一、ISO/IEC 27701:2019 6.9.3.1 标准原文
原文摘要：ISO/IEC 27002:2013 12.3.1 中规定的控制、实施指南和其他信息适用，并增加了与 PII 直接相关的补充要求：组织应制定满足 PII 备份、恢复和恢复要求的策略，可作为整体备份策略的一部分；应考虑从备份中删除 PII 的进一步要求，例如合同和法律义务；PII 的具体职责可能取决于客户，组织应向客户告知备份服务限制；如果明确提供备份和还原服务，应说明其关于备份和恢复 PII 的能力；在某些法域，备份频率、测试频率、恢复频率和恢复规程有特定要求，组织应能证明符合；恢复 PII 时应确保恢复到完整状态，或能够识别不准确、不完整状态并建立解决流程；恢复工作应形成日志，至少包含负责恢复者姓名和恢复的 PII 说明。对 PIMS 而言，这条控制将一般备份提升为受法律、合同和恢复可信度共同约束的控制活动。
二、条款解读说明
6.9.3.1 是 27701 中典型的“看似延续 27002，实则大幅增加隐私治理含义”的条款。一般的信息备份主要关注副本、周期、异地和恢复测试，而 27701 把焦点进一步推进到 PII 的恢复责任、客户边界、法域义务、删除要求和恢复证据。也就是说，组织不只要会备份，还要会解释备份，并在恢复时能够证明恢复回来的 PII 仍然适合继续被处理。
标准要求组织制定关于 PII 的备份策略，并考虑备份中的删除要求。这个补充非常重要。很多组织在收到删除、限制处理或合同终止请求时，只关注生产环境中的主数据，而忽略历史备份中的副本仍然包含相同 PII。实际操作中，某些备份副本可能无法即时逐条删除，但组织至少需要清楚说明其处理方式、恢复后如何重新应用删除动作、哪些副本受保留要求约束，以及如何向客户和审核方透明表达这些限制。
| 备份关注点 | 标准要求的实质含义 | PIMS中的控制重点 |
|---|---|---|
| 备份策略 | 不是只有频率，还包括 PII 的范围、责任和恢复条件 | 形成可执行且可说明的规则 |
| 客户责任 | 不同服务模式下职责可能不同 | 清楚告知能力边界与限制 |
| 法域要求 | 部分地区对备份和恢复频率有强制要求 | 把本地法规转化为实际计划与证据 |
| 恢复质量 | 恢复后需确认完整性或识别问题并处理 | 不把“恢复成功”误等同于“数据可信” |
| 恢复日志 | 恢复活动必须留痕 | 支撑问责、客户说明和后续复盘 |
对 PII 处理者场景而言，这条控制还有一个很现实的管理价值：它迫使组织把“我们提供的是哪种备份服务”说清楚。很多争议发生的原因，并不是技术团队不会做备份，而是销售、客户和交付团队默认把“存在备份”理解成“任何情况下都能按需恢复任何对象”。27701 要求组织正面说明限制，例如是否支持按系统恢复还是按对象恢复，是否提供客户自助恢复，是否存在恢复窗口限制，是否有法域限制或合规条件，是否保留独立恢复日志。
标准还要求在恢复 PII 时识别不准确或不完整状态并建立解决流程，这一点非常关键。因为备份恢复并不自动保证数据与现实世界一致。恢复点可能早于某些更正、删除、冻结或客户配置调整，恢复后若不进行业务和隐私双重核验，组织就可能在服务恢复的同时重新激活陈旧或错误的 PII 状态。
因此，6.9.3.1 的本质是把信息备份从一个技术保障动作，提升为受治理、责任、法域和可追溯证据共同约束的 PII 恢复机制。组织只有同时回答“备了什么、谁负责、怎么恢复、恢复到什么程度、恢复后如何解释”，这条控制才真正完整。
三、实施要点
- 在备份策略中单列 PII 的范围、恢复条件、保留要求和删除处理方式。
- 明确客户、控制者与处理者在备份和恢复中的角色、责任与限制说明。
- 根据适用法域和合同要求设定备份频率、测试周期和恢复证据保留方式。
- 恢复 PII 后必须做完整性和准确性检查，并记录由谁恢复了哪些对象。
- 6.9.3.1的核心是让备份不仅能还原系统，还能还原一个可继续合法、准确处理 PII 的状态。
四、常用工具与实施方法
| 工具/方法 | 适用目的 | 关键输出 |
|---|---|---|
| PII备份分层策略 | 区分不同数据和服务模式的要求 | 备份分类与频率规则 |
| 恢复作业日志模板 | 固定关键证据字段 | 恢复留痕记录 |
| 恢复后核验清单 | 确认完整性、准确性和例外处理 | 验证结果和问题处置 |
| 客户能力说明文档 | 明确备份和恢复服务边界 | 服务说明与合同附件 |
实践中，组织最好把“恢复成功”的定义写得比技术启动更具体。尤其对 PII 来说，至少应包括恢复点、关键字段完整性、相关日志可用性、删除/冻结状态是否需要重放，以及是否需要通知客户或重新同步下游系统。
对于分包商或外部基础设施承载的备份，组织也应清楚合同里写明由谁负责存储、测试、恢复批准、传输和删除。如果这些责任只停留在默契层面，真正出事时往往最先失灵。
五、典型案例
- 恢复后重新出现已删除记录：某组织从较早备份恢复环境后，没有重新执行后续删除动作，导致本应被删除的主体信息再次在系统中可见。问题不在备份存在，而在恢复后缺少与删除要求的衔接流程。
- 恢复过程无日志：某服务团队深夜紧急恢复客户数据，但未记录由谁、何时恢复了哪些数据对象。后续客户质询恢复范围时，组织只能依靠口头回忆和零散工单拼凑事实。
这些案例说明，信息备份控制若没有与恢复责任和恢复证据绑定，越到真正需要时越会显得薄弱。
六、成文信息管理要求
| 建议保留文件 | 关键内容 |
|---|---|
| 信息备份策略 | PII 范围、频率、责任、法域和删除要求 |
| 恢复作业日志 | 恢复人员、时间、对象、原因和结果 |
| 恢复后核验记录 | 完整性、准确性、异常和修正动作 |
| 客户/供应商说明材料 | 能力边界、服务限制和合同责任 |
这些记录能帮助组织把备份从“技术能力”转化为“可证明、可解释、可交付的 PII 恢复能力”。
七、常见误区及踩坑提醒
| 误区 | 问题表现 | 正确做法 |
|---|---|---|
| 备份控制只看频率和成功率 | 恢复责任、限制和质量无人说明 | 同时治理恢复边界与证据 |
| 删除要求不影响历史副本 | 恢复后重新暴露本应消失的 PII | 设计恢复后的再处理流程 |
| 深夜紧急恢复可先不留痕 | 事后无法说明恢复范围和责任 | 恢复日志应成为默认动作 |
信息备份真正经得起检查时，组织不只拿得出备份成功日志，还拿得出恢复时的权限和过程控制。恢复演练若默认使用真实数据、广泛开放账号、长时间保留临时副本，就会在验证可用性的同时扩大 PII 暴露面。更稳妥的做法是把恢复申请、样本选择、临时环境、访问限制和恢复后清理写成固定步骤，使每一次恢复都既证明“能恢复”，也证明“恢复过程中仍受控”。