出了问题，就恢复。
数据丢失，就找回。
系统故障，就回滚。
备份至关重要。
但在网络安全事件发生后，它们回答的是一个错误的问题。
真正的问题不是“我们能恢复数据吗？”
而是：
“我们能证明数据仍然真实吗？”
恢复不等于验证
事件发生后，各组织急于让系统重新上线。
备份完成了它们的任务：文件重新出现，数据库得以恢复，服务恢复运行。
但缺少了一个关键环节。
备份可以告诉您：
• 某个时间点存在哪些数据，
• 恢复的是哪个版本，
• 恢复是何时进行的。
它无法告诉您：
• 数据在备份之前是否已遭入侵，
• 记录是否被悄无声息地篡改，
• 这些信息能否作为证据被信赖。
恢复为您带来连续性。
验证为您带来可信度。
备份背后的危险假设
大多数组织都基于一个隐含的假设运作：
“只要来自备份，就一定是正确的。”
事件发生后，这一假设就会成为隐患。
攻击者并不总是删除数据。
他们会修改数据。细微地、有选择地、悄无声息地。
一个被篡改的字段。
一个被更改的时间戳。
文档中一条被修改的条款。
备份会忠实地保存这一切，包括被入侵后的内容。
从技术角度看，一切正常。 从法律、监管或审计角度看，一切都值得怀疑。
审计人员要的不是备份。他们要的是证明。
当审计人员、监管机构或法务团队介入时，他们并不关心恢复是否成功。
他们提出的是不同的问题：
• 您如何知道这条记录没有被篡改？
• 您能否证明这份文档在那个时间点就以这一确切形式存在？
• 您有什么证据表明这些数据是真实的？
“因为我们是从备份中恢复的”并不是答案。 这只是一种假设，而假设经不起审查。
没有可验证的证明：
• 审计会放缓或失败，
• 合规报告会受到质疑，
• 法律立场会被削弱，
• 决策会被推迟。
问题不在于存储，而在于信任。
大多数安全策略都是围绕保护存储构建的：
• 加密数据库，
• 加固访问控制，
• 复制数据，
• 进行备份。
都有必要，但都不充分。
信任并非来自数据存储在哪里。
而是来自其完整性能否被独立验证。
事件发生后，信任必须靠赢得，而不能靠假定。
而仅依赖内部系统的信任是脆弱的，尤其是当这些系统刚刚遭到入侵时。
证明必须存在于影响范围之外
如果您拥有的唯一证据就存放在遭受攻击的同一批系统中，那么您拥有的不是证据，而是不确定性。
真正的证明具备三个特性：
• 不可变：无法被追溯性地更改
• 带时间戳：证明某项内容在何时存在
• 独立：即使内部系统失效也依然留存
缺少这些特性，数据或许可以恢复，但站不住脚。
备份是必要的。但仅有备份还不够。
这并不是反对备份的论点。
而是反对依赖备份去做它们从未被设计来做的事情。
备份关乎可用性。
证明关乎完整性。
缺乏可信度的连续性是脆弱的。
而在受监管、高风险的环境中，脆弱性是组织无法承受的风险。
在下一篇文章中，我们将探讨从设计之初就证明数据完整性究竟意味着什么，以及为什么验证必须从数据创建之时开始，而不是在事件发生之后。
因为在遭受入侵之后， 问题已不再是您是否恢复了数据， 而是是否有人能够信任这些数据。