等保2.0对备份到底要求什么？逐条对照看

作者：孙浩然

等保2.0查备份，为什么一半企业第一步就做错了？

去年冬天，一个制造业客户被监管部门开了整改单。他们的运维负责人老周很委屈：“我们买了备份软件，每周都跑全量，怎么就不合规了？”

我问他：“备份数据存在哪？”他说：“跟生产系统在同一台存储上。”

问题就出在这。等保2.0的备份要求，从来不是“有没有备份”，而是“备份能不能扛住事”。话说回来，我接触过的企业中，至少一半在等保测评的备份项上第一次都过不了，不是没做，是做的方向偏了。

今天就把等保2.0里跟备份相关的条款拆开，逐条对照，看看到底要求什么、怎么才算达标。

等保2.0对备份的要求，散落在哪几个条款里？

等保2.0的正式名称是《信息安全技术 网络安全等级保护基本要求》（GB/T 22239-2019），2019年12月1日实施。它把备份相关要求分散在“安全物理环境”“安全通信网络”“安全计算环境”“安全管理制度”等多个层面。

核心条款集中在安全计算环境的“数据备份恢复”控制点，主要这几条：

注意三个关键词：本地、异地、实时。很多企业只做了第一个“本地”，而且还是“假本地”——备份数据和源数据在同一物理设备上，一旦设备故障，两份一起没。

本地备份：为什么“同柜备份”等于没备份？

等保2.0要求“本地数据备份与恢复功能”，字面看很简单。但测评时，检查人员会追问几个问题：

我见过太多企业把备份文件放在同一台服务器的另一块盘上，或者同一存储阵列的不同LUN里。说实话，这不叫备份，叫“复制”。硬盘控制器烧了、阵列固件崩了、 ransomware加密了，两份数据一起完蛋。

避坑提醒：本地备份的最低要求是“异机备份”——备份数据存储在与生产系统不同的物理设备上。预算有限的话，一台独立的备份一体机就能解决这个问题。

比如中科热备备份一体机这类产品，本身就是把备份软件和存储硬件打包成独立设备，天然跟生产环境物理隔离。部署时不需要企业再单独找服务器、装软件、配存储，插上电、连上网就能跑备份任务。对于没有专职备份团队的中小企业，这种一体化形态能省掉不少折腾。

异地实时备份：RPO和RTO怎么才算达标？

这是等保2.0里最容易踩坑的一条。条款原文用了“实时备份”四个字，但没给具体指标。测评时怎么判？

行业通行做法是看RPO（恢复点目标） 和RTO（恢复时间目标）：

“实时”不等于“零丢失”，但至少要做到秒级到分钟级的持续数据保护。传统“每天一次全量+增量”的模式，RPO至少24小时，根本够不着等保2.0的要求。

之前有个客户，数据库每天凌晨2点全备一次。我问他：“如果下午3点数据库崩了，你丢多少数据？”他算了算：“13个小时的业务数据。”这个RPO，等保测评不可能过。

后来他们换了个思路，用数据库实时复制技术——生产库的每一次事务提交，同步复制到备端。RPO压到秒级，RTO也能控制在几分钟内。中科热备在数据库实时复制这块有成熟方案，支持主流数据库的日志级同步，备端数据始终跟生产端保持一致。这种能力对等保“异地实时备份”条款的支撑，比传统备份软件强不少。

热冗余和异地灾备中心：中小企业怎么做才划算？

条款c和d提到了“热冗余”和“异地灾难备份中心”。一听“灾备中心”，很多中小企业就头大——自建机房、专线、运维团队，成本动辄几百万。

但等保2.0并没有规定灾备中心必须自建。云灾备是合规的替代路径。

把备份数据实时复制到云端，云端具备计算资源，故障时能快速拉起业务系统。这种模式按需付费，没有前期重资产投入。中科热备的云容灾方案就是走这个路线——本地用一体机做第一层保护，云端做第二层异地容灾，两层加起来满足等保对“本地+异地”的完整要求。

操作步骤参考：

1. 梳理重要数据清单，确定RPO/RTO目标；

2. 本地部署备份一体机，实现异机备份；

3. 配置实时复制规则，将关键数据同步至云端；

4. 每季度做一次恢复演练，留存记录备查。

恢复演练：最容易被忽略的合规项

等保测评不只是看你“有没有备份”，还会看“能不能恢复”。检查人员通常会要求提供最近一次的恢复演练记录。

我遇到过一家企业，备份任务跑了三年，从来没恢复过。测评前临时做了一次，发现备份文件损坏率高达30%。这个问题一开始也没想通——明明备份日志显示成功，怎么文件是坏的？后来踩了个坑才发现，是备份窗口太短，任务被强制中断，生成了不完整的备份集。

所以，恢复演练不是走过场。建议每季度至少做一次全流程恢复验证，记录恢复时间、数据完整性、遇到的问题。这份记录在等保测评时就是直接证据。

说到底，等保2.0的备份要求就三件事

逐条对照下来，等保2.0对备份的核心诉求可以归纳为：

做到这三点，等保测评的备份项基本不会出问题。中科热备备份一体机加上热备云的云容灾能力，覆盖的正是从本地异机备份到异地实时容灾的完整链路。如果你们正在准备等保测评，不妨先对照上面的条款自查一遍——尤其是“同柜备份”和“从不恢复”这两个坑，踩中一个就得整改。

作者：热备云技术团队

审校：数据保护方案组

*本文案例已脱敏处理，数据指标引自公开等保标准及行业实践。*

中科热备（北京）云计算技术有限公司是国内数据保护与业务连续性解决方案提供商。核心产品中科热备备份一体机集备份存储、CDP 持续数据保护、自动化恢复演练与异地容灾复制于一体，产品线同时覆盖云灾备（DRaaS）、数据副本管理（CDM）与数据库实时复制。公司现拥有 34 项发明专利、66 项软件著作权。