勒索軟體攻擊發生時，企業最大的開銷通常不是贖金。Gartner 研究指出，攻擊後的復原、停機與商譽損失，加總可能高達贖金的 10 倍。
駭客入侵的管道，仍以網路釣魚、攻擊對外開放的系統，以及未經授權的遠端桌面連線為主。進入企業內部後，他們除了鎖住正式營運的系統，也會一併破壞備份，甚至直接偷走資料勒索。當備份也遭殃，企業能多快恢復營運，就決定了損失規模。
復原時間可以事先算出來
許多企業把復原規劃視為資安部門的例行工作，設好備份排程、定期測試就認為足夠。但復原其實是基礎設施問題，可以把需要還原的資料量，除以環境實際能維持的傳輸速度，再加上排序與驗證時間來估算。
真正出事時，這些數字往往比預期更糟。備份設備擅長存入資料，取出時卻慢得多；平常應付夜間備份的網路，遇到數十套系統同時還原也會壅塞；遭入侵的系統多半不能再用，資料得還原到乾淨的新空間，而這個空間可能還沒準備好。此外，身分驗證、DNS 與核心資料庫必須先上線，其他應用程式才能接著恢復。
舉例來說，以每秒 2GB 的速度還原 200TB 的關鍵資料，光是傳輸就要約 28 小時，還沒算檔案掃描與應用程式測試。如果恢復時間目標（RTO）是 24 小時，這份計畫在數字上就已無法達成。
用四項指標找出準備缺口
要判斷能否達成 RTO，可以量測四項指標。一是關鍵資料量，只計算維持基本營運不可或缺的資料。二是持續還原速度，涵蓋資料從備份設備、經過網路到寫入儲存空間的整段路程，並應模擬多套系統同時還原，採用實測數字而非規格表數據。
三是還原順序，釐清哪些系統得排隊、哪些能同時進行。四是驗證時間，也就是資料接回正式環境前，掃描並確認沒有殘留惡意程式的時間。
把資料量除以還原速度，再加上排隊與驗證時間，就能算出實際需要的復原時間。超出 RTO 的部分，就是企業的「準備缺口」。以前述例子來看，光是傳輸就已比 24 小時的 RTO 多出近 4 小時以上。
縮小缺口的三個做法
首先，依業務衝擊為系統分級，例如幾小時內必須恢復、可以等幾天，以及可以等更久，再為維持最低營運所需的系統與資料，另外保留一份受保護的復原副本，出事時優先還原。
其次，分別量測備份設備、網路與目的地儲存的實際速度，找出最慢的環節集中升級。同時要事先準備乾淨的儲存空間，避免事發時才臨時採購硬體。
最後，平時就定期檢查備份是否完好。不少企業要到準備還原時，才第一次確認備份能不能用，一旦發現問題，驗證時間就會拉長；若備份已被植入惡意程式，還原回去等於讓攻擊者重新進入系統。
把復原時間當成損失指標來追蹤
多數企業的 RTO 從未經過實際驗證，最直接的方法是挑一套關鍵應用程式，以正式環境的規模還原到隔離環境，記錄每個階段的時間，確認總時數是否低於 RTO。
把落差換算成停機時數後，也更容易判斷投資的價值。不可變備份（保存期間內無法被修改或刪除的備份），與獨立備份網路常因預算被刪減，但只要算出每停機一小時的損失，就會發現這類措施可能讓企業免於停擺好幾天，更像一份保險，而非單純的開銷。
企業應該像追蹤偵測與圍堵時間一樣，持續追蹤復原時間，並在資料量增加或基礎設施調整時重新計算缺口，向管理層呈報。勒索軟體的手法會持續變化，事先算過、實際測過並補上缺口的企業，最有機會在攻擊後保住客戶、營收與信譽。
【推薦閱讀】
◆ 不必專職資安團隊，專家列出中小企業現在就能做的低成本防詐做法
◆ 「住宅代理」成駭客攻擊新趨勢：能偽造到受害者所在區，企業的地理位置登入規則近乎失效
◆ 【AI 代理會被說服，也能說服人】失控代理以假身分施壓開發者，專家：授權不能交給模型判斷
＊本文開放合作夥伴轉載，參考資料：《Forbes》、《Gartner》，圖片來源：Gemini 生成
（責任編輯：鄒家彥）
