«У облака же есть корзина» — есть. Тридцать дней, десять гигабайт, и то не всегда

[Nedomolkov_Ivan]

Та же подмена живёт в базах данных, только звучит иначе: «у нас же есть бэкап». Проверяется одним вопросом — не «когда была последняя полная копия», а «сколько часов работы пропадёт, если сервер умрёт прямо сейчас». Ответы обычно расходятся раза в три.

Любимый случай, встречается через раз: база в полной модели восстановления, а копии журнала транзакций не делает никто. Все уверены, что есть восстановление на точку. Его нет — есть суточной давности полная копия и журнал, разбухший до 73 % от размера самих данных. Минусы обеих схем и плюсы ни одной.

Второй по частоте — копия, которую ни разу не разворачивали. Такая всегда успешна, пока её не пробуют.

Из ваших трёх сценариев самый недооценённый — третий. Правило простое: копия обязана переживать и исходный аккаунт, и того администратора, который её настраивал. Всё, что лежит внутри того же периметра, что и данные, копией не является — это вторая копия того же самого.

[zhogov1985]

Вопрос вы переформулировали точнее, чем я в статье. "Когда была последняя копия" - это про календарь, а "сколько работы пропадёт, если умрёт прямо сейчас" - про людей, которым эту работу переделывать. Второй вопрос неудобный, поэтому его и не задают.

Про копию, которую ни разу не разворачивали, спорить не буду - в облачной части та же болезнь, и я её недооценил в тексте. Причём облако тут даже подлее: чтобы проверить восстановление честно, надо удалить что-то настоящее и попробовать вернуть. Желающих мало.

И проверка упирается ровно в те пределы, о которых статья. Пока файл лежит в личной корзине, репетиция ничего не доказывает - интересен как раз случай, когда её уже почистили и вся надежда на корзину организации. А там на большом файле не потренируешься: от 10 ГБ в неё ничего не попадает. На общих дисках тоже не потренируешься, их эта корзина не покрывает. С удалением аккаунта репетиция и вовсе односторонняя: справка обещает "восстановить данные будет невозможно", и проверять это на живом сотруднике никто в здравом уме не станет. Так что первое настоящее восстановление у многих совпадает с первым реальным инцидентом.

Про третий сценарий согласен, и вы к моей формулировке добавили важное: я писал только про то, что копия обязана переживать исходный аккаунт, а про независимость от человека, который её настраивал, не подумал. Это отдельная дыра, и закрывается она не так же.