विश्लेषण · ISO 27001 · CIS v8.1 · Essential Eight · HIPAA · NIS2

फ़्रेमवर्क के बीच बैकअप और रिकवरी आवश्यकताओं की तुलना

बैकअप उन पाँच विषयों में से एक है जिन्हें हर फ़्रेमवर्क माँगता है। अंतर इस बात में है कि वे कितनी बार लिए जाएँ, उन्हें हमलावरों से कैसे सुरक्षित रखा जाए, और क्या किसी को यह साबित करना होगा कि रिस्टोर सचमुच काम करता है।

Paul Gillet के अनुसार · 2026-02-24 · 3 मिनट पढ़ने का समय

यह पोस्ट उन 11 फ़्रेमवर्कों को कवर करती है जिन्हें इसके लिखे जाने के समय ControlMapping ने मानचित्रित किया था। तब से DORA, CPS 234, Cyber Essentials को 2026-10-27 पर जोड़ा गया है; उनके पृष्ठ और कवरेज मैट्रिक्स में वे शामिल हैं।

तीन एक जैसे बक्सों का रिसोग्राफ़ी-शैली प्रिंट: एक ठोस, एक ऑफ़सेट प्रति, और एक प्रति एक रेखा के पीछे अलग रखी हुई। — प्रति तभी मदद करती है जब वह उस चीज़ से अलग हो जिसकी वह प्रति है।

बैकअप और रिकवरी साझा कोर (common core) का हिस्सा हैं: हमारे मैप किए गए ग्यारहों फ़्रेमवर्क इसकी आवश्यकता रखते हैं, जिनमें GDPR भी शामिल है, जो समय पर व्यक्तिगत डेटा की उपलब्धता और उस तक पहुँच को बहाल करने की क्षमता माँगता है। सबसे अधिक भिन्न आवश्यकता आवृत्ति नहीं, बल्कि सुरक्षा है: जब से रैनसमवेयर बैकअप को निशाना बनाने लगा है, फ़्रेमवर्क तेज़ी से यह देखने लगे हैं कि क्या आपके नेटवर्क पर नियंत्रण रखने वाला हमलावर आपकी प्रतियाँ भी नष्ट कर सकता है।

कौन क्या माँगता है

फ़्रेमवर्क	बैकअप और रिकवरी	लिंक
NIST CSF 2.0	PR.DS-11 RC.RP-03	विषय परिभाषा
ISO 27001	A.8.13	क्रॉसवॉक
CIS v8.1	CIS 11.2 CIS 11.3 CIS 11.5 CIS 11.4	क्रॉसवॉक
SOC 2	A1.2	संपादकीय
PCI DSS	9.4.1.1	क्रॉसवॉक
CMMC	MP.L2-3.8.9	क्रॉसवॉक
800-53	CP-6 CP-9	क्रॉसवॉक
HIPAA	§164.308(a)(7)(ii)(A)§164.310(d)(2)(iv)	क्रॉसवॉक
GDPR	Art.32(1)(c)	संपादकीय
NIS2	4.2	क्रॉसवॉक
Essential Eight	ISM-1511 ISM-1810 ISM-1811 ISM-1814 ISM-1707 ISM-1515	संपादकीय

पूर्ण विवरण और हर संबंध का कारण: फ़्रेमवर्क में बैकअप और रिकवरी →

आवृत्ति

कुछ ही फ़्रेमवर्क इसे तय करते हैं। CIS Controls स्वचालित बैकअप को संवेदनशीलता के आधार पर साप्ताहिक या उससे अधिक बार माँगते हैं (11.2)। HIPAA के लिए आवश्यक है कि डेटा बैकअप योजना ePHI की पुनः प्राप्त होने योग्य सटीक प्रतियाँ बनाए और बनाए रखे (§164.308(a)(7)(ii)(A))। Essential Eight के अनुसार बैकअप व्यावसायिक निरंतरता की आवश्यकताओं के अनुरूप होने चाहिए। ISO 27001 (A.8.13), SP 800-53 (CP-9) और SOC 2 (A1.2) आवृत्ति को आपके रिकवरी लक्ष्यों पर छोड़ते हैं, और यही सही दृष्टिकोण है: जितना डेटा खोना आप वहन कर सकते हैं, उससे कम अंतराल पर बैकअप लें।

एक खुली अग्निरोधी अलमारी के भीतर सादे भूरे बाहरी हार्ड ड्राइव के ढेर की तस्वीर। — रैनसमवेयर ने बैकअप सुरक्षा को बैकअप की आवृत्ति जितना ही महत्वपूर्ण बना दिया है।

सुरक्षा

यहीं फ़्रेमवर्क सबसे अधिक भिन्न हैं:

CIS को पुनर्प्राप्ति डेटा की सुरक्षा (11.3) और उसकी एक अलग-थलग इंस्टेंस (11.4) चाहिए: ऑफ़लाइन, क्लाउड में अलग-थलग, या अन्यथा नेटवर्क पर मौजूद हमलावर की पहुँच से बाहर।
Essential Eight अपने परिपक्वता स्तरों में सुरक्षा को शामिल करता है: अविशेषाधिकार प्राप्त खाते दूसरे खातों के बैकअप तक नहीं पहुँच सकते, और उच्च स्तरों पर विशेषाधिकार प्राप्त खाते भी उन्हें संशोधित या हटा नहीं सकते।
CMMC के लिए बैकअप में CUI की गोपनीयता की सुरक्षा आवश्यक है (MP.L2-3.8.9); PCI DSS के लिए ऑफ़लाइन बैकअप मीडिया को सुरक्षित रूप से संग्रहीत करना आवश्यक है (9.4.1.1)।
ISO 27001 और SOC 2 उचित रूप से सुरक्षित बैकअप की अपेक्षा रखते हैं, लेकिन अपरिवर्तनीयता (immutability) का नाम नहीं लेते।

