大多数医疗保健备份方案都以备份作业完成率来衡量。但真正重要的指标是在临床运营所需的时间范围内针对正确的系统以合适的粒度进行恢复是否有效。本指南涵盖了医疗保健数据备份在操作上与通用企业备份的不同之处、如何构建在压力下工作的恢复架构以及如何在关键时刻评估当前环境是否准备就绪。了解 Zmanda Pro 如何满足所有临床工作流程的需求。为什么医疗保健数据备份在操作上与通用企业备份有所不同造成这种差异的原因主要有三点。1. 通用工具无法应对的工作负载多样性一家中型医院并非运行单一工作负载环境。它运行着Windows文件服务器、支持电子病历EHR平台的Oracle和SQL Server实例、托管临床应用的VMware集群、管理数TB级医学影像的PACS服务器、用于临床通信的Microsoft 365、用于共享文件系统的NAS存储以及遍布病房、诊室和行政办公室的终端设备这些设备通常跨越数十个地点。每种工作负载类型都有不同的备份需求、不同的恢复精度要求和不同的恢复时间目标RTO容忍度。通用企业级备份工具可以保护大多数此类工作负载。而医疗保健行业的数据备份则需要保护所有这些工作负载并且需要通过单一控制台进行管理同时强制执行一致的策略。如果一个 IT 团队在三个站点运行四个不同的备份工具那他们管理的就不是备份程序而是在为在最糟糕的时刻出现备份漏洞做准备。2. 恢复精度与恢复速度同等重要在标准企业环境中将服务器恢复到上次备份状态通常就足够了。但在临床环境中这样做远远不够。如果电子病历数据库恢复到错误状态例如丢失了最近两小时的患者记录就会造成临床数据完整性问题而不仅仅是IT问题。如果PACS服务器恢复到昨天的状态就会丢失今天订购和采集的影像检查数据。医疗机构的数据备份和恢复需要精确到特定时间点将单个数据库恢复到特定事务从虚拟机中恢复单个文件而无需恢复整个虚拟机将应用程序恢复到事件发生前特定时刻的精确状态。这种恢复精度是区分受控事件和临床中断的关键所在。3. 医疗保健领域的威胁模型有所不同针对医疗机构的现代勒索软件攻击遵循一套已知的模式首先入侵生产系统然后攻击备份基础设施最后触发加密。攻击者的目标是在攻击被察觉之前彻底消除恢复选项。IBM 的《数据泄露成本报告》十多年来一直将医疗保健行业列为数据泄露成本最高的行业平均每次医疗保健数据泄露事件造成的损失超过 1000 万美元。依赖于标准网络连接目标且不具备不可篡改性的医疗保健备份方案使得恢复选项极易受到此类攻击。而使用 WORM 技术或 S3 对象锁定合规模式存储的不可篡改备份副本在保留期到期之前任何人包括管理员都无法对其进行加密或删除。完整的医疗保健数据备份计划的六个组成部分以下六个部分并非理想化的标准而是区分能够恢复的医疗备份环境和仅能运行的备份环境的关键要素。1. 工作量全面覆盖无任何空缺医疗保健环境的覆盖范围要求涵盖存储或处理临床数据的每种工作负载类型运行 Windows 和 Linux 的物理服务器、VMware、Hyper-V 和 Proxmox 上的虚拟机、包括 SQL Server、Oracle、PostgreSQL、MySQL、MariaDB 和 MongoDB 在内的结构化数据库、非结构化文件系统和 NAS、包括 Exchange Online、SharePoint 和 Teams 在内的 Microsoft 365以及每个站点的终端设备。覆盖缺口风险具有特殊性。如果一个组织只保护虚拟机而不保护数据库或者只保护本地服务器而不保护远程诊所终端那么其恢复问题随时可能出现。在临床工作流程中哪怕一个缺口都足以造成运营中断。对于医疗保健数据备份而言跨所有工作负载类型的单一控制台管理并非一项便利功能而是一项风险管理要求。2. 事件发生前已定义恢复架构医疗保健领域的 RPO 和 RTO 是临床承诺而非通用的 IT 指标。它们应该根据系统类型进行定义而不是作为单一的组织级指标。临床系统推荐的 RPORTO 容差电子健康记录平台不到1小时急诊护理分钟择期护理小时PACS/医学影像因成像体积而异通常需要 2 到 4 小时。临床数据库非电子病历不到1小时小时Microsoft 365 / 通信24小时当天终端设备24小时下一个工作日医疗保健数据备份和恢复需要采用与通用企业备份不同的恢复时间目标 (RTO) 方法。永久增量备份架构仅捕获初始完整备份后发生的更改数据从而支持低于 1 小时的恢复点目标 (RPO)。无论恢复点有多旧每个恢复点的恢复速度都相同从而避免了传统差异备份方案中常见的完全重建延迟。3. 