数据备份与恢复管理制度

数据备份与恢复管理制度第一章总则数据是企业核心资产，备份与恢复是保障业务连续性的最后一道防线。本制度旨在消除数据保护工作中的随意性，通过量化恢复点目标（RPO）和恢复时间目标（RTO），将数据保护从被动的IT运维操作转化为主动的业务风险控制行为。本制度适用于公司所有核心业务系统、办公自动化系统、数据库及关键终端的数据备份、恢复演练及灾备管理工作。涉及国家保密法规的数据处理，按相关专项保密规定执行。第二章组织架构与职责分工数据备份不是单纯的IT技术行为，而是跨部门的业务连续性保障，必须建立权责清晰的RACI矩阵，消除责任模糊地带。数据保护委员会（决策层）：由分管IT的副总经理担任主任，业务部门负责人为成员。负责审批数据分类分级清单，签署RPO/RTO服务级别协议（SLA），在发生重大数据灾难时启动应急响应并调配恢复资源。每季度首月10日前召开1次复盘会议。IT运维部（执行层）：设立专职数据管理员岗（DBA兼）。负责备份策略的脚本编写、定时任务配置、备份介质管理及恢复演练执行。每日上午09:00前完成前一工作日备份任务的日志核查，成功率必须达到100%。业务部门（需求与验收方）：负责本部门数据资产级别的初评，在系统发生数据丢失时，按本制度第五章流程向IT运维部提交恢复申请，并负责恢复后的数据完整性校验。严禁业务人员私自通过第三方工具导出或修复生产数据库。第三章数据分类与备份策略备份资源的分配必须以业务价值为导向，无差别的全量备份不仅浪费存储I/O，更会拖垮生产系统性能甚至突破RTO红线。根据业务中断造成的影响程度，将数据划分为三个级别，实行差异化策略。3.1L1级：核心交易与财务数据涵盖ERP核心数据库、财务系统数据库、核心交易流水库。此类数据丢失将直接导致业务停摆和财务损失。备份频率：每日00:00执行1次全量备份，每60分钟执行1次增量/日志备份。保留周期：全量备份保留30天；月末全量备份归档保留5年；日志备份保留30天。技术指标：RPO≤1小时，RTO≤存储落地：生产存储、本地备份存储、异地灾备存储（物理距离≥1003.2L2级：重要业务与管理数据涵盖OA系统数据库、HR系统数据库、CRM客户关系管理数据库及共享文件服务器。此类数据丢失会导致流程中断但无直接资金损失。备份频率：每周日02:00执行1次全量备份，每24小时执行1次差异备份。保留周期：全量备份保留90天；差异备份保留14天。技术指标：RPO≤24小时，RTO≤存储落地：生产存储、本地备份存储双副本保存。3.3L3级：一般归档与日志数据涵盖已完成项目的代码归档、脱敏后的历史业务流水、系统操作日志。此类数据主要用于审计追溯。备份频率：每月1日凌晨03:00执行1次全量备份。保留周期：保留36个月。技术指标：RPO≤7天，RTO≤第四章备份执行与日常管理备份作业的成功率不取决于写在文档里的策略，而取决于每日的监控与异动管理。任何未经测试的备份脚本均视为无效备份。4.1备份作业执行规范核心数据库在线备份：必须采用基于VSS（卷影拷贝服务）或数据库自身的热备技术。严禁在数据库运行状态下直接拷贝裸设备文件（会导致备份数据页分裂，恢复时产生InconsistencyError无法挂载）。增量备份策略：优先采用CBT（块追踪技术）读取变更块，极大降低I/O开销；若备份软件不支持CBT，则采用数据库差异备份作为替代方案；严禁在业务高峰期（09:00-18:00）触发全量扫描式备份。网络带宽限制：跨网段备份任务必须启用带宽限速，限制在可用带宽的30%4.2介质与离线管理实施3-2-1备份原则，即保留3份数据，存储在2种不同介质上，其中1份存放在异地。本地备份存储：采用企业级NAS或专用备份一体机，配置RAID6架构，允许同时损坏2块磁盘而不丢失数据。离线介质归档：每月5日前，将上月末全量备份导出至LTO-8磁带或加密移动硬盘，由行政部双人押送至异地防火保险柜存放。介质出入库：离线介质必须粘贴标签，注明“系统名称-数据日期-密级-管理员A/B”。领用必须填写《离线介质出入库登记表》，双人签字确认。严禁将未加密的移动介质带离公司物理管控区域（面临数据泄露风险）→必须使用AES-256算法加密后再行导出。4.3异常处置与闭环管理失败重试机制：备份任务失败时，备份系统必须在15分钟内自动触发重试，最多重试3次。告警与人工介入：若3次重试均失败，系统必须向管理员发送企业微信告警及邮件。管理员需在收到告警后30分钟内介入排查，优先检查网络连通性与目标存储库剩余空间（低于20%闭环验证：所有失败任务必须在24小时内修复并重新执行成功，管理员在每日运维日志中记录“失败原因-处理动作-恢复时间”，每月5日提交至IT总监审核。第五章数据恢复管理未经过演练验证的备份等同于无效备份，恢复过程必须在严格的审批与隔离环境下进行，严防次生灾害。5.1恢复申请与审批分级数据恢复必须凭《数据恢复申请单》工单执行，严禁口头或即时通讯工具通知恢复操作。根据影响面实行三级审批：Ⅰ级恢复（核心数据/生产环境替换）：涉及L1级数据向生产环境覆盖。判定标准：系统宕机超4小时或主库物理损坏。审批权限：数据保护委员会授权，IT总监签署，CIO批准。