Wymagania MLPS 2.0 Level 3 dotyczące kopii zapasowych są rozproszone w wielu punktach kontrolnych, takich jak „odtwarzanie kopii zapasowych danych", „ochrona informacji szczątkowych", „bezpieczeństwo sieci" i „bezpieczeństwo hosta", a ich istotę można sprowadzić do czterech zasad: lokalne tworzenie i odtwarzanie kopii zapasowych danych, kopie zapasowe ważnych danych w lokalizacji zdalnej, szyfrowanie i ochrona poufności danych z kopii zapasowych oraz regularne ćwiczenia odtwarzania. Najczęściej odbierane punkty dotyczą sytuacji, gdy istnieją wyłącznie kopie lokalne bez kopii zdalnych oraz gdy nigdy nie przeprowadza się weryfikacji odtwarzania. Środki techniczne pozwalające spełnić wymagania obejmują zwykle CDP, niezmienne przechowywanie oraz architekturę dwóch lokalizacji i trzech centrów danych.

Możliwość odtworzenia zależy od tego, czy dane z kopii zapasowych nie zostały zaszyfrowane razem z danymi produkcyjnymi. Ochrona przed ransomware opiera się zwykle na trzech warstwach: po pierwsze, niezmienne przechowywanie (WORM) — dane z kopii zapasowych po zapisaniu nie mogą być zmodyfikowane; po drugie, fizyczna izolacja powietrzna przechowywania na nośnikach Blu-ray — ransomware nie ma dostępu do danych offline; po trzecie, integracja z mechanizmami bezpieczeństwa — automatyczne wykrywanie złośliwego oprogramowania przed wykonaniem kopii zapasowej. Urządzenie all-in-one do kopii zapasowych 热备云 wykorzystuje właśnie te trzy mechanizmy, przechodząc od „możliwości tworzenia kopii" do „kopii zapasowej, która jest bezpieczna".

Kluczem do disaster recovery w środowisku xinchuang jest potwierdzenie, czy producent posiada certyfikowaną adaptację do krajowych procesorów, systemów operacyjnych i baz danych, a nie kierowanie się zasadą „skoro się łączy, to znaczy, że jest obsługiwane”. 中科热备 uzyskał certyfikaty adaptacji dla 6 krajowych procesorów (Kunpeng, Phytium, Hygon, Loongson, Zhaoxin, Sunway), 10 krajowych systemów operacyjnych (Kylin Software, NeoKylin, UOS, openEuler, Zhongke Fangde, Ningsi, Puhua, Deepin, Red Flag, Anolis OS) oraz 9 krajowych baz danych (DM, Kingbase, GBase, ShenTong, HighGo, Yunhe Enmo, CS&S, EsgynDB, Wanli).

Sama norma MLPS nie określa „wymaganej liczby kilometrów", wymaga jedynie „lokalizacji zdalnej". Praktyka audytowa i zwyczaje branżowe uwzględniają zwykle dwa aspekty: centrum kopii zapasowych i centrum produkcyjne nie mogą znajdować się w tej samej lokalizacji fizycznej, aby uniknąć wpływu tego samego pożaru, awarii zasilania lub klęski żywiołowej; jeśli chodzi o odległość, praktyka branżowa sugeruje zwykle co najmniej kilkadziesiąt kilometrów w tej samej aglomeracji, a dla systemów krytycznych zaleca się ponad kilkaset kilometrów między regionami. Ta sama aglomeracja zapewnia „szybkość", lokalizacja zdalna zapewnia „dystans" — oba rozwiązania się uzupełniają.

Zasadnicza różnica między nimi tkwi w odpowiedzialności za wdrożenie i utrzymanie. Urządzenie all-in-one do kopii zapasowych łączy sprzęt i oprogramowanie, jest fabrycznie wstępnie skonfigurowane, czas wdrożenia wynosi godziny, a utrzymanie odpowiada jeden dostawca; rozwiązanie czysto software'owe wymaga samodzielnego zapewnienia serwerów, wdrożenie zajmuje kilka dni, odpowiedzialność za sprzęt i oprogramowanie jest rozdzielona, a złożoność utrzymania wysoka. Przy wyborze należy obliczyć całkowity koszt posiadania w okresie 3-5 lat (sprzęt + licencje oprogramowania + utrzymanie + serwis), a nie kierować się wyłącznie początkową ceną zakupu. Dla krytycznych danych produkcyjnych zwykle lepiej sprawdza się urządzenie all-in-one.

W MLPS Level 3 najłatwiej stracić punkty nie za „brak zakupu urządzeń do kopii zapasowych", lecz za trzy rzeczy: posiadanie wyłącznie kopii lokalnych bez kopii zdalnych; brak ćwiczeń odtwarzania, przez co kopie stają się „martwymi kopiami"; przechowywanie danych z kopii zapasowych w postaci jawnej, bez szyfrowania. Ponadto przechowywanie nośników kopii zapasowych w tym samym pomieszczeniu co dane produkcyjne, brak minimalizacji uprawnień do operacji tworzenia kopii zapasowych oraz brak mechanizmów ochrony przed przypadkowym usunięciem i modyfikacją to również częste punkty odbierane podczas audytu.

Dwie lokalizacje i trzy centra danych oznaczają dwa regiony i trzy centra danych: centrum produkcyjne, centrum disaster recovery w tej samej aglomeracji (na wypadek awarii na poziomie serwerowni) oraz centrum disaster recovery w lokalizacji zdalnej (na wypadek klęski na poziomie miasta). Kluczowe punkty wdrożenia to najpierw określenie celów RPO/RTO, a następnie dostosowanie architektury; w zakresie synchronizacji danych w tej samej aglomeracji stosuje się replikację synchroniczną, w lokalizacji zdalnej replikację asynchroniczną, a CDP służy do osiągnięcia RPO na poziomie sekund. Główne koszty to przepustowość łączy w lokalizacji zdalnej i budowa centrum disaster recovery; można je kontrolować poprzez obniżenie konfiguracji centrum disaster recovery, wynajem zasobów chmurowych w lokalizacji zdalnej lub wybór urządzeń all-in-one niewymagających obsługi.

Zwykle stosuje się dwa podejścia: w zakresie szyfrowania — szyfrowanie end-to-end AES-256 danych z kopii zapasowych i szyfrowane przechowywanie, co spełnia wymagania MLPS dotyczące poufności kopii zapasowych; w zakresie ochrony przed modyfikacją — niezmienne przechowywanie (WORM, zapis jednokrotny i wielokrotny odczyt), dzięki czemu dane z kopii zapasowych po zapisaniu nie mogą być zmodyfikowane, w połączeniu z fizyczną izolacją powietrzną archiwizacji na nośnikach Blu-ray, co tworzy ostatnią warstwę ochrony przed ransomware.