2026-06-19

備份加密與存取控制：備份也要最小權限

適用對象：組織管理者

這篇要解決的問題是：你已經有了備份，但這份備份本身是否安全？誰可以存取它？備份檔案有沒有加密？如果備份設備遺失或雲端備份帳號被入侵，會發生什麼事？

問題情境

你的組織照著 3-2-1 策略做了備份：本機有一份，外接硬碟有一份，雲端也有一份。聽起來很完整。

但你沒有注意到：外接硬碟沒有加密，任何人只要拿到那顆硬碟就能讀取裡面的所有資料。雲端備份帳號的密碼是幾年前設的弱密碼，也沒有開 MFA。組織裡有三個人知道備份的存取方式，但沒有人說清楚什麼情況下可以動用，也沒有記錄誰在什麼時候存取過。

備份解決了「資料消失」的問題，但同時創造了一個新問題：一個可以大量存取敏感資料的額外入口。

核心觀念

備份是風險集中點

備份的設計目標是存放大量資料、讓人可以快速還原。這個特性讓備份成為攻擊者的高價值目標：一次取得備份，等於同時取得組織歷史上的大量資料。

部分勒索軟體攻擊的流程是：先侵入系統，靜默等待並找到備份位置，加密備份後再對主系統下手，讓受害組織連備份都無法用來復原。這個攻擊流程的成立條件，往往是備份的存取控制太寬鬆。

備份加密的兩個層次

• 靜態加密（encryption at rest）：備份檔案本身是加密狀態。即使儲存媒介遺失或被偷走，沒有金鑰就無法讀取內容。外接硬碟、備份雲端儲存，都應該啟用靜態加密。
• 傳輸加密（encryption in transit）：備份資料傳輸到雲端的過程中受到加密保護。大多數現代備份服務預設已啟用，但仍值得確認。

最小權限同樣適用於備份

備份系統的管理員帳號應該和日常工作帳號分開。不是每個人都需要存取備份。能夠觸發還原操作的帳號，應該是受到最嚴格保護的帳號之一。

最小可行做法

1. 確認外接硬碟或 NAS 已啟用加密：macOS 外接硬碟可在磁碟工具程式選擇「加密」格式。Windows 可使用 BitLocker To Go 對外接硬碟加密。NAS 設備通常在管理介面中有加密設定選項。加密後，忘記密碼等於資料永久遺失，請務必將加密金鑰或密碼存入密碼管理器。
2. 確認雲端備份帳號的安全設定：備份服務帳號（例如：Backblaze、AWS S3、Wasabi）應使用強密碼並開啟 MFA。存取金鑰（API Key）應該只授予執行備份所需的最小權限，並定期輪換。
3. 限制誰有權存取備份：不是所有管理者都需要存取備份。訂立「哪些職位或角色可以執行還原操作」的規則，並在備份服務的存取控制中執行。
4. 記錄每次備份存取與還原操作：建立存取日誌，記錄誰在什麼時候存取了備份或執行了還原。這份紀錄在事件發生後是重要的調查依據。
5. 設計緊急接管程序：備份系統的管理者若突然失聯或離職，組織應能夠取得備份存取權限。緊急接管的帳號資訊應存放在密碼管理器的組織保險箱中，由至少兩位管理層人員共同掌握。
6. 定期測試備份可用性：每季至少執行一次從備份還原測試，確認加密備份可以正常解密並還原檔案。加密備份若金鑰設定錯誤，可能在需要時才發現根本無法解密。

常見錯誤與風險邊界

• 加密了但沒有儲存金鑰：備份加密後金鑰遺失，等於備份永久無法使用。金鑰或加密密碼必須另外保存在安全的地方，且至少有一份存放在備份系統以外（例如：密碼管理器的保險箱）。
• 雲端備份用個人帳號管理：若備份服務帳號綁定的是某位成員的個人帳號，該成員離職後組織就失去了對備份的控制。使用組織帳號或共用管理帳號管理備份服務。
• 備份存取權限太廣：備份服務的 API 金鑰若有「刪除」和「覆蓋」的權限，攻擊者取得金鑰後可以直接銷毀備份。執行備份的金鑰只需要「寫入」權限。執行還原的操作需要另一組有「讀取」權限的憑證，且平時不應常態暴露在系統上。
• 不可變備份設定沒有啟用：部分雲端儲存服務支援「不可變備份（immutable backup）」，讓備份在設定的保留期限內無法被修改或刪除，即使攻擊者取得存取權限也無法破壞。這個功能值得評估是否啟用。
• 測試時只測「能不能存取」，不測「能不能解密還原」：備份測試要實際完成解密和還原到可用狀態，才算有效。只確認備份檔案存在，不等於確認備份有效。

何時升級

• 你需要符合特定法規對資料保護的要求：除了加密之外，法規可能要求存取日誌、金鑰管理流程、資料保留期限等，需要根據具體法規設計對應的備份管理制度。
• 你的組織規模增長，備份資料量或複雜度超過目前方案的能力：評估專業備份解決方案，並確認新方案的加密與存取控制設計符合最小權限原則。
• 你想了解整體的備份策略：參考本系列文章「備份不是複製：3-2-1 策略與復原演練」，從備份架構的完整性開始評估，再逐步強化存取控制。

參考文件

• 資料備份 — 組織資安指引
• 資料存取角色管理 — 組織資安指引