一個週五晚上，刪掉的是 27 天的訂單
去識別化案例：一家做寵物用品的電商，工程師週五晚上調整資料庫結構，指令打錯，訂單明細表被清空。找備份時才發現主機商的快照排程是「每月一次」，最近一份在 27 天前。還原之後，27 天的訂單、金流對帳與出貨紀錄全數消失，行政部門靠銀行入帳明細與物流單人工補了三週，另外賠掉 41 筆重複出貨。真正的損失不在資料本身，在於整間公司沒有一個人知道「我們的備份到底有多舊」。
誰現在就該做，誰可以先等
該做
- 系統裡有訂單、金流對帳、會員個資，資料每天都在變動。
- 停機一天會直接損失營收：電商、預約、點餐、B2B 報價。
- 受《個人資料保護法》規範，須依第 27 條採行適當安全措施。
- 系統橫跨主機、物件儲存、第三方 API，資料散在三個以上位置。
- 已經有人為誤刪、或曾經收過勒索軟體的通知信。
先等
- 純靜態形象站、沒有資料庫：程式碼進 Git、圖檔放版控即可，不必買 DR。
- 所有資料都在 SaaS（Shopify、SHOPLINE），且你已能定期匯出 CSV 存到自己這邊。
- 停機三天不影響收入的內部工具，先做每週手動匯出就好。
- 公司還沒有人負責每月檢查備份狀態，先指定人，再談架構。
- 連「資料放在哪幾台機器」都列不出來，先做資產盤點。
四條路的成本與取捨
| 做法 | 典型 RPO | 典型 RTO | 年成本 | 限制 |
|---|---|---|---|---|
| 主機商內建快照 | 24 小時 | 1–4 小時 | 約主機費 20% | 與正式站同帳號同區，帳號被停用或整台誤刪就一起沒 |
| 排程備份到第三方物件儲存 | 1–24 小時 | 2–8 小時 | NT$3,000–30,000 | 需自建排程與告警；還原要人操作 |
| 物件儲存 ＋ 二進位日誌時間點還原 | 1–5 分鐘 | 2–6 小時 | NT$20,000–80,000 | 資料庫設定較複雜，需定期驗證日誌完整性 |
| 跨區熱備 ＋ 自動切換 | 近乎 0 | 5–30 分鐘 | NT$150,000 起 | 成本翻倍，且誤刪會同步複製到備援端，仍需獨立備份 |
多數中小企業的甜蜜點在第二、三條。第四條只有在「停機一小時就損失六位數」時才划算。
四階段導入流程
- 階段 0：資產盤點與 RPO／RTO 定義（3–5 天）。把資料分成三類：資料庫、使用者上傳檔案、設定與金鑰。老闆回答兩題——能接受掉幾小時的資料（RPO）、能接受停多久（RTO）。交付：資料資產清冊、RPO／RTO 表（Notion 或 Google Sheets）。
- 階段 1：備份架構建置（1–2 週）。落實 3-2-1：三份副本、兩種媒介、一份異地。工具用 restic 做客戶端加密與去重、rclone 推到 Cloudflare R2 或 Backblaze B2；Laravel 專案可直接用 spatie/laravel-backup。交付：備份腳本、加密金鑰保管方式、保留策略。
- 階段 2：監控與告警（3–5 天）。備份最危險的失敗是「安靜地失敗」。用 Healthchecks.io 做 dead man's switch：任務沒在預期時間回報就發告警到 Slack。交付：告警規則、每月備份狀態報表。
- 階段 3：還原演練與手冊（3–5 天）。在乾淨機器上真的還原一次，計時。交付：實測 RTO 數字、DR Runbook（誰打給誰、DNS 怎麼切、金鑰在哪）、兩人以上交接紀錄。
真實成本拆解
導入費（依 2026 年台灣市場行情估算）：基礎級 NT$40,000–80,000、標準級含時間點還原 NT$120,000–250,000、跨區熱備 NT$350,000 起。ScriptWalker 的「備援與災難復原建置方案」自 NT$60,000 起，維運月費自 NT$3,000 起。
常被漏算的持續性費用：
- 物件儲存：R2 標準級每 GB 每月 0.015 美元、不收流出費；B2 每 TB 每月 6 美元，免費下載額度為儲存量三倍。
- 冷儲存的陷阱：S3 Glacier Deep Archive 儲存每 TB 每月約 1 美元很便宜，但有 180 天最短計費期，且取回每 GB 約 0.02 美元——真的要救 500GB 時是一筆突發支出。
- 流出費：從 AWS S3 拉回資料要付 egress，R2 與 B2 不用，這是選型時的實質差額。