रिस्टोर परीक्षण

CIS नमूने के आधार पर तिमाही या उससे अधिक बार रिकवरी परीक्षण माँगता है (11.5)। Essential Eight के लिए आवश्यक है कि डेटा, एप्लिकेशन और सेटिंग्स की बहाली आपदा रिकवरी अभ्यासों में परखी जाए। ISO 27001 के लिए बैकअप का परीक्षण आवश्यक है, पर कोई आवृत्ति निर्धारित नहीं है, और SOC 2 ऑडिटर A1.3 के तहत रिस्टोर परीक्षण खोजते हैं। जिस बैकअप को कभी रिस्टोर नहीं किया गया, वह एक नियंत्रण नहीं, बल्कि एक उम्मीद है।

मुख्य निष्कर्ष

बैकअप और रिकवरी उन पाँच विषयों में से एक है जिन्हें हमारे मैप किए गए हर फ़्रेमवर्क को चाहिए।
फ़्रेमवर्क आवृत्ति की तुलना में सुरक्षा पर अधिक भिन्न हैं: CIS और Essential Eight स्पष्ट रूप से बैकअप को हमलावरों से सुरक्षित रखते हैं।
रिस्टोर परीक्षण सबसे अधिक उपेक्षित हिस्सा है; CIS नमूने पर तिमाही परीक्षण माँगता है।
एक बेसलाइन (नियमित बैकअप, एक अलग-थलग प्रति, एन्क्रिप्शन, तिमाही रिस्टोर परीक्षण) इन सभी को पूरा करती है।
क्लाउड प्रदाता अपने इन्फ़्रास्ट्रक्चर की सुरक्षा करते हैं, पर आपके डेटा को हटाए जाने, दूषित होने या एन्क्रिप्ट होने से नहीं बचाते।

सभी को संतुष्ट करने वाली बेसलाइन

डेटा, एप्लिकेशन और कॉन्फ़िगरेशन का बैकअप लें, रिकवरी पॉइंट लक्ष्यों द्वारा तय आवृत्ति पर, और कम से कम साप्ताहिक।
कम से कम एक प्रति अलग-थलग रखें, ऑफ़लाइन या अपरिवर्तनीय, जिसे डोमेन एडमिनिस्ट्रेटर हटा न सकें।
संवेदनशील या नियमित डेटा वाले बैकअप को एन्क्रिप्ट करें।
रिस्टोर का तिमाही परीक्षण करें नमूने पर, और कम से कम वार्षिक पूर्ण रिकवरी अभ्यास करें।
परिणाम दर्ज करें, जिनमें विफलताएँ और उनके समाधान शामिल हों: हर ऑडिटर यही प्रमाण माँगता है।

बैकअप और रिकवरी विषय पृष्ठ हर आवश्यकता को उसके स्रोत के साथ सूचीबद्ध करता है; Disaster Recovery और Business Continuity व्यापक योजनाओं को कवर करते हैं। उन अन्य विषयों के लिए जो हर फ़्रेमवर्क साझा करता है, देखें साझा कोर।

प्रश्न

बैकअप का परीक्षण कितनी बार होना चाहिए?

CIS Controls तिमाही या उससे अधिक बार रिकवरी परीक्षण माँगते हैं (11.5), और Essential Eight के लिए आवश्यक है कि रिस्टोर का परीक्षण आपदा रिकवरी अभ्यासों के हिस्से के रूप में हो। अधिकांश अन्य फ़्रेमवर्क बिना निश्चित आवृत्ति के परीक्षण माँगते हैं।

क्या फ़्रेमवर्क ऑफ़लाइन या अपरिवर्तनीय (immutable) बैकअप माँगते हैं?

कुछ ही इसे स्पष्ट रूप से कहते हैं। CIS Controls रिकवरी डेटा की एक अलग-थलग इंस्टेंस माँगते हैं (11.4), और Essential Eight के उच्च परिपक्वता स्तर विशेषाधिकार प्राप्त खातों सहित किसी भी खाते को बैकअप संशोधित या हटाने से रोकते हैं।

क्या क्लाउड सेवाएँ बैकअप की ज़रूरत खत्म कर देती हैं?

नहीं। क्लाउड प्रदाता अपने इन्फ़्रास्ट्रक्चर की सुरक्षा करते हैं, पर अधिकांश आपको अपने ही डेटा को हटाए जाने, दूषित होने या एन्क्रिप्ट होने से नहीं बचाते। फ़्रेमवर्क फिर भी अपेक्षा करते हैं कि आप अपनी ज़िम्मेदारी वाले डेटा का बैकअप लें और उसके रिस्टोर का परीक्षण करें।

2026-10-27 तक का डेटा: इस पोस्ट के आँकड़े वर्तमान क्रॉसवॉक से गणना किए गए हैं और उसके बदलने पर अपडेट होते हैं। क्रॉसवॉक प्रकाशित क्रॉसवॉक (NIST, ENISA, CIS, PCI SSC) यह संबंध बनाता है · संपादकीय जहाँ कोई क्रॉसवॉक मौजूद नहीं है वहाँ ControlMapping का निर्णय; कारण दिखाया गया है · ढीले तौर पर संबंधित केवल एक CSF 2.0 परिणाम साझा करता है: जाँचने योग्य है, मैपिंग नहीं · हमारे डेटा में कोई मैपिंग नहीं हमारे डेटा में कुछ भी मैप नहीं है; अक्सर यह नया काम होता है, पर कवरेज नोट्स जाँच लें. यह अनुपालन सलाह नहीं है।