29、FedRAMP云计算安全要求解析

FedRAMP云计算安全要求解析

1. 信息系统备份与恢复

1.1 信息系统备份（CP - 9）

• 备份测试 ：组织至少每年对备份信息进行测试，以验证介质可靠性和信息完整性。
• 备份存储 ：组织将操作系统、关键软件以及信息系统清单的备份副本存储在单独的设施或与运行系统不同位置的防火容器中。

1.2 信息系统恢复与重建（CP - 10）

• 恢复要求 ：组织需在系统中断、受损或故障后，将信息系统恢复到已知状态。
• 增强控制
  • 基于事务的系统要实现事务恢复。
  • 组织需针对服务提供商定义的可能影响恢复的情况提供补偿性安全控制。

下面用表格总结信息系统备份与恢复的关键要点：
| 控制编号 | 控制名称 | 主要要求 | 增强控制 |
| ---- | ---- | ---- | ---- |
| CP - 9 | 信息系统备份 | 每年测试备份，分开存储备份副本 | 无 |
| CP - 10 | 信息系统恢复与重建 | 恢复系统到已知状态 | 事务恢复，提供补偿性控制 |

2. 识别与认证

2.1 识别与认证策略和程序（IA - 1）

组织每年至少开发、传播、审查和更新识别与认证策略及程序，包括正式的策略文件