Ⅱ级恢复（重要数据/单表级恢复）：涉及L2级数据或L1级数据的单表误删除恢复。审批权限：业务部门负责人审核，IT运维主管批准。Ⅲ级恢复（一般数据/测试环境恢复）：涉及L3级数据或向测试环境恢复数据。审批权限：IT运维主管直接批准。5.2恢复操作场景规程5.2.1误删除数据恢复（如DropTable/Delete误操作）判定与阻断：发生误删后，必须在第一时间切断该数据库与前端应用的连接。严禁继续向该库写入新数据（新写入的数据块会物理覆盖被删除文件Inode指针，导致数据永久不可逆）→立即通过防火墙策略阻断应用层IP访问。恢复路径：必须在测试环境克隆库进行恢复。首先全量恢复最近一次全量备份，随后应用增量Binlog/事务日志，通过基于时间点（PITR）技术恢复到误删除前1分钟的精确状态。验证数据无误后，再导出目标表并导入生产环境。5.2.2勒索病毒加密恢复风险演化阻断：勒索病毒通过钓鱼邮件感染终端→横向移动至文件服务器→加密SMB共享目录→尝试通过备份服务器API删除备份快照。阻断点在于：备份网络必须与业务网络物理或逻辑隔离（VLAN隔离+防火墙单向访问控制），且备份存储必须开启不可变属性。应急处置：确认感染后，必须在10分钟内物理拔除备份存储阵列网线，切断网络传播途径。使用干净的无病毒启动盘引导服务器，格式化被加密分区。恢复顺序：优先恢复L1级核心业务数据库。优先采用异地离线磁带备份进行恢复（确保纯净无毒），严禁直接挂载可能被感染的本地产值快照。5.3恢复演练与PDCA改进演练频次：每季度末月15日组织1次L1级数据恢复演练；每半年组织1次全流程异地灾备切换演练。演练环境要求：必须在与生产环境物理隔离的测试环境进行；严禁在生产环境直接进行破坏性恢复测试。演练验证标准：恢复后的数据必须由业务部门抽取5%的核心记录进行数据校验，字段一致性达到100闭环改进（PDCA）：演练结束后24小时内，数据管理员输出《恢复演练报告》，记录实际RTO与RPO值。若实际RTO超过SLA规定值的10%第六章安全与风险控制备份数据本身是高价值资产，若无访问控制与防篡改机制，备份系统将成为内部越权和外部攻击的首选跳板。6.1访问控制与权限管理账号管理：备份系统必须启用堡垒机纳管，实施双因素认证（密码+动态口令）。严禁多管理员共用同一账号（无法进行行为审计追溯）→必须建立一人一号，且按最小权限原则分配角色。权限分离：执行备份操作的“备份操作员”仅具备读取源数据和写入备份库权限；执行恢复操作的“恢复操作员”需额外获得IT总监审批工单后方可解锁恢复权限。严禁赋予单一账号全部读写及删除权限（防范内部人员恶意删除备份）。6.2不可变存储与防篡改WORM技术启用：L1级核心数据备份必须落地于支持WORM（WriteOnceReadMany）技术的存储介质上。写入后7天内任何账号（包括Root管理员）均无法修改或删除该备份集，直至保留期自动到期。规避勒索软件通过窃取管理员凭证后抹除备份快照的风险。防勒索隔离库：建立独立的气隙隔离库，每月初自动拉取核心备份快照。隔离库网络接口默认处于Down状态，仅在拉取数据的15分钟窗口期通过脚本自动Up并执行传输，完成后立即Down。6.3数据传输与存储加密传输加密：跨网段及异地灾备传输必须启用TLS1.2及以上加密协议。严禁明文FTP传输数据库备份文件（易被中间人攻击窃取核心数据结构）→使用SFTP或基于IPSecVPN的加密隧道传输。存储加密：磁带及移动硬盘归档必须采用AES-256算法加密，密钥由信息安全管理部与行政部双人分别持有半把密钥（Shamir密钥分割），单人不具备解密能力。第七章监督检查与考核缺乏审计的备份制度会迅速退化为“只要不报警就算成功”的敷衍行为，必须通过常态化检查与追责机制倒逼执行落地。7.1检查与审计日志审计：内审部每季度末对备份系统操作日志进行抽查，抽检率不低于10%介质盘点：每半年首月对异地存放的离线介质进行1次抽样读取测试，抽检率20%7.2考核与罚则备份成功率：月度核心数据备份成功率未达到100%恢复演练达标率：若因脚本未更新导致演练实际RPO超出SLA规定值20%违规操作问责：发现未经审批擅自将备份介质带出公司、或使用个人U盘拷贝备份数据的，视同泄露商业秘密，立即解除劳动合同；涉嫌违法的，移交司法机关处理。第八章附则本制度由公司信息化委员会负责解释与修订。自发布之日起执行，原有关于数据备份与恢复的相关规定同时废止。若本制度条款与国家相关法律法规冲突，以国家规定为准。附件1：数据恢复申请单（SOP表单）申请单号SYS-REC-YYYYMMDD-XXX申请日期YYYY-MM-DDHH:MM申请人[姓名/工号]所属部门[业务部门]恢复系统[如：ERP核心库]恢复级别[]Ⅰ级[]Ⅱ级[]Ⅲ级故障描述[详细描述误删/损坏原因及现状，如：09:15因脚本Bug导致DeletefromTSalesOrder]目标时间点[如：YYYY-MM-DD09:14:00，精确到秒]恢复路径[]生产环境直接覆盖[]测试环境克隆后导出表业务部门审批[签字/日期](Ⅰ级必填)IT运维主管审批[签字/日期](Ⅱ、Ⅲ级必填)CIO审批[签字/日期](Ⅰ级必填)执行记录[执行人/操作步骤/开始时间/结束时间/实际RTO耗时]业务验收[验收人签