Sao lưu và phục hồi thảm họa dữ liệu doanh nghiệp

Ban biên tập Premium Dark Markets Security - Kiến thức an ninh mạng doanh nghiệp · 19/05/2026 · Cập nhật 13/10/2026

Một kế hoạch sao lưu và phục hồi thảm họa tốt trả lời được hai câu hỏi trước khi sự cố xảy ra: doanh nghiệp chấp nhận mất tối đa bao nhiêu dữ liệu, và cần hoạt động trở lại trong bao lâu. Từ đó mới chọn cách sao lưu, nơi lưu trữ và quy trình khôi phục. Nguyên tắc nền tảng là có nhiều bản sao, ở nhiều nơi, trong đó ít nhất một bản không thể bị kẻ tấn công xóa hay mã hóa, và việc khôi phục đã được thử thật chứ không chỉ nằm trên giấy.

Sao lưu và phục hồi thảm họa không phải là một

Sao lưu là tạo bản sao dữ liệu. Phục hồi thảm họa (disaster recovery, DR) là toàn bộ năng lực đưa hệ thống trở lại hoạt động sau sự cố lớn: cháy phòng máy, mã độc tống tiền, lỗi phần cứng diện rộng, nhà cung cấp đám mây gặp sự cố khu vực. Có bản sao lưu nhưng không có máy để khôi phục, không biết thứ tự dựng lại hệ thống, không có người biết làm, thì vẫn có thể mất nhiều ngày mới hoạt động lại.

Cả hai nằm trong bức tranh lớn hơn là kế hoạch duy trì hoạt động kinh doanh, bao gồm cả con người, nơi làm việc thay thế và cách liên lạc với khách hàng.

Hai con số cần thống nhất: RPO và RTO

RPO (Recovery Point Objective): lượng dữ liệu tối đa được phép mất, tính bằng thời gian. RPO 24 giờ nghĩa là sao lưu mỗi ngày là đủ; RPO 15 phút đòi hỏi sao chép liên tục hoặc sao lưu nhật ký giao dịch.
RTO (Recovery Time Objective): thời gian tối đa từ lúc sự cố tới lúc hệ thống hoạt động lại.

Mỗi hệ thống có RPO, RTO riêng. Hệ thống bán hàng có thể cần vài giờ, trong khi kho tài liệu lưu trữ có thể chờ vài ngày. Con số càng nhỏ, chi phí càng cao, vì vậy cần lãnh đạo tham gia quyết định thay vì để bộ phận IT tự đặt. Kết quả đánh giá rủi ro an ninh là đầu vào tốt để xếp hạng hệ thống nào cần ưu tiên.

Quy tắc 3-2-1 và phiên bản hiện đại

Quy tắc 3-2-1 kinh điển: ba bản sao dữ liệu, trên hai loại phương tiện khác nhau, một bản đặt ở nơi khác. Trước làn sóng mã độc tống tiền, quy tắc được mở rộng thành 3-2-1-1-0:

Thêm 1: một bản sao ngoại tuyến hoặc bất biến (immutable), không thể bị sửa, xóa trong thời gian khóa, kể cả với tài khoản quản trị.
Thêm 0: không có lỗi khi kiểm tra khôi phục.

Kẻ tấn công tống tiền ngày nay thường tìm và xóa bản sao lưu trước khi mã hóa dữ liệu. Vì vậy, hệ thống sao lưu phải được tách khỏi miền quản trị chính: tài khoản riêng, xác thực đa yếu tố, mạng riêng, và không gắn ổ sao lưu thường trực vào máy chủ tệp. Biện pháp phòng ngừa từ đầu được bàn trong bài về các nhóm lỗ hổng phổ biến.

