Requisitos de backup e recuperação comparados entre frameworks

Backup e recuperação fazem parte do núcleo comum: todos os onze frameworks que mapeamos exigem, inclusive o RGPD [GDPR], que pede a capacidade de restaurar a disponibilidade e o acesso aos dados pessoais em tempo hábil. O requisito que mais varia não é a frequência, e sim a proteção: desde que o ransomware passou a atacar backups, os frameworks se preocupam cada vez mais com a possibilidade de um invasor que controla sua rede também destruir suas cópias.

Quem exige o quê

Framework	Backup e recuperação	Vínculo
NIST CSF 2.0	PR.DS-11RC.RP-03	Definição do tópico
ISO 27001	A.8.13	Correspondência
CIS v8.1	CIS 11.2CIS 11.3CIS 11.5CIS 11.4	Correspondência
SOC 2	A1.2	Editorial
PCI DSS	9.4.1.1	Correspondência
CMMC	MP.L2-3.8.9	Correspondência
800-53	CP-6CP-9	Correspondência
HIPAA	§164.308(a)(7)(ii)(A)§164.310(d)(2)(iv)	Correspondência
GDPR	Art.32(1)(c)	Editorial
NIS2	4.2	Correspondência
Essential Eight	ISM-1511ISM-1810ISM-1811ISM-1814ISM-1707ISM-1515	Editorial

Detalhe completo e o motivo de cada ligação: Backup e recuperação em todos os frameworks →

Frequência

Poucos frameworks definem uma. Os CIS Controls pedem backups automatizados semanalmente ou com mais frequência, conforme a sensibilidade (11.2). A HIPAA exige que um plano de backup de dados crie e mantenha cópias exatas e recuperáveis de ePHI (§164.308(a)(7)(ii)(A)). O Essential Eight exige backups alinhados aos requisitos de continuidade de negócios. A ISO 27001 (A.8.13), o SP 800-53 (CP-9) e o SOC 2 (A1.2) deixam a frequência a critério dos seus objetivos de recuperação, que é a resposta correta: faça backup com a frequência que você puder suportar perder.

Proteção

É aqui que os frameworks mais divergem:

• O CIS exige que os dados de recuperação sejam protegidos (11.3) e que exista uma instância isolada deles (11.4): offline, isolada na nuvem ou de outra forma fora do alcance de um invasor na rede.
• O Essential Eight incorpora a proteção aos seus níveis de maturidade: contas sem privilégios não podem acessar os backups de outras contas e, nos níveis mais altos, nem mesmo contas privilegiadas podem modificá-los ou excluí-los.
• O CMMC exige que a confidencialidade da CUI em backups seja protegida (MP.L2-3.8.9); o PCI DSS exige que as mídias de backup offline sejam armazenadas com segurança (9.4.1.1).
• A ISO 27001 e o SOC 2 esperam que os backups sejam protegidos de forma adequada, sem citar imutabilidade.

Testes de restauração

O CIS pede testes de recuperação trimestralmente ou com mais frequência, em uma amostra (11.5). O Essential Eight exige que a restauração de dados, aplicações e configurações seja testada em exercícios de recuperação de desastres. A ISO 27001 exige que os backups sejam testados, sem definir frequência, e os auditores do SOC 2 buscam testes de restauração no item A1.3. Um backup que ninguém restaurou é uma esperança, não um controle.

Principais conclusões

• Backup e recuperação são um dos cinco tópicos que todo framework que mapeamos exige.
• Os frameworks diferem menos na frequência do que na proteção: o CIS e o Essential Eight protegem explicitamente os backups contra invasores.
• Os testes de restauração são a parte mais negligenciada; o CIS pede testes trimestrais em uma amostra.
• Uma linha de base (backups regulares, uma cópia isolada, criptografia e testes trimestrais de restauração) atende a todos eles.
• Os provedores de nuvem protegem a sua infraestrutura, não os seus dados contra exclusão, corrupção ou criptografia.

Uma linha de base que atende a todos eles

1. Faça backup de dados, aplicações e configurações, com frequência definida pelos objetivos de ponto de recuperação e, no mínimo, semanalmente.
2. Mantenha pelo menos uma cópia isolada, offline ou imutável, que administradores de domínio não possam excluir.
3. Criptografe os backups que contenham dados sensíveis ou regulamentados.
4. Teste as restaurações trimestralmente em uma amostra e faça um exercício completo de recuperação pelo menos uma vez por ano.
5. Registre os resultados, incluindo falhas e correções: essa é a evidência que todo auditor solicita.

A página de tópico Backup e Recuperação lista todos os requisitos com suas fontes; Recuperação de Desastres e Continuidade de Negócios tratam dos planos mais amplos. Para os demais tópicos que todos os frameworks compartilham, veja o núcleo comum.

Perguntas

Com que frequência os backups devem ser testados?

Os CIS Controls pedem testes de recuperação trimestralmente ou com mais frequência (11.5), e o Essential Eight exige que a restauração seja testada como parte dos exercícios de recuperação de desastres. A maioria dos outros frameworks exige testes sem uma frequência fixa.

Os frameworks exigem backups offline ou imutáveis?

Poucos fazem isso explicitamente. Os CIS Controls exigem uma instância isolada dos dados de recuperação (11.4), e os níveis de maturidade mais altos do Essential Eight impedem que contas, inclusive privilegiadas, modifiquem ou excluam backups.

Os serviços de nuvem eliminam a necessidade de backups?

Não. Os provedores de nuvem protegem a sua infraestrutura, mas a maioria não protege você contra a exclusão, corrupção ou criptografia dos seus próprios dados. Os frameworks ainda esperam que você faça backup e teste a restauração do que está sob sua responsabilidade.