерв проверяют регулярно: для критичных систем небольшой компании раз в квартал или в полгода.
С чего начать проверку, если резерва пока нет, а есть только копии, мы подробно разобрали в статье «Как проверить бэкап: тест восстановления за один день».
Семь вопросов, чтобы оценить свою защиту
Ответы на них стоит получить от ИТ-специалиста или подрядчика письменно: так видно, где защита есть, а где ее только предполагают.
1. Где физически лежат резервные копии? Хорошо, если на другой площадке, у другого провайдера, в другом регионе. Плохо, если «в том же облаке» или «на соседнем диске».
2. Компания хранит только копии данных или готовые к запуску копии систем? Из копий данных восстановление займет несколько дней, готовые системы обычно включаются за несколько часов, если порядок переключения проверен на деле.
3. Куда восстанавливаться, если площадка недоступна целиком? Нужна заранее подготовленная резервная площадка, а не «купим новый сервер» или «переедем, когда понадобится» — это задержит восстановление на срок от недели и больше.
4. Когда компания последний раз переключалась на резерв? Ответом должна быть дата проверки и протокол с фактическим временем. «Бэкапы делаются каждую ночь, ошибок нет» — это ответ на другой вопрос.
5. Кто запускает переключение и кто его заменит? Порядок действий должен быть записан, а доступ к нему должен быть у нескольких человек. Если слышите «все знает наш админ», это риск: порядок действий не записан и зависит от одного сотрудника.
6. Что написано в договоре с провайдером про форс-мажор? Если атаки и другие внешние причины названы там форс-мажором, убытки от простоя по ним могут остаться на стороне компании; условие стоит показать юристу.
7. Сколько стоит час простоя? Выручка за этот час, зарплата простаивающих сотрудников, штрафы, которые вы заплатите по договорам. Без этой цифры не понять, сколько стоит тратить на защиту.
Как считать, нужен ли резерв
Компании часто экономят на резерве в надежде, что обойдется. Проверить, оправдана ли такая экономия, помогает сравнение двух сумм.
Первая — потери от простоя: цена часа простоя, умноженная на время, которое резерв сэкономит. Из копий восстановление занимает несколько дней, а при массовой аварии и недель, с резервом — несколько часов.
Вторая: стоимость резерва за год, то есть хранение копий, настройка, тесты и сопровождение.
Если вторая сумма меньше первой, умноженной на вероятность аварии за год, резерв окупается. Если больше, то, скорее всего, достаточно бэкапа с проверенным восстановлением.
Обе суммы стоит считать по актуальным ценам: серверы, по оценке аналитика, уже подорожали на 10–15%, а в четвертом квартале возможен новый рост.
Для ориентира по рынку: в обзоре Uptime Institute по опросу 2025 года 57% респондентов по всему миру оценили последний серьезный сбой дороже 100 тысяч долларов, а каждый пятый — дороже миллиона. Это цифры по всему рынку, поэтому считать стоит свои.
Копия работает, только когда есть где ее включить
Резервная копия отвечает на вопрос «из чего восстановиться», а теплый резерв у другого провайдера в другом регионе — на вопрос «где и за сколько часов», даже если основная площадка отключилась целиком. Начать можно без бюджета: ответить на семь вопросов, составить список критичных систем с допустимым простоем по каждой и сравнить цену простоя с ценой резерва.
Если ответы устраивают, назначьте дату следующей проверки. Если нет, расчет покажет, каким системам нужен резерв, а каким хватит бэкапа с проверенным восстановлением. Пока резерв не проверен на деле, реальное время переключения неизвестно никому.
Больше коротких разборов про ИТ в малом и среднем бизнесе — в нашем Telegram-канале ALP ITSM.