Requisiti di backup e ripristino confrontati tra i framework
I backup sono uno dei cinque argomenti che ogni framework richiede. Le differenze stanno nella frequenza, nella protezione dagli attaccanti e nel fatto che qualcuno debba dimostrare che un ripristino funziona.
Questo articolo copre i 11 framework che ControlMapping aveva mappato al momento della stesura. Da allora sono stati aggiunti DORA, CPS 234, Cyber Essentials il 2026-10-27; le relative pagine e la matrice di copertura li includono.
Backup e ripristino fanno parte del nucleo comune: ognuno degli undici framework che mappiamo li richiede, incluso il RGPD (GDPR), che chiede la capacità di ripristinare tempestivamente la disponibilità e l'accesso ai dati personali. Il requisito che differisce di più non è la frequenza ma la protezione: da quando il ransomware ha iniziato a prendere di mira i backup, i framework si preoccupano sempre più se un attaccante che controlla la rete possa distruggere anche le tue copie.
Chi richiede cosa
| Framework | Backup e ripristino | Collegamento |
|---|---|---|
| NIST CSF 2.0 | PR.DS-11RC.RP-03 | Definizione dell'argomento |
| ISO 27001 | A.8.13 | Crosswalk |
| CIS v8.1 | CIS 11.2CIS 11.3CIS 11.5CIS 11.4 | Crosswalk |
| SOC 2 | A1.2 | Redazione |
| PCI DSS | 9.4.1.1 | Crosswalk |
| CMMC | MP.L2-3.8.9 | Crosswalk |
| 800-53 | CP-6CP-9 | Crosswalk |
| HIPAA | §164.308(a)(7)(ii)(A)§164.310(d)(2)(iv) | Crosswalk |
| GDPR | Art.32(1)(c) | Redazione |
| NIS2 | 4.2 | Crosswalk |
| Essential Eight | ISM-1511ISM-1810ISM-1811ISM-1814ISM-1707ISM-1515 | Redazione |
Dettaglio completo e motivazione di ogni collegamento: Backup e ripristino nei framework →
Frequenza
Pochi framework ne fissano una. I CIS Controls chiedono backup automatizzati settimanali o più frequenti, in base alla sensibilità (11.2). HIPAA richiede un piano di backup dei dati che crei e mantenga copie esatte e recuperabili dell'ePHI (§164.308(a)(7)(ii)(A)). L'Essential Eight richiede backup coerenti con i requisiti di continuità operativa. ISO 27001 (A.8.13), SP 800-53 (CP-9) e SOC 2 (A1.2) lasciano la frequenza agli obiettivi di ripristino, ed è la risposta giusta: esegui il backup con una frequenza tale che la perdita di dati sia sostenibile.
Protezione
È qui che i framework differiscono di più:
- CIS richiede che i dati di ripristino siano protetti (11.3) e che ne esista un'istanza isolata (11.4): offline, isolata nel cloud o comunque fuori dalla portata di un attaccante sulla rete.
- L'Essential Eight integra la protezione nei suoi livelli di maturità: gli account non privilegiati non possono accedere ai backup di altri account e, ai livelli più alti, nemmeno gli account privilegiati possono modificarli o eliminarli.
- CMMC richiede che la riservatezza delle CUI nei backup sia protetta (MP.L2-3.8.9); PCI DSS richiede che i supporti di backup offline siano conservati in modo sicuro (9.4.1.1).
- ISO 27001 e SOC 2 si aspettano backup protetti in modo adeguato, senza citare esplicitamente l'immutabilità.
Test di ripristino
CIS chiede test di ripristino trimestrali o più frequenti, su un campione (11.5). L'Essential Eight richiede che il ripristino di dati, applicazioni e impostazioni sia testato in esercitazioni di disaster recovery. ISO 27001 richiede che i backup siano testati, senza una frequenza definita, e gli auditor SOC 2 cercano test di ripristino sotto A1.3. Un backup che nessuno ha mai ripristinato è una speranza, non un controllo.
