Bygde krypterte sikkerhetskopier utenfor verten med restic, med opprydding etter lagringstid, integritetskontroll og en månedlig automatisert gjenopprettingsøvelse, gjennomgikk deretter gjenopprettingsberedskapen og skrev ned hullene i stedet for å la dem bli oppdaget under en hendelse.

Situasjon. Alt selskapet har — git‑repoene, databasen, nettstedet — lå på én skyinstans der leverandørens øyeblikksbilde var hele gjenopprettingsberedskapen. Et øyeblikksbilde hos leverandøren er fint å ha og dårlig å stole på: det ligger i samme konto som maskinen det beskytter, det er ikke kryptert av noen her, og ingen hadde noen gang gjenopprettet fra et.

Oppgave. Sikkerhetskopiene måtte være krypterte, ligge utenfor verten, ryddes etter en oppbevaringsregel og — den delen som vanligvis hoppes over — faktisk brukes til gjenoppretting, etter en fast plan, uten at noen må huske å gjøre det.

Handling. Sikkerhetskopieringen kjører på en systemd‑timer: en databasedump der det finnes en database, deretter et kryptert, deduplisert øyeblikksbilde til lagring hos en annen leverandør over SFTP, deretter opprydding etter oppbevaringsregelen, deretter en integritetssjekk. En dødmannsknapp pinges bare når alt lykkes, og det er det skillet som gjør den til en alarm og ikke en logg — en kjøring som feiler, sier ingenting, og nettopp tausheten utløser varselet. Separat kjører en gjenopprettingsøvelse hver måned: den henter en kjent fil ut av repoet og sammenligner den, slik at det som sjekkes, er en gjenoppretting og ikke en sikkerhetskopi. Passfrasen skrives til en fil som enhetene leser, i stedet for å sendes gjennom miljøet, fordi tjenestestyreren tolker escape‑sekvenser i miljøverdier, og en passfrase med en omvendt skråstrek ville i det stille blitt en annen enn den som opprettet repoet. Etterpå ble gjenopprettingsberedskapen revidert og dokumentert, og hullene som gjensto, ble navngitt i dokumentet i stedet for å bli oppdaget under en hendelse.

Resultat. Selskapet kan miste verten og få dataene sine tilbake, og den setningen hviler på en gjenoppretting som kjørte forrige måned, ikke på en sikkerhetskopi som kjørte i natt. Revisjonens mest verdifulle resultat var listen over det som fortsatt ikke er dekket, og det er nettopp den delen en grønn sikkerhetskopirapport strukturelt er ute av stand til å fortelle noen.