Chọn hình thức sao lưu phù hợp

Hình thức	Ưu điểm	Lưu ý
Ổ cứng, NAS tại chỗ	Khôi phục nhanh, chi phí ban đầu thấp	Cùng chịu rủi ro cháy, trộm, mã độc nếu nằm chung mạng
Băng từ hoặc ổ rời luân chuyển	Ngoại tuyến thực sự, lưu trữ lâu dài	Cần quy trình luân chuyển, khôi phục chậm hơn
Sao lưu lên đám mây	Ở nơi khác về địa lý, nhiều dịch vụ hỗ trợ khóa bất biến	Phụ thuộc đường truyền khi khôi phục dữ liệu lớn, cần quản lý khóa truy cập chặt
Sao chép sang site dự phòng	RTO ngắn, có thể chuyển đổi nhanh	Chi phí cao, lỗi hoặc mã độc cũng có thể bị sao chép theo

Đừng quên dữ liệu trên dịch vụ phần mềm dạng dịch vụ như email và bộ ứng dụng văn phòng đám mây. Nhiều doanh nghiệp nghĩ nhà cung cấp tự sao lưu, nhưng điều khoản thường chỉ cam kết về hạ tầng, không bảo vệ dữ liệu bị người dùng hoặc kẻ tấn công xóa.

Kiểm thử khôi phục: bước hay bị bỏ qua nhất

Bản sao lưu chưa từng khôi phục thử chỉ là hy vọng. Lịch kiểm thử gợi ý:

Hằng tháng: khôi phục ngẫu nhiên vài tệp, một hộp thư, kiểm tra tính toàn vẹn.
Hằng quý: khôi phục một máy chủ hoặc cơ sở dữ liệu hoàn chỉnh vào môi trường thử, đo thời gian thực tế so với RTO.
Hằng năm: diễn tập toàn bộ kịch bản thảm họa với các bộ phận liên quan, bao gồm cả quyết định và liên lạc.

Ghi lại mọi trục trặc: thiếu mật khẩu giải mã bản sao, thiếu tài liệu cấu hình mạng, phụ thuộc vào một người duy nhất biết quy trình. Đó chính là những thứ sẽ kéo dài thời gian ngừng hoạt động khi sự cố thật xảy ra.

Khi thảm họa xảy ra

Tài liệu phục hồi nên có thứ tự dựng lại hệ thống (thường là mạng và định danh trước, rồi đến cơ sở dữ liệu, sau cùng là ứng dụng), danh sách liên hệ, vị trí khóa giải mã và thông tin đăng nhập khẩn cấp được bảo quản an toàn. Với sự cố do tấn công mạng, cần thêm bước xác định thời điểm xâm nhập để không khôi phục từ bản sao đã nhiễm, điều được hướng dẫn chi tiết trong bài các bước phục hồi dữ liệu sau sự cố tấn công mạng. Bản tài liệu này phải có bản in hoặc lưu ở nơi truy cập được ngay cả khi toàn bộ hệ thống nội bộ không dùng được.

Sau mỗi sự cố hoặc diễn tập, họp rút kinh nghiệm và cập nhật kế hoạch. Phục hồi thảm họa là năng lực cần được duy trì, không phải tài liệu viết một lần.

Câu hỏi thường gặp

Đồng bộ dữ liệu lên Google Drive hay OneDrive có phải là sao lưu không?

Đồng bộ không hoàn toàn là sao lưu, vì khi tệp bị xóa hoặc bị mã hóa trên máy, thay đổi đó cũng được đồng bộ lên đám mây. Một số dịch vụ có lịch sử phiên bản và thùng rác giúp khôi phục trong thời gian nhất định, nhưng doanh nghiệp vẫn nên có giải pháp sao lưu độc lập.

Nên giữ bản sao lưu trong bao lâu?

Phụ thuộc vào yêu cầu kinh doanh và quy định pháp luật về lưu trữ chứng từ, hồ sơ. Thông lệ là giữ nhiều mốc: hằng ngày trong vài tuần, hằng tháng trong một năm, hằng năm lâu hơn. Mã độc có thể nằm im nhiều tuần trước khi kích hoạt, nên cần có các mốc đủ cũ.

Bản sao lưu có cần mã hóa không?

Nên mã hóa, nhất là bản lưu ngoài văn phòng hoặc trên đám mây, vì bản sao lưu chứa toàn bộ dữ liệu nhạy cảm. Điều quan trọng là quản lý khóa giải mã cẩn thận và lưu khóa ở nơi tách biệt, nếu không chính doanh nghiệp cũng không khôi phục được.

Doanh nghiệp nhỏ nên bắt đầu từ đâu?

Liệt kê dữ liệu quan trọng nhất, chọn một giải pháp sao lưu tự động có hỗ trợ lưu phiên bản, thêm một bản lưu ngoài văn phòng hoặc trên đám mây có khóa bất biến, và thử khôi phục ngay trong tuần đầu tiên.