it-service@brocent.com
备份与恢复
2026 年 8 月报告周期内，受保护工作负载、作业结果、恢复点与恢复时间达成情况、恢复验证，以及不可变副本的现状。
备份完整且已验证；异地副本是仍存在的单点故障
本期九个受保护工作负载每天都达成了各自的恢复点目标。341 个计划作业中，338 个首次尝试即成功，其余三个在自动重试后成功，有效成功率为 100%，首次成功率为 99.1%。本期执行了两次恢复演练，均达成恢复时间目标，其中一次文件服务器完整卷恢复用时 3 小时 12 分，目标为四小时。
仍有一处实质性缺口。异地副本写入的云存储桶与主租户位于同一区域，且只有文件服务器备份集是不可变的；Microsoft 365 备份集与应用服务器备份集仍可被持有备份控制台凭据的管理员删除。一旦勒索软件事件夺取了该凭据，就可能同时抹掉这两个备份集的主副本与异地副本。
期末保护状况
有效成功率指作业（含重试）在其窗口内完成即计为成功。之所以同时报告首次成功率，是因为持续出现重试是一个早期预警信号，即便最终结果良好。
四项需要采取行动
证据。 只有文件服务器备份集写入时启用了 30 天对象锁定保留。Microsoft 365 备份集与应用服务器备份集在存储时未启用不可变性，因此备份控制台凭据可以同时删除主副本与异地副本。
影响。 现代勒索软件会在加密生产数据之前先攻击备份控制台。没有不可变性，公司的恢复能力就完全取决于某一个凭据不被攻陷 —— 这不构成一项控制措施。
建议。 为其余两个备份集启用 30 天保留的对象锁定不可变性。由于被删除的数据块需保留至期满，存储成本约增加 12%；BCS 将随 9 月报告确认具体数字。
证据。 异地存储桶与 Microsoft 365 租户托管于同一区域对。异地只有一份副本而非两份，也没有任何副本存放于不同介质或不同服务商。
影响。 区域级中断或服务商账户被攻陷会同时波及生产与备份，因此服务说明书所引用的 3-2-1 原则实际上并未真正满足。
建议。 将不可变副本复制到另一区域、并使用另一个服务商账户及其独立凭据。以 6.8 TB 计增量成本有限；BCS 将与不可变性变更一并报价。
证据。 应用服务器按卷级别备份，但没有书面流程说明如何重建行情数据应用、如何重新建立其厂商数据源，以及如何在恢复后验证价格数据正确。
影响。 卷恢复只能取回文件，无法直接取回可用的交易能力。真实事件中的恢复时间会超出四小时目标，因为整个操作顺序只能临场发挥。
建议。 与厂商共同编写应用恢复操作手册，然后在第四季度的恢复演练中验证该手册，而不是只演练卷恢复。
证据。 三个增量作业在 2026-08-05、08-19 和 08-26 首次尝试时因 NAS 快照超时而失败，均在同一窗口内重试成功。该规律与每周完整性扫描的时间重合。
建议。 将 NAS 完整性扫描推迟两小时，使其不再与备份窗口重叠，随后确认连续三周无异常。
7 月提出的「租户内仅邮箱受保护」这一发现事项已关闭。全部 41 名用户的 OneDrive 以及所有 SharePoint 站点已于 2026-08-04 纳入保护，新增 0.4 TB。首次完整备份于 2026-08-06 完成，此后每日增量备份运行正常。
五项服务级别全部达成
| 承诺服务级别 | 目标 | 实际 | 状态 | 说明 |
|---|---|---|---|---|
| 恢复点目标（RPO） | ≤ 12 小时 | 最差 6.5 小时 | MET | 31 天全部达成，覆盖所有工作负载 |
| 恢复时间目标（RTO） | ≤ 4 小时 | 3 小时 12 分 | MET | 由恢复演练验证 |
| 窗口内作业成功率 | ≥ 99% | 100% | MET | 341 个作业，3 次重试 |
| 恢复演练频次 | 每月 ≥ 1 次 | 2 次演练 | MET | 文件卷与邮箱各一次 |
| 月度报告出具 | 第 5 个工作日前 | 第 3 个工作日 | MET | 2026-09-03 出具 |
三个周期的变化
| 指标 | 2026年6月 | 2026年7月 | 2026年8月 | 变化方向 |
|---|---|---|---|---|
| 受保护工作负载 | 6/9 | 7/9 | 9/9 | OneDrive 与 SharePoint 接入后已全部覆盖。 |
| 作业首次成功率 | 97.2% | 98.4% | 99.1% | 持续改善；残余失败源自 NAS 快照时间重叠。 |
