Requisiti NIST per il backup e il ripristino

Che cos’è il NIST?

Il NIST è il National Institute of Standards and Technology, un’agenzia governativa degli Stati Uniti che opera sotto il Dipartimento del Commercio. L’agenzia in questione ha più di cento anni, anche se dal 1901 al 1988 era conosciuta come National Bureau of Standards.

Il suo obiettivo principale è quello di sviluppare nuovi standard tecnici e migliorare quelli esistenti in diversi campi – cybersicurezza, misurazione o qualsiasi cosa legata alla tecnologia moderna.

Quadro di Cybersecurity del NIST

La cybersecurity è una delle sfere di interesse più significative del NIST, in quanto le informazioni sono oggi il bene più prezioso di una persona o di un’azienda. In questo contesto, una protezione completa dei dati è naturale, ed è compito di organizzazioni come il NIST cercare di creare linee guida accessibili e convenienti sulla protezione delle informazioni da diversi tipi di attacchi informatici.

Per questo motivo, il NIST Cybersecurity Framework (CSF) è stato creato oltre un decennio fa per fornire un’assistenza completa alle aziende che intendono proteggere le proprie informazioni utilizzando vari metodi e strategie. La corretta implementazione del CSF dovrebbe migliorare notevolmente la cybersecurity complessiva di un’organizzazione.

L’obiettivo di questo framework è di incoraggiare un esame più approfondito e dettagliato della sicurezza di un’organizzazione, rendendo compiti come la valutazione del rischio più comuni per le aziende e le imprese. In questo modo, queste aziende possono essere molto più sicure dei propri sistemi e infrastrutture di sicurezza – o cercare di risolvere i problemi che possono essere comparsi in uno di questi sistemi nel corso del tempo.

Va anche detto che il NIST CSF non è uno standard o una struttura certificabile; il NIST non offre alcun tipo di certificazione per aver superato o meno il CSF in qualche modo. Ciò che offre è una vasta rete di programmi di sicurezza informatica a cui le aziende possono sottoporsi per far sì che i loro prodotti vengano testati e convalidati dal NIST con una documentazione ufficiale.

Il concetto originale del CSF utilizza cinque elementi fondamentali per stabilire la sua copertura completa di diversi campi e argomenti della cybersecurity. Questi cinque campi sono denominati Rilevare, Identificare, Rispondere, Proteggere e Recuperare.

Rilevare si concentra principalmente sul rilevamento e sul monitoraggio delle minacce, coprendo funzioni come il rilevamento delle intrusioni, la registrazione degli eventi di sicurezza e il rilevamento delle anomalie.

Identificare comprende funzioni che forniscono funzionalità di gestione del rischio e di identificazione dei problemi. Rende più facile la comprensione dell’attuale panorama dei dati di un’organizzazione, fornendo anche funzioni come la gestione delle risorse e la valutazione dei rischi.

Rispondere è un campo relativamente autoesplicativo, che comprende un elenco dettagliato di eventi e compiti che devono essere eseguiti se un’organizzazione si trova ad affrontare un incidente di sicurezza. Si tratta di generare un piano di risposta agli incidenti, con vari sforzi di coordinamento e comunicazione inclusi nel campo.

Proteggere è la base della maggior parte degli sforzi di sicurezza che un’organizzazione deve compiere. Può includere molte attività che vanno dalla crittografia dei dati e dal controllo degli accessi alla formazione generale di sensibilizzazione per l’intero personale dell’azienda.

Recuperare è tutto ciò che un’organizzazione fa per recuperare dalle conseguenze di un incidente di cybersecurity. Questo campo non comprende solo il backup e il ripristino, ma include anche le revisioni post-incidente e i potenziali miglioramenti del sistema esistente basati sulle suddette revisioni.

Nessuno di questi campi si esclude a vicenda; tutti devono essere utilizzati in tandem per creare il sistema di sicurezza più resiliente, in grado di resistere a tutti i tipi di minacce e attacchi.

NIST CSF 2.0 – Aggiornamento 2024

La cybersecurity è un campo molto dinamico che si sta sviluppando a ritmo sostenuto da diversi decenni. Di conseguenza, anche le raccomandazioni e le linee guida sulla cybersecurity devono essere aggiornate.

