Controllo sicurezza: Backup e ripristino

Backup e ripristino illustra i controlli per garantire che i backup dei dati e della configurazione siano eseguiti, convalidati e protetti in diversi livelli di servizio.

BR-1: Assicurarsi che i backup automatizzati regolari

CONTROLLI CIS v8 ID ID R4 NIST SP 800-53 ID PCI-DSS v3.2.1
11.2 CP-2, CP-4, CP-9 N/D

Principio di sicurezza: verificare il backup delle risorse critiche per le aziende, durante la creazione delle risorse o l'applicazione di criteri per le risorse esistenti.


Linee guida di Azure: per Backup di Azure risorse supportate, abilitare Backup di Azure e configurare l'origine di backup (ad esempio macchine virtuali di Azure, SQL Server, database HANA, database Di Azure PostgreSQL, condivisioni file, BLOB o dischi) sulla frequenza e sul periodo di conservazione desiderato. Per la macchina virtuale di Azure, è possibile usare Criteri di Azure per abilitare automaticamente il backup usando Criteri di Azure.

Per le risorse o i servizi non supportati da Backup di Azure, usare la funzionalità di backup nativa fornita dalla risorsa o dai servizi. Ad esempio, Azure Key Vault offre funzionalità di backup native.

Per le risorse o i servizi che non sono supportati né da Backup di Azure né hanno una funzionalità di backup nativa, valutare le esigenze di backup e di emergenza e creare il proprio meccanismo in base ai requisiti aziendali. Ad esempio,

  • Se si usa Archiviazione di Azure per l'archiviazione dati, abilitare il controllo delle versioni BLOB per i BLOB di archiviazione che consentono di mantenere, recuperare e ripristinare ogni versione di ogni oggetto archiviato nell'archiviazione di Azure.
  • Le impostazioni di configurazione del servizio possono in genere essere esportate in modelli di Resource Manager di Azure.

Implementazione di Azure e contesto aggiuntivo:


Indicazioni su AWS: per le risorse supportate da Backup AWS, abilitare Il backup di AWS e configurare l'origine di backup (ad esempio EC2, S3, EBS o RDS) sulla frequenza e sul periodo di conservazione desiderato.

Per le risorse/i servizi non supportati da AWS Backup, ad esempio AWS KMS, abilitare la funzionalità di backup nativa come parte della creazione delle risorse.

Per le risorse o i servizi che non sono supportati da AWS Backup né hanno una funzionalità di backup nativa, valutare le esigenze di backup e di emergenza e creare un meccanismo personalizzato in base ai requisiti aziendali. Ad esempio,

  • Se Amazon S3 viene usato per l'archiviazione dati, abilitare il controllo delle versioni S3 per il bucket di archiviazione che consente di mantenere, recuperare e ripristinare ogni versione di ogni oggetto archiviato nel bucket S3.
  • Le impostazioni di configurazione del servizio possono in genere essere esportate nei modelli di CloudFormation.

Implementazione di AWS e contesto aggiuntivo:


Stakeholder della sicurezza dei clienti (Altre informazioni):

BR-2: Proteggere i dati di backup e ripristino

CONTROLLI CIS v8 ID ID R4 NIST SP 800-53 ID PCI-DSS v3.2.1
11.3 CP-6, CP-9 3.4

Principio di sicurezza: assicurarsi che i dati e le operazioni di backup siano protetti dall'esfiltrazione dei dati, dalla compromissione dei dati, dal ransomware/malware e dagli utenti malintenzionati. I controlli di sicurezza che devono essere applicati includono il controllo di accesso utente e di rete, la crittografia dei dati inattivi e in transito.


Linee guida di Azure: usare l'autenticazione a più fattori e il controllo degli accessi in base al ruolo di Azure per proteggere le operazioni di Backup di Azure critiche, ad esempio l'eliminazione, la conservazione delle modifiche, gli aggiornamenti per la configurazione del backup. Per Backup di Azure risorse supportate, usare il controllo degli accessi in base al ruolo di Azure per separare i compiti e abilitare l'accesso con granularità fine e creare endpoint privati all'interno dell'Rete virtuale di Azure per eseguire in modo sicuro il backup e il ripristino dei dati dagli insiemi di credenziali di Servizi di ripristino.

Per Backup di Azure risorse supportate, i dati di backup vengono crittografati automaticamente usando chiavi gestite dalla piattaforma di Azure con crittografia AES a 256 bit. È anche possibile scegliere di crittografare i backup usando la chiave gestita dal cliente. In questo caso, assicurarsi che questa chiave gestita dal cliente nel Key Vault di Azure sia presente anche nell'ambito del backup. Se si usano le opzioni della chiave gestita dal cliente, usare la protezione per l'eliminazione temporanea e l'eliminazione temporanea in Azure Key Vault per proteggere le chiavi dall'eliminazione accidentale o dannosa. Per i backup locali usando Backup di Azure, la crittografia inattiva viene fornita usando la passphrase fornita.

Proteggere i dati di backup dall'eliminazione accidentale o dannosa ,ad esempio attacchi ransomware/tentativi di crittografare o manomettere i dati di backup. Per Backup di Azure risorse supportate, abilitare l'eliminazione temporanea per garantire il ripristino degli elementi senza perdita di dati per un massimo di 14 giorni dopo un'eliminazione non autorizzata e abilitare l'autenticazione a più fattori usando un PIN generato nel portale di Azure. Abilitare anche l'archiviazione con ridondanza geografica o il ripristino tra aree per garantire che i dati di backup siano ripristinabili quando si verifica un'emergenza nell'area primaria. È anche possibile abilitare l'archiviazione con ridondanza della zona per assicurarsi che i backup siano ripristinabili durante gli errori zonali.