| 受保护数据量 | 6.1 TB | 6.4 TB | 6.8 TB | 每周期增长约 5%，在存储规划范围内。 |
| 恢复演练次数 | 1 | 1 | 2 | 为第四季度整机演练提前提高了频次。 |
| 不可变备份集 | 1/3 | 1/3 | 1/3 | 毫无进展；等待成本审批。 |
| 最差 RPO 间隔 | 9.1 小时 | 7.8 小时 | 6.5 小时 | 随增量备份计划收紧而持续改善。 |
三次重试均来自同一 NAS 数据源、且发生在连续三个周三，因此按「规律」而非孤立故障来报告。
受保护的工作负载
| 工作负载 | 类型 | 容量 | 计划 | RPO | 保留期 | 不可变 | 最近有效副本 |
|---|---|---|---|---|---|---|---|
| ACM-SRV-01 | 文件服务器 | 1.9 TB | 每小时增量 | 1 小时 | 90 天 | 是 | 2026-08-31 23:00 |
| ACM-SRV-02 | 应用服务器 | 0.8 TB | 每日 01:00 | 12 小时 | 60 天 | 否 | 2026-08-31 01:34 |
| ACM-NAS-01 | NAS 共享 | 2.4 TB | 每日 02:00 | 12 小时 | 90 天 | 是 | 2026-08-31 02:41 |
| M365 邮件 | 41 个邮箱 | 0.9 TB | 每日 4 次 | 6 小时 | 7 年 | 否 | 2026-08-31 22:00 |
| M365 OneDrive | 41 个账号 | 0.4 TB | 每日 03:00 | 12 小时 | 7 年 | 否 | 2026-08-31 03:22 |
| M365 SharePoint | 6 个站点 | 0.3 TB | 每日 03:30 | 12 小时 | 7 年 | 否 | 2026-08-31 03:58 |
| 云主机 01 | 云服务器 | 0.1 TB | 每日快照 | 12 小时 | 30 天 | 否 | 2026-08-31 04:00 |
| 云数据库 | 托管数据库 | 0.02 TB | 持续 | 5 分钟 | 35 天 | 时间点恢复 | 2026-08-31 23:55 |
| 终端 | 35 台计算机 | — | OneDrive 同步 | 12 小时 | 7 年 | 经由 M365 | 2026-08-31 03:22 |
按制度规定，终端不保存任何独有数据：用户文档存放在 OneDrive 中并在那里受到保护。发现事项中所指的三个备份集，是本地集、Microsoft 365 集与云端集。
恢复验证
| 演练 | 日期 | 范围 | 目标 | 实际 | 执行的验证 |
|---|---|---|---|---|---|
| 文件服务器卷 | 2026-08-09 | 1.9 TB 共享 | 4 小时 | 3 小时 12 分 | 恢复至隔离主机；抽取 200 个文件比对校验和；权限已核验。 |
| 邮箱时间点恢复 | 2026-08-23 | 1 个邮箱，回溯 30 天 | 1 小时 | 22 分 | 与在线邮箱逐项比对；确认日历与规则完好。 |
| 应用服务器 | 第四季度计划 | 整机 | 4 小时 | — | 待恢复操作手册完成后再演练 — 参见发现事项。 |
只有当数据被恢复到独立位置并且通过既定检查验证后，一次恢复演练才计为通过。仅报告成功而未经验证的作业，不构成可恢复性的证据。
已处理的恢复请求
| 工单 | 日期 | 请求内容 | 耗时 | 结果 |
|---|---|---|---|---|
| SR-4471 | 2026-08-06 | 误删文件夹，回溯 3 天 | 18 分 | 已原位恢复；用户已确认。 |
| SR-4488 | 2026-08-14 | 被覆盖的电子表格版本 | 9 分 | 已从 OneDrive 版本历史中取回先前版本。 |
| SR-4502 | 2026-08-21 | 规则误设导致的邮件丢失 | 41 分 | 112 封邮件已恢复至原文件夹。 |
| SR-4519 | 2026-08-28 | 为 HR 导出离职员工邮箱 | 1 小时 26 分 | PST 文件已通过安全共享交付给 HR。 |
跨周期结转的未决事项
| 编号 | 风险 | 严重程度 | 责任人 | 到期日 | 状态 | 下一步行动 |
|---|---|---|---|---|---|---|