在存储层强制执行不可变备份副本勒索软件专门针对备份系统。使用 S3 对象锁定并启用合规模式存储的不可篡改备份副本在配置的保留期限到期之前任何用户包括管理员都无法修改、加密或删除。在医疗保健备份环境中合规模式和治理模式之间的区别至关重要。治理模式允许管理员进行权限覆盖。对于已获取管理员凭据的攻击者而言治理模式无法提供任何保护。临床环境必须使用合规模式。策略级别的快照保护增加了一层额外的防护即使备份服务器凭据完全泄露也能确保安全。4. 物理隔离或离线备份副本3-2-1-1-0备份策略是医疗保健环境的架构标准在两种不同的介质上保存三份数据副本其中一份异地备份一份离线或物理隔离备份并且不允许出现任何未经验证的错误。物理隔离备份是多年未进行审查的医疗保健环境中经常缺失的组件。物理隔离副本不具备任何网络连接。即使勒索软件已经攻陷了所有联网系统也无法访问该副本。部署选项包括完全离线的本地存储或与主环境完全隔离的专用云部署。5. 通过单个控制台进行多站点备份管理一个运营着一家主医院、多家附属诊所和远程诊断中心的医疗系统需要在每个站点都提供一致的备份保障。如果使用不同的工具来管理备份就会出现配置偏差和覆盖范围不足的问题这些问题会在恢复事件中暴露出来。单一控制台管理意味着集中应用和执行一致的策略统一查看所有站点的备份状态集中管理警报确保远程诊所的备份作业失败不会被忽略并且无论哪个站点受到影响都采用一致的恢复流程。备份计划应在非高峰临床时段运行以避免在进行诊疗时影响电子病历系统的性能。6. 按既定频率进行有记录的恢复测试未经测试的备份不能称之为备份而仅仅是一种假设。对完整的医疗保健数据备份环境进行恢复测试需要对每个关键临床系统进行季度恢复测试并记录测试结果日期、测试系统、使用的备份集、达到的恢复时间目标 (RTO) 以及最终结果。测试内容包括完整的系统恢复和细粒度恢复例如从虚拟机进行文件级恢复以及数据库的精确时间点恢复。如果一个系统通过了完整的恢复测试但无法执行细粒度恢复则说明其精度存在问题这会在实际事件中暴露出来。医疗保健信息技术部署模型考量临床环境适用三种部署模式。正确的选择取决于团队能力和数据驻留要求而非个人偏好。自托管本地部署方案可完全控制数据驻留位置、存储目标和备份计划。无需互联网连接因此对于真正实现物理隔离部署以及受合同或法规限制使用云存储的组织而言这是唯一可行的选择。云托管备份即服务通过将基础设施管理转移给供应商降低了运营成本。这需要互联网连接以及与云存储提供商签订业务协议 (BAA)。它适用于拥有分布式站点且本地 IT 资源有限的组织因为在这些组织中管理本地备份基础设施的能力超过了团队的可用能力。混合架构结合了本地备份以实现快速本地恢复以及云存储以实现异地灾难恢复。这是中大型医疗机构中最常见的模式也是在本地、云端和物理隔离环境中实现3-2-1-1-0 合规性的最实用途径。本系列的下一篇文章将深入探讨医疗 IT 的云和混合部署注意事项。如何评估当前医疗保健数据备份环境以下十个问题可以帮助发现当前备份方案中的不足之处。任何“否”或“不确定”的答案都对应着以上六个组成部分之一。备份解决方案是否能够通过单个控制台涵盖所有工作负载类型还是需要为虚拟机、数据库和终端分别管理不同的工具是否已为每个关键临床系统定义了 RPO 和 RTO并测试了当前环境是否满足这些要求是否至少有一个使用 S3 对象锁定合规模式或等效 WORM 技术的不可更改备份副本是否拥有一个物理隔离或离线备份副本即使联网系统遭到勒索软件攻击该副本也无法访问远程诊所和卫星站点的终端是否在备份策略范围内或者主医院站点之外是否存在备份漏洞能否在不恢复整个备份链的情况下将单个数据库还原到特定时间点在过去 90 天内是否对关键临床系统执行并记录了恢复测试备份计划是否配置为在每个站点而不仅仅是主数据中心的非高峰临床时段运行如果备份服务器凭据今晚遭到泄露攻击者能否删除或加密备份副本一个完整的医疗保健数据备份计划在实践中是什么样的一个涵盖所有六大要素、具备全面工作负载覆盖、明确定义恢复点目标 (RPO) 和恢复时间目标 (RTO)、提供不可篡改副本、采用物理隔离存储、支持多站点管理以及记录在案的恢复测试的医疗保健数据备份方案才能在需要时真正发挥作用而不仅仅是勉强通过每日作业成功报告。大多数医疗机构面临的风险在于运行中的备份程序与实际恢复程序之间存在差距。勒索软件攻击和硬件故障本身并不会导致备份失效而是会导致那些从未针对实际事件规模进行构建或测试的恢复架构失效。构建这样的架构才是真正的工作。日常备份只是第一步而不是终点。