Kontrola Bezpieczeństwa V2: Zarządzanie i Strategia

Ład i strategia zawierają wskazówki dotyczące zapewnienia spójnej strategii zabezpieczeń oraz udokumentowanego podejścia do zapewniania ładu w celu zapewnienia i utrzymania bezpieczeństwa, w tym ustanawiania ról i obowiązków dla różnych funkcji zabezpieczeń w chmurze, ujednoliconej strategii technicznej oraz wspierania zasad i standardów.

GS-1: Definiowanie strategii zarządzania zasobami i ochrony danych

Upewnij się, że dokumentujesz i komunikujesz wyraźną strategię ciągłego monitorowania i ochrony systemów i danych. Określanie priorytetów odnajdywania, oceny, ochrony i monitorowania danych i systemów krytycznych dla działania firmy.

Ta strategia powinna obejmować udokumentowane wskazówki, zasady i standardy dla następujących elementów:

• Standard klasyfikacji danych zgodnie z ryzykiem biznesowym

• Wgląd organizacji zabezpieczeń w ryzyko i spis zasobów

• Zatwierdzenie przez organizację zabezpieczeń usług platformy Azure do użycia

• Bezpieczeństwo zasobów za pośrednictwem ich cyklu życia

• Wymagana strategia kontroli dostępu zgodnie z klasyfikacją danych organizacji

• Korzystanie z natywnych funkcji ochrony danych platformy Azure i funkcji ochrony danych od innych dostawców

• Wymagania dotyczące szyfrowania danych podczas przesyłania i przechowywania

• Odpowiednie standardy kryptograficzne

Więcej informacji można znaleźć w następującej dokumentacji:

• Zalecenie dotyczące architektury zabezpieczeń platformy Azure — magazyn, dane i szyfrowanie

• Podstawy zabezpieczeń platformy Azure — zabezpieczenia, szyfrowanie i magazyn danych platformy Azure

• Cloud Adoption Framework — najlepsze rozwiązania dotyczące zabezpieczeń i szyfrowania danych platformy Azure

• Test porównawczy zabezpieczeń platformy Azure — zarządzanie zasobami

• Test porównawczy zabezpieczeń platformy Azure — ochrona danych

Odpowiedzialność: Klient

Uczestnicy projektu zabezpieczeń klientów (dowiedz się więcej):

• Wszyscy uczestnicy projektu

GS-2: Definiowanie strategii segmentacji przedsiębiorstwa

Ustanów strategię całego przedsiębiorstwa na segmentowanie dostępu do zasobów przy użyciu kombinacji tożsamości, sieci, aplikacji, subskrypcji, grupy zarządzania i innych kontrolek.

Należy dokładnie zrównoważyć potrzebę rozdzielenia zabezpieczeń, aby umożliwić codzienne działanie systemów, które muszą komunikować się ze sobą i uzyskiwać dostęp do danych.

Upewnij się, że strategia segmentacji jest wdrażana spójnie we wszystkich typach kontroli, w tym w modelach zabezpieczeń sieci, tożsamości i dostępu oraz modelach uprawnień/dostępu aplikacji oraz kontroli procesów ludzkich.

• Wskazówki dotyczące strategii segmentacji na platformie Azure (wideo)

• Wskazówki dotyczące strategii segmentacji na platformie Azure (dokument)

• Dopasowywanie segmentacji sieci do strategii segmentacji przedsiębiorstwa

Odpowiedzialność: Klient

Uczestnicy projektu zabezpieczeń klientów (dowiedz się więcej):

• Wszyscy uczestnicy projektu

GS-3: Definiowanie strategii zarządzania stanem zabezpieczeń

Ciągłe mierzenie i zmniejszanie ryzyka dla poszczególnych zasobów i środowiska, w których są hostowane. Określanie priorytetów zasobów o wysokiej wartości i wysoce narażonych powierzchni ataków, takich jak opublikowane aplikacje, punkty ruchu przychodzącego i wychodzącego sieci, punkty końcowe użytkowników i administratorów itp.

