資料備份與災難復原完整指南：勒索病毒、3-2-1 法則、RPO/RTO，中小企業老闆的營運持續計畫

如果明天早上打開電腦，全公司的檔案都被加密了，你多久能回來營業？

這不是假設題。週一早上九點，會計打開共用資料夾，每個檔名後面都多了一串副檔名，桌面躺著一個 .txt：你的資料已被加密，付 0.8 顆比特幣換金鑰。電話開始響，業務說 ERP 進不去、出貨單調不出來、客戶在催貨。這一刻，老闆心裡只有一個問題——我們有沒有備份，那個備份還能不能用。

多數中小企業對這個問題的答案是「應該有吧」。「應該有」就是還沒被測試過的意思。資安服務商 Sophos 在 2026 State of Ransomware 報告 的調查裡有一個數字很值得注意——被勒索的企業裡，付了贖金的，平均也只救回約 6 成資料；真正讓企業全身而退的，幾乎都是「備份還原成功」這條路，而不是付錢。

這篇文章寫給中小企業老闆，不需要你懂技術。把備份與災難復原當成一份保險來讀：要保多少、保哪些、出事時理賠多快、每年保費多少。讀完你會有一套可以直接拿去問 IT 或外包廠商的檢核清單。

先把兩個概念分清楚：備份不等於災難復原

很多老闆以為「我們每天有備份」就等於「出事不怕」，這是最貴的誤會。備份（Backup）是「把資料複製一份存起來」，災難復原（Disaster Recovery, DR）是「出事後讓整套營運系統重新跑起來」。前者是資料，後者是能力。

舉個例子。你把客戶資料庫每天備份到一顆外接硬碟，這是備份。但勒索病毒發作那天，你的伺服器、作業系統、應用程式設定、網路環境全毀，光有一份資料庫檔案，沒有環境可以還原，你還是開不了門。災難復原要回答的是：多久能把「整個營運環境」重建起來，而不只是「資料還在不在」。

營運持續計畫（BCP, Business Continuity Plan）的範圍更大——它包含 DR，但還涵蓋人員、流程、對外溝通。本文聚焦在中小企業最該先補的那一塊：資料備份與系統的災難復原。

老闆只要懂這兩個數字：RPO 與 RTO

整個備份與災難復原的規劃，最後都會收斂成兩個數字。把它們搞懂，你跟 IT、跟外包廠商的對話就有了共同語言。

舉實際情境：一間電商如果 RPO 設 24 小時、RTO 設 3 天，意思是「出事最多丟一天訂單，三天內恢復」。對年營收破億、每小時都在成交的品牌，這個標準太鬆——一天訂單可能是上百萬，三天停業客戶早就跑光。它需要的是 RPO 1 小時、RTO 4 小時的等級。反過來，一間 5 人設計工作室，RPO 一天、RTO 兩天可能完全夠用。

先把這兩個數字訂出來，是整件事的起點。沒有數字，買再多備份設備都是憑感覺；有了數字，才知道哪些投資是必要的、哪些是過度保險。

3-2-1 備份法則，以及它在勒索病毒時代的進化版

業界沿用多年的黃金準則是 3-2-1：保留 3 份資料、存在 2 種不同媒介、其中 1 份放在異地。這條法則之所以耐用，是因為它同時防住了三種風險：檔案損毀、設備故障、整個機房出事（火災、淹水、地震）。

勒索病毒讓這條法則必須再加兩個數字，變成 3-2-1-1-0：多 1 份「離線或不可竄改（immutable）」的備份，加上 0 個還原錯誤（備份要定期測試到能真的還原）。為什麼要多這兩條？因為現代勒索軟體進來後不會馬上發作，它會潛伏、先把連在網路上的備份一起加密，等你連備份都救不回來，再跳贖金通知。

勒索病毒與供應鏈攻擊：2026 年的威脅長什麼樣

威脅的形態這兩年變了。過去是「駭客挑大公司下手」，現在是「自動化工具掃整個網路，誰有洞就打誰」，中小企業反而成了主要受害者——因為防護薄、又付得起小額贖金。光是 2026 年 5 月，就接連爆出多起開源套件被植入惡意程式的供應鏈攻擊，企業用到的某個第三方元件被汙染，惡意碼就跟著進到你的系統。

這跟備份有什麼關係？關係很大。供應鏈攻擊與勒索病毒的共同點是「你不一定第一時間發現」。等你發現時，乾淨的資料可能是好幾天前的版本了。這時候 RPO（你能接受丟多久資料）和「保留多少個歷史版本」就決定了你的生死。如果你只留最新一份備份，而那份已經被汙染，你就無路可退。

