Condividi tramite

Controllo di sicurezza v3: Backup e ripristino

  • Articolo

Backup e ripristino illustra i controlli per garantire che i backup dei dati e della configurazione nei diversi livelli di servizio siano eseguiti, convalidati e protetti.

BR-1: garantire backup automatizzati regolari

CIS Controlla gli ID v8 ID NIST SP 800-53 r4 ID PCI-DSS v3.2.1
11.2 CP-2, CP-4, CP-9 N/D

Principio di sicurezza: Assicurarsi il backup delle risorse business critical, durante la creazione delle risorse o applicate tramite criteri per le risorse esistenti.

Linee guida di Azure: Per Backup di Azure risorse supportate, abilitare Backup di Azure e configurare l'origine di backup (ad esempio macchine virtuali di Azure, SQL Server, database HANA o condivisioni file) nella frequenza e nel periodo di conservazione desiderati. Per le macchine virtuali di Azure, è possibile usare Criteri di Azure il backup abilitato automaticamente usando Criteri di Azure.

Per le risorse non supportate da Backup di Azure, abilitare il backup come parte della relativa creazione di risorse. Se applicabile, usare i criteri predefiniti (Criteri di Azure) per assicurarsi che le risorse di Azure siano configurate per il backup.

Implementazione e contesto aggiuntivo:

Stakeholder per la sicurezza dei clienti (altre informazioni):

BR-2: Proteggere i dati di backup e ripristino

CIS Controlla gli ID v8 ID NIST SP 800-53 r4 ID PCI-DSS v3.2.1
11.3 CP-6, CP-9 3.4

Principio di sicurezza: Assicurarsi che i dati e le operazioni di backup siano protetti da esfiltrazione dei dati, compromissione dei dati, ransomware/malware e utenti malintenzionati. I controlli di sicurezza che devono essere applicati includono il controllo degli accessi di utenti e di rete, la crittografia dei dati in stato di inquieto e in transito.

Linee guida di Azure: Usare il controllo degli accessi in base al ruolo di Azure e l'autenticazione a più fattori per proteggere le operazioni Backup di Azure chiave, ad esempio l'eliminazione, la conservazione delle modifiche, gli aggiornamenti alla configurazione di backup. Per Backup di Azure risorse supportate, usare il controllo degli accessi in base al ruolo di Azure per separare i compiti e abilitare l'accesso con granularità fine e creare endpoint privati all'interno di Azure Rete virtuale per eseguire in modo sicuro il backup e il ripristino dei dati dagli insiemi di credenziali di Servizi di ripristino.

Per Backup di Azure supportate, i dati di backup vengono crittografati automaticamente usando chiavi gestite dalla piattaforma Azure con crittografia AES a 256 bit. È anche possibile scegliere di crittografare i backup usando la chiave gestita dal cliente. In questo caso, assicurarsi che anche questa chiave gestita dal cliente nell'istanza di Azure Key Vault nell'ambito di backup. Se si usano le opzioni delle chiavi gestite dal cliente, usare la protezione dell'eliminazione e dell'eliminazione software in Azure Key Vault per proteggere le chiavi da eliminazioni accidentali o dannose. Per i backup locali che usano Backup di Azure, la crittografia in pausa viene fornita usando la passphrase specificata.

Proteggere i dati di backup da eliminazioni accidentali o dannose,ad esempio attacchi ransomware/tentativi di crittografare o manomettere i dati di backup. Per Backup di Azure risorse supportate, abilitare l'eliminazione soft per garantire il ripristino di elementi senza perdita di dati per un massimo di 14 giorni dopo un'eliminazione non autorizzata e abilitare l'autenticazione a più fattori usando un PIN generato nel portale di Azure. Abilitare anche il ripristino tra aree per garantire che i dati di backup siano ripristinabili in caso di emergenza nell'area primaria.

Nota: se si usa la funzionalità di backup nativa della risorsa o i servizi di backup diversi da Backup di Azure, fare riferimento a Azure Security Benchmark (e linee di base del servizio) per implementare i controlli precedenti.

Implementazione e contesto aggiuntivo:

Stakeholder per la sicurezza dei clienti (altre informazioni):

BR-3: Monitorare i backup

CIS Controlla gli ID v8 ID NIST SP 800-53 r4 ID PCI-DSS v3.2.1
11.3 CP-9 N/D

Principio di sicurezza: Assicurarsi che tutte le risorse di protezione business critical siano conformi ai criteri di backup definiti e allo standard.

Linee guida di Azure: Monitorare l'ambiente di Azure per assicurarsi che tutte le risorse critiche siano conformi dal punto di vista del backup. Usare Criteri di Azure per il backup per controllare e applicare tale controllo. Per Backup di Azure risorse supportate: Il Centro backup consente di gestire centralmente l'area di backup.

Assicurarsi che le operazioni di backup critiche (eliminazione, conservazione delle modifiche, aggiornamenti alla configurazione di backup) siano monitorate, verificate e siano presenti avvisi. Per Backup di Azure risorse supportate, monitorare l'integrità complessiva dei backup, ricevere avvisi per eventi imprevisti critici di backup e controllare le azioni attivate dall'utente sugli insiemi di credenziali.

Implementazione e contesto aggiuntivo:

Stakeholder per la sicurezza dei clienti (altre informazioni):

BR-4: testare regolarmente il backup

CIS Controlla gli ID v8 ID NIST SP 800-53 r4 ID PCI-DSS v3.2.1
11.5 CP-4, CP-9 N/D

Principio di sicurezza: Eseguire periodicamente test di ripristino dei dati del backup per verificare che le configurazioni di backup e la disponibilità dei dati di backup soddisfino le esigenze di ripristino in base a quanto definito in RTO (Recovery Time Objective) e RPO (Recovery Point Objective).

Linee guida di Azure: Eseguire periodicamente test di ripristino dei dati del backup per verificare che le configurazioni di backup e la disponibilità dei dati di backup soddisfino le esigenze di ripristino in base a quanto definito nell'RTO e nell'RPO.

Potrebbe essere necessario definire la strategia di test di ripristino del backup, inclusi l'ambito, la frequenza e il metodo di test di ripristino completo, in quanto l'esecuzione del test di ripristino completo ogni volta può risultare difficile.

Implementazione e contesto aggiuntivo:

Stakeholder per la sicurezza dei clienti (altre informazioni):