| BKUP-R01 | 备份集可被单一凭据删除 — 3 个集中有 2 个未启用不可变 | HIGH | 客户方 COO | 2026-09-30 | 未处理 | 批准存储成本；BCS 启用 30 天对象锁定。 |
| BKUP-R02 | 异地仅有单一区域 — 未真正满足 3-2-1 原则 | HIGH | 客户方 COO | 2026-10-31 | 未处理 | 批准在另一服务商账户中开展第二区域复制。 |
| BKUP-R03 | 缺少应用恢复操作手册 — 真实事件中无法达成 RTO | MEDIUM | BCS + 客户方 IT | 2026-11-30 | 未处理 | 与厂商共同起草手册；在第四季度演练中验证。 |
| BKUP-R04 | 缺少年度完整灾难恢复演练 — 目前仅有组件级演练 | MEDIUM | 客户方 COO + BCS | 2026-12-31 | 未处理 | 为第四季度安排桌面推演加技术切换演练。 |
| BKUP-R05 | NAS 快照窗口重叠 — 首次尝试反复失败 | LOW | BCS Support Center | 2026-09-30 | 处理中 | 将完整性扫描推迟两小时；确认连续三周无异常。 |
下一周期承诺事项
| BCS Support Center 将 | 需要客户配合 |
|---|---|
| 将不可变性与第二区域复制作为一个计价变更方案一并报价。 | 批准不可变副本所需的增量存储成本。 |
| 调整 NAS 完整性扫描时间，并确认连续三周备份无异常。 | 确认行情数据应用的恢复时间预期。 |
| 与厂商共同起草应用恢复操作手册。 | 确定第四季度灾难恢复演练的日期。 |
| 继续每月开展恢复演练，并报告验证证据。 | 确认 Microsoft 365 数据 7 年保留期仍然适用。 |
本报告的生成方式
| 数据来源 | 提取时间 | 记录数 | 用于 |
|---|---|---|---|
| 备份平台作业日志 | 2026-09-01 01:30 香港时间 | 341 个作业 | 作业结果、重试、耗时、各工作负载的最近有效副本。 |
| Microsoft 365 备份控制台 | 2026-09-01 01:40 香港时间 | 3 个工作负载 | 邮件、OneDrive 与 SharePoint 的保护状态与保留期。 |
| 对象存储配置 | 2026-09-01 02:00 香港时间 | 3 个存储桶 | 不可变性、保留锁定、区域分布。 |
| 恢复演练记录 | 2026-08-23 | 2 次演练 | 恢复时间与验证证据。 |
| 服务台工单 | 2026-08-31 | 4 次恢复 | 用户恢复请求与耗时。 |
方法与定义
恢复点目标（RPO） 指最近一份可恢复副本可接受的最大数据陈旧程度。达成情况按工作负载逐日计量；只要有一天任一工作负载超出其 RPO，整月即判为未达成 —— 这也是我们报告最差实测间隔而非平均值的原因。
恢复时间目标（RTO） 只依据真实的恢复演练报告，绝不采用厂商估算或推算结果。未进行演练的项目该字段标记为待定，本期应用服务器即属此类。
不可变性 指备份副本在保留期到期前无法被删除或篡改，任何凭据都不行，包括备份管理员的凭据。版本控制与软删除不属于不可变性，也不按不可变性统计。
排除范围。 按制度规定，终端本地磁盘不在范围内 —— 用户数据存放于 OneDrive。存放在厂商平台上的行情数据归档不属于本备份服务。备份基础设施自身的可用性在《可用性监控》报告中呈现。
本文档为用于展示的匿名化样本。客户名称、服务器名称、共享名称、工单编号与厂商名称均已替换为虚构或通用值；容量、比例、日期与发现事项反映的是一个具有代表性的受管环境。文档中不含任何真实客户数据。
BCS Support Center · it-service@brocent.com
客户常问的关于本报告的问题
不等同，而这正是本报告中最重要的区分。恢复时间目标只依据真实恢复到独立位置、并通过既定检查验证后才予报告。仅报告成功而未做恢复演练的作业，不构成可恢复性的证据。
不可变副本在保留期到期前无法被任何凭据删除或篡改，包括备份管理员的凭据。勒索软件会优先攻击备份控制台，因此在我们的报告口径中，版本控制与软删除不计为不可变性。
组件级恢复每月演练并在本报告中呈现。结合桌面推演与技术切换的完整灾难恢复演练每年安排一次，在完成之前，报告会将其作为未决事项持续跟踪。
看看你自己的备份与恢复报告会写些什么
免费 IT 健康检查会针对你的真实环境产出本报告的第一版，不收费、无义务。整个过程约需一周，占用你团队几个小时。