資料備份與災難復原（DR）怎麼做？從 RPO／RTO 訂定、異地不可變備份到還原演練的完整規劃（含三級預算與 90 天路線圖）

還原到一半才發現，備份檔是 0 KB

一家工業零件貿易商在週五晚上主機硬碟故障。廠商說「每天都有備份」。動手還原才發現：排程在三個月前伺服器搬遷後就沒成功跑過，最後一份完整備份停在 97 天前，而且沒有人收到失敗通知。他們靠出貨單和試算表手工重建報價與庫存，花了 11 天，估算損失約 NT$180 萬。備份的重點從來不是「有沒有做」，而是「上一次成功還原是什麼時候、花了多久」。這一題多數中小企業答不出來。

適用情境 × 不適用情境

該現在投入的情況

• 核心營運跑在自架主機或單一雲端主機上（ERP、進銷存、官網訂單），停機一天就無法出貨
• 資料庫超過 5 GB，且每天有數百筆以上異動，重打不回來
• 已經被勒索軟體或誤刪掃過一次，或客戶、稽核開始要求提供備份與復原程序文件
• 系統由離職員工或已終止合約的廠商建置，沒人說得出備份跑在哪台機器、放在哪個帳號
• 官網、後台、檔案伺服器、客服對話紀錄散在三家以上不同供應商

先別花這筆錢的情況

• 所有服務都在 SaaS 上，而且你已逐一確認各自的資料保留政策與匯出方式足夠
• 資料量小於 1 GB 且變動極少，一份每週加密匯出就能覆蓋風險
• 連「哪些資料不能掉」都還沒盤點過——先花三天盤點，不要先買工具
• 沒有任何人願意固定負責看告警與跑演練，做了也只是換一種形式的假安心

替代方案矩陣：四種做法怎麼選

判斷公式只有兩題：掉多少資料還能活（RPO）、停多久還能活（RTO）。RPO 24 小時、RTO 3 天，方案 A 或 B 就夠；RPO 1 小時、RTO 4 小時，就必須走 D。AWS 的災難復原白皮書把這四級稱為 Backup and Restore、Pilot Light、Warm Standby 與 Multi-Site，級距每往上一階，成本大致翻倍。

完整流程拆解：8 週、六個階段

• 第 0 週｜資產與風險盤點（3–5 天）：列出所有資料庫、檔案目錄、金鑰、第三方帳號。交付：資產清單、每項資料的 RPO／RTO 表、資料保存年限盤點。工具：Google Sheets、Notion。
• 第 1–2 週｜架構設計：決定 3-2-1（三份副本、兩種媒介、一份異地）落點與加密金鑰保管流程。交付：架構圖、金鑰保管與交接文件。工具：draw.io、1Password 或 AWS KMS。
• 第 3–4 週｜實作：資料庫用 Percona XtraBackup 或 pg_dump 做一致性備份，檔案用 Restic 做去重加密，再以 rclone 推到 Cloudflare R2 與 Backblaze B2 兩個不同帳號。交付：可重跑的備份腳本與版本保留策略。
• 第 5 週｜不可變與監控：對物件儲存開 Object Lock，讓備份在保留期內連管理員都刪不掉；接 Healthchecks.io 的 dead-man switch，備份沒跑完就主動告警，告警同時發到 Email 與 LINE。交付：告警規則表。
• 第 6 週｜第一次全量還原演練：在乾淨機器上從零還原，計時。交付：Runbook（含指令、預估時間、負責人）與實測 RTO 數字。
• 第 7–8 週｜交接與訓練：兩位同仁各自獨立照 Runbook 跑一次。交付：教育訓練錄影、季度演練排程。

真實成本完整拆解（三級預算）

• 入門級 NT$120,000–180,000：單一系統、每日備份、雙雲異地、基本告警。適合資料庫 10 GB 以內、RTO 可接受 8 小時。
• 標準級 NT$220,000–350,000：3–6 個系統、每小時增量、Object Lock 不可變、完整 Runbook 與季度演練。適合多系統中小企業。
• 進階級 NT$400,000–650,000：加上異地待命環境、自動化切換腳本、RTO 4 小時內、每季 failover 實測。

• 隱藏費用（最常被漏算）：物件儲存月費（Cloudflare R2 標準級 US$0.015／GB-月、egress 為 0；Backblaze B2 US$6.95／TB-月），1 TB 雙雲約 NT$700／月
• 異地待命主機月費 NT$1,200–8,000
• 還原演練工時：每季 8–16 小時，一年約 NT$40,000–80,000 的內部成本
• 監控服務與金鑰保管：NT$300–1,500／月
• 從 AWS S3 大量下載的流出流量費（S3 官方定價）：真正災難那天才會一次爆出來，這也是我們預設把備份放 R2／B2 的原因

