Einführung in den Microsoft Cloud Security-Benchmark

Hinweis

Der Microsoft Cloud Security Benchmark v2 (Vorschau) ist jetzt verfügbar. Wir empfehlen Ihnen, diese Version zu erkunden und Feedback zu geben, damit wir sie weiter verbessern können. Bei Fragen oder Kommentaren senden Sie uns eine E-Mail an benchmarkfeedback@microsoft.com.

Der Microsoft Cloud Security Benchmark bietet präskriptive bewährte Methoden und Empfehlungen, um die Sicherheit von Workloads, Daten und Diensten in Azure und Ihrer Multicloud-Umgebung zu verbessern. Dieser Benchmark konzentriert sich auf cloudorientierte Sicherheitsbereiche mit Input aus einer Reihe ganzheitlicher Microsoft- und Branchensicherheitsleitlinien, die Folgendes umfassen:

• Cloud Adoption Framework: Leitfaden zur Sicherheit, einschließlich Strategie, Rollen und Zuständigkeiten, Azure Top 10 Best Practices für Sicherheit und Referenzimplementierung.
• Azure Well-Architected Framework: Anleitung zum Sichern Ihrer Workloads in Azure.
• Microsoft Secure Future Initiative (SFI): SFI ist eine mehrjährige interne Microsoft-Initiative, die die Sicherheit in jede Phase des Produktdesigns, der Entwicklung und des Betriebs einbetten soll. SFI enthält bewährte Methoden für die interne Sicherheit von Microsoft , die wir auch unseren Kunden empfehlen möchten.
• Der Chief Information Security Officer (CISO) Workshop: Programmleitfaden und Referenzstrategien zur Beschleunigung der Sicherheitsmodernisierung mit Zero Trust-Prinzipien.
• Andere Sicherheits-Best-Practice-Standards und Frameworks von Branchen- und Clouddienstanbietern: Beispiele sind das Amazon Web Services (AWS) Well-Architected Framework, die Center for Internet Security (CIS) Controls, das National Institute of Standards and Technology (NIST) und der Payment Card Industry Data Security Standard (PCI-DSS).

Neue Dienste und Features werden täglich auf Azure- und Clouddienstanbieterplattformen veröffentlicht. Entwickler veröffentlichen schnell neue Cloudanwendungen, die auf diesen Diensten basieren. Und schlechte Akteure suchen ständig neue Wege, um falsch konfigurierte Ressourcen auszunutzen. Die Cloud bewegt sich schnell. Entwickler bewegen sich schnell. Schlechte Schauspieler bewegen sich auch schnell. Wie halten Sie Schritt und können die Sicherheit Ihrer Cloudbereitstellungen gewährleisten? Wie unterscheiden sich Sicherheitspraktiken für Cloudsysteme von lokalen Systemen und unterschiedlichen Clouddienstanbietern? Wie überwachen Sie Ihre Workload auf Konsistenz auf mehreren Cloudplattformen?

Microsoft hat festgestellt, dass Die Verwendung von Sicherheits-Benchmarks Ihnen dabei