Persyaratan backup dan pemulihan lintas kerangka kerja
Backup merupakan salah satu dari lima topik yang diwajibkan oleh setiap kerangka kerja. Perbedaannya terletak pada seberapa sering backup dilakukan, bagaimana backup dilindungi dari penyerang, dan apakah ada pihak yang harus membuktikan bahwa pemulihan berhasil.
Pos ini membahas 11 kerangka kerja yang dipetakan ControlMapping saat ditulis. Sejak itu, DORA, CPS 234, Cyber Essentials telah ditambahkan pada 2026-10-27; halaman masing-masing dan matriks cakupan sudah menyertakannya.
Backup dan pemulihan termasuk dalam inti bersama: setiap dari sebelas kerangka kerja yang kami petakan mewajibkannya, termasuk GDPR, yang mensyaratkan kemampuan untuk memulihkan ketersediaan dan akses ke data pribadi secara tepat waktu. Persyaratan yang paling berbeda bukanlah frekuensinya, melainkan perlindungan: sejak ransomware mulai menargetkan backup, kerangka kerja semakin memperhatikan apakah penyerang yang menguasai jaringan Anda juga dapat menghapus salinan Anda.
Siapa mewajibkan apa
| Kerangka kerja | Cadangan & Pemulihan | Tautan |
|---|---|---|
| NIST CSF 2.0 | PR.DS-11RC.RP-03 | Definisi topik |
| ISO 27001 | A.8.13 | Crosswalk |
| CIS v8.1 | CIS 11.2CIS 11.3CIS 11.5CIS 11.4 | Crosswalk |
| SOC 2 | A1.2 | Editorial |
| PCI DSS | 9.4.1.1 | Crosswalk |
| CMMC | MP.L2-3.8.9 | Crosswalk |
| 800-53 | CP-6CP-9 | Crosswalk |
| HIPAA | §164.308(a)(7)(ii)(A)§164.310(d)(2)(iv) | Crosswalk |
| GDPR | Art.32(1)(c) | Editorial |
| NIS2 | 4.2 | Crosswalk |
| Essential Eight | ISM-1511ISM-1810ISM-1811ISM-1814ISM-1707ISM-1515 | Editorial |
Detail lengkap dan alasan untuk setiap tautan: Cadangan & Pemulihan di seluruh kerangka kerja →
Frekuensi
Hanya sedikit kerangka kerja yang menetapkannya. CIS Controls meminta backup otomatis mingguan atau lebih sering, bergantung pada tingkat sensitivitas (11.2). HIPAA mensyaratkan rencana backup data untuk membuat dan memelihara salinan ePHI yang akurat dan dapat dipulihkan (§164.308(a)(7)(ii)(A)). Essential Eight mensyaratkan backup yang sejalan dengan persyaratan kelangsungan bisnis. ISO 27001 (A.8.13), SP 800-53 (CP-9), dan SOC 2 (A1.2) menyerahkan frekuensi kepada sasaran pemulihan Anda, dan itu jawaban yang tepat: lakukan backup sesering mungkin sesuai batas data yang sanggup Anda hilangkan.
Perlindungan
Di sinilah kerangka kerja paling berbeda:
- CIS mensyaratkan data pemulihan dilindungi (11.3) dan instans terisolasi darinya (11.4): offline, terisolasi di cloud, atau setidaknya di luar jangkauan penyerang di jaringan.
- Essential Eight membangun perlindungan ke dalam tingkat kematangannya: akun tanpa hak istimewa tidak dapat mengakses backup akun lain, dan pada tingkat yang lebih tinggi, bahkan akun dengan hak istimewa pun tidak dapat mengubah atau menghapusnya.
- CMMC mensyaratkan kerahasiaan CUI dalam backup dilindungi (MP.L2-3.8.9); PCI DSS mensyaratkan media backup offline disimpan secara aman (9.4.1.1).
- ISO 27001 dan SOC 2 mengharapkan backup dilindungi secara memadai, tanpa menyebut imutabilitas secara eksplisit.
Pengujian pemulihan
CIS meminta pengujian pemulihan setiap kuartal atau lebih sering, pada sampel (11.5). Essential Eight mensyaratkan pemulihan data, aplikasi, dan pengaturan diuji dalam latihan pemulihan bencana. ISO 27001 mensyaratkan backup diuji tanpa frekuensi tertentu, dan auditor SOC 2 mencari uji pemulihan di bawah A1.3. Backup yang tidak pernah dipulihkan hanyalah harapan, bukan kontrol.