Punti chiave
- Backup e ripristino sono uno dei cinque argomenti che ogni framework che mappiamo richiede.
- I framework differiscono meno per la frequenza che per la protezione: CIS e Essential Eight proteggono esplicitamente i backup dagli attaccanti.
- I test di ripristino sono la parte più trascurata; CIS chiede test trimestrali su un campione.
- Una baseline (backup regolari, una copia isolata, cifratura, test di ripristino trimestrali) soddisfa tutti.
- I provider cloud proteggono la propria infrastruttura, non i tuoi dati da cancellazione, corruzione o cifratura.
Una baseline che li soddisfa tutti
- Esegui il backup di dati, applicazioni e configurazioni, con una frequenza definita dagli obiettivi di punto di ripristino e almeno settimanale.
- Conserva almeno una copia isolata, offline o immutabile, che gli amministratori di dominio non possano eliminare.
- Cifra i backup che contengono dati sensibili o regolamentati.
- Testa i ripristini ogni trimestre su un campione, ed esegui un'esercitazione completa di recovery almeno annualmente.
- Registra i risultati, inclusi errori e correzioni: è la prova che ogni auditor richiede.
La pagina dell'argomento Backup & Recovery elenca ogni requisito con la sua fonte; Disaster Recovery e Continuità operativa coprono i piani più ampi. Per gli altri argomenti comuni a tutti i framework, vedi il nucleo comune.
Domande
Con quale frequenza vanno testati i backup?
I CIS Controls chiedono test di ripristino trimestrali o più frequenti (11.5), e l'Essential Eight richiede che il ripristino sia testato nell'ambito delle esercitazioni di disaster recovery. La maggior parte degli altri framework richiede test senza una frequenza fissa.
I framework richiedono backup offline o immutabili?
Pochi lo dicono esplicitamente. I CIS Controls richiedono un'istanza isolata dei dati di ripristino (11.4), e i livelli di maturità più alti dell'Essential Eight impediscono agli account, inclusi quelli privilegiati, di modificare o eliminare i backup.
I servizi cloud eliminano la necessità dei backup?
No. I provider cloud proteggono la propria infrastruttura, ma la maggior parte non ti protegge dall'eliminazione, dalla corruzione o dalla cifratura dei tuoi dati. I framework continuano a richiedere di eseguire il backup e testare i ripristini di ciò di cui sei responsabile.
Dati aggiornati al 2026-10-27: i numeri di questo articolo sono calcolati dal crosswalk attuale e si aggiornano quando questo cambia. Crosswalk una tabella di corrispondenza pubblicata (NIST, ENISA, CIS, PCI SSC) stabilisce il collegamento · Redazione Giudizio di ControlMapping dove non esiste una tabella di corrispondenza; la motivazione è indicata · condivide solo un esito di CSF 2.0: da verificare, non è una mappatura · Nessuna mappatura nei nostri dati nessuna mappatura nei nostri dati; spesso si tratta di lavoro nuovo, ma verifica le note sulla copertura. Non è una consulenza di conformità.
Articoli correlati
Analisi · 2026-10-27APRA CPS 234 e ISO 27001: cosa copre l'ISMS e cosa aggiunge APRAUn ISMS conforme a ISO 27001 copre quasi ogni paragrafo del CPS 234 di APRA, ma APRA aggiunge responsabilità del Consiglio di amministrazione, garanzie di terze parti e scadenze di notifica stringenti.
Analisi · 2026-10-27Cyber Essentials vs Essential Eight: confronto tra due baselineIl Cyber Essentials del Regno Unito e l'Essential Eight australiano puntano entrambi a contrastare attacchi comuni, ma coprono ambiti diversi. Cosa si sovrappone, cosa no e perché.
Analisi · 2026-10-27DORA vs NIS2: cosa copre già un programma NIS2DORA e NIS2 condividono gran parte dei controlli di sicurezza, ma DORA aggiunge registro, clausole contrattuali e test basati sulle minacce. Cosa si riporta, articolo per articolo.