Den här sidan är Wellfish kontinuitets- och katastrofplan i kortform (på engelska BCP/DRP, business continuity plan och disaster recovery plan). Den beskriver vad vi skyddar oss mot, hur vi återställer och vilka mål vi har.
Mål
| Mål | Värde |
|---|---|
| Tillgänglighet | 99,5 % per månad enligt avtal. Uppmätt tillgänglighet de senaste 12 månaderna är över 99,9 %. |
| RPO (hur mycket data som högst kan gå förlorad) | 15 minuter för databasen. 24 timmar för uppladdade filer. |
| RTO (hur lång tid återställning högst tar) | 4 timmar vid fel på en server eller i databasen. |
Planerat underhåll sker utanför kontorstid och meddelas i förväg.
Säkerhetskopior
Löpande kopia till extern lagring
Databasens transaktionslogg (WAL) arkiveras löpande till krypterad lagring i Cloudflare R2 inom EU. En fullständig kopia tas varje natt. Vi kan återställa databasen till valfri tidpunkt de senaste 30 dagarna.
Lokal kopia
En krypterad dump av databasen tas två gånger per dygn till en separat lagringsenhet på driftplatsen. Den sparas i två år.
Filer
Uppladdade filer och plattformens nycklar kopieras varje natt, både till den lokala lagringsenheten och krypterat till R2 inom EU.
Vi övervakar säkerhetskopiorna automatiskt. Ett larm går till driftansvarig om en kopia är äldre än 36 timmar eller om arkiveringen av transaktionsloggen stannar.
Återställningstester. Vi testar återställning från säkerhetskopia minst en gång per år. Senaste tester: 2025-05-29 och 2025-12-04. Vid uppgraderingen till PostgreSQL 18 i december 2025 byggde vi den nya databasen genom att återställa från R2-kopian.
Vad som händer vid olika avbrott
| Händelse | Vad som händer | Avbrott |
|---|---|---|
| En applikationsserver stannar | Trafiken går till de andra exemplaren. | Inget. |
| Den primära databasservern stannar | En av de två kopiorna blir automatiskt ny primär. | Under en minut. |
| Strömavbrott på driftplatsen | En UPS driver servrarna i upp till 10 timmar. Vid ett längre avbrott stängs servrarna ner kontrollerat och startar om när strömmen är tillbaka. | Inget vid avbrott under 10 timmar. |
| Internetavbrott på driftplatsen | En reservförbindelse över 5G tar över. | Minuter. |
| Driftplatsen förstörs (brand, stöld) | Vi bygger upp plattformen på ny hårdvara från koden och återställer databas och filer från R2. | Dagar. Vi meddelar er tidsplan inom 24 timmar. |
| Utpressningsvirus eller intrång | Vi isolerar plattformen, återställer från en kopia från före intrånget och byter alla nycklar. | Timmar till dagar, beroende på omfattning. |
Driftplatsen ligger i Göteborg. Säkerhetskopiorna i R2 ligger i en annan anläggning, så ett fysiskt haveri på driftplatsen förstör inte kopiorna.
Incidenthantering
- Larm går till driftansvarig dygnet runt.
- Driftansvarig bedömer omfattningen och börjar åtgärda.
- Om kunddata kan ha påverkats meddelar vi berörda kunder enligt PUB-avtalet, utan onödigt dröjsmål och senast inom 72 timmar.
- Efter incidenten skriver vi en kort rapport med orsak och åtgärd. Berörda kunder får rapporten på begäran.
Rapportera en misstänkt incident till admin@wellfish.se.
Nyckelpersoner
Tjänsten är inte beroende av en enskild person:
- Hela plattformen är beskriven i kod, så en annan tekniker kan bygga upp den igen.
- En utsedd reservansvarig har nödåtkomst till plattformen och säkerhetskopiorna.
- Lösenord och nycklar till plattformen förvaras i en krypterad lösenordshanterare. Bara driftansvarig och reservansvarig når dem.