延伸的功課是整體資安，不只備份。如果你想把防禦面一起補起來，可以參考我們寫過的 AI 駭客時代的中小企業資安行動清單 與 軟體供應鏈攻擊防禦行動清單，備份是最後一道防線，前面幾道也要顧。

中小企業最常見的 5 個備份盲點

• 盲點一：從來沒測試過還原。有備份不代表救得回來。備份檔損毀、版本不相容、缺了關鍵設定檔，都要等到真的要還原那天才會發現。至少每季做一次「演練還原」。
• 盲點二：只備份資料，不備份環境。資料庫救回來了，但作業系統、應用程式、設定、憑證全沒了，重建環境花的時間遠超老闆想像。要備份的是「能重新跑起來的整套」。
• 盲點三：備份和正式系統用同一組帳密、同一個網路。病毒進來一次全滅。備份的存取權限要獨立、要隔離。
• 盲點四：保留版本太少。只留最新一份，遇到潛伏型攻擊就完蛋。建議至少保留 30 天的每日版本 + 數個月的週版本。
• 盲點五：把備份的責任丟給「某個員工的習慣」。那個員工請假、離職、忘記插硬碟，備份就斷了。備份必須是自動化、有監控、有告警的流程，不能靠人記得。

雲端備份、地端備份、混合式：怎麼選

對 9 成中小企業，混合式是最務實的解：本地留一份還原快的，雲端留一份開啟不可竄改的異地備份。雲端那份特別要算清楚「還原時的下載費」——平常備份上去很便宜，真的要大量還原下載時，某些雲端的 egress 費用會讓帳單嚇人一跳。Backblaze B2、Wasabi 這類主打低 egress 的方案，對備份用途常常比大型雲更划算。

從零到一：90 天建立你的備份與災難復原計畫

不用一次做到完美，從最痛的那個系統開始就好。以下是一個務實的三階段路線。

第 1-30 天：盤點與訂目標

先列出「哪些系統一旦停了公司就不能運作」——通常是 ERP/進銷存、會計、客戶資料庫、官網或電商、檔案伺服器。為每一個訂出 RPO 和 RTO。這一步不要交給 IT 自己決定，因為「能接受丟多少資料、停多久」是經營決策，不是技術決策。

第 31-60 天：建立備份

依照 3-2-1-1-0 把備份建起來，重點是「自動化 + 監控告警」。備份失敗要主動通知，不能等到要還原才發現上週就斷了。同時把備份的權限獨立出來，與正式系統隔離。

第 61-90 天：演練與制度化

挑一個非營業時間，真的跑一次完整還原演練——把某個系統從備份重建起來，計時，看實際 RTO 跟你訂的目標差多少。然後把整套流程寫成書面文件，排進每季或每半年的固定演練。沒演練過的計畫不算計畫。

找外包做系統時，備份與 DR 要寫進合約的 6 件事

如果你的系統是外包開發或委外維運，備份與災難復原的責任歸屬一定要白紙黑字寫清楚，否則出事時雙方互踢皮球。這部分也可以搭配 軟體外包維運合約怎麼簽 一起看。

• 備份頻率與保留版本數（對應你訂的 RPO）寫進 SLA
• 還原時間承諾（對應 RTO），以及違約的補救措施
• 備份的存放位置、是否異地、是否有不可竄改版本
• 誰負責「定期還原演練」、頻率多高、要不要出報告
• 資料的所有權與離場條款——換廠商時資料怎麼完整交還
• 資安事件發生時的通報義務與時限（幾小時內要通知你）

如果你不確定現在的系統撐不撐得住

備份與災難復原最殘酷的地方，是平常完全看不出問題，出事那天才知道有沒有做對。與其賭運氣，不如花一個下午把「關鍵系統清單 + RPO/RTO + 現有備份能不能還原」盤一遍。

在系統客製化與維運的諮詢經驗中，我們做過 生產力管理系統 與 病歷分析管理系統 這類對「資料不能丟、系統不能停」要求很高的案子，備份策略與還原演練是專案的標準環節。如果你想找人幫你做一次健檢、或從頭把備份與 DR 架起來，可以參考 客製化網站 & 系統開發服務 或先透過 AI 顧問服務 聊聊現況。

結語：備份是最便宜的保險，卻最常被省

資安投資裡，備份與災難復原的投報率其實最高——它不能阻止攻擊發生，但能決定攻擊發生後你是「下午就恢復營業」還是「公司就此關門」。產業統計裡，遭遇重大資料災難後撐不過一年的中小企業比例高得驚人，差別往往就在那份「能不能還原」的備份。

今天就做一件最小的事：列出你公司「停了就不能營業」的前三個系統，問 IT 或外包廠商一個問題——「如果這個系統明天早上全毀，我們多久能回來，會丟多少資料？」如果對方答不出具體數字，那就是你該開始的地方。