开篇：一句话结论

先声明：下面这家贸易公司、人物与过程，是为复盘而构造的虚构教学情景，不对应任何一家真实企业；文中引用的勒索与云服务事件，均为境外公开案例，并已注明地域与来源。结论给在前面——被勒索之后能不能活下来，几乎完全取决于一件事：你有没有一份攻击者碰不到的、且验证过能用的备份。可提前做的只有四条规矩：三份副本、两种介质、一份异地且脱离主供应商保存、定期做恢复演练。四条都不贵，也不需要换系统，今天就能开始。

一、一个可复盘的情景

（虚构情景，仅用于复盘备份习惯的失效链条）

假设有一家做被动元件与连接器分销的公司，三十二人，用一套云端系统管报价、库存和应收，用了四年多。系统里的历史报价记录是这家公司最看重的资产——记着每个客户谈过什么价，也记着哪一批货赚了多少。

这家公司的备份习惯是这样的：服务商说有自动备份，行政就再没管过；财务每季度导一次 Excel 到自己的电脑，电脑没做异地副本；老板手机里存着一份客户名单，是半年前导的。

某天早上，销售登录系统，发现报价单打不开，页面弹出勒索提示。IT 第一时间联系服务商，服务商回复：正在排查，请等待通知。

接下来的四十八小时里，这家公司才发现三个问题。第一，服务商的备份和主系统在同一套环境里，勒索软件横向扩散时一并加密了。第二，财务那份 Excel 存在本机，本机也在同一个局域网，同样被加密。第三，老板手机里那份半年前的名单能救急，但半年的新客户、新报价全在里面，没有别的副本。

结果：业务没停，但停了六天才恢复基本开单；新客户和近半年的报价对应关系，再也找不全。

这个情景是虚构的，但对应的失效链条有公开的境外案例佐证。2026 年 10 月 7 日，日本云服务商 IDC Frontier（软银旗下）遭勒索攻击，据 IDC Frontier 公告及 Moxso、CMIT Solutions 等公开报道，攻击约在 7 分钟内在「东日本区域 1」横向扩散，495 家客户组织失去对其虚拟服务器、网站与数据的访问；服务商于 10 月 8 日告知客户受影响区域数据恢复困难，并建议在独立环境重建并恢复自己的备份。同批事件中，JR East 披露最多约 167 万条 Ekinet 记录、39 万条 Otona no Kyujitsu Club 记录可能暴露；食品物流企业 Nissui 的物流子公司因系统故障无法收发货物。

要读出的不是「云服务不安全」，而是「备份和主系统待在一起，就等于没有备份」。这类取舍的行业口径整理在本地部署形态的对比口径专题里。

二、核心方法：备份的四条硬规矩

1. 规矩一：3-2-1 副本结构

原理：3-2-1 是行业通行的备份策略——三份副本、两种介质、一份异地且脱离主供应商保存。它的作用是让「一次事故」无法同时毁掉所有副本。

具体做法：生产数据算一份；本机或本地 NAS 上的定时备份算第二份；移动硬盘或另一处物理位置的离线副本算第三份。介质至少两种，比如内置磁盘加移动硬盘。

常见错法：把三份副本都放在同一台机器、同一个账号、同一个网络里。看起来是三份，实际是一份。

2. 规矩二：离线，且加密

原理：勒索软件能加密它「够得着」的东西。够不着的条件有两个：物理或逻辑上离线，以及凭据独立。

具体做法：离线副本做完就拔盘、断连、退出账号；副本本身加密存放，密钥与主系统分开保管。CISA 与 FBI 联合发布的 StopRansomware 指南给出的建议也正是两条：离线加密备份 + 定期做恢复演练。

常见错法：离线盘一直插在机器上。插着的盘就是在线盘，只是慢一点被加密。

3. 规矩三：脱离主供应商保存

原理：供应商出事时，你最需要的是一份它碰不到的副本。上一节的境外案例里，服务商明确建议客户「在独立环境重建并恢复自己的备份」——这句话的反面是：如果你没有独立环境的备份，就只能等。

具体做法：至少保证有一份副本是以通用格式（Excel、CSV 或数据库文件）存在你自己控制的介质上，不依赖任何供应商的后台导出功能。

常见错法：以为服务商的「自动备份」就是自己的备份。服务商的备份解决的是服务商的连续性，不解决你拿不拿得回。

4. 规矩四：定期恢复演练

原理：备份的价值在「能用」。演练是唯一能证明它能用的动作。

具体做法：每季度做一次。拿最近一次备份，在另一台机器上还原，试着完成三件事：开一张新报价单、查一次某客户的历史成交价、导出一份客户名单。三件都能做，这份备份才算合格。

