可访问的备份也可能受到攻击
如果备份服务器与生产环境共用管理员账户、长期暴露在用户网络中，或将副本存放在普通共享目录，攻击者可能同时破坏生产数据和备份。至少保留一份离线、不可变或由独立权限体系管理的副本。
成功状态不等于恢复验证
任务完成只说明数据已经写入，并未验证应用一致性、数据库日志、密钥、依赖关系以及备用设备是否可用。应定期恢复文件和数据库，并对关键系统开展完整恢复演练。
用 RPO 和 RTO 定义目标
RPO 表示企业可接受的数据丢失量，RTO 表示服务必须在多长时间内恢复。两项指标共同决定备份频率、存储架构、网络能力和恢复流程。
建立相互独立的保护层
- 为备份管理员使用独立账户和多因素认证；
- 隔离管理接口和存储网络；
- 保留不可变或离线副本；
- 监控批量删除、策略变更和任务失败；
- 明确恢复顺序、依赖关系和负责人。
备份是最后一道恢复防线，不能替代补丁管理、身份保护、监控和事件响应。真正的衡量标准，是能否恢复完整可用的业务服务。