Beveiligingsbeheer: back-up en herstel

  • Artikel

Back-up en herstel omvat besturingselementen om ervoor te zorgen dat back-ups van gegevens en configuraties in de verschillende servicelagen worden uitgevoerd, gevalideerd en beveiligd.

BR-1: Zorgen voor regelmatige geautomatiseerde back-ups

CIS-besturingselementen v8-id('s) NIST SP 800-53 r4 ID('s) PCI-DSS-id('s) v3.2.1
11.2 CP-2, CP-4, CP-9 N.v.t.

Beveiligingsprincipe: Zorg voor back-ups van bedrijfskritieke resources, hetzij tijdens het maken van resources of afgedwongen via beleid voor bestaande resources.

Azure-richtlijnen: voor Azure Backup ondersteunde resources (zoals Azure-VM's, SQL Server, HANA-databases, Azure PostgreSQL-database, bestandsshares, blobs of schijven) schakelt u Azure Backup in en configureert u de gewenste frequentie en bewaarperiode. Voor azure-VM kunt u Azure Policy gebruiken om back-up automatisch in te schakelen met behulp van Azure Policy.

Voor resources of services die niet worden ondersteund door Azure Backup, gebruikt u de systeemeigen back-upmogelijkheid van de resource of service. Azure Key Vault biedt bijvoorbeeld een systeemeigen back-upmogelijkheid.

Voor resources/services die niet worden ondersteund door Azure Backup en geen systeemeigen back-upmogelijkheid hebben, evalueert u uw back-up- en noodgevalbehoeften en maakt u uw eigen mechanisme op basis van uw bedrijfsvereisten. Bijvoorbeeld:

  • Als u Azure Storage gebruikt voor gegevensopslag, schakelt u blobversiebeheer in voor uw opslagblobs. Hiermee kunt u elke versie van elk object dat in uw Azure Storage is opgeslagen, behouden, ophalen en herstellen.
  • Serviceconfiguratie-instellingen kunnen meestal worden geëxporteerd naar Azure Resource Manager-sjablonen.

Azure-implementatie en aanvullende context:

AWS-richtlijnen: voor door AWS Ondersteunde resources (zoals EC2, S3, EBS of RDS) schakelt u AWS Backup in en configureert u de gewenste frequentie en retentieperiode.

Voor resources/services die niet worden ondersteund door AWS Backup, zoals AWS KMS, schakelt u de systeemeigen back-upfunctie in als onderdeel van het maken van de resource.

Voor resources/services die niet worden ondersteund door AWS Backup en die geen systeemeigen back-upmogelijkheid hebben, evalueert u uw back-up- en noodgevalbehoeften en maakt u uw eigen mechanisme op basis van uw bedrijfsvereisten. Bijvoorbeeld:

  • Als Amazon S3 wordt gebruikt voor gegevensopslag, schakelt u S3-versiebeheer in voor uw opslagbacket, waarmee u elke versie van elk object dat is opgeslagen in uw S3-bucket kunt behouden, ophalen en herstellen.
  • Serviceconfiguratie-instellingen kunnen meestal worden geëxporteerd naar CloudFormation-sjablonen.

AWS-implementatie en aanvullende context:

GCP-richtlijnen: voor door Google Cloud Backup ondersteunde resources (zoals Computer Engine, Cloud Storage en Containers), schakelt u GCP Backup in en configureert u de gewenste frequentie en bewaarperiode.

Voor resources of services die niet worden ondersteund door Google Cloud Backup, gebruikt u de systeemeigen back-upmogelijkheid van de resource of service. Secret Manager biedt bijvoorbeeld een systeemeigen back-upmogelijkheid.