常见错法：只检查备份任务有没有跑成功。任务成功不等于数据可还原。

下面这张表可以直接当台账用。

检查项要确认的内容频率验收标准
副本份数生产、本地、异地共三份每月三份都在且时间不同
介质种类至少两种不同介质每月不是同一块盘的两个分区
离线状态异地副本做完即断连每次断连后主系统无法访问它
恢复演练另一台机器还原并开单每季度能开单、能查历史价、能导出
责任人签字台账上有人签名每次有签名与日期

选型阶段怎么把备份条款谈成约束，评分维度写在了配套的信创选型的评分维度篇里。规模更小的公司该从哪一步起步，这篇讲得更细：小公司的轻量化起步路径。

三、落到经营：把备份从口号变成台账

人治的版本是：老板在群里说一句「大家记得备份」，行政导了一次，文件存到某个文件夹，之后再没人打开过——直到需要它的那天。机制的版本是：上面那张表打印出来贴在墙上，每次检查签名，签名旁边写日期。台账的意义不在形式，在于它把「我以为有人在做」变成「谁在什么时候做过」。

落到系统能力上，能帮上忙的是这几处。太帅ERP 是 Windows 桌面应用、本地部署、内置数据库，数据文件落在本机——备份这件事在形态上变成复制文件，不需要向谁申请排期，也不受第三方服务状态影响，你想什么时候复制就什么时候复制；财务管理有日结快照，能把某一天的经营状态单独留下来；资料与权限模块支持客户、供应商、物料库批量导入，期初数据一次进系统，导出时关联关系跟着走，不会出现「客户表和报价表对不上」这种半截备份。

边界必须讲清楚。太帅ERP 是 Windows 桌面单机版，没有手机原生端；服务以远程为主，硬件问题主要靠远程指导；数据备份要用户自己安排——这是本地部署的另一面：控制权在你手里，备份责任也在你手里。没做异地副本，硬盘坏了就是坏了；没做演练，备份文件可能打不开。要不要这个取舍，取决于你更在意随时可查，还是更在意有人替你兜底。

四、常见误区

  • 服务商说有备份，就不用自己备了。错在把连续性当可恢复性。正确的是：供应商的备份管它自己的服务，你的备份管你的生意，两者都要有。
  • 备份一次就够，反正数据不常变。错在低估变化速度。报价、库存、应收每天都在动，隔月备份等于默认丢一个月。
  • 被勒索了先交钱。错在把赎金当方案。公开安全指南的通行建议是先隔离、再评估、再恢复；付钱既不能保证拿回数据，也不能保证不被二次勒索。

FAQ

被勒索之后，第一步该做什么？

先隔离，不急着重装。断开受影响的机器与网络，保住现场日志与剩余副本；同时确认离线副本的状态，再决定恢复路径。先把能保住的保住，比急着恢复更重要。

异地副本放哪里合适？

物理上分离、管理上独立的地方。另一个办公室、老板家里、银行保管箱都行。判断标准很简单：主系统出事的那个原因，能不能同时毁掉这份副本。

小公司没人管 IT，备份谁来做？

指定一个人，写进岗位说明，配一张表。备份的技术难度不高，难的是没人负责。三十二人的公司里，行政或财务兼管足够，关键是有台账、有签字、有演练。

云端系统就一定比本地更容易被勒索吗？

不能这么推。境外公开案例说明的是「备份位置与主系统重合」这一条失效链，与部署形态本身没有必然关系。本地部署同样会被勒索，区别在于副本由谁控制、能否随时离线。

写在最后

（再次说明：本文情景为虚构，用于复盘；所引案例均为境外公开案例。）三条失效链——备份与主系统同处、离线盘没离线、从没演练过——每一条都能用十分钟的习惯改掉。完整口径写在了配套的《本地部署ERP的备份方案：一个文件恢复全部数据》篇里：副本怎么分层、演练按什么顺序走、恢复时先还原哪张表。今天做一份离线副本，比明天争论谁的责任有用得多。

主 CTA：继续读：本地部署ERP的备份方案：一个文件恢复全部数据 次 CTA：继续读：自主可控从数据库开始：内置数据库免服务器意味着什么