Требования к резервному копированию и восстановлению в сравнении стандартов

Резервное копирование и восстановление входят в общее ядро: каждый из одиннадцати сопоставляемых нами стандартов их требует, включая GDPR, который требует способности своевременно восстанавливать доступность персональных данных и доступ к ним. Требование, которое различается сильнее всего, — не частота, а защита: с тех пор как программы-вымогатели начали атаковать резервные копии, стандарты всё чаще учитывают, сможет ли злоумышленник, контролирующий вашу сеть, уничтожить и ваши копии.

Кто что требует

Стандарт	Резервное копирование и восстановление	Связь
NIST CSF 2.0	PR.DS-11RC.RP-03	Определение темы
ISO 27001	A.8.13	Соответствия
CIS v8.1	CIS 11.2CIS 11.3CIS 11.5CIS 11.4	Соответствия
SOC 2	A1.2	Редакционные материалы
PCI DSS	9.4.1.1	Соответствия
CMMC	MP.L2-3.8.9	Соответствия
800-53	CP-6CP-9	Соответствия
HIPAA	§164.308(a)(7)(ii)(A)§164.310(d)(2)(iv)	Соответствия
GDPR	Art.32(1)(c)	Редакционные материалы
NIS2	4.2	Соответствия
Essential Eight	ISM-1511ISM-1810ISM-1811ISM-1814ISM-1707ISM-1515	Редакционные материалы

Полные подробности и обоснование каждой связи: Резервное копирование и восстановление по фреймворкам →

Частота

Мало какие стандарты задают её явно. CIS Controls требуют автоматического резервного копирования раз в неделю или чаще, в зависимости от чувствительности данных (11.2). HIPAA требует, чтобы план резервного копирования создавал и поддерживал пригодные для восстановления точные копии ePHI (§164.308(a)(7)(ii)(A)). Essential Eight требует резервного копирования в соответствии с требованиями непрерывности бизнеса. ISO 27001 (A.8.13), SP 800-53 (CP-9) и SOC 2 (A1.2) оставляют частоту на усмотрение целевых показателей восстановления, и это правильный подход: копируйте так часто, как можете позволить себе потерять данные.

Защита

Здесь стандарты различаются сильнее всего:

• CIS требует защищать данные восстановления (11.3) и иметь их изолированную копию (11.4): офлайн, в изолированном облаке или иным образом вне досягаемости злоумышленника в сети.
• Essential Eight встраивает защиту в свои уровни зрелости: непривилегированные учётные записи не могут получать доступ к резервным копиям других учётных записей, а на более высоких уровнях даже привилегированные учётные записи не могут их изменять или удалять.
• CMMC требует защищать конфиденциальность CUI в резервных копиях (MP.L2-3.8.9); PCI DSS требует надёжно хранить офлайн-носители с резервными копиями (9.4.1.1).
• ISO 27001 и SOC 2 ожидают надлежащей защиты резервных копий, не называя неизменяемость явно.

Тестирование восстановления

CIS требует тестировать восстановление ежеквартально или чаще, на выборке (11.5). Essential Eight требует тестировать восстановление данных, приложений и настроек в рамках учений по аварийному восстановлению. ISO 27001 требует тестировать резервные копии без указания частоты, а аудиторы SOC 2 ищут тесты восстановления в рамках A1.3. Резервная копия, которую никто не восстанавливал, — это надежда, а не контроль.

Ключевые выводы

• Резервное копирование и восстановление — одна из пяти тем, которые требует каждый сопоставляемый нами стандарт.
• Стандарты различаются меньше по частоте, чем по защите: CIS и Essential Eight прямо защищают резервные копии от атакующих.
• Тестирование восстановления — самая недооцениваемая часть; CIS требует ежеквартальных тестов на выборке.
• Один базовый набор (регулярные копии, изолированная копия, шифрование, ежеквартальные тесты восстановления) выполняет все требования.
• Облачные провайдеры защищают свою инфраструктуру, но не ваши данные от удаления, повреждения или шифрования.

Базовый набор, который выполняет все требования

1. Резервируйте данные, приложения и конфигурацию с частотой, заданной целевыми точками восстановления, и не реже раза в неделю.
2. Храните как минимум одну изолированную копию — офлайн или неизменяемую, которую администраторы домена не могут удалить.
3. Шифруйте резервные копии, содержащие чувствительные или регулируемые данные.
4. Тестируйте восстановление ежеквартально на выборке и проводите полное учение по восстановлению не реже раза в год.
5. Фиксируйте результаты, включая сбои и исправления: именно такого подтверждения ждёт каждый аудитор.

Страница темы «Backup & Recovery» перечисляет все требования с их источниками; Disaster Recovery и Business Continuity охватывают более широкие планы. Другие темы, общие для всех стандартов, см. в разделе общее ядро.

Вопросы

Как часто нужно тестировать резервные копии?

CIS Controls требуют тестировать восстановление ежеквартально или чаще (11.5), а Essential Eight требует тестировать восстановление в рамках учений по аварийному восстановлению. Большинство других стандартов требуют тестирования без фиксированной частоты.

Требуют ли стандарты офлайн- или неизменяемых резервных копий?

Лишь немногие говорят об этом прямо. CIS Controls требуют изолированную копию данных восстановления (11.4), а более высокие уровни зрелости Essential Eight запрещают учётным записям, в том числе привилегированным, изменять или удалять резервные копии.

Избавляют ли облачные сервисы от необходимости резервного копирования?

Нет. Облачные провайдеры защищают свою инфраструктуру, но большинство из них не защищает вас от удаления, повреждения или шифрования ваших собственных данных. Стандарты по-прежнему требуют резервировать и тестировать восстановление того, за что вы отвечаете.