要点速览
- 优势：服务器故障时恢复时间极短，无需第二机房，切换可对终端无感。
- 局限：依赖本地代理程序和互联网链路，存在数据时间差（隐藏的 RPO），需要准备回迁方案，还涉及许可证问题。
- 服务器级 BCP 并不等于站点级 BCP：建筑被毁时，需要另行测试的远程访问。
- 复制一切的备用系统，也会复制勒索软件：请同时保留历史备份。
- 合同遵循与外包 DRP 相同的规则：托管地点、可逆性、《通用数据保护条例》（GDPR）第 28 条规定的条款。
优势
- 服务器故障时恢复时间短，因为实例在事故发生前就已存在。
- 无需第二机房，不必为其配备空调、进行监控和更新设备。
- 可对终端无感：本地代理程序在不更改 IP 地址的情况下重定向流量。用户无需翻看操作手册。
- 容量可调。无需购买服务器就能升级实例，代价是需要为此付费。
- 与生产环境物理隔离：机柜起火不会让备用系统停摆，前提是用户仍然能够访问它。
局限
- 本地代理程序必须保持运行。如果 BCP 依赖您场所内的代理程序来重定向流量，那么交换机故障、建筑火灾或全面停电时，这个代理程序也会随之消失。服务器级 BCP 并不等于站点级 BCP。对于被毁的站点，需要另行测试的远程访问和公网地址。
- 互联网链路变得至关重要。数据，有时还包括会话，都通过 VPN 传输到服务商。如果只有一条线路，一旦拥塞或中断，备用系统就会在您最需要它的时候停摆。第二条线路往往是真正被遗忘的支出。
- 数据一致性。常驻备用系统只有在接收到事务时才有用。未经测量的时间差就是隐藏的 RPO。法国国家信息系统安全局（ANSSI）建议在数据丢失要求低于 24 小时时采用复制，同时认为离线备份必不可少：如果备用系统与用户一样快地收到了勒索软件，它就不是备份。
- 回迁。故障期间在备用系统上录入的数据必须同步回修复好的服务器。没有相应程序，要么会丢失这段时间的数据，要么会出现两个互不一致的数据库。
- 许可证。业务软件厂商必须允许这个常驻实例。有些合同禁止这样做，或要求另行付费。
- 持续成本。没有故障的月份也要付费。这很正常。但如果应用实际上可以承受半天停机，这就太贵了。
- 虚假的测试印象。实例在运行，不等于切换经过了测试。至少要实际触发过一次重定向。
外包 BCP 还是外包 DRP
| 外包 BCP | 外包 DRP | |
|---|---|---|
| 备用系统状态 | 持续运行 | 预先准备，灾难当天启动 |
| 恢复时间 | 最短 | 取决于实例启动时间 |
| 未发生灾难时的成本 | 每月支付实例费用 | 主要是存储和准备工作 |
| 恢复到早期版本 | 不能，除非另有历史备份 | 能，从历史记录中选择版本 |
| 站点被毁 | 需另行规划远程访问 | 预留公网地址 |
详细内容请参阅DRP 与 BCP 有什么区别？。
合同
合同要点与外包 DRP 相同。ANSSI 建议获取所有存储地点（包括备用站点）的清单，并约定安全保证计划和可逆性条款。如果涉及个人数据，服务商即为 GDPR 意义上的受托处理者：法国数据保护机构 CNIL 的《受托处理者指南》指出，受托处理者须按书面指示行事，只有在获得书面授权后才能再委托其他处理者，发生数据泄露时须通知客户，并在合同终止时返还或销毁所有数据（包括副本）。
何时是正确的选择
有一到两台服务器，其每小时停机损失超过年度订阅费用；本地网络能够承载代理程序；链路质量良好；同时仍保留历史备份，以备备用系统本身出问题。ANSSI 提醒，由网络攻击引发的危机可能持续数周：BCP 必须能够支撑这么长的时间，而不只是几个小时。
WeDoBack 的做法
业务连续性计划（BCP）方案正是这种模式：云实例持续运行，每月 50.22 € 起（不含税）；存储每 50 GB 每月 8.75 € 起（不含税，每 TB 175 €）；客户网络中部署代理程序，通过 IPsec VPN 连接，接管时无需更改 IP 地址，并可将流量切回修复好的服务器。BCP 实例与原服务器之间的数据复制或同步并非原生支持：需要根据需求（数据库、文件、业务应用）制定专门流程，包括将事故期间在实例上录入的数据同步回修复好的服务器。WeDoBack 可在报价后为您实施。上述局限同样适用，尤其是对本地代理程序和链路的依赖。针对“站点已不复存在”或“需要攻击前的版本”等场景，仍可采用灾难恢复计划（DRP）方案。只采用 BCP 而没有备份历史，就无法应对勒索软件：WeDoBack 通过备份方案和不可变方案来应对这一风险，它们单独计费。数据在发送前即在设备上加密，密钥由客户持有，并存放在通过 ISO 27001 和 HDS 认证的数据中心。人工技术支持的服务时间为 9:00–13:00 和 14:00–17:30（巴黎时间）。
常见问题
外包 BCP 能否防范勒索软件？
单靠它不行。如果备用系统持续接收变更，它也会接收到被加密的文件。需要有历史备份（最好是不可变备份），才能恢复到攻击发生之前的版本。BCP 应对的是故障；历史备份应对的是数据损坏和加密。
如果站点的互联网连接中断，会发生什么？
如果 BCP 依赖站点与服务商之间的 VPN，链路中断就会在您最需要备用系统时将其隔离。第二条互联网线路（尽可能来自另一家运营商、经由另一条路径），往往是让 BCP 真正发挥作用的那笔支出。
如何取回在备用系统上录入的数据？
在用户回到修复好的服务器之前，这些数据必须先同步回去。如果没有书面且经过测试的程序，要么会丢失这段时间的数据，要么会出现两个互不一致的数据库。回迁与切换一样，都是测试的一部分。
延伸阅读
参考来源
以下文件查阅于 2026 年 10 月。
- 外包与信息系统安全：风险管控指南（2010 年，法语） — ANSSI
- 网络安全危机：运营与战略管理要点（2021 年 12 月，法语） — ANSSI
- 欧盟个人数据保护条例：受托处理者指南（2017 年 9 月版，法语） — CNIL
- 信息系统备份基础（ANSSI-BP-100，v1.1，2025 年 11 月 27 日，法语） — ANSSI
- 业务连续性计划（BCP）方案：即时业务连续性 — WeDoBack