企业官网建设流程全解析

大多数医疗保健备份方案都以备份作业完成率来衡量。但真正重要的指标是，在临床运营所需的时间范围内，针对正确的系统，以合适的粒度进行恢复，是否有效。

本指南涵盖了医疗保健数据备份在操作上与通用企业备份的不同之处、如何构建在压力下工作的恢复架构，以及如何在关键时刻评估当前环境是否准备就绪。

了解 Zmanda Pro 如何满足所有临床工作流程的需求。

为什么医疗保健数据备份在操作上与通用企业备份有所不同

造成这种差异的原因主要有三点。

1. 通用工具无法应对的工作负载多样性

一家中型医院并非运行单一工作负载环境。它运行着Windows文件服务器、支持电子病历（EHR）平台的Oracle和SQL Server实例、托管临床应用的VMware集群、管理数TB级医学影像的PACS服务器、用于临床通信的Microsoft 365、用于共享文件系统的NAS存储，以及遍布病房、诊室和行政办公室的终端设备，这些设备通常跨越数十个地点。每种工作负载类型都有不同的备份需求、不同的恢复精度要求和不同的恢复时间目标（RTO）容忍度。

通用企业级备份工具可以保护大多数此类工作负载。而医疗保健行业的数据备份则需要保护所有这些工作负载，并且需要通过单一控制台进行管理，同时强制执行一致的策略。如果一个 IT 团队在三个站点运行四个不同的备份工具，那他们管理的就不是备份程序，而是在为在最糟糕的时刻出现备份漏洞做准备。

2. 恢复精度与恢复速度同等重要

在标准企业环境中，将服务器恢复到上次备份状态通常就足够了。但在临床环境中，这样做远远不够。如果电子病历数据库恢复到错误状态，例如丢失了最近两小时的患者记录，就会造成临床数据完整性问题，而不仅仅是IT问题。如果PACS服务器恢复到昨天的状态，就会丢失今天订购和采集的影像检查数据。

医疗机构的数据备份和恢复需要精确到特定时间点：将单个数据库恢复到特定事务，从虚拟机中恢复单个文件而无需恢复整个虚拟机，将应用程序恢复到事件发生前特定时刻的精确状态。这种恢复精度是区分受控事件和临床中断的关键所在。

3. 医疗保健领域的威胁模型有所不同

针对医疗机构的现代勒索软件攻击遵循一套已知的模式：首先入侵生产系统，然后攻击备份基础设施，最后触发加密。攻击者的目标是在攻击被察觉之前，彻底消除恢复选项。

IBM 的《数据泄露成本报告》十多年来一直将医疗保健行业列为数据泄露成本最高的行业，平均每次医疗保健数据泄露事件造成的损失超过 1000 万美元。依赖于标准网络连接目标且不具备不可篡改性的医疗保健备份方案，使得恢复选项极易受到此类攻击。而使用 WORM 技术或 S3 对象锁定（合规模式）存储的不可篡改备份副本，在保留期到期之前，任何人（包括管理员）都无法对其进行加密或删除。

完整的医疗保健数据备份计划的六个组成部分

以下六个部分并非理想化的标准，而是区分能够恢复的医疗备份环境和仅能运行的备份环境的关键要素。

1. 工作量全面覆盖，无任何空缺

医疗保健环境的覆盖范围要求涵盖存储或处理临床数据的每种工作负载类型：运行 Windows 和 Linux 的物理服务器、VMware、Hyper-V 和 Proxmox 上的虚拟机、包括 SQL Server、Oracle、PostgreSQL、MySQL、MariaDB 和 MongoDB 在内的结构化数据库、非结构化文件系统和 NAS、包括 Exchange Online、SharePoint 和 Teams 在内的 Microsoft 365，以及每个站点的终端设备。

覆盖缺口风险具有特殊性。如果一个组织只保护虚拟机而不保护数据库，或者只保护本地服务器而不保护远程诊所终端，那么其恢复问题随时可能出现。在临床工作流程中，哪怕一个缺口都足以造成运营中断。对于医疗保健数据备份而言，跨所有工作负载类型的单一控制台管理并非一项便利功能，而是一项风险管理要求。

2. 事件发生前已定义恢复架构

医疗保健领域的 RPO 和 RTO 是临床承诺，而非通用的 IT 指标。它们应该根据系统类型进行定义，而不是作为单一的组织级指标。

医疗保健数据备份和恢复需要采用与通用企业备份不同的恢复时间目标 (RTO) 方法。永久增量备份架构仅捕获初始完整备份后发生的更改数据，从而支持低于 1 小时的恢复点目标 (RPO)。无论恢复点有多旧，每个恢复点的恢复速度都相同，从而避免了传统差异备份方案中常见的完全重建延迟。

3. 在存储层强制执行不可变备份副本

勒索软件专门针对备份系统。使用 S3 对象锁定并启用合规模式存储的不可篡改备份副本，在配置的保留期限到期之前，任何用户（包括管理员）都无法修改、加密或删除。

在医疗保健备份环境中，合规模式和治理模式之间的区别至关重要。治理模式允许管理员进行权限覆盖。对于已获取管理员凭据的攻击者而言，治理模式无法提供任何保护。临床环境必须使用合规模式。策略级别的快照保护增加了一层额外的防护，即使备份服务器凭据完全泄露，也能确保安全。