Voor resources/services die niet worden ondersteund door Google Cloud Backup en die geen systeemeigen back-upmogelijkheid hebben, evalueert u uw back-up- en noodgevalbehoeften en maakt u uw eigen mechanisme op basis van uw bedrijfsvereisten. Bijvoorbeeld:

  • Als u Google Storage gebruikt voor back-upgegevensopslag, schakelt u opslagversiebeheer in voor uw objectversiebeheer. Hiermee kunt u elke versie van elk object dat in uw Google Storage is opgeslagen, behouden, ophalen en herstellen.

GCP-implementatie en aanvullende context:

Belanghebbenden bij de beveiliging van klanten (meer informatie)::

BR-2: Back-up- en herstelgegevens beveiligen

CIS-besturingselementen v8-id('s) NIST SP 800-53 r4 ID('s) PCI-DSS-id('s) v3.2.1
11.3 CP-6, CP-9 3.4

Beveiligingsprincipe: Zorg ervoor dat back-upgegevens en -bewerkingen worden beschermd tegen gegevensexfiltratie, inbreuk op gegevens, ransomware/malware en kwaadwillende insiders. De beveiligingscontroles die moeten worden toegepast, omvatten gebruikers- en netwerktoegangsbeheer, gegevensversleuteling at-rest en in-transit.

Azure-richtlijnen: Gebruik meervoudige verificatie en Azure RBAC om de kritieke Azure Backup-bewerkingen te beveiligen (zoals verwijderen, retentie wijzigen, updates voor back-upconfiguratie). Voor Azure Backup ondersteunde resources gebruikt u Azure RBAC om taken te scheiden en fijnmazige toegang mogelijk te maken en privé-eindpunten te maken binnen uw Azure Virtual Network om veilig back-ups te maken van gegevens uit uw Recovery Services-kluizen.

Voor Azure Backup ondersteunde resources worden back-upgegevens automatisch versleuteld met behulp van door het Azure-platform beheerde sleutels met 256-bits AES-versleuteling. U kunt er ook voor kiezen om de back-ups te versleutelen met behulp van een door de klant beheerde sleutel. In dit geval moet u ervoor zorgen dat de door de klant beheerde sleutel in de Azure Key Vault ook binnen het back-upbereik valt. Als u een door de klant beheerde sleutel gebruikt, gebruikt u beveiliging tegen voorlopig verwijderen en opschonen in Azure Key Vault om sleutels te beschermen tegen onbedoelde of schadelijke verwijdering. Voor on-premises back-ups met Azure Backup wordt versleuteling-at-rest geboden met behulp van de wachtwoordzin die u opgeeft.

Bescherm back-upgegevens tegen onbedoelde of kwaadwillende verwijdering, zoals ransomware-aanvallen/pogingen om back-upgegevens te versleutelen of te knoeien. Schakel voor Azure Backup ondersteunde resources voorlopig verwijderen in om ervoor te zorgen dat items maximaal 14 dagen na een niet-geautoriseerde verwijdering worden hersteld zonder gegevensverlies, en schakel meervoudige verificatie in met behulp van een pincode die is gegenereerd in de Azure Portal. Schakel ook geografisch redundante opslag of herstel tussen regio's in om ervoor te zorgen dat back-upgegevens kunnen worden hersteld bij een noodgeval in de primaire regio. U kunt ook zone-redundante opslag (ZRS) inschakelen om ervoor te zorgen dat back-ups kunnen worden terugzetten tijdens zonefouten.

Opmerking: als u de systeemeigen back-upfunctie van een resource gebruikt of andere back-upservices dan Azure Backup, raadpleegt u de Microsoft Cloud Security Benchmark (en servicebasislijnen) om de bovenstaande besturingselementen te implementeren.

