定义“网站”包含的内容
从服务清单开始。对每个站点、门户、商店或活动，记录业务负责人、技术负责人、托管账户、域名和 DNS 控制、代码仓库、内容和媒体存储、集成项以及必要的凭据。标注哪些内容可以从版本控制重建，哪些保存着唯一记录。
有意包含配置项：重定向、CDN 或防火墙设置、定时任务、模板和基础设施即代码文件。不要将在线密钥直接复制到通用清单中；应指向批准的密钥管理系统和应急访问流程。WordPress 的案例说明了常见的差距：典型站点既需要文件又需要独立的数据库。
定义可以提供基本信息或交易的最小安全版本。
将兼容的数据库、文件、媒体和配置导出归入同一时间戳或版本标签。
根据业务容忍度设定频率和保留期
根据变更速率和变更价值选择备份频率。用易懂语言写出 RPO，然后检查每个唯一存储是否足够频繁地被捕获。每晚一次的文件拷贝无法满足对快速变化数据库的四小时 RPO。
单独设定 RTO。包含授权、清洁基础设施、恢复、验证、流量调整和内部沟通。通过演练来测量 RTO 而不是仅采信供应商声明。在发生错误或延迟发现时，保留旧的恢复点足够久；当数据涉及隐私、档案或法律义务时，与隐私、档案或法律专家一起审查保留策略。
将完整恢复点之间的间隔与每项服务的 RPO 对比。
验证有经授权人员能找到较旧的已批准恢复点。
分离并保护恢复副本
使用位于不同位置或服务的多份副本，以免单一账户、本地事件或错误删除消除所有选项。CISA 建议定期自动备份、异地副本、加密和离线副本。NCSC 建议避免永久连接的备份设备，并推荐不止一种备份方案或位置。
用最小权限保护备份管理，支持时启用多因素认证，使用独立的管理账户并定期审查访问。理解成本和恢复行为后再启用删除保护、版本历史或不可变存储。对存储的数据进行加密并测试密钥保管。无可及密钥的加密数据不可用；广泛共享访问会削弱每一份副本的安全性。
副本应具有与生产环境显著不同的故障模式。
列出谁可读取、变更、删除和恢复备份；移除过期访问权限。
编写恢复运行手册并分配权限
运行手册是经过测试的恢复流程。保留一份在受影响站点、生产身份提供商或常用聊天系统无法访问时也能取得的副本。包含联系人及替代联系人、授权人、系统优先级、备份位置、前置条件、恢复顺序、验证检查和停止条件。
为每个关键服务指定一名负责的恢复所有者和替代人。定义谁有权批准恢复到生产、修改 DNS 和进行业务数据验证。如果涉及持卡人数据、敏感个人数据或受监管记录，在决定保留、通知或恢复之前，寻求合格的安全、隐私、法律以及相关的 PCI 审查。
记录所选恢复点、批准人、接触的系统、验证结果和例外情况。
记录受控的紧急访问方式；切勿仅依赖某位员工的设备或记忆。
在疑似妥协后安全恢复
在可能存在未授权访问、恶意软件或可疑删除的情况下，不要自动用最新副本覆盖生产环境。遵循事件流程，评估哪些账户和备份可能受影响，依据证据选择恢复点，并在重新连接前重建或隔离恢复环境。
CISA 指导按关键服务优先顺序恢复，并警告不要将感染重新传播到已清洁的系统。NCSC 建议仅将备份连接到已知清洁的设备并在恢复前对其进行扫描。这些步骤可以降低风险，但不能保证绝对清洁。在需要调查、证据保存或通知义务时，应升级至有资质的事件响应帮助。
在干净的基础设施上恢复最高优先级服务、验证通过，然后按依赖关系顺序继续。
检查用户流程、数据、作业、集成、管理、日志记录以及新的备份覆盖情况。
用演练作为证据和改进输入
根据风险执行部分恢复、隔离的完整重建、依赖丧失演习或决策桌面演练。从安全且有意义的测试开始，并随着时间推移增加真实度。CISA 建议进行完整和部分恢复测试；NCSC 建议通过演练澄清角色、第三方责任和优先级。
将恢复点年龄与 RPO 比较，将消耗的恢复时间与 RTO 对比。记录集合标识符、参与者、验证结果、失败步骤以及每项修复的负责人。在修补差距后以及在发生重大平台、身份、数据库或供应商变更后重新测试。SIU 可以组织这类预防性修复工作；它不是备份系统或实时监控服务。
保留简明记录，说明恢复了什么、在哪里恢复、通过了什么、失败了什么以及谁接受了结果。
在发生重大架构或供应商变更后，对相关测试重复执行。