Sicherheitsanforderungen für Partner Center

Geeignete Rollen: Administrator-Agent

Das Dashboard für Sicherheitsanforderungen ist ein leistungsstarkes Tool, das Sie bei der Bewertung und Verbesserung Ihrer aktuellen Sicherheitslage im Partner Center unterstützt. Dieses Feature gewährt sowohl direkten Rechnungen als auch indirekten Anbietern Zugriff auf ihre Sicherheitsbewertung. Die bereitgestellten Sicherheitsanforderungen sind Handlungsempfehlungen, die basierend auf Systemrisiken und gängigen Angriffsmustern generiert werden. Indem Sie diese Empfehlungen implementieren und regelmäßig nach Updates suchen, können Sie Ihre Sicherheitsmaßnahmen stärken. Dieses Dashboard konsolidiert den Status aller Sicherheitsanforderungen in einer einzigen umfassenden Bewertung, sodass Sie Ihre aktuelle Sicherheitssituation schnell messen können. Je höher die Bewertung, desto niedriger die identifizierte Risikostufe, sodass Sie ein klares Verständnis Ihrer Sicherheitsbereitschaft erhalten.

Verwalten ihres Sicherheitsstatus

Das Dashboard für Sicherheitsanforderungen bietet Ihnen einen vollständigen Überblick über Ihren Sicherheitsstatus. Sie können Ihre Sicherheitseinstellungen, Richtlinien und Verfahren überwachen und anpassen, indem Sie über dieses Dashboard weiterleiten. Das Dashboard für Sicherheitsanforderungen ermöglicht es Ihnen, Ihren Sicherheitsstatus proaktiv zu verwalten und zu verbessern und auf die Zero Trust-Prinzipien zu setzen.

Schlüsselfunktionen

Übersicht

Die Sicherheitsbewertung zeigt eine Momentaufnahme Ihres Sicherheitsstatus im Partner Center an.

Die Sicherheitsanforderungen (Übersicht) zeigen die Gesamtanzahl der Sicherheitsanforderungen an, einschließlich summen für diejenigen, die abgeschlossen und nicht abgeschlossen sind.

Abschnitt "Sicherheitsanforderungen"

Im Abschnitt "Sicherheitsanforderungen" finden Sie eine kuratierte Liste der Sicherheitsanforderungen und -empfehlungen. Diese Anforderungen und Empfehlungen können Ihnen helfen, Bereiche der Verbesserung der Sicherheit zu identifizieren, Bedenken zu beheben, Risiken zu mindern und Ihren allgemeinen Sicherheitsstatus zu verbessern.

Beschreibung der Sicherheitsanforderungen:

• Sicherheitsanforderung: Kurze Beschreibung der Anforderung.

• Beschreibung: Detaillierte Erläuterung der Sicherheitsanforderung.

• Status: Gibt an, ob die Anforderung abgeschlossen ist oder nicht.

• Insights: Handlungsfähige Daten, die auf individuelle Anforderungen zugeschnitten sind, bieten weitere Einblicke in Bereiche, die Aufmerksamkeit erfordern.

• Score: The score associated with each requirement, contributing to your overall security score.

• Anweisungen für die Implementierung: Enthält direkte Links zu den Anleitungsressourcen, die Ihnen helfen, die einzelnen Empfehlungen zu verstehen und zu implementieren. Diese Links werden auch weiter unten unter "Zusätzliche Ressourcen" bereitgestellt. Diese schrittweisen Anleitungen helfen Ihnen dabei, jede Empfehlung effektiv zu implementieren und so Ihre Sicherheit zu erhöhen.

• Aktionen erfordernde Schritte: Links zu einer Seite, auf der die Anforderung gelöst werden kann.

  Hinweis

  Wenn Sie nicht über die richtige Rolle oder den richtigen Zugriff verfügen, müssen Sie sich an die richtige Person in Ihrer Organisation wenden.

Abschnitt "Zukünftige Anforderungen"

Der Abschnitt "Zukünftige Anforderungen " zeigt eine Vorschau der Anforderungen, die in Naher Zukunft implementiert werden. Anforderungen, die nicht abgeschlossen sind, ziehen Punkte von der Gesamtbewertung zu einem zukünftigen Datum ab.

Berechnung der Sicherheitsbewertung

Die Sicherheitsbewertung ist ein Dezimalwert (Gleitkommazahl) zwischen 0 und 100. Die Bewertung spiegelt den Sicherheitsstatus Ihres Mandanten wider.

Die Sicherheitsbewertung wird anhand der Sicherheitsbewertungen der einzelnen Sicherheitsanforderungen berechnet. Jede Sicherheitsanforderung wird mit einer Höchstpunktzahl zwischen null und 20 bewertet. Die Höchstpunktzahl für eine Sicherheitsanforderung wird auf der Grundlage des relativen Gewichts dieser Anforderung im Vergleich zu den anderen Anforderungen festgelegt. Die maximale Punktzahl kann sich je nach den sich ändernden geschäftlichen Prioritäten ändern.

Der aktuelle Berechnungsalgorithmus gewährt eine maximale Punktzahl für eine kompatible Anforderung, andernfalls 0.

Die Gesamtsicherheitsbewertung wird mit der folgenden Formel berechnet: (Summe einzelner Sicherheitsanforderungsbewertungen) / (Summe einzelner Sicherheitsanforderungen max. Bewertungen) * 100.

Sicherheitsanforderungen und Implementierungsanweisungen

Gewusst wie die Sicherheitsanforderungen implementieren?

Hinweis

MFA-Lösungen von Drittanbietern wie Okta, Ping, Duo und mehr werden in den Identitäts-MFA-Empfehlungen nicht unterstützt. MFA-Lösungen von Drittanbietern werden nicht in Anforderungsbewertungsberechnungen berücksichtigt.

Anforderung: MFA aktivieren

Sicherheitsbewertungspunkte: 20

Das Erfordern einer mehrstufigen Authentifizierung (MFA) für Administrative Rollen erschwert Angreifern den Zugriff auf Konten. Administrative Rollen verfügen über höhere Berechtigungen als typische Benutzer. Wenn eines dieser Konten kompromittiert ist, wird Ihre gesamte Organisation verfügbar gemacht.

Schützen Sie mindestens die folgenden Rollen:

• Globaler Administrator
• Authentifizierungsadministrator
• Rechnungsadministrator
• Administrator für den bedingten Zugriff
• Exchange-Administrator
• Helpdesk-Administrator
• Sicherheitsadministrator
• SharePoint-Administrator
• Benutzeradministrator

Implementierungsschritte

Hinweis

Um für diese Anforderung als vollständig zu gelten, müssen Sie sicherstellen, dass jeder Administratorbenutzer über die MFA-Anforderung über Sicherheitsstandardwerte / bedingten Zugriff / pro Benutzer MFA abgedeckt wurde und dass jeder von ihnen tatsächlich zusätzliche Überprüfungsfaktoren eingerichtet hat (z. B. ein Gerät seiner Wahl für Überprüfungsaufforderungen).

Dazu gehören Bruchglaskonten. Weitere Informationen finden Sie unter Verwalten von Administratorkonten für den Notfallzugriff – Microsoft Entra ID.

1. Microsoft bietet schrittweise Anleitungen zum Auswählen und Aktivieren der richtigen MFA-Methode für Ihre Organisation im Microsoft 365 Admin Center. Wechseln Sie zum Microsoft 365 MFA-Assistenten.
2. Wenn Sie die Implementierung selbst ausführen möchten und Microsoft Entra ID Free verwenden möchten, aktivieren Sie Die Sicherheitsstandardwerte. Hinweis: Sicherheitsstandardwerte und bedingter Zugriff können nicht nebeneinander verwendet werden. Weitere Informationen finden Sie unter Aktivieren von Sicherheitsstandardeinstellungen
3. Wenn Sie in Microsoft Entra ID P1- oder P2-Lizenzen investiert haben, können Sie eine Richtlinie für bedingten Zugriff ganz neu erstellen oder eine Vorlage verwenden. Führen Sie die folgenden Schritte aus, um eine Richtlinie für bedingten Zugriff von Grund auf neu oder mithilfe einer Vorlage zu erstellen.
4. Verfolgen Sie den Fortschritt Ihres Administrators bei der Registrierung von Authentifizierungsmethoden, indem Sie zu den Microsoft Entra ID > Security > Authentication-Methoden > zur Benutzerregistrierung wechseln (erfordert Microsoft Entra ID P1- oder P2-Lizenzen). Wechseln Sie zu Den Benutzerregistrierungsdetails.

Ressourcen

• Funktionsweise von MFA
• Planen der Bereitstellung der Microsoft Entra-Multi-Faktor-Authentifizierung
• Was sind Sicherheitsstandards?
• Verwalten von Konten für den Notfallzugriff in Microsoft Entra ID

Anforderung: Die Reaktion auf Warnungen beträgt durchschnittlich 24 Stunden oder weniger.

Sicherheitsbewertungspunkte: 20

Benachrichtigungen müssen innerhalb von 24 Stunden nach der Anzeige im Partner Center mit dem Ziel innerhalb von 1 Stunde analysiert und beantwortet werden. Dadurch wird der sofortige Schutz für Kundenmandanten gewährleistet und der finanzielle Verlust minimiert. Die Antwortzeit wird von der Uhrzeit gemessen, zu der die Warnung im Partner Center angezeigt wird, bis ein Partnerbenutzer eine Änderung an der Warnung vor nimmt, z. B. das Aktualisieren des Status oder des Grundcodes. Die durchschnittliche Antwortzeit wird basierend auf den letzten 30 Tagen der Aktivität berechnet.

Implementierungsschritte

1. Stellen Sie sicher, dass Ein Partner Center Security-Kontakt so konfiguriert ist, dass diese E-Mail-Adresse standardmäßig Benachrichtigungen über Warnungen erhält. Sie können ein freigegebenes Postfach oder ein Postfach verwenden, das ein Ticketsystem feedt.
2. Verwalten Sie ein dokumentiertes Playbook zur Reaktion auf Vorfälle, das die Rollen, Zuständigkeiten, Reaktionspläne und Kontaktinformationen definiert.
3. Geben Sie einen Grundcode für jede Warnung an. Microsoft verwendet Ihr Feedback, um die Wirksamkeit der generierten Warnungen zu messen.

Ressourcen

• Partner Center-Benachrichtigungen
• Azure-Betrugserkennung und -benachrichtigung.
• CSP-Sicherheitskontakt

Anforderung: Bereitstellen eines Sicherheitskontakts

Sicherheitsbewertungspunkte: 10

Wenn sicherheitsbezogene Probleme bei einem Cloud Solution Provider (CSP)-Partnermandanten auftreten, sollte Microsoft in der Lage sein, das Problem zu kommunizieren und geeignete Schritte an einen bestimmten Sicherheitskontakt in einer Partnerorganisation zu empfehlen, der mit Dringlichkeit handeln wird, um Sicherheitsbedenken so bald wie möglich zu mindern und zu beheben.

Globale Administratoren oder andere Rollen im Partner Center verfügen nicht über das erforderliche Fachwissen oder erreichen, um auf wichtige Sicherheitsvorfälle zu reagieren. Alle Partner sollten den Sicherheitskontakt für ihren Partnermandanten aktualisieren.

Der Sicherheitskontakt ist entweder eine Einzelperson oder eine Gruppe von Personen, die für Sicherheitsprobleme innerhalb der Partnerorganisation verantwortlich sind.

Implementierungsschritte

Füllen Sie die E-Mails, Telefonnummern und Namen der Person oder des freigegebenen Postfachs auf, die für die Reaktion auf Sicherheitsvorfälle in Ihrem Unternehmen verantwortlich sind.

Ressourcen

• Sicherheitskontakt für Cloudlösungsanbieter

Anforderung: Alle Azure-Abonnements verfügen über ein Ausgabenbudget

Sicherheitsbewertungspunkte: 10

Mithilfe der Nachverfolgung der Nutzung des Azure-Abonnements Ihres Kunden können Sie Ihren Kunden bei der Verwaltung ihrer Azure-Nutzung unterstützen und höhere als erwartete Gebühren vermeiden. Sie sollten mit Ihren Kunden ihre monatlichen Ausgabenerwartungen besprechen und ein Ausgabenbudget für ihr Abonnement festlegen. Benachrichtigungen können auch so konfiguriert werden, dass sie an Sie gesendet werden, wenn ein Kunde über 80 % oder mehr des konfigurierten Ausgabenbudgets verwendet. Das Ausgabenbudget legt keine Obergrenze für die Ausgaben fest, daher ist es wichtig, Den Kunden zu benachrichtigen, wenn er die Nutzung von 80 % erreicht, damit er planen kann, Ressourcen herunterzufahren oder eine höhere Rechnung zu erwarten.

Hinweis

Partner, die sich auf NCE (New Commerce Experience) befinden und ein Ausgabenbudget eingerichtet haben, erhalten Punkte für diese Anforderung. Partner auf Legacy erhalten jedoch keine Punkte.

Implementierungsschritte

Siehe Festlegen eines Azure-Ausgabenbudgets für Ihre Kunden