Azure-implementatie en aanvullende context:

AWS-richtlijnen: AWS IAM-toegangsbeheer gebruiken om AWS Backup te beveiligen. Dit omvat het beveiligen van de toegang tot de AWS Backup-service en back-up- en herstelpunten. Voorbeelden van besturingselementen zijn:

  • Gebruik meervoudige verificatie (MFA) voor kritieke bewerkingen, zoals het verwijderen van een back-up-/herstelpunt.
  • Gebruik SSL (Secure Sockets Layer)/Transport Layer Security (TLS) om te communiceren met AWS-resources.
  • Gebruik AWS KMS in combinatie met AWS Backup om de back-upgegevens te versleutelen met behulp van door de klant beheerde CMK of een door AWS beheerde CMK die is gekoppeld aan de AWS Backup-service.
  • Gebruik AWS Backup Vault Lock voor onveranderbare opslag van kritieke gegevens.
  • Beveilig S3-buckets via toegangsbeleid, het uitschakelen van openbare toegang, het afdwingen van versleuteling van data-at-rest en versiebeheer.

AWS-implementatie en aanvullende context:

GCP-richtlijnen: gebruik toegewezen accounts met de sterkste verificatie om kritieke back-up- en herstelbewerkingen uit te voeren, zoals verwijderen, retentie wijzigen, updates voor back-upconfiguratie. Dit beschermt back-upgegevens tegen onbedoelde of schadelijke verwijdering, zoals ransomware-aanvallen/pogingen om back-upgegevens te versleutelen of te knoeien.

Voor door GCP Backup ondersteunde resources gebruikt u Google IAM met rollen en machtigingen om taken te scheiden en fijnmazige toegang mogelijk te maken, en stelt u een privéservicetoegangsverbinding met VPC in om veilig back-ups te maken van gegevens en gegevens te herstellen vanuit een back-up-/herstelapparaat.

Back-upgegevens worden standaard automatisch versleuteld op platformniveau met behulp van het AES-algoritme (Advanced Encryption Standard), AES-256.

Opmerking: als u de systeemeigen back-upfunctie van een resource of andere back-upservices dan GCP Backup gebruikt, raadpleegt u de respectieve richtlijn voor het implementeren van de beveiligingscontroles. U kunt bijvoorbeeld ook specifieke VM-exemplaren beveiligen tegen verwijdering door de eigenschap deletionProtection in te stellen op een VM-exemplaarresource.

GCP-implementatie en aanvullende context:

Belanghebbenden bij de beveiliging van klanten (meer informatie)::

BR-3: Back-ups bewaken

CIS-besturingselementen v8-id('s) NIST SP 800-53 r4 ID('s) PCI-DSS-id('s) v3.2.1
11.3 CP-9 N.v.t.

Beveiligingsprincipe: Zorg ervoor dat alle bedrijfskritieke beveiligbare resources voldoen aan het gedefinieerde back-upbeleid en de standaard.

Azure-richtlijnen: bewaak uw Azure-omgeving om ervoor te zorgen dat al uw kritieke resources compatibel zijn vanuit het perspectief van back-ups. Gebruik Azure Policy voor back-ups om dergelijke controles te controleren en af te dwingen. Voor Azure Backup ondersteunde resources helpt Backup Center u bij het centraal beheren van uw back-upomgeving.

Zorg ervoor dat kritieke back-upbewerkingen (verwijderen, retentie wijzigen, updates voor back-upconfiguratie) worden bewaakt en gecontroleerd en dat er waarschuwingen zijn. Voor Azure Backup ondersteunde resources controleert u de algehele back-upstatus, ontvangt u waarschuwingen over kritieke back-upincidenten en controleert u geactiveerde gebruikersacties op kluizen.

Opmerking: gebruik indien van toepassing ook ingebouwd beleid (Azure Policy) om ervoor te zorgen dat uw Azure-resources zijn geconfigureerd voor back-up.

