备份与恢复要求的跨框架对比

备份与恢复属于通用核心要求：我们对照映射的全部十一个框架都要求具备这一能力，包括《通用数据保护条例》（GDPR），该条例要求能够及时恢复个人数据的可用性和访问权限。差异最大的要求并非频率，而是保护：自勒索软件开始针对备份以来，各框架越来越关注，一旦攻击者控制了你的网络，是否也能删除你的副本。

各框架的要求

框架	备份与恢复	链接
NIST CSF 2.0	PR.DS-11RC.RP-03	主题定义
ISO 27001	A.8.13	对照映射
CIS v8.1	CIS 11.2CIS 11.3CIS 11.5CIS 11.4	对照映射
SOC 2	A1.2	编辑说明
PCI DSS	9.4.1.1	对照映射
CMMC	MP.L2-3.8.9	对照映射
800-53	CP-6CP-9	对照映射
HIPAA	§164.308(a)(7)(ii)(A)§164.310(d)(2)(iv)	对照映射
GDPR	Art.32(1)(c)	编辑说明
NIS2	4.2	对照映射
Essential Eight	ISM-1511ISM-1810ISM-1811ISM-1814ISM-1707ISM-1515	编辑说明

完整详情及每条关联的依据： 备份与恢复 跨框架对照 →

频率

很少有框架明确规定频率。CIS Controls 要求根据敏感程度，每周或更频繁地执行自动备份（11.2）。HIPAA 要求数据备份计划创建并维护可检索的 ePHI 完整副本（§164.308(a)(7)(ii)(A)）。Essential Eight 要求备份符合业务连续性要求。ISO 27001（A.8.13）、SP 800-53（CP-9）和 SOC 2（A1.2）则将频率交由恢复目标决定，这是正确的做法：备份频率应以你能承受的数据丢失量为限，尽量频繁。

保护

各框架的差异在此最为明显：

• CIS 要求保护恢复数据（11.3），并要求保留其隔离实例（11.4）：离线、云端隔离，或以其他方式使网络中的攻击者无法触及。
• Essential Eight 将保护纳入其成熟度等级：非特权账户无法访问其他账户的备份；在较高等级中，即使是特权账户也无法修改或删除备份。
• CMMC 要求保护备份中 CUI 的机密性（MP.L2-3.8.9）；PCI DSS 要求安全存储离线备份介质（9.4.1.1）。
• ISO 27001 和 SOC 2 要求对备份进行适当保护，但未明确提及不可变性。

恢复测试

CIS 要求每季度或更频繁地对样本进行恢复测试（11.5）。Essential Eight 要求在灾难恢复演练中测试数据、应用程序和设置的恢复。ISO 27001 要求对备份进行测试，但未规定频率；SOC 2 审计师则依据 A1.3 查看恢复测试情况。从未被恢复过的备份只是一种期望，而不是一项控制措施。

核心要点

• 备份与恢复是我们对照映射的每个框架都要求的五个主题之一。
• 各框架在频率上的差异小于在保护上的差异：CIS 和 Essential Eight 明确要求保护备份免受攻击者侵害。
• 恢复测试是最容易被忽视的部分；CIS 要求对样本进行每季度测试。
• 一套基线（定期备份、隔离副本、加密、每季度恢复测试）即可满足所有框架的要求。
• 云服务商保护的是其基础设施，而非你的数据免遭删除、损坏或加密。

满足所有要求的基线

1. 备份数据、应用程序和配置，频率由恢复点目标决定，且至少每周一次。
2. 至少保留一份隔离副本，可以是离线或不可变的，域管理员无法将其删除。
3. 加密备份，尤其是包含敏感或受监管数据的备份。
4. 每季度对样本进行恢复测试，并且至少每年进行一次完整的恢复演练。
5. 记录结果，包括失败情况及修复措施：这正是每位审计师都会索要的证据。

备份与恢复主题页面列出了每项要求及其来源；灾难恢复和业务连续性涵盖更广泛的计划。关于其他所有框架共有的主题，请参阅通用核心要求。

常见问题

备份应多久测试一次？

CIS Controls 要求每季度或更频繁地进行恢复测试（11.5），Essential Eight 要求将恢复纳入灾难恢复演练进行测试。其他大多数框架要求进行测试，但不规定固定频率。

框架是否要求离线或不可变备份？

明确提出此要求的框架很少。CIS Controls 要求保留恢复数据的隔离实例（11.4），Essential Eight 的较高成熟度等级则禁止账户（包括特权账户）修改或删除备份。

云服务是否就不需要备份了？

不。云服务商保护的是其基础设施，但大多数并不能保护你免遭自有数据被删除、损坏或加密。框架仍要求你备份你负责的数据，并测试其恢复。