Questo è esattamente ciò che è accaduto al Cybersecurity Framework del NIST, con la versione 2.0 rilasciata nel febbraio 2024. Include molte aggiunte e revisioni ai contenuti esistenti, ma anche molti nuovi elementi.

Una delle aggiunte più significative al CSF è l’inclusione di un campo nuovo di zecca chiamato Govern. Viene utilizzato per ampliare i cinque campi esistenti, in particolare quando si tratta di capacità orientate al “controllo” – misurazione del successo, revisione, pianificazione, ecc.

Anche il campo Proteggere è stato in parte rielaborato, introducendo due nuovi sottocampi: Sicurezza dei dati e Resilienza dell’infrastruttura. Entrambi vengono utilizzati non solo per rafforzare la necessità della protezione dei dati nel suo complesso, ma anche per ampliare i metodi di sicurezza non convenzionali, come i backup immutabili e vari metodi di resilienza.

Il campo Response non ha ricevuto molti nuovi contenuti, ma le informazioni esistenti sono state pesantemente ristrutturate, pur mantenendo il messaggio originale di utilizzare le informazioni raccolte in diversi campi per generare misure di risposta efficienti per varie situazioni.

Sono stati apportati molti altri cambiamenti e modifiche alla versione precedente del CSF, ma le informazioni di cui sopra evidenziano i cambiamenti più significativi nella struttura generale. La versione completa del NIST CSF 2.0 è disponibile sul sito web ufficiale.

Le sfide dei compiti di backup nel contesto degli MSP

Sarebbe giusto ricordare che la CSF è ben lungi dall’essere l’unica informazione che l’agenzia fornisce sul tema della sicurezza dei dati e su altri argomenti simili. In questo contesto, vorremmo trattare un altro elemento del NIST che ruota principalmente intorno al tema del backup e delle attività di ripristino specifiche per i Managed Service Provider, rendendolo leggermente più specifico rispetto al CSF.

Uno dei problemi più specifici che l’articolo dell’NCCoE fornisce è quello dei sistemi di backup implementati ma non testati o pianificati correttamente, rendendoli praticamente inefficaci. Un singolo evento di perdita di dati causa problemi al marchio, perdita di reputazione, perdita di produttività, perdita di fatturato e altro ancora. In questo contesto, è fondamentale assicurarsi che i sistemi di backup siano impostati e testati correttamente.

Come affrontare i requisiti NIST per il backup e il ripristino

Il backup dei file come mezzo per riprendere le operazioni dopo un evento di cybersecurity o una violazione dei dati è rafforzato nel NIST Interagency Report 7621 Rev. 1, Small Business Information Security. L’obiettivo principale della ricerca condotta dal National Cybersecurity Center of Excellence è quello di aiutare sia le aziende che gli MSP che lavorano con loro a creare flussi di lavoro e operazioni di backup adeguati.

Raccomandazioni del NIST per i backup

L’articolo dell’NCCoE copre i tre pilastri principali delle raccomandazioni di backup fornite dal NIST: Pianificazione, Implementazione e Test.

Il pilastro della pianificazione

La pianificazione è il primo pilastro dei tre; si tratta di un processo globale che aiuta l’azienda a trovare un equilibrio tra le esigenze operative e i costi totali di gestione. La maggior parte delle raccomandazioni contenute nella parte “Pianificazione” di questo articolo si basano sulla pubblicazione NIST Special Publication (SP) 800-53, Rev 4, che include elementi come:

• Determinare il tempo di ripristino corretto
• Rilevare le dipendenze tra i sistemi e gli elementi dell’infrastruttura
• Identificare quali file devono avere la priorità nel processo di backup
• Sviluppare processi estesi per situazioni diverse, compresi gli elementi di risposta e di ripristino
• Non fare affidamento su un’unica copia di backup del sistema (e utilizzare invece la strategia di backup 3-2-1)
• Valutare lo stato di sensibilità generale di tutti gli elementi di dati, poiché alcuni di essi devono avere misure di sicurezza aggiuntive in base a vari quadri di conformità e normative

