如何应用CIS互联网安全中心发布的《CIS关键安全控制措施集》之十一：数据恢复

　　CIS关键安全控制措施集（CIS Critical Security Controls，CIS Controls）系列介绍文章，本期介绍控制措施11：数据恢复

笔者：国际认证信息系统审计师、软考系统分析师

　　控制措施11：数据恢复

　　包含有5个细项，IG1前4项，IG2全5项，IG3全5项。

　　这5项分别是：

　　11.1 建立和维护一套数据恢复过程。在此过程中，要解决数据恢复活动的影响范围、恢复的优先级以及数据备份本身的安全性。每年或在发生可能影响此安全措施的重大企业变革时，审查和更新文档。

　　11.2 对企业范围内的所有企业资产执行自动备份。可根据数据的敏感度，每周一次或更频繁地运行备份。笔者注：需要考虑备份操作对计算资源的占用和备份数据对存储空间的占用问题。

　　11.3 务必保护好恢复数据。使用与原始数据相同的控制措施来保护恢复数据。根据需要，考虑对恢复数据进行加密，或和生产环境彻底分离。

　　11.4 建立和维护恢复数据的相互隔离的实例。典型如对恢复数据的存储目的地进行版本控制，方式可包括通过脱机、云、非现场的系统或服务去实现。

　　11.5 测试数据恢复。每季度或更频繁地，对企业范围内资产随机抽取进行备份恢复测试。

　　控制措施11的目的是使企业能建立并维护足以在整个企业的范围内，将企业的资产恢复到安全事件发生前，并且是可信状态的数据恢复过程的实践能力。

　　数据恢复过程的程序，应在CIS控制措施03：数据保护当中描述的数据管理过程中定义。

　　该程序应该包括基于数据的价值、敏感度或保留数据的要求等不同角度的备份过程。这些角度可以有助于设定备份频率和方式，比如完整备份与增量备份等。

　　每季度一次，或每当引入新的备份流程或技术时，测试团队应评估随机抽样的备份，并尝试在测试环境中恢复它们。

　　尤其重要的是，恢复后还需要对恢复的备份进行验证，以确保操作系统、应用程序和来自备份的数据都是完整的和可以运作的。

　　如果发生恶意软件入侵事件，一般来说，恢复过程应考虑使用被认为是早于初始入侵时点的数据备份版本，除非确有必要，或有足够的能力消除恶意软件影响，才使用最新备份。

　　最后，关于备份的故事，最典型、最值得一提的是在2017年2月1日，著名的代码资源托管服务商Gitlab的事故。一位工程师在通宵工作后犯糊涂删除了300GB数据，尝试恢复时发现公司所使用的5种备份方法全部都无法完整、有效地恢复数据。事故最后导致Gitlab宕机18小时，永久丢失6小时数据。从另一个角度看，云服务的可靠性，也并不一定就如其宣称的那样。

本页网址二维码：