知识卡片
恢复团队应与调查团队分开
内容
事件的调查阶段需要长时间专注地追查线索，往往在开始恢复之前团队就已经身心俱疲；而调查所需的技能（读日志、做取证、逆向分析）和恢复所需的技能本身也不完全重叠。让恢复工作由一支独立团队来做，好处是它可以和仍在进行的调查并行推进，而不是排队等调查彻底结束才开始动手——两支团队通过频繁同步信息互相支撑，比让同一批人先查完案再回头修复要快得多，也更不容易因为疲劳而出错。
参考来源
- 位置：《Google系统架构解密：构建安全可靠的系统》第18章《恢复和善后》18.1节恢复调度（源文件：`../OREILY动物书合辑 图灵新版/_epub-src/text/part0014_split_143.html`）
- 结论依据：原文列出三条理由说明"从事恢复工作的人员不应该与事件调查人员是同一批人"：调查阶段耗时且需长时间专注、可能在调查仍进行时就开始恢复因此需要独立团队互相提供信息、调查和恢复所需技能可能不同。
- 原始内容：从事恢复工作的人员不应该与事件调查人员是同一批人，原因如下。事件的调查阶段通常耗时且仔细，需要长时间的专注……可能会在调查仍在进行时就开始恢复。因此，需要有能够并行工作的独立团队来相互提供信息。开展调查所需的技能可能与恢复工作所需的技能不同。