Azure-implementatie en aanvullende context:

AWS-richtlijnen: AWS Backup werkt samen met andere AWS-hulpprogramma's, zodat u de workloads kunt bewaken. Deze hulpprogramma's omvatten het volgende:

  • Gebruik AWS Backup Audit Manager om de back-upbewerkingen te controleren om de naleving te garanderen.
  • Gebruik CloudWatch en Amazon EventBridge om AWS Backup-processen te bewaken.
  • Gebruik CloudWatch om metrische gegevens bij te houden, alarmen te maken en dashboards weer te geven.
  • Gebruik EventBridge om AWS Backup-gebeurtenissen weer te geven en te bewaken.
  • Gebruik Amazon Simple Notification Service (Amazon SNS) om u te abonneren op onderwerpen met betrekking tot AWS Backup, zoals back-up-, herstel- en kopieergebeurtenissen.

AWS-implementatie en aanvullende context:

GCP-richtlijnen: Controleer uw back-up- en herstelomgeving na noodgevallen om ervoor te zorgen dat al uw kritieke resources compatibel zijn vanuit het perspectief van back-ups. Gebruik organisatiebeleid voor back-ups om dergelijke controles te controleren en af te dwingen. Voor door GCP Backup ondersteunde resources helpt Beheerconsole u uw back-upomgeving centraal te beheren.

Zorg ervoor dat kritieke back-upbewerkingen (verwijderen, retentie wijzigen, updates voor back-upconfiguratie) worden bewaakt en gecontroleerd en dat er waarschuwingen zijn. Voor door GCP Backup ondersteunde resources controleert u de algehele back-upstatus, ontvangt u een waarschuwing voor kritieke back-upincidenten en controleert u geactiveerde gebruikersacties.

Opmerking: gebruik indien van toepassing ook ingebouwd beleid (organisatiebeleid) om ervoor te zorgen dat uw Google-resources zijn geconfigureerd voor back-up.

GCP-implementatie en aanvullende context:

Belanghebbenden bij de beveiliging van klanten (meer informatie)::

BR-4: Back-up regelmatig testen

CIS-besturingselementen v8-id('s) NIST SP 800-53 r4 ID('s) PCI-DSS-id('s) v3.2.1
11.5 CP-4, CP-9 N.v.t.

Beveiligingsprincipe: voer periodiek gegevenshersteltests van uw back-up uit om te controleren of de back-upconfiguraties en beschikbaarheid van de back-upgegevens voldoen aan de herstelbehoeften zoals gedefinieerd in de RTO (Recovery Time Objective) en RPO (Recovery Point Objective).

Azure-richtlijnen: voer regelmatig gegevenshersteltests van uw back-up uit om te controleren of de back-upconfiguraties en beschikbaarheid van de back-upgegevens voldoen aan de herstelbehoeften zoals gedefinieerd in de RTO en RPO.

Mogelijk moet u uw teststrategie voor back-upherstel definiëren, inclusief het testbereik, de frequentie en de methode, omdat het uitvoeren van de volledige hersteltest telkens moeilijk kan zijn.

Azure-implementatie en aanvullende context:

AWS-richtlijnen: voer periodiek gegevenshersteltests van uw back-up uit om te controleren of de back-upconfiguraties en beschikbaarheid van de back-upgegevens voldoen aan de herstelbehoeften zoals gedefinieerd in de RTO en RPO.

Mogelijk moet u uw teststrategie voor back-upherstel definiëren, inclusief het testbereik, de frequentie en de methode, omdat het uitvoeren van de volledige hersteltest telkens moeilijk kan zijn. AWS-implementatie en aanvullende context:

GCP-richtlijnen: voer periodiek gegevenshersteltests van uw back-up uit om te controleren of de back-upconfiguraties en beschikbaarheid van de back-upgegevens voldoen aan de herstelbehoeften zoals gedefinieerd in de RTO en RPO.

Mogelijk moet u uw teststrategie voor back-upherstel definiëren, inclusief het testbereik, de frequentie en de methode, omdat het uitvoeren van de volledige hersteltest telkens moeilijk kan zijn.

GCP-implementatie en aanvullende context:

Belanghebbenden bij de beveiliging van klanten (meer informatie)::