• Test porównawczy zabezpieczeń platformy Azure — stan i zarządzanie lukami w zabezpieczeniach

Odpowiedzialność: Klient

Uczestnicy projektu zabezpieczeń klientów (dowiedz się więcej):

• Wszyscy uczestnicy projektu

GS-4: Wyrównywanie ról, obowiązków i odpowiedzialności organizacji

Upewnij się, że dokumentujesz i komunikujesz wyraźną strategię dotyczącą ról i obowiązków w organizacji zabezpieczeń. Określ priorytety, zapewniając wyraźną odpowiedzialność za decyzje dotyczące zabezpieczeń, edukując wszystkich użytkowników w modelu wspólnej odpowiedzialności i edukując zespoły techniczne w zakresie technologii w celu zabezpieczenia chmury.

• Najlepsze rozwiązanie dotyczące zabezpieczeń platformy Azure 1 — ludzie: edukuj zespoły na drodze do zabezpieczeń w chmurze

• Najlepsze rozwiązanie dotyczące zabezpieczeń platformy Azure 2 — ludzie: informowanie zespołów o technologii zabezpieczeń w chmurze

• Najlepsze rozwiązanie dotyczące zabezpieczeń platformy Azure 3 — proces: przypisywanie odpowiedzialności za decyzje dotyczące zabezpieczeń w chmurze

Odpowiedzialność: Klient

Uczestnicy projektu zabezpieczeń klientów (dowiedz się więcej):

• Wszyscy uczestnicy projektu

GS-5: Definiowanie strategii zabezpieczeń sieci

Ustanów strategię zabezpieczeń sieciowych Microsoft Azure w ramach ogólnej strategii zarządzania dostępem do zabezpieczeń w organizacji.

Ta strategia powinna obejmować udokumentowane wskazówki, zasady i standardy dla następujących elementów:

• Scentralizowane zarządzanie siecią i odpowiedzialność za zabezpieczenia

• Model segmentacji sieci wirtualnej zgodny ze strategią segmentacji przedsiębiorstwa

• Strategia korygowania w różnych scenariuszach zagrożeń i ataków

• Strategia brzegowa Internetu oraz ruchu przychodzącego i wychodzącego

• Strategia łączności między chmurą hybrydową i lokalną

• Aktualne artefakty zabezpieczeń sieci (takie jak diagramy sieciowe, architektura referencyjna sieci)

Więcej informacji można znaleźć w następującej dokumentacji:

• Najlepsze praktyki zabezpieczeń platformy Azure 11 - Architektura. Pojedyncza ujednolicona strategia zabezpieczeń

• Test porównawczy zabezpieczeń platformy Azure — zabezpieczenia sieci

• Omówienie zabezpieczeń sieci platformy Azure

• Strategia architektury sieci przedsiębiorstwa

Odpowiedzialność: Klient

Uczestnicy projektu zabezpieczeń klientów (dowiedz się więcej):

• Wszyscy uczestnicy projektu

GS-6: Definiowanie strategii tożsamości i dostępu uprzywilejowanego

Utwórz tożsamość Azure i podejścia do dostępu uprzywilejowanego jako część ogólnej strategii kontroli dostępu i bezpieczeństwa w organizacji.

Ta strategia powinna obejmować udokumentowane wskazówki, zasady i standardy dla następujących elementów:

• Scentralizowany system tożsamości i uwierzytelniania oraz jego współdziałanie z innymi wewnętrznymi i zewnętrznymi systemami tożsamości

• Metody silnego uwierzytelniania w różnych przypadkach użycia i warunkach

• Ochrona użytkowników z wysokimi uprawnieniami

• Monitorowanie i obsługa anomalnych działań użytkowników

• Proces przeglądu i uzgadniania tożsamości użytkownika i dostępu

Więcej informacji można znaleźć w następującej dokumentacji:

