Сделано в МедиаМашине · №138

Атаки на ЦОДы «Яндекса»: как бизнесу резервировать и защищать данные

13 октября 2026 г. в 11:17

У ваших данных есть второй адрес?

С 8 по 11 октября 2026 года беспилотники атаковали три дата-центра «Яндекса»: в Сасове, Калуге и Владимире. Пользователи «Яндекс Go», «Яндекс Еды», «Яндекс Музыки», «Кинопоиска» и «Яндекс Пэй» сообщали о перебоях. Это сервисы, которыми каждый день пользуются миллионы людей, а за ними стоит одна из самых зрелых инфраструктур в стране. Поэтому вопрос к каждому руководителю звучит просто: что будет с вашим бизнесом, если завтра пропадёт ваша площадка целиком?

Как это было

Первой пострадала площадка в Сасове. Yandex Cloud в своём блоге 9 октября сообщил о серьёзном повреждении и полной остановке этого ЦОД. Затем удар пришёлся на Калугу, где повреждены отдельные модули. 11 октября РБК сообщил об атаке на площадку во Владимире: её работа остановилась, Yandex Cloud перешёл в аварийный режим. Хабр 12 октября свёл картину воедино: три площадки за четыре дня, две из них остановлены полностью.

В тот же день, 12 октября, глава Минцифры заявил, что ведомство вместе с Минобороны прорабатывает меры защиты дата-центров. Физическая безопасность инфраструктуры стала темой государственного уровня, и это меняет разговор о резервировании.

Три вещи, которые путают даже на тендерах

Первая — доступность сервиса: работает ли он прямо сейчас. Вторая — сохранность данных: не потеряны ли они. Третья — восстановление после потери площадки: за сколько времени вы вернётесь к работе и сколько последних изменений при этом потеряете.

Это разные свойства, и обеспечиваются они разными средствами. Октябрьские события хорошо это показывают: перебои в приложении ещё не означают потерю или утечку данных. Бывает и наоборот: сервис живёт, а резервные копии месяцами не проверялись и в нужный момент окажутся пустыми. Когда подрядчик обещает «высокую доступность», он не обязательно обещает, что ваши данные переживут потерю здания.

Один адрес — одна точка отказа

Самая распространённая иллюзия выглядит так: «У нас есть резерв, он в соседней стойке». Копия в соседней стойке, в том же здании или даже в том же городе делит с основной системой общую судьбу: общее питание, общие каналы связи, общую уязвимость к физическому воздействию на объект. Пока ломается отдельный диск или сервер, такая схема работает. Когда выходит из строя площадка, гаснет всё сразу: и основная система, и её «страховка».

Мы думаем, что после этой недели модель угроз для российского бизнеса изменилась окончательно. Раньше потеря площадки целиком считалась экзотикой, сценарием для банков и операторов связи. Теперь это реальный сценарий, который нужно закладывать в архитектуру любой компании, чья выручка зависит от IT.

Как строить резерв

Резерв должен жить на независимой площадке: на расстоянии от основной, с другим электроснабжением и другими каналами связи. Резервные копии стоит изолировать от основного контура, чтобы авария или атака на рабочую систему не дотянулась до них.

Дальше вопрос в выборе между холодным и горячим резервом. Горячий резерв — это работающая копия, на которую можно переключиться за минуты. Он дорог, но оправдан для систем, простой которых измеряется прямыми потерями: платежи, заказы, логистика. Холодный резерв — это копии и подготовленная инфраструктура, которую разворачивают при аварии. Он дешевле, но восстановление займёт часы или дни. Честный выбор начинается с вопроса, сколько стоит час простоя конкретной системы.

И последнее, о чём забывают чаще всего: письменный порядок переключения. Резерв без регламента и без человека, который знает, что нажимать, не сработает в три часа ночи. Оборудование для резервной инфраструктуры заметно подорожало, поэтому решения о резерве стоит принимать расчётом, а не по остаточному принципу.

Проверьте свой резерв за 15 минут

✅ Где физически находится резервная копия и не совпадает ли её адрес с основным. ✅ Независимы ли питание и каналы связи основной и резервной площадок. ✅ Изолированы ли копии от основной системы. ✅ Есть ли письменный порядок переключения и кто за него отвечает. ✅ Какие у вас RTO и RPO и закреплены ли они в договоре. ✅ Когда вы в последний раз реально восстанавливались из резерва на учениях.

Если на два и более вопроса ответа нет, ваш резерв существует на бумаге.

Катастрофоустойчивость без иллюзий: что спросить у подрядчика

На переговорах с провайдером мы советуем задавать неудобные вопросы. На каком расстоянии находятся площадки и что у них общего: энергосистема, магистраль, оператор связи? Какие RTO и RPO вы гарантируете по договору и что будет при их нарушении? Когда проводились последние испытания переключения и можно ли увидеть их результаты? Кто и как запускает переход на резерв?

Эти же вопросы стоит перенести в ТЗ закупки. Сравнивать предложения нужно по независимости площадок, условиям и срокам восстановления и подтверждённым результатам испытаний. Цена важна, но самый дешёвый резерв обычно оказывается соседней стойкой.

Физическая безопасность как новый фактор

Заявление Минцифры о совместной с Минобороны проработке защиты ЦОД — важный сигнал. Но даже когда меры будут приняты, они защитят объекты, а не вашу архитектуру. Если вся ваша система и её копия живут по одному адресу, никакая внешняя защита не превратит этот адрес в два. Собственный резерв остаётся вашей зоной ответственности.

Коротко о терминах

RTO — допустимое время, за которое система должна вернуться к работе после аварии. RPO — допустимый объём потерянных последних изменений, измеряемый во времени: потеряли данные за 5 минут или за сутки. Георезервирование — размещение копий систем и данных на площадках, удалённых друг от друга географически. DR-площадка — резервная площадка для восстановления после катастрофы. Горячий резерв — постоянно работающая копия, готовая принять нагрузку. Холодный резерв — копии и инфраструктура, которые разворачивают только при аварии.

Наш прогноз: в ближайший год вопрос «где ваш второй адрес?» станет таким же обязательным пунктом проверки подрядчика, как вопрос о лицензиях. Компании, которые зададут его себе сейчас, при следующей аварии будут восстанавливаться, а не искать виноватых.