假设事件已受控，但订购系统仍无法使用。对企业而言，任务尚未结束。防御除了减少威胁影响，还应计划如何恢复可信服务。
本文提供与 Sara Shield 配套的规划框架，不宣称每个部署都具备现成的自动备份或恢复功能。
在事件发生前准备
建议事先定义服务负责人、关键数据和组件恢复顺序。网站看似运行，但未验证其访问正确数据，可能造成不完整的健康判断。
在说明性场景中，服务恢复取决于应用健康、正确用户访问和数据有效性。应在事件前定义各标准，避免危机决策依靠猜测。
有备份不等于验证了恢复
不应只问是否有备份，还应明确所含数据、谁可使用，以及在测试环境中证明了哪些恢复能力。旧备份可能缺少近期变更，计划应接受并记录这一差距。
仅恢复数据并不能消除事件原因。全面恢复前，应确认导致问题的弱点或访问路径已消除。这些是建议规划标准，并非特定事件或运行成果的报告。
恢复后应改变什么？
建议记录原因、已采取措施和所需改进，例如移除过多权限、调整服务监控或澄清处理指引，目的是将事件经验转为可追溯变更。
对 Sara Shield，安全不是永久完成的声明。当组织清楚保护什么、如何应对中断、如何重新确认服务健康时，防御才有价值。基础设施团队与业务负责人各有必要且不同的职责。
