Har bygget krypteret backup uden for værten på restic med opbevaringsbeskæring, et integritetstjek og en månedlig automatiseret gendannelsesøvelse, og har derefter auditeret gendannelsespositionen og skrevet hullerne ned frem for at lade dem blive fundet under en hændelse.

Situation. Alt hvad virksomheden rummer — git‑repositorierne, databasen, sitet — lå på én cloud‑instans, hvis udbyder‑snapshot var hele gendannelsespositionen. Et udbyder‑snapshot er en fin ting at have og en dårlig ting at læne sig på: det ligger i den samme konto som den maskine det beskytter, det er ikke krypteret af nogen her, og ingen havde nogensinde gendannet fra et.

Opgave. Sikkerhedskopier skulle være krypterede, uden for værten, beskåret efter en opbevaringspolitik, og — den del der som regel springes over — faktisk gendannet fra, efter en plan, uden at en person skulle huske at gøre det.

Handling. Sikkerhedskopieringen kører på en systemd‑timer: et databasedump hvor et sådant findes, derefter et krypteret dedupliceret snapshot til lager hos en anden udbyder over SFTP, derefter en beskæring efter opbevaringspolitik, derefter et integritetstjek. En dead man’s switch pinges kun ved succes, hvilket er den skelnen der gør den til en alarm frem for en log — en kørsel der fejler siger intet, og at sige intet er det der udløser alarmen. Særskilt kører en gendannelsesøvelse månedligt: den trækker en kendt fil ud af repositoryet og sammenligner den, så det der tjekkes er en gendannelse frem for en sikkerhedskopi. Adgangssætningen skrives til en fil, som unitsene læser, frem for at blive sendt gennem miljøet, for supervisoren behandler undvigetegn i miljøværdier, og en adgangssætning med en omvendt skråstreg ville tavst have været en anden end den, der skabte repositoryet. Bagefter blev gendannelsespositionen auditeret og skrevet op, og de tilbageværende huller blev navngivet i dokumentet frem for efterladt til at blive opdaget under en hændelse.

Resultat. Virksomheden kan miste værten og få sine data tilbage, og den sætning hviler på en gendannelse der kørte sidste måned frem for på en sikkerhedskopi der kørte i nat. Auditens mest værdifulde output var listen over ting der stadig ikke er dækket, hvilket er den del en grøn sikkerhedskopirapport strukturelt er ude af stand til at fortælle nogen.