- 主機商快照佔用的額外磁碟費，通常按主機費比例計。
- 每季還原演練的工時：一次 4–8 小時，一年約 NT$20,000–40,000。
- 還原當下臨時開機器的費用，以及金鑰保管（密碼管理器團隊方案）年費。
客戶想像 vs 實際發生
- 想像：主機商有備份就等於安全。實際：快照與正式站同帳號同區，帳號被停用、或整台機器被誤刪，備份一起消失。
- 想像：備份有在跑就是有備份。實際：從沒還原過的備份等於沒有備份。常見的是 dump 檔 0 bytes、或沒加交易一致性參數導致匯回去資料對不起來。
- 想像：還原半小時就好。實際：100GB 從冷儲存拉回、解密、匯入、加上 DNS TTL 等待，實測常落在 4–9 小時。
- 想像：備份越多份越安全。實際：沒有保留策略，儲存費一年就翻倍；而且勒索軟體會把所有「可寫入」的副本一起加密。
- 想像：這是工程師的事。實際：決定 RPO 的是老闆——你能接受掉幾小時的訂單，直接決定要花多少錢。
六個常踩的坑與解法
- 備份與正式站同帳號。解法：異帳號、異地，並開啟 Object Lock 之類的不可刪除保護。
- 只備資料庫，沒備使用者上傳檔案與環境設定。解法：資產清冊強制分三類，缺一不簽收。
- 備份沒加密就丟上雲。解法：客戶端加密後才上傳，金鑰另存密碼管理器，不與備份同一處。
- 壞了三個月才發現。解法：dead man's switch 告警，沒回報就叫人，而不是失敗才通知。
- 從沒演練過。解法：每季一次還原演練，把實測 RTO 寫進報表，數字不合格就加預算。
- 金鑰與登入資訊只有一個人知道。解法：至少兩人持有、寫進離職交接清單。
成功指標與 90 天路線圖
- 第 30 天：資產清冊完成、備份成功率 100%、告警接到 Slack、完成第一次還原演練並記下實測 RTO。
- 第 60 天：時間點還原可回到任意分鐘、保留策略（7 日／4 週／12 月）上線、異地副本啟用、月儲存費落在預算內。
- 第 90 天：完成一次全站切換演練、RTO 壓到目標值以內、Runbook 有兩人以上熟悉、做完第一次年度成本與風險回顧。
決策清單
- ☐ 我說得出最近一次成功備份是什麼時候
- ☐ 我知道公司可接受的 RPO（掉幾小時資料）
- ☐ 我知道公司可接受的 RTO（停多久）
- ☐ 備份存放在與正式站不同的帳號
- ☐ 備份存放在與正式站不同的地理區域
- ☐ 使用者上傳的檔案也有備份
- ☐ 環境設定與金鑰也有備份
- ☐ 備份上傳前已加密
- ☐ 備份失敗會主動通知到人
- ☐ 過去六個月做過至少一次還原演練
- ☐ 有書面的還原手冊，且不只一個人看得懂
- ☐ 有明確的保留策略與刪除規則
- ☐ 每月儲存與流出費用有人在看
勾不到 8 項，代表現在的備份大概率救不了你。
常見問題 FAQ
主機商說有每日備份，我還需要另外做嗎？
需要。主機商快照解決的是硬體故障，不解決帳號被停用、整台誤刪、以及勒索軟體同時加密可寫入副本這三種情境。最低成本的補強是每天再推一份加密副本到不同供應商的物件儲存，一個月幾百塊台幣就能做到。
RPO 和 RTO 到底該怎麼訂？
用錢反推。先算「停機一小時損失多少營收」與「補一天資料要幾個人天」，再看哪一級方案的年成本低於預期損失。多數中小企業合理的起點是 RPO 一小時、RTO 四小時；訂到 RPO 五分鐘、RTO 三十分鐘，成本會跳一個級距。
備份放國外會不會有個資問題？
《個人資料保護法》未全面禁止跨境傳輸，但主管機關得依第 21 條限制特定情形。實務上的作法是：備份客戶端加密後再上傳，金鑰留在台灣，並在個資檔案安全維護計畫中寫明儲存位置與加密方式。涉及大量個資或特種資料時，建議先諮詢法遵。
做一次還原演練要花多少時間？
第一次通常 4–8 小時，因為會發現缺檔案、缺金鑰、缺文件。第二次以後多半能壓到 2 小時內。建議每季一次，並且刻意讓「平常不負責這件事的人」來執行，才測得出手冊寫得夠不夠清楚。
下一步
如果你連「最近一次成功備份是哪一天」都答不出來，不必先談架構——我們可以先做一次 60 分鐘的備援健檢，把資料資產、現有備份狀態與可接受的 RPO／RTO 一次盤清楚，你會拿到一份風險清單與分級報價，再決定要做到哪一級。
- Email：[email protected]
- 電話：0916-224-047
- LINE：@ufv9089p