等保合规：企业灾备避坑指南

作者：陈景行

等保过了，数据就安全了吗？

先说个真事。

去年底，一个做医疗信息化的朋友找我喝酒，愁眉苦脸的。我问他怎么了，他说等保测评过了，但数据库被勒索了。

我当时就愣了。等保过了还被勒索？他说，测评的时候什么都合规，防火墙、入侵检测、日志审计，该买的都买了，该配的都配了。但勒索病毒是从一个运维人员的VPN账号进来的，直接加密了主库和备份库。

“备份库也被加密了？”我问。

“嗯，备份和主库在同一个网络里，用的是同一套账号体系。”

说实话，这个问题一开始我也没想通。等保不是要求做备份吗？后来踩了个坑才发现，等保的“合规”和真正的“安全”之间，隔着一道很深的沟。

等保到底在保什么？

等保，全称是网络安全等级保护。你可以把它理解成一套官方给信息系统定的“安全体检标准”。从1级到5级，级别越高，要求越严。大部分企业的核心系统要过3级。

它解决的是什么问题？说白了，是“有没有”的问题——你有没有防火墙、有没有做备份、有没有日志、有没有应急预案。测评机构来查，看的是你有没有这些措施，配置对不对，制度全不全。

但这里有个关键点：等保是“基线”，不是“天花板”。

什么意思？就像考驾照，你通过了科目一科目二科目三，说明你具备了上路的基本能力。但不代表你上路就不会出事故。等保过了，说明你的安全建设达到了国家要求的最低标准，但不代表你能扛住一次有针对性的勒索攻击。

我见过太多企业，等保测评一过，安全投入就停了。觉得“证拿到了，任务完成了”。但攻击者不会因为你有一张证就不来。

那个医疗客户后来怎么样了？

回到开头那个朋友的事。

他们的等保确实做了备份，但问题出在备份的“质量”上。等保要求做备份，但没要求你做“隔离备份”或者“不可变备份”。他们的备份服务器和主库在同一个域里，用的是同一套管理员账号。勒索病毒进来之后，用域管理员权限横扫了所有机器，包括备份服务器。

更麻烦的是，他们的备份是每天凌晨跑一次全量。攻击发生在下午三点，意味着当天所有新增数据——大概六个小时的业务数据——全没了。

后来他们复盘，发现几个致命问题：

第一，备份没有做网络隔离，备份网络和业务网络是通的。

第二，备份没有做不可变存储，备份文件可以被修改和删除。

第三，没有做恢复演练。等保测评的时候，他们只是“证明”了备份任务在跑，但没有真正恢复过一次。

这三个问题，等保测评都不会扣分。但真出事的时候，每一个都是致命的。

两个避坑提醒

如果你正在做等保，或者已经过了等保，下面这两条建议可能比测评本身更重要。

第一，备份一定要做隔离。

不管等保怎么要求，你自己要清楚：备份服务器不能和主库在同一个网络里，不能用同一套账号体系。最好是物理隔离，或者至少用独立的备份专网。攻击者进了生产网，不应该能直接摸到备份。

我后来用热备云做过一套异地备份方案，核心思路就是把备份数据写到另一个网络环境里，生产网的账号权限根本够不着。这不是等保的要求，但这是实战的要求。

第二，一定要做恢复演练。

等保测评不查你恢复得怎么样，只查你有没有备份任务。但真出事的时候，你需要的不是“有备份”，而是“能恢复”。

建议每季度至少做一次恢复演练。不用全量恢复，抽一个库、一张表，实际恢复一次，看看要多久，看看数据对不对。你会发现很多平时发现不了的问题——比如备份文件损坏、恢复脚本过期、依赖的存储挂载不上，等等。

说实话，我第一次做恢复演练的时候，发现三个备份任务里有两个是失败的，只是没人看告警。等保测评的时候，这些任务都显示“已配置”。

等保是起点，不是终点

写这些不是要否定等保。等保确实有用，它让很多企业第一次系统性地梳理了自己的安全建设。但你要清楚，等保解决的是“合规”问题，不是“安全”问题。

合规是给别人看的，安全是给自己用的。

那个医疗客户后来重新做了备份架构，把备份网络独立出来，加了不可变存储，每季度做恢复演练。今年又过了等保，但他说这次心里踏实多了。

话说回来，如果你现在正在准备等保，或者刚过等保，不妨问自己一个问题：如果明天中了勒索病毒，我的数据能恢复吗？要多久？

这个问题的答案，比那张证重要得多。

---

*数据保护这件事，合规是底线，恢复才是目的。热备云提供从备份一体机到云容灾的完整解决方案，但更重要的是，先想清楚你的恢复目标是什么。*