Il pilastro dell’implementazione

L’implementazione è un pilastro leggermente meno sofisticato che ruota intorno all’esecuzione di azioni pre-pianificate all’interno dei confini dell’infrastruttura aziendale. Questo particolare pilastro comprende eventi come:

• Valutazione di potenziali luoghi di archiviazione di backup off-site
• Integrare le moderne tecnologie nel sistema di backup e ripristino (le tecnologie esatte raccomandate dal NIST saranno menzionate in dettaglio più avanti)
• Implementare un sistema di “Go Bag” per il recupero dei dati sensibili – una raccolta di dati critici, come chiavi di sicurezza e password, conservati e protetti in un luogo separato dall’infrastruttura generale del sistema
• Preparare un insieme di sistemi ed elementi di infrastruttura che possano funzionare in modo completamente separato dall’infrastruttura aziendale originale, da utilizzare solo in caso di emergenza

Il pilastro dei test

Il test è l’ultimo ma non meno importante pilastro delle raccomandazioni del NIST (può essere chiamato test e monitoraggio in modo intercambiabile, poiché include elementi di entrambi i processi). Il suo scopo principale è autoesplicativo: testare e monitorare le tecnologie, i sistemi e i flussi di lavoro per garantire che funzionino e che siano utili in caso di disastro o di attacco informatico. Questo pilastro può essere separato in due gruppi:

• Test
  • Eseguire test automatici
  • Verificare l’integrità del backup
  • Valutare le prestazioni dei processi di ripristino
  • Estrarre i dati dai suddetti test per futuri aggiustamenti
• Monitoraggio
  • Monitorare i processi di test automatizzati
  • Assicurarsi che i backup siano generati correttamente
  • Assicurarsi che i backup possano essere utilizzati per ripristinare i dati nella loro forma originale

Tecnologie utili per le attività di backup

Per eseguire tutte le azioni e i processi sopra citati, ci sono molte capacità e tecnologie diverse che il NIST raccomanda di utilizzare nel quadro del backup e del ripristino:

• L’automazione del sistema di backup è necessaria per eseguire attività di backup in ambienti completi che comprendono diversi tipi di storage – disco, nastro, NAS, VM, cloud storage e così via.
• Lo storage di backup basato su cloud opera come un’ottima alternativa allo storage locale in loco per i backup, grazie alla sua capacità di rimanere separato da altre opzioni di storage; può anche offrire diversi tipi di backup, metodi di implementazione, ecc.
• Le diverse tecnologie di archiviazione locale possono anche offrire vantaggi unici a seconda del tipo di archiviazione – includendo tutto ciò che va dai dischi rigidi locali e dai supporti rimovibili all’archiviazione in cloud, all’archiviazione WORM e ad altri tipi di archiviazione non convenzionale
• La crittografia dei dati spesso rappresenta una delle misure di sicurezza più significative per i dati in transito e a riposo, offrendo un altro livello di protezione contro le azioni illegali oltre ai processi di backup stessi.
• I backup per l’archiviazione basata su cloud sono altrettanto necessari per le loro controparti on-site, garantendo che i dati stessi siano ancora disponibili se l’archiviazione cloud va offline per qualche motivo; potrebbe non essere necessario in alcune situazioni e casi d’uso

Le seguenti pubblicazioni del NIST trattano queste tecnologie e i loro processi di implementazione:

• NIST SP 1800-26, Detecting and Responding to Ransomware and Other Destructive Events
• NIST SP 1800-25, Identificare e proteggere gli asset contro il Ransomware e altri eventi distruttivi
• NIST SP 1800-11, Integrità dei dati: Recupero da Ransomware e altri eventi distruttivi

NIST e il suo ruolo in un ambiente moderno di cybersecurity

Il numero di violazioni dei dati e di incidenti di cybersecurity continua a crescere ogni anno che passa, e le tecnologie stesse migliorano ad un ritmo estremamente veloce. In questo contesto, tutto ciò che spiega i diversi elementi di un sistema efficace di protezione della cybersecurity è un’aggiunta gradita all’impegno generale del settore per rimanere al passo con l’ambiente dei criminali informatici. Praticamente tutte le aziende che hanno bisogno di migliorare le misure di cybersecurity esistenti possono approfittare delle raccomandazioni del NIST per migliorare elementi specifici o un’intera infrastruttura.

