中國備份與跨境數據傳輸合規：電訊廠商實例

一句話結論： 「我們中國的備份到底放在哪裡？」看起來像技術問題，通常不是。三件事被揉在一起——數據本體在哪、副本去了哪、多快能恢復回來。把它們分開逐一回答，才能把一個繼承下來的預設配置，變成一套你解釋得清的安排。法律判斷請交給你自己的法律顧問。

為什麼中國的備份安排會變成跨境數據傳輸合規問題？

備份是 IT 環境裡最不光鮮的部分，而這恰恰是它被配置一次然後就一路繼承下去的原因。有人建了一個任務，它變成綠色，接下來四年沒有人有理由去看它。這在幾乎任何地方都沒問題。在中國實體裡，它遲早會變得有問題——不是因為備份壞了，而是因為有人對它提出了一個和「它能不能用」完全無關的問題：一個跨境數據傳輸合規問題，而中國的 IT 團隊從來沒被要求為此做準備。

這個問題通常來自中國辦公室之外。一次集團 IT 審查、一份新的全球數據治理政策、一家企業客戶的供應商問卷，或者集團自身風險登記冊的一次變更。而這個問題很少是「備份在跑嗎」，而是「這些數據去了哪裡，是誰決定這樣做沒問題的」。

這是一個性質完全不同的問題，而一家六十到一百二十人的中國實體常常回答不了它——不是因為疏忽，而是因為這個安排從來就不是一個決定，它是一個預設值。集團有一個區域雲租戶，中國辦公室按集團標準接入，備份目標就指向了那裡，因為在當時那是阻力最小的路徑。

Brocent（2007 年成立，總部位於新加坡）自 2007 年起在中國大陸營運本地交付團隊，服務全國各地的外商投資實體。「運作良好、但沒人能用治理語言解釋清楚」的備份，是我們接手一個中國環境時最常見到的情況之一。

有一點必須先說清楚，因為它決定了下文的全部框架：某一條數據出境流向是否被允許、以何種機制被允許，是一個法律判斷。它取決於數據是什麼、涉及誰、體量多大，以及一套已經多次變動、並且還會繼續變動的規則。本文談的是這個問題在營運層面的形狀，以及那些讓它變得可回答的做法。它不是法律意見，合規判斷應該由你自己的法律顧問做出，而不是由你的 IT 服務商。

引出這個問題的那次審查：一個複合情境

以下是示意性內容——根據外資電訊與設備廠商的中國實體真實運作方式提煉出的複合情境，不是某一家具名客戶。

一家歐洲電訊基礎設施廠商，中國實體大約九十人。該實體不做製造；它持有區域備件庫存，為前往全國各地電訊營運商和企業客戶現場的工程師做現場服務排程，並保存工程文件、現場勘測記錄，以及部署在這些現場的設備配置文件。本地有一台文件服務器、幾台應用服務器，以及大約一百一十個終端。

本地的 IT 編制是一個人，能力確實不錯，但嚴重超載。備份是五年前由一位早已離職的工程師配置的。它每晚把文件服務器和現場服務數據庫備份到集團的區域雲租戶，而該租戶託管在新加坡。它從來沒有以任何人注意得到的方式失敗過。它也從來沒有被真正恢復過，除了 2023 年一次文件級恢復，那次是成功的。

然後集團 IT 下發了修訂版的數據治理標準，其中一項要求是每個實體記錄自己的營運數據儲存與複製位置，並識別出任何跨境流向。中國 IT 負責人讀完，意識到自己沒辦法誠實地把這張表填完。他知道備份去了新加坡。他不知道裡面除了「文件服務器」之外具體有什麼——從來沒有人清點過內容。他不知道裡面的客戶現場記錄和工程師排程數據，是不是這份標準所擔心的那一類。他也不知道公司裡是誰決定這樣做可以接受的，因為就他所知，從來沒有人做過這個決定。

而當他開始翻查時，他還發現了兩件本來不在找的事。由於十一個月前一次主機名變更，每晚的任務一直在悄悄跳過其中一台應用服務器。而在集團那一側，恢復路徑要走的正是那條在真正出事時最擠塞的跨境鏈路。