Poin utama
- Backup dan pemulihan adalah salah satu dari lima topik yang diwajibkan oleh setiap kerangka kerja yang kami petakan.
- Kerangka kerja lebih berbeda dalam hal perlindungan dibanding frekuensi: CIS dan Essential Eight secara eksplisit melindungi backup dari penyerang.
- Pengujian pemulihan adalah bagian yang paling diabaikan; CIS meminta uji pemulihan triwulanan pada sampel.
- Satu baseline (backup rutin, salinan terisolasi, enkripsi, uji pemulihan triwulanan) memenuhi semuanya.
- Penyedia cloud melindungi infrastruktur mereka, bukan data Anda dari penghapusan, korupsi, atau enkripsi.
Baseline yang memenuhi semuanya
- Backup data, aplikasi, dan konfigurasi, dengan frekuensi yang ditetapkan oleh recovery point objective, dan minimal mingguan.
- Simpan minimal satu salinan terisolasi, secara offline atau imutabel, yang tidak dapat dihapus oleh administrator domain.
- Enkripsi backup yang berisi data sensitif atau data yang diatur regulasi.
- Uji pemulihan setiap kuartal pada sampel, dan lakukan latihan pemulihan penuh minimal setahun sekali.
- Catat hasilnya, termasuk kegagalan dan perbaikannya: itulah bukti yang selalu diminta auditor.
Halaman topik Backup & Recovery mencantumkan setiap persyaratan beserta sumbernya; Disaster Recovery dan Business Continuity membahas rencana yang lebih luas. Untuk topik lain yang dimiliki bersama oleh setiap kerangka kerja, lihat inti bersama.
Pertanyaan
Seberapa sering backup harus diuji?
CIS Controls meminta pengujian pemulihan setiap kuartal atau lebih sering (11.5), dan Essential Eight mensyaratkan pemulihan diuji sebagai bagian dari latihan pemulihan bencana. Sebagian besar kerangka kerja lain mensyaratkan pengujian tanpa frekuensi tetap.
Apakah kerangka kerja mensyaratkan backup offline atau imutabel?
Hanya sedikit yang menyebutkannya secara eksplisit. CIS Controls mensyaratkan instans terisolasi dari data pemulihan (11.4), dan tingkat kematangan lebih tinggi dari Essential Eight mencegah akun, termasuk yang memiliki hak istimewa, mengubah atau menghapus backup.
Apakah layanan cloud menghilangkan kebutuhan akan backup?
Tidak. Penyedia cloud melindungi infrastruktur mereka, tetapi sebagian besar tidak melindungi Anda dari penghapusan, korupsi, atau enkripsi data Anda sendiri. Kerangka kerja tetap mengharapkan Anda membuat backup dan menguji pemulihan atas apa yang menjadi tanggung jawab Anda.
Data per 2026-10-27: angka dalam tulisan ini dihitung dari crosswalk terkini dan diperbarui ketika crosswalk berubah. Crosswalk crosswalk yang dipublikasikan (NIST, ENISA, CIS, PCI SSC) menetapkan tautannya · Editorial Penilaian ControlMapping jika tidak ada crosswalk; alasannya ditampilkan · hanya berbagi hasil CSF 2.0: layak diperiksa, bukan pemetaan · Tidak ada pemetaan dalam data kami belum ada yang dipetakan dalam data kami; sering kali pekerjaan baru, tetapi periksa catatan cakupannya. Bukan saran kepatuhan.
Artikel terkait
Analisis · 2026-10-27APRA CPS 234 dan ISO 27001: apa yang dicakup ISMS Anda dan apa yang ditambahkan APRAISMS ISO 27001 mencakup hampir setiap paragraf CPS 234 milik APRA, namun APRA menambahkan kewajiban Dewan Direksi, jaminan pihak ketiga, dan batas waktu notifikasi yang ketat.
Analisis · 2026-10-27Cyber Essentials vs Essential Eight: dua baseline nasional dibandingkanCyber Essentials milik Inggris dan Essential Eight milik Australia sama-sama menargetkan serangan umum, tetapi keduanya mencakup wilayah yang berbeda. Apa yang tumpang tindih, apa yang tidak, dan mengapa.
Analisis · 2026-10-27DORA vs NIS2: apa yang sudah dicakup program NIS2DORA dan NIS2 sama-sama memuat sebagian besar konten keamanan, namun DORA menambah register, ketentuan kontrak, dan pengujian berbasis ancaman. Pasal demi pasal.