要点
- 从创造营业收入的系统入手，而不是从完整的资产清单入手。
- 采用法国国家信息系统安全局（ANSSI）和法国数据保护机构（CNIL）推荐的 3-2-1 规则，并保留一份离线或无法删除的副本。
- 按应用写明您的 RPO（可接受的工作丢失量）和 RTO（可接受的停机时长）。
- 将备份与生产环境隔离：使用专用账户，备份服务器不加入 Active Directory 目录。
- 每季度实际进行一次恢复；每年至少恢复一次整台服务器。
六项决策
- 备份什么。服务器、文件未存放在服务器上的电脑、NAS、Microsoft 365 或 Google Workspace、SQL 数据库、业务应用。文档已存放在服务器上的电脑，无需与服务器同等对待。ANSSI 还建议备份安装介质和应用配置：缺少它们，已恢复的数据可能仍无法使用。
- 保留多久的历史。对于日常工作，保留十四至三十天的每日恢复点，可以应对大多数误操作以及发现较晚的勒索软件。ANSSI 举例建议：每日备份保留十五天，每月备份保留一年，每年备份保留五年。对于会计或医疗证据，则采用独立、期限更长、通常不可变的归档。
- 存放在哪里。至少有一份副本位于建筑物之外，并且独立于日常管理网络。实用的规则是 3-2-1：三份副本、两种不同介质，其中一份按 ANSSI 和 CNIL 的要求离线保存，或至少存放在异地。勒索软件盛行以来，还应增加一份任何人都无法删除的（不可变）副本，并确保测试无错误完成。
- 备份频率。频率就是 RPO。全天持续录入的数据库，只在 22:00 备份一次很难满足需求；每周更新一次的模板共享目录则足够。CNIL 建议每日进行增量备份，并定期进行完整备份。
- 恢复需要多长时间。这就是 RTO。恢复一个文件只需几分钟，手动重建一台服务器则需要数天。可恢复的系统镜像可以使所需时间大幅缩短。
- 由谁负责。指定一名人员查看告警，另一名人员知道加密密钥的存放位置。如有服务商，其联系电话和服务时间应书面记录。
适用于多数中小企业的方案
- 每晚对服务器和 NAS 进行完整或增量备份，保留三十天。
- 如果业务数据库持续录入，则每天备份多次。
- 云端邮箱在租户之外逐个邮箱进行备份。
- 保留一份加密的异地副本，密钥不存放在被备份的服务器上。
- 需要保存多年的文件，单独存放在不可变空间中。
- 每季度进行一次实际恢复：一个文件、一个邮箱；每年恢复一次整台服务器或进行一次应急启动。
- 仅当服务器停机一天的损失高于应急方案的成本时，才采用灾难恢复计划（DRP）；仅当停机时间必须以分钟计时，才采用业务连续性计划（BCP）。
保护备份本身
攻击者会在加密生产环境之前先寻找备份。ANSSI 提出了几条简单的规则，可直接应用于中小企业：
- 备份服务器不加入生产环境的 Active Directory 域。
- 备份管理账户为专用账户，并且实名制。
- 对备份的操作进行日志记录。
- 备份享有与生产环境相同的安全级别；CNIL 将备份的保护程度低于其所复制的服务器列为应避免的错误之一。
- 书面制定恢复流程，重启顺序须考虑依赖关系（目录服务、DNS、数据库、应用程序）。
详情请参阅如何保护备份免受勒索软件攻击？。
中小企业初期可以暂缓的内容
所有电脑的镜像、在内部管理却无人负责将其移出现场的磁带，以及为可以承受半天停机的应用部署业务连续性计划（BCP）。与其拥有一份从未测试过的完整清单，不如先划定一个精简、有监控且经过恢复验证的范围。
预算：取决于哪些因素
外包备份的价格取决于保存的数据量（数据量 × 历史保留时长 × 副本数量）以及设备或邮箱的数量。技术支持、不可变存储和在备用服务器上重启各自单独计费。在事故发生前就做好预算，可以避免在服务器瘫痪当天才发现成本。
WeDoBack 的做法
SMART 适合自行管理 IT 的团队：每 TB 每月 49.99 欧元（不含增值税），另加每台设备一个代理程序（虚拟机 6 欧元，物理机 20 欧元，均不含增值税）。技术支持按次计费。INTEGRAL 面向希望获得支持的企业：根据容量，每 TB 100 欧元至 65 欧元（不含增值税），按档位赠送代理程序，每月包含 2 小时技术支持。Microsoft 365 和 Google Workspace 除存储外，每个邮箱地址还需一个代理。关于容量规划，公布的参考值为当前数据量乘以三，并在使用一周后进行调整。对于无法等待常规恢复的服务器，可另行增加灾难恢复计划（DRP）和业务连续性计划（BCP）。
常见问题
小型企业应从何入手？
先列出三到五个一旦停摆就无人能够工作的应用，以及管理层对每个应用可接受的停机时长。将这些应用备份到异地，保留至少十五至三十天的历史，并进行一次恢复演练。其余设备可以随后再处理。
是否需要备份工作站？
仅需备份存有服务器或云端中没有的数据的电脑：移动办公笔记本、财务电脑、安装了本地软件的电脑。所有文档都存放在服务器上的电脑，重新安装即可，无需完整镜像。
GDPR 是否强制要求备份？
《通用数据保护条例》（GDPR）第 32 条要求采取措施，确保在发生物理或技术事故时，能够在适当的时间内恢复个人数据的可用性及对其的访问。经过测试的备份是满足这一要求最直接的方式。
延伸阅读
参考来源
以下文件查阅于 2026 年 10 月。
- 信息系统备份：基本原则（ANSSI-BP-100，v1.1，2025 年 11 月 27 日） — ANSSI
- 安全：备份 — CNIL
- 为何以及如何妥善管理备份？ — Cybermalveillance.gouv.fr（法国政府网络安全援助平台）
- 第四章：数据控制者与处理者 — CNIL
- 方案与价格 — WeDoBack