實施真相 vs 客戶想像

• 客戶以為裝好排程就完成了。實際是：沒跑過還原就等於沒有備份，第一次演練有相當比例會失敗在權限、字元集或缺少某個設定檔。
• 客戶以為「雲端主機商幫我備份」。實際是：多數主機商的快照保留 7 天內，且與主機同帳號；帳號被入侵時快照一起被刪。
• 客戶以為還原就是幾分鐘的事。實際是：500 GB 從冷儲存拉回、解密、重建索引，實測常落在 3–6 小時，這才是真 RTO。
• 客戶以為備份完就不用再花錢。實際是：不演練的備份會在半年內默默失效——系統升級、憑證過期、磁碟滿都會讓它安靜地停掉。

常見陷阱 × 怎麼避開

• 陷阱一：備份與正式站放同一台、同一個雲端帳號。解法：異地副本一定用另一個供應商的另一組帳號與獨立金鑰。
• 陷阱二：備份成功沒人看，失敗也沒人知道。解法：改用 dead-man switch，「沒收到成功訊號」就告警，而不是等失敗郵件。
• 陷阱三：直接複製 MySQL 資料目錄。解法：用 Percona XtraBackup 或 mysqldump --single-transaction 取得一致性快照，否則還原後索引損毀。
• 陷阱四：備份沒加密就丟上雲。解法：來源端加密（Restic 預設加密），金鑰另存密碼管理器，並指定兩位保管人。
• 陷阱五：勒索軟體把備份一起加密。解法：開啟物件儲存的 Object Lock／版本保留，做到 CISA 建議的離線／不可變副本。
• 陷阱六：只備資料庫，忘了上傳的檔案與 .env 設定。解法：盤點表逐項打勾，把使用者上傳目錄、憑證與環境變數納入備份範圍。

成功指標 + 上線後 90 天路線圖

• 第 30 天：備份成功率 ≥ 99%、告警平均回應時間 < 30 分鐘、完成第一次全量還原演練並記錄實測 RTO。
• 第 60 天：實測 RTO 較第一次縮短 30% 以上；補齊檔案目錄與設定檔覆蓋率至 100%；驗證 Object Lock 確實擋得住刪除。
• 第 90 天：做一次「無預警」演練，由未參與建置的同仁照 Runbook 執行；檢視儲存成本與保留天數是否需要調整；把演練排程寫進年度行事曆。
• 長期只看三個數字：備份成功率、實測 RTO、上次成功還原距今天數（超過 90 天就視為紅燈）。

決策清單：12 題自我檢查

• ☐ 你說得出「上一次成功還原」的日期嗎？
• ☐ 你知道實測 RTO 是幾小時，而不是猜的嗎？
• ☐ 備份是否至少有一份在不同供應商的帳號？
• ☐ 備份檔是否在來源端就加密？
• ☐ 加密金鑰是否有第二位保管人？
• ☐ 備份沒跑成功時，有人會在 1 小時內知道嗎？
• ☐ 是否啟用了保留期內不可刪除（Object Lock）？
• ☐ 使用者上傳檔案與 .env 設定有被備份嗎？
• ☐ 資料庫備份是否具備交易一致性？
• ☐ 有沒有一份寫明指令與負責人的 Runbook？
• ☐ 演練是否排進了行事曆而不是靠記得？
• ☐ 主要負責人休假時，是否有第二人能獨立完成還原？

勾不到 8 題，你的備份大概率是心理安慰。

常見問題 FAQ

備份與災難復原有什麼不一樣？

備份是「留下資料副本」，災難復原是「在多久之內把服務跑回來」。只做備份、沒有 Runbook 與演練，等於有一堆零件卻沒有組裝說明書。實務上真正的成本差距落在 RTO：從 3 天縮到 4 小時，通常代表預算從十幾萬跳到四十萬以上。

中小企業一定要做異地嗎？只放公司 NAS 不行嗎？

NAS 可以是三份副本裡的第二份，但不能當唯一。火災、竊盜、水管漏水、勒索軟體橫向感染，都會讓同一棟建築內的副本同時消失。異地副本用物件儲存做，1 TB 一個月不到 NT$700，這是整份預算裡 CP 值最高的一段。

我們已經有備份軟體了，還需要重新規劃嗎？

先做一次還原演練再決定。多數企業的問題不在工具，而在覆蓋範圍不完整（漏了上傳檔案或設定檔）、告警沒人收、以及從未實測過 RTO。我們也接單次的「備份健檢與還原演練」，不一定要重建整套。

整個建置要多久？中間會影響營運嗎？

標準級約 6–8 週，其中需要停機的只有還原演練的驗證環節，而且演練在獨立環境進行，不碰正式站。真正需要客戶投入的是第 0 週的盤點訪談，大約 6–8 小時。

下一步

ScriptWalker 的資料備份與災難復原（DR）建置服務從 NT$120,000 起，包含資產盤點、RPO／RTO 訂定、3-2-1 不可變備份架構、告警監控與第一次全量還原演練 Runbook。若你只想先知道現況有多危險，我們也提供單次的備份健檢：實際跑一次還原，給你一個真實的 RTO 數字與缺口清單。

• Email：[email protected]
• 電話：0916-224-047
• LINE：@ufv9089p