企業數據備份策略：3-2-1規則
如何為香港企業實施穩健的數據備份策略——涵蓋3-2-1規則、備份方案、雲端備份、離站存儲，以及能抵禦勒索軟件攻擊的不可變備份。
如何為香港企業實施穩健的數據備份策略——涵蓋3-2-1規則、備份方案、雲端備份、離站存儲，以及能抵禦勒索軟件攻擊的不可變備份。
3-2-1備份規則是彈性數據備份的基礎原則：保持至少3份數據副本，存於至少2種不同類型的存儲媒體，並將至少1份副本存放於離站位置。這一規則源於觀察到任何單一備份策略都有失效模式——單一備份副本可能失效，單一存儲媒體類型可能出現相關故障（RAID中所有硬盤因同一韌體錯誤而失效），而僅存於本地的備份會在火災、水災或在本地網絡上加密一切的勒索軟件攻擊中被毀。3-2-1規則系統地應對每種失效模式。
對大多數香港企業而言，實施3-2-1備份意味著：生產系統上的主要數據（第1份副本）、辦公室NAS設備或外置硬盤上的本地備份（第2份副本，不同媒體），以及雲端備份至離站位置（第3份副本，離站）。雲端備份組件對香港企業尤為實用，因為香港擁有出色的寬頻基礎設施，即使對大型數據集也能實現可行的雲端備份。主要雲端備份服務包括Backblaze B2、Wasabi、AWS S3和Azure Blob Storage，提供適合企業備份的經濟按GB定價，其亞太數據中心可從香港提供低延遲存取。
3-2-1規則在勒索軟件時代已演進為3-2-1-1-0：三份副本、兩種媒體類型、一份離站、一份離線或不可變副本，以及透過測試恢復驗證的零錯誤。添加「一份離線或不可變」是為應對現代勒索軟件攻擊的主要失效模式——這些攻擊在部署主要勒索軟件負載之前，會特別識別並加密所有網絡可存取的備份位置。離線備份（與所有網絡實體斷開）或不可變備份（以防止修改或刪除的格式存儲），能在勒索軟件攻擊摧毀所有其他備份副本後存活。零錯誤意味著備份恢復需要定期測試——未經測試的備份在需要時往往會失效。
香港企業的備份方案選擇取決於數據類型和容量、恢復時間目標（需要多快恢復系統）、恢復點目標（可接受多少數據損失），以及可用的技術專業知識。對於Windows Server環境，Windows Server備份提供包含在作業系統中的基本文件和系統狀態備份，但缺乏專用備份方案的管理功能和靈活性。Veeam備份與複製是VMware和Hyper-V虛擬機備份的業界標準，廣泛應用於香港企業，並提供適合中小企部署的定價。
對於主要在Microsoft 365和Google Workspace雲端環境運營的企業，專用SaaS備份方案至關重要。正如我們雲端安全指南中詳述，Microsoft和Google不會備份您的數據以防刪除、勒索軟件加密或意外覆寫——他們保護的是基礎設施可用性。包括Veeam Backup for Microsoft 365、Datto SaaS Protection、AvePoint Cloud Backup和Acronis Cyber Backup在內的產品，為Microsoft 365郵箱、SharePoint、OneDrive、Teams和Google Workspace數據提供精細的時間點恢復。這些產品按每用戶每月定價，適合任何規模的香港中小企。
對於終端設備備份——保護個別員工筆記型電腦和工作站上的數據——基於雲端的終端設備備份方案無需用戶手動複製數據即可提供自動保護。Acronis Cyber Protect、Backupify和CrashPlan for Business將終端設備數據持續或定期備份至雲端存儲，並提供集中管理，讓IT管理員可以驗證所有設備的備份狀態，並為丟失或被盜設備啟動恢復。對於遠端工作者——特別是擁有混合工作力的香港企業——終端設備備份確保即使設備從未連接到公司網絡，存儲在家庭設備上的文件也受到保護。
勒索軟件操作者已專門針對備份型恢復演進其戰術。現代勒索軟件攻擊——包括曾影響香港企業的變種——在部署加密負載之前，會在網絡中停留數天或數週，利用這段停留時間識別並銷毀或加密所有備份副本。當勒索軟件部署時，受害者發現不僅生產系統被加密，每一個可存取的備份位置也被清除或加密。這種情況使受害者除了支付贖金或從頭重建外別無選擇——這正是勒索軟件操作者精心設計的結果。不可變和離線備份直接應對這一戰術。
不可變備份使用一次寫入多次讀取（WORM）存儲技術，創建在定義保留期內無法修改或刪除（即使管理員也不行）的備份副本。雲端對象存儲服務透過對象鎖定政策實現不可變性：AWS S3對象鎖定、Azure Blob不可變性政策和Wasabi的不可變存儲，提供勒索軟件無法刪除或加密的時間點備份副本，因為無論使用何種憑證，存儲服務都會拒絕修改請求。包括Veeam在內的備份軟件支持與不可變雲端存儲的整合，Cohesity和Rubrik等供應商的專用不可變備份設備，為需要快速本地恢復的機構提供本地不可變存儲。
氣隔離或離線備份透過保持一份實體斷開的備份副本，提供最強的勒索軟件保護。磁帶備份——雖被認為已過時——在備份完成後將磁帶從磁帶庫取出並離站存放時，可提供有效的氣隔離。旋轉式外置硬盤備份（按定期計劃斷開硬盤並離站存放）在較小環境中以較低成本達到類似效果。雲端備份提供商日益通過時間延遲同步提供邏輯氣隔離——雲端備份副本不能立即被覆寫，即使主要備份基礎設施被入侵，也提供一個恢復窗口。
從未測試過的備份是可靠性未知的備份。備份失效並非罕見——它們因配置錯誤、存儲故障、軟件錯誤、損壞和權限錯誤而發生，這些問題在嘗試恢復之前都是不可見的。在生產系統被加密、業務運作中止的勒索軟件事故期間，發現備份一直未能正常運行、備份軟件無法恢復到當前硬件，或恢復程序需要您所沒有的專業知識，是最糟糕的時機。定期、有文件記錄的恢復測試，將備份從理論保護轉變為經過驗證的能力。
恢復測試應涵蓋多種場景：文件級恢復（恢復個別刪除或損壞的文件——最常見的恢復需求）、完整伺服器恢復（將完整伺服器恢復到新硬件或虛擬機），以及應用程式級恢復（將特定應用程式及其數據恢復到可運行狀態）。文件級恢復應每月測試。完整伺服器或系統恢復應至少每季度測試，對關鍵系統則應更頻繁。SaaS備份恢復——從Microsoft 365備份恢復個別電郵、日曆項目或SharePoint文件——應每月測試，以驗證備份涵蓋您需要恢復的數據類型。
恢復時間和恢復點目標定義了您的備份策略必須達到的要求：RTO（恢復系統需要多快運行）和RPO（可接受多少數據損失）。具有低RTO要求的關鍵系統需要近乎連續的備份和快速恢復能力——基於雲端的備份與即時恢復虛擬化（直接從備份存儲運行伺服器，同時進行永久恢復）可達到極低的RTO目標。具有中等RTO和RPO要求的系統，可接受每日備份計劃和以小時計的恢復時間。記錄每個系統的RTO和RPO，使備份頻率和保留與這些要求保持一致，並針對這些目標進行測試，創建一個能提供可預測恢復結果的備份計劃。
