恢复在周日晚上完成。到周二，账簿重新打开，合同回到各自的文件夹，财务负责人正与审计师通话。审计师提出了一个备份软件无法回答的问题：我们怎么知道这些文件就是事件发生前您所持有的那些？
备份显示的是您现在拥有的内容。它并不能说明从最后一份干净的副本到您恢复的副本之间没有任何改动。如果有人在加密开始前已在网络内部潜伏了数天，恢复出来的文件可能早已带有一处无人察觉的改动。
恢复的文件单凭自身无法证明什么
从备份中取出的 PDF 带有一个修改日期，由最后保存它的那台电脑写入。这个日期可以被设成任意值。文件本身不保留上个月它是什么样子的记录，当时也没有任何第三方为它背书。您说它一致，这就是全部依据。
瑞士簿记法的要求更高。商业账簿条例（GeBüV）第 3 条要求商业账簿和会计凭证的保存方式必须做到未经察觉就无法更改。第 9 条第 1 款 b 项允许使用可改写的存储介质，条件是以技术程序保障所存信息的完整性，并且存储时间能够以无法伪造的方式得到证明；该条例本身就把数字签名程序和时间戳列为示例。第 10 条还要求定期检查介质的完整性和可读性，并对任何迁移做记录，与数据一并保存。
恢复是把数据从一种介质转移到另一种介质，而第 10 条的标准正是您的审计师会采用的标准：数据是否完整、正确地得到了保存，您能否证明这一点？
印章增加了什么
在 Swiss Trust Layer 上为文档加盖印章时，系统会计算该文件的加密指纹。发送给合格信任服务提供商 Swisscom Trust Services 的是这个指纹，而不是文件本身；后者用一把从不离开其硬件的密钥对指纹签名。签名带有符合 RFC 3161 的时间戳，并嵌入 PDF 中。原始文件不会被改动。每个加盖印章的文件夹版本还会获得一份证明证书，列出每个文件及其指纹和以 UTC 表示的盖章时间。
根据 eIDAS 条例第 41 条第 2 款，合格电子时间戳享有推定：其标示的日期和时间准确，与之绑定的数据完整。时间戳证明的是，这个文件在那一刻确实存在，且此后未曾改变。它不证明文件是谁写的、内容是否属实，也不证明谁持有权利。对于恢复之后的完整性问题，您需要的正是这一狭窄的主张。
恢复之后的核验
取出已盖章 PDF 的恢复副本，上传到 swisstrustlayer.com/validate 的公开验证器。无需账户，无需注册。它会检查签名链、签发的证书机构、证书有效期和时间戳完整性，然后报告是谁签的名、何时签的、用的是哪张证书，以及签名之后内容是否被修改。它只处理签名元数据，不存储文档。
如果恢复的文件未被动过，验证器会如实说明，时间戳则把这一状态定格在事件之前。如果有任何改动，指纹就不再匹配，验证器会报告签名后发生了修改。无论哪种情况，答案都不依赖于您自己的保证，银行、保险公司、交易对手或审计师都可以在自己的电脑上做同样的核验。
直白地说明限制
这只对事件发生前已加盖印章的文件有帮助。其他的都不行。
在恢复之后为文件盖章，证明的是盖章当天该文件的样子，并能显示从那天起的任何改动。它对之前几周的情况什么也说明不了。如果某条记录在入侵期间被篡改，随后在干净的系统上盖了章，那么印章固定下来的就是被篡改的版本。时间戳不能倒推添加。对于所有没有提前盖章的东西，您只能回到自己的说辞和备份日志，明智的做法是现在就开始盖章。
该为哪些记录盖章，何时盖
关键不在于给所有东西盖章。审计师或交易对手会问起的记录只是一份短清单，其中大多数都按日历节点结束：
- 结账账簿及其背后的导出数据，在每个月末、季末和年末。
- 已签署的合同，在最后一个签名完成后立即盖章。
- 董事会会议纪要，在主席和记录人签字之后。
- 政策和流程文件，在每次批准的修订版。
- 备份清单，即每次备份运行所含内容的目录。恢复之后，已盖章的清单可以显示您用的是哪一组备份，以及其目录自那以后没有被编辑过。
Swiss Trust Layer 上的每个已盖章文件夹都保留版本历史。可以添加新版本并单独盖章，附带自己的证书和一条备注，因此一个月末文件夹到年底可以容纳十二个已盖章的版本。
把盖章原件另存一处
印章覆盖的是您文档的指纹，所以盖章文件及其证书也必须挺过这次事件。如果勒索软件侵入了存放盖章 PDF 的文件夹，指纹无法把它们重建出来。请把两者都保存在第二个地方，远离最可能受到攻击的系统。
门户提供 ESCROW Storage 作为可选的存储方式，托管在瑞士，并与账户持有人经过核验的身份绑定。存入其中的盖章文件夹会获得一个用于恢复的 ESCROW ID。Swisscom Trust Services 提供存储，ProLitteris 运营托管（escrow），Swiss Trust Layer 提供技术。如果所有凭据都在事件中丢失，身份可以重新核验，在线或通过 KYC 代理人当面办理，访问权限随之恢复。
本周的一步
第 10 条要求定期进行完整性检查，并记录每一次迁移。任何一次恢复之后，把盖章文件过一遍验证器，记下结果，并把这份记录与数据一并保存。
然后挑出那一份您最不愿意凭记忆去辩护的记录。最近一期的结账账簿是个合适的候选。为它盖章，把盖章文件及其证书放在下一次事件触及不到的地方，再把下一个月末写进日历。完整机制见工作原理。
在 Swiss Trust Layer 上为您的第一份文档盖章，让下一个问题有一个答案。