Nota: se si usa la funzionalità di backup nativa della risorsa o i servizi di backup diversi da Backup di Azure, vedere Microsoft Cloud Security Benchmark (e linee di base del servizio) per implementare i controlli precedenti.

Implementazione di Azure e contesto aggiuntivo:


Indicazioni su AWS: usare il controllo di accesso di AWS IAM per proteggere il backup di AWS. Ciò include l'accesso e il backup e i punti di ripristino di AWS sicuri, i controlli di esempio includono:

  • Usare l'autenticazione a più fattori per operazioni critiche, ad esempio l'eliminazione di un punto di backup/ripristino.
  • Usare Secure Sockets Layer (SSL)/Transport Layer Security (TLS) per comunicare con le risorse AWS.
  • Usare AWS KMS insieme a AWS Backup per crittografare i dati di backup usando la chiave gestita dal cliente o un CMK gestito da AWS associato al servizio Backup AWS.
  • Usare il blocco di AWS Backup Vault per l'archiviazione non modificabile dei dati critici.
  • Proteggere il bucket S3 tramite i criteri di accesso, disabilitare l'accesso pubblico, applicare la crittografia dei dati inattivi e il controllo del controllo delle versioni (per evitare

Implementazione di AWS e contesto aggiuntivo:


Stakeholder della sicurezza dei clienti (Altre informazioni):

BR-3: Monitorare i backup

CONTROLLI CIS v8 ID ID R4 NIST SP 800-53 ID PCI-DSS v3.2.1
11.3 CP-9 N/D

Principio di sicurezza: assicurarsi che tutte le risorse protette aziendali siano conformi ai criteri di backup e allo standard definiti.


Linee guida di Azure: monitorare l'ambiente di Azure per garantire che tutte le risorse critiche siano conformi da un punto di vista di backup. Usare Criteri di Azure per il backup per controllare e applicare tale controllo. Per Backup di Azure risorse supportate: Il Centro backup consente di gestire centralmente il patrimonio di backup.

Assicurarsi che le operazioni di backup critiche (eliminazione, conservazione delle modifiche, aggiornamenti alla configurazione del backup) vengano monitorate, controllate e abbiano avvisi sul posto. Per Backup di Azure risorse supportate, monitorare l'integrità complessiva del backup, ricevere avvisi agli eventi imprevisti di backup critici, controllare le azioni attivate dall'utente sugli insiemi di credenziali.

Nota: se applicabile, usare anche criteri predefiniti (Criteri di Azure) per assicurarsi che le risorse di Azure siano configurate per il backup.

Implementazione di Azure e contesto aggiuntivo:


Indicazioni su AWS: AWS Backup funziona con altri strumenti AWS per consentire di monitorare i carichi di lavoro. Questi strumenti sono:

  • Usare AWS Backup Audit Manager per monitorare le operazioni di backup per garantire la conformità.
  • Usare CloudWatch e Amazon EventBridge per monitorare i processi di backup di AWS.
  • Usare CloudWatch per tenere traccia delle metriche, creare avvisi e visualizzare i dashboard.
  • Usare EventBridge per visualizzare e monitorare gli eventi di backup di AWS.
  • Usare Amazon Simple Notification Service (Amazon SNS) per sottoscrivere argomenti correlati al backup di AWS, ad esempio backup, ripristino e copia degli eventi.

Implementazione di AWS e contesto aggiuntivo:


Stakeholder della sicurezza dei clienti (Altre informazioni):

BR-4: backup di test regolari

CONTROLLI CIS v8 ID ID R4 NIST SP 800-53 ID PCI-DSS v3.2.1
11.5 CP-4, CP-9 N/D

Principio di sicurezza: eseguire periodicamente test di ripristino dei dati del backup per verificare che le configurazioni di backup e la disponibilità dei dati di backup soddisfino le esigenze di ripristino in base alle esigenze di ripristino definite in RTO (Obiettivo tempo di ripristino) e RPO (Obiettivo punto di ripristino).


Linee guida di Azure: eseguire periodicamente test di ripristino dei dati del backup per verificare che le configurazioni di backup e la disponibilità dei dati di backup soddisfino le esigenze di ripristino in base alle esigenze di ripristino definite in RTO e RPO.

Potrebbe essere necessario definire la strategia di test di ripristino di backup, tra cui l'ambito di test, la frequenza e il metodo, come l'esecuzione del test di ripristino completo ogni volta può essere difficile.

Implementazione di Azure e contesto aggiuntivo:


Indicazioni su AWS: eseguire periodicamente test di ripristino dei dati del backup per verificare che le configurazioni di backup e la disponibilità dei dati di backup soddisfino le esigenze di ripristino in base alle esigenze di ripristino definite in RTO e RPO.

Potrebbe essere necessario definire la strategia di test di ripristino di backup, tra cui l'ambito di test, la frequenza e il metodo, come l'esecuzione del test di ripristino completo ogni volta può essere difficile.

Implementazione di AWS e contesto aggiuntivo:


Stakeholder della sicurezza dei clienti (Altre informazioni):