4. 物理隔离或离线备份副本

3-2-1-1-0备份策略是医疗保健环境的架构标准：在两种不同的介质上保存三份数据副本，其中一份异地备份，一份离线或物理隔离备份，并且不允许出现任何未经验证的错误。物理隔离备份是多年未进行审查的医疗保健环境中经常缺失的组件。

物理隔离副本不具备任何网络连接。即使勒索软件已经攻陷了所有联网系统，也无法访问该副本。部署选项包括完全离线的本地存储，或与主环境完全隔离的专用云部署。

5. 通过单个控制台进行多站点备份管理

一个运营着一家主医院、多家附属诊所和远程诊断中心的医疗系统，需要在每个站点都提供一致的备份保障。如果使用不同的工具来管理备份，就会出现配置偏差和覆盖范围不足的问题，这些问题会在恢复事件中暴露出来。

单一控制台管理意味着集中应用和执行一致的策略，统一查看所有站点的备份状态，集中管理警报，确保远程诊所的备份作业失败不会被忽略，并且无论哪个站点受到影响，都采用一致的恢复流程。备份计划应在非高峰临床时段运行，以避免在进行诊疗时影响电子病历系统的性能。

6. 按既定频率进行有记录的恢复测试

未经测试的备份不能称之为备份，而仅仅是一种假设。

对完整的医疗保健数据备份环境进行恢复测试，需要对每个关键临床系统进行季度恢复测试，并记录测试结果：日期、测试系统、使用的备份集、达到的恢复时间目标 (RTO) 以及最终结果。测试内容包括完整的系统恢复和细粒度恢复，例如从虚拟机进行文件级恢复以及数据库的精确时间点恢复。如果一个系统通过了完整的恢复测试，但无法执行细粒度恢复，则说明其精度存在问题，这会在实际事件中暴露出来。

医疗保健信息技术部署模型考量

临床环境适用三种部署模式。正确的选择取决于团队能力和数据驻留要求，而非个人偏好。

自托管本地部署方案可完全控制数据驻留位置、存储目标和备份计划。无需互联网连接，因此对于真正实现物理隔离部署以及受合同或法规限制使用云存储的组织而言，这是唯一可行的选择。

云托管备份即服务通过将基础设施管理转移给供应商，降低了运营成本。这需要互联网连接以及与云存储提供商签订业务协议 (BAA)。它适用于拥有分布式站点且本地 IT 资源有限的组织，因为在这些组织中，管理本地备份基础设施的能力超过了团队的可用能力。

混合架构结合了本地备份以实现快速本地恢复，以及云存储以实现异地灾难恢复。这是中大型医疗机构中最常见的模式，也是在本地、云端和物理隔离环境中实现3-2-1-1-0 合规性的最实用途径。本系列的下一篇文章将深入探讨医疗 IT 的云和混合部署注意事项。

如何评估当前医疗保健数据备份环境

以下十个问题可以帮助发现当前备份方案中的不足之处。任何“否”或“不确定”的答案都对应着以上六个组成部分之一。

1. 备份解决方案是否能够通过单个控制台涵盖所有工作负载类型，还是需要为虚拟机、数据库和终端分别管理不同的工具？
2. 是否已为每个关键临床系统定义了 RPO 和 RTO，并测试了当前环境是否满足这些要求？
3. 是否至少有一个使用 S3 对象锁定合规模式或等效 WORM 技术的不可更改备份副本？
4. 是否拥有一个物理隔离或离线备份副本，即使联网系统遭到勒索软件攻击，该副本也无法访问？
5. 远程诊所和卫星站点的终端是否在备份策略范围内？或者主医院站点之外是否存在备份漏洞？
6. 能否在不恢复整个备份链的情况下，将单个数据库还原到特定时间点？
7. 在过去 90 天内，是否对关键临床系统执行并记录了恢复测试？
8. 备份计划是否配置为在每个站点（而不仅仅是主数据中心）的非高峰临床时段运行？
9. 如果备份服务器凭据今晚遭到泄露，攻击者能否删除或加密备份副本？

一个完整的医疗保健数据备份计划在实践中是什么样的

一个涵盖所有六大要素、具备全面工作负载覆盖、明确定义恢复点目标 (RPO) 和恢复时间目标 (RTO)、提供不可篡改副本、采用物理隔离存储、支持多站点管理以及记录在案的恢复测试的医疗保健数据备份方案，才能在需要时真正发挥作用，而不仅仅是勉强通过每日作业成功报告。

大多数医疗机构面临的风险在于，运行中的备份程序与实际恢复程序之间存在差距。勒索软件攻击和硬件故障本身并不会导致备份失效，而是会导致那些从未针对实际事件规模进行构建或测试的恢复架构失效。

构建这样的架构才是真正的工作。日常备份只是第一步，而不是终点。