一條沒有記錄的數據路徑，實際代價是什麼？

請注意，以下只有一項是合規代價。其餘都是同一種疏忽所產生的普通營運風險。

面對集團合規沒有答案，而誠實的答案聽起來比實情更糟。 「我們備份到新加坡，我不太確定裡面有什麼」是一句真話，但在治理審查人員聽來，它讀起來像是一項未受管理的風險。真實風險和這個答案聽起來的樣子之間，差距往往很大，而彌合這個差距主要是文件工作，不是重做架構。

沒有人驗證過備份能恢復。 一個報告成功的備份任務，只證明數據被寫出去了。它不證明數據能被讀回來、不證明它所屬的應用能基於它啟動，也不證明有人知道恢復流程。靜默失敗很常見，而且特別難被發現：改名之後悄悄不再覆蓋某台服務器的任務、把某樣東西唯一副本按保留策略淘汰掉、在沒有正確一致性處理的情況下熱備的數據庫。這些都不會自己宣告出來。

恢復路徑取決於最壞情況下的網絡。 如果一百多 GB 營運數據的唯一副本在另一個國家，你的恢復時間就是事故當天那條跨境鏈路的函數。而那條鏈路在區域性中斷期間不會處於最佳狀態，在季末也不會。一個從來沒有被真正算過的恢復時間目標，往往是在它本該覆蓋的那次事件中被痛苦地發現的。

中國境內的雲和團隊熟悉的那一套行為不同。 這一點反覆讓人意外。主要國際雲在中國大陸只能通過強制性的持牌本地營運方營運——Azure 中國由世紀互聯（21Vianet/VNET）營運，AWS 中國區由光環新網（Sinnet）與西雲數據（NWCD）營運——它們是與全球版本在法律上與技術上都相互獨立的環境，帳戶獨立、服務目錄獨立、功能上線節奏也獨立。託管還會把面向互聯網服務的 ICP 備案要求納入範圍。一份按全球 Azure 或全球 AWS 寫成的集團標準，不能原樣搬到中國；而一位假定它可以的工程師，會做出一個和文件描述不一樣的東西。

沒有人擁有這個問題。 中國辦公室假定集團 IT 定了標準。集團 IT 假定中國辦公室懂本地要求。這是最常見的失效模式，而它之所以持續存在，是因為兩邊的假定單獨看都很合理。

我們的看法：把被揉在一起的三個問題拆開

當這件事落到我們桌上時，有用的第一步不是重新設計任何東西，而是把一個混淆的問題拆成三個清晰的問題——因為它們答案不同、負責人不同、緊急程度也不同。

數據本體在哪裡？ 這說的是主副本——文件服務器、應用數據庫、大家每天在裡面工作的那些系統。對多數中國實體來說，這直截了當地在中國境內，而且不是任何人擔心的那一部分。

副本去了哪裡？ 這是備份與複製的問題，也是上面那個情境裡演變成治理議題的那一個。它有兩個常被混為一談的半邊：被複製的是什麼（這需要一次真正的清點，而不是一個假定），以及每一份副本落在哪裡。

多快能恢復回來？ 這是恢復問題，純粹是營運層面的，完全沒有法律面向。它同時也是實務中最可能傷到你的那一個，因為它是事故會去檢驗的那一個。

分開回答這三件事，通常會讓問題變簡單而不是變複雜。據我們的經驗，當一家中國實體真的把備份裡的內容清點一遍之後，「確實需要出境的數據」這個集合，往往遠小於「因為預設配置而正在出境的數據」這個集合。一份在本地、經過恢復驗證的備份，加上一小組有明確記錄、寫清了為什麼的跨境數據，無論在營運上還是在可辯護性上，都勝過一句沒有記錄的「全都傳到集團租戶」。

中國實體處理這件事的三種方式

直接備份到集團的境外租戶。 簡單、與全球標準一致，也不需要在本地做任何決定。但內容通常沒有清點過，跨境流向是一個預設值而不是一個有記錄的決定，而恢復時間取決於最糟糕那天的國際鏈路。只有當確實有人看過裡面是什麼、並且能解釋為什麼這樣安排合適時，它才是可辯護的。
只做本地備份，什麼都不出去。 形態上合規、也容易解釋，而且它徹底解決了恢復時間問題。但它的弱點是真實的：只有一個站點、沒有地理隔離，這不構成一個災備位置。一場火災、一次水浸，或者一次波及到備份目標的勒索軟件事件，會同時帶走兩份副本。這是被合規問題嚇到的實體常見的過度修正——用取消第二站點的方式解決了問題。
境內備份 + 經過驗證的恢復 + 有記錄的出境數據集。 主備份目標位於中國境內，恢復時間目標與恢復點目標是與業務商定的，而不是繼承來的。恢復演練產出帶日期的證據，證明恢復確實可行。地理隔離在中國境內實現。而一小組被明確列出的數據出於真實的集團用途跨境，並附有一份有人簽字的書面理由。前期工作量更大，但它是三者中唯一同時回答了合規問題與恢復問題的。