Conclusione

Nel mondo di oggi, caratterizzato da un aumento del rischio di attacchi informatici, la Cybersecurity occupa un posto di rilievo nella consapevolezza dei leader tecnologici di tutti i tipi di organizzazioni. Il NIST è una grande istituzione che copre molte aree applicative, e il suo quadro di riferimento per la cybersecurity è uno dei suoi elementi più importanti. Il NIST offre diversi standard e raccomandazioni riguardanti la cybersecurity nel suo complesso. Alcune di queste raccomandazioni sono utilizzate in senso generale, mentre altre sono leggermente più specifiche, come l’articolo di NCCoE di cui sopra sui backup MSP e i loro test.

Sebbene le raccomandazioni del NIST siano obbligatorie solo per una particolare gamma di aziende e imprese (tra cui tutte le agenzie governative federali degli Stati Uniti e praticamente tutte le aziende che faranno affari con il governo degli Stati Uniti nel suo complesso), possono comunque essere utilizzate come considerazioni generali per la cybersecurity generale e la configurazione dei backup. Molte di queste raccomandazioni sono molto dettagliate, il che rende più facile per molte aziende diverse implementarle e migliorare la propria situazione di cybersecurity.

Bacula Enterprise e compatibilità NIST

Esistono alcune soluzioni di backup e ripristino che sono già state create e gestite tenendo conto di tutti i requisiti NIST. Tuttavia, alcune soluzioni si spingono più in là di altre e, per le organizzazioni attente alla sicurezza, Bacula Enterprise è probabilmente l’esempio più forte, in quanto offre una piattaforma di backup e ripristino completa con livelli di sicurezza particolarmente elevati, che soddisfa ed eccelle tutti i requisiti di auditing del NIST.

Bacula è in grado di offrire una moltitudine di caratteristiche e capacità che lo rendono di gran lunga migliore nel garantire la conformità di un’organizzazione rispetto alla maggior parte dei suoi concorrenti, tra cui:

• Cifratura dei backup, indipendentemente da dove vengono archiviati.
• Controlli regolari dell’integrità dei dati.
• Capacità di reporting dettagliato.
• Vaste funzionalità di registrazione.
• Supporto per politiche di protezione dei dati automatizzate e centralizzate.
• Funzioni avanzate di immutabilità dei dati.
• Flessibilità in termini di partizione dei dati.
• Molte capacità di integrazione con soluzioni di monitoraggio esterne.
• Supporto per diversi tipi di storage.
• Ampia gamma di tipi di immutabilità e compatibilità.
• Resistenza dell’infrastruttura estremamente elevata rispetto ad altri fornitori di backup e ripristino.
• Capacità di reporting ampio e granulare

Non solo Bacula Enterprise è in grado di coprire facilmente tutti i sei pilastri NIST (Proteggere, Identificare, Rilevare, Rispondere, Recuperare e Governare), ma è anche conforme a FIPS 140-2 e supporta molti altri quadri normativi, tra cui GDPR, CCPA, FISMA e altri ancora. Maggiori informazioni sulle funzionalità di conformità di Bacula Enterprise sono disponibili qui.

DOMANDE FREQUENTI

Come fa il NIST ad essere collegato al settore della cybersecurity?

La cybersecurity è uno dei pilastri più essenziali del NIST, che funge da sviluppatore e distributore di framework di sicurezza per aiutare le aziende a combattere tutti i tipi di minacce informatiche.

Come fa il NIST ad aiutare le aziende con i problemi di cybersecurity?

Non solo il NIST offre un intero Cybersecurity Framework come base per le sue raccomandazioni di sicurezza, ma ci sono anche molte altre raccomandazioni e documenti più specifici, come l’articolo dell’NCCoE sui test di backup per gli MSP di cui abbiamo parlato prima.

Quali sono le raccomandazioni del NIST per quanto riguarda i backup dei dati?

Il NIST fornisce molte opzioni diverse per migliorare il quadro di backup esistente. Molte di esse sono specifiche per ogni caso, ma alcune delle raccomandazioni più comuni includono l’adesione alla strategia 3-2-1, la crittografia dei dati, l’immutabilità del backup e altro ancora.