• Test porównawczy zabezpieczeń platformy Azure — zarządzanie tożsamościami

• Test porównawczy zabezpieczeń platformy Azure — dostęp uprzywilejowany

• Najlepsze praktyki zabezpieczeń platformy Azure 11 - Architektura. Pojedyncza ujednolicona strategia zabezpieczeń

• Omówienie zabezpieczeń zarządzania tożsamościami platformy Azure

Odpowiedzialność: Klient

Uczestnicy projektu zabezpieczeń klientów (dowiedz się więcej):

• Wszyscy uczestnicy projektu

GS-7: Definiowanie strategii rejestrowania i reagowania na zagrożenia

Ustanów strategię rejestrowania i reagowania na zagrożenia w celu szybkiego wykrywania i korygowania zagrożeń przy jednoczesnym spełnieniu wymagań dotyczących zgodności. Priorytetem jest zapewnienie analitykom wysokiej jakości alertów i bezproblemowych doświadczeń, aby mogli skupić się na zagrożeniach, zamiast na integracji i ręcznych działaniach.

Ta strategia powinna obejmować udokumentowane wskazówki, zasady i standardy dla następujących elementów:

• Rola i obowiązki organizacji operacji zabezpieczeń (SecOps)

• Dobrze zdefiniowany proces reagowania na zdarzenia zgodny z platformą NIST lub inną platformą branżową

• Przechwytywanie i przechowywanie dzienników w celu obsługi wykrywania zagrożeń, reagowania na zdarzenia i wymagań dotyczących zgodności

• Scentralizowany wgląd w informacje o zagrożeniach i korelacji przy użyciu rozwiązania SIEM, natywnych możliwości platformy Azure i innych źródeł

• Plan komunikacji i powiadomień z klientami, dostawcami i stronami publicznymi zainteresowanymi

• Korzystanie z natywnych i zewnętrznych platform Azure do obsługi incydentów, takich jak rejestrowanie i wykrywanie zagrożeń, analiza kryminalistyczna oraz usuwanie i neutralizacja ataków.

• Procesy obsługi zdarzeń i działań po zdarzeniu, takich jak wnioski i przechowywanie dowodów

Więcej informacji można znaleźć w następującej dokumentacji:

• Test porównawczy zabezpieczeń platformy Azure — rejestrowanie i wykrywanie zagrożeń

• Test porównawczy zabezpieczeń platformy Azure — reagowanie na zdarzenia

• Najlepsze praktyki zabezpieczeń platformy Azure 4 — proces. Aktualizowanie procesów reagowania na zdarzenia dla chmury

• Przewodnik po decyzjach dotyczących platformy Azure Adoption Framework, rejestrowania i raportowania

• Skalowanie, zarządzanie i monitorowanie na platformie Azure w skali przedsiębiorstwa

Odpowiedzialność: Klient

Uczestnicy projektu zabezpieczeń klientów (dowiedz się więcej):

• Wszyscy uczestnicy projektu

GS-8: Definiowanie strategii tworzenia kopii zapasowych i odzyskiwania

Ustanów strategię tworzenia kopii zapasowych i odzyskiwania na platformie Azure dla organizacji.

Ta strategia powinna obejmować udokumentowane wskazówki, zasady i standardy dla następujących elementów:

• Definicje celu czasu odzyskiwania (RTO) i celu punktu odzyskiwania (RPO) zgodnie z celami odporności biznesowej

• Projektowanie nadmiarowości w aplikacjach i ustawieniach infrastruktury

• Ochrona kopii zapasowej przy użyciu kontroli dostępu i szyfrowania danych

Więcej informacji można znaleźć w następującej dokumentacji:

• Test porównawczy zabezpieczeń platformy Azure — tworzenie kopii zapasowych i odzyskiwanie

• Azure Well-Architecture Framework — tworzenie kopii zapasowych i odzyskiwanie po awarii dla aplikacji platformy Azure

• Azure Adoption Framework — ciągłość działania i odzyskiwanie po awarii

Odpowiedzialność: Klient

Uczestnicy projektu zabezpieczeń klientów (dowiedz się więcej):

• Wszyscy uczestnicy projektu