一套可辯護的中國備份實務包含什麼？

細節比架構圖更重要。以下是我們認為必須存在的東西。

與業務商定、而不是繼承來的 RTO 與 RPO。 恢復時間目標與恢復點目標是其餘一切的推導起點，而在多數繼承下來的配置裡，沒有人說得出它們是多少。它們不該由 IT 單方面決定——「現場服務排程停多久會開始造成客戶承諾上的損失」是一個業務問題，而文件服務器和備件系統的答案差別很大。Brocent 的雲託管備份是從這裡開始的，而不是從工具開始，因為本地與雲上的保留策略、目標選型與架構，全都是這兩個數字的下游產物。

監控，讓靜默失敗在同一週內浮現。 上面情境裡那十一個月的空檔，是無人監控的備份任務的正常結果，而不是一個異常。備份任務監控需要是某個人真正的職責，並在失敗時告警，而不是一個指望忙人記得去打開的儀表板。在管理型IT外判服務方案下，這由我們的服務控制與網絡運營團隊 7×24 執行，任務失敗時立即告警——這就是「一週內發現空檔」和「在恢復過程中發現空檔」之間的區別。

一次能產出帶日期結果的恢復演練。 這是最常被跳過的一項做法，也是唯一真正能證明什麼的一項。週期性恢復演練把真實數據恢復到一個經授權的測試環境裡，驗證它完整可用，並產出一份演練報告，記錄哪些恢復成功、哪些沒有。報告才是重點。它把「我們有備份」從一種信念變成一件產物，而這正是集團治理審查人員和你自己的管理層都想看到的東西。演練還會暴露監控抓不到的那些不光鮮的失敗：基於恢復出來的數據庫啟動不了的應用、缺失的服務帳戶、只有那位已離職工程師知道的、沒有寫下來的一個步驟。

搞清楚你實際在用哪一朵中國的雲，以及它由誰營運。 如果你在中國大陸託管，請對「你託管在什麼之上」這件事保持精確。國際雲通過持牌本地營運方以獨立環境的形式運作——Azure 中國經由世紀互聯（21Vianet/VNET），AWS 中國區經由光環新網（Sinnet）與西雲數據（NWCD）——此外還有國內雲廠商和中立第三方數據中心營運商。合約、支援路徑、可用服務與功能對齊程度，都與全球版本不同。對中國實體而言，託管雲服務意味著在照著設計之前就知道這些差異，而不是在實施過程中才發現。它同時也意味著 ICP 備案的問題在設計階段就被提出來，而不是在上線時。

一份「什麼被複製到了哪裡」的清單。 能夠終結治理對話的那份文件，不是架構圖，而是一份清單：來自這些系統的這些數據集，按這個週期被複製到這些目標，保留這麼久，出於這個原因。做出這份清單很枯燥，通常要花上一兩天。但它也是整個練習中價值最高的單一產物，因為正是它讓人能夠對「跨境的那一部分」做出知情的決定，而不是把它繼續留作預設值。當這些數據集包含帶有保安或保密義務的材料時，這份清單會直接輸入到那些控制措施如何施加的問題上——而這也是管理型IT保安服務和備份設計不再是兩場獨立對話的地方。

這件事和集團的全球標準是什麼關係？

集團層面的直覺通常是「一套標準全球通用」，而這個直覺在精神上是對的。錯誤在於把它當作「一套實施全球通用」。

一個可行的模式是：把標準維持在結果層面——每個實體都有記錄在案的 RTO 與 RPO、被監控的任務、經過驗證的恢復、以及一份被複製數據的清單——同時允許實施方式在本地環境確實不同的地方有所不同。中國是這一點最清晰的案例，但它並不特殊；任何本地託管或監管現實與總部假設發生偏離的地方，同樣適用這個邏輯。

這個框架同時也解決了歸屬問題。集團 IT 擁有標準和結果。中國實體擁有實施和證據。而兩者都不擁有關於跨境傳輸的法律判斷——那屬於法律顧問，並由 IT 側產出的那份清單來支撐。Brocent 服務過的電訊行業客戶包括一家覆蓋六十八個國家的全球電訊基礎設施供應商；在多國安排中，這種責任劃分始終是行得通的那一種：一套共同的標準、在本地正確的實施，以及由有資格的人做出的法律判斷。

常見問題

把中國辦公室備份到境外的雲，是不是自動就有問題？

不是。而任何告訴你「這自動沒問題」或「這自動被禁止」的人，都在過度簡化。某一條特定流向是否被允許、以何種機制被允許，取決於數據是什麼、涉及誰、體量多大，以及一套已經多次變動的規則。這是給你自己的法律顧問做的判斷，不是給你的 IT 服務商做的。我們能告訴你的是：要拿到一個真正的答案，實務上的前置條件是把備份裡到底有什麼清點出來——多數實體拿不到法律意見，是因為他們描述不出那份數據。

在這個語境裡，備份和災難恢復有什麼差別？

備份是數據的副本。災難恢復是在約定時間內讓業務重新跑起來的能力。你完全可能擁有出色的備份卻沒有任何災備位置——只有一個本地備份目標、沒有第二站點，給你的恰恰就是這個；而只有一份境外副本、恢復路徑跨境且緩慢，給你的也是這個。把兩者連起來的概念是恢復時間目標與恢復點目標，再加上一份記錄了「到時候某個人實際要走哪些步驟」的業務連續性計劃。沒有這份計劃的備份，是數據，不是恢復。

恢復到底應該多久測試一次？

底線是至少每年一次，並且在任何重大變更之後——新增應用、服務器遷移、更換備份目標，或者更換負責這件事的人。測試必須是把數據真正恢復到一個經授權的環境裡，而不是驗證備份文件能開啟。而且它必須產出一份帶日期的報告，因為對審查人員來說，一個未經測試的聲明和一次沒有記錄的測試，價值差不多。

哪些雲服務商可以合法在中國託管這類數據？

可選項包括國內雲廠商、中立第三方營運商，以及通過強制性持牌本地營運方落地的國際雲——Azure 中國經由世紀互聯（21Vianet/VNET），AWS 中國區經由光環新網（Sinnet）與西雲數據（NWCD）。其中哪一個適合你這份特定數據，是一個把法律處境與技術要求結合起來的問題，而法律那一半不該由我們回答。我們要從營運角度提醒的是：這些環境在帳戶、服務目錄與功能節奏上，都與全球版本真正獨立，所以一份在全球 Azure 或 AWS 上驗證過的設計，需要重新驗證，而不是平移。

如果我們關閉這個實體，中國的數據會怎麼樣？

在需要之前就規劃好，因為實體關閉有一個數據面向，很容易被留到最後，而到最後就很難處理。實務上的問題是：什麼必須保留、保留多久、可以保留在哪裡、什麼必須銷毀、銷毀需要什麼證據，以及誰持有那些存續下來的東西的憑證。在管理型IT外判服務方案下，環境文件與憑證歸客戶所有，而這一點在退出時比在這段關係的任何其他時點都更重要。至於保留與銷毀義務本身，仍然是一個法律問題。

這個問題歸誰——中國辦公室還是集團 IT？

拆開。集團 IT 應該擁有標準和所要求的結果。中國實體應該擁有實施並產出證據。法務或合規應該擁有「什麼可以跨境」的判斷，並以那份清單為依據。我們見得最多的失效模式是雙方都不擁有它，因為每一方都假定對方已經擁有了；而修復方式是行政性的而不是技術性的：寫下三者各歸誰，並給那份清單一個截止日期。

我們的中國團隊很小。一套像樣的備份實務對我們現實嗎？

現實，而且規模這個論據通常是反過來起作用的。一家九十人、只有一位 IT 人員的實體，恰恰是「沒有外力就不會發生監控、演練和文件工作」的那種處境，因為那個人的一週已經被正在著火的事情佔滿了。務實的路徑是把週期性的那幾件事——任務監控、演練、年度文件更新——變成某一方受合約約束的職責，而不是一個意願。這正是管理型IT外判服務在這個規模上的用途：不是取代你的 IT 負責人，而是接走那些可靠地會被拖延的工作。首頁的報價工具會為中國大陸辦公室在按用戶計價的方案旁邊，同時列出雲備份按設備計價的附加項，讓你在聯絡任何人之前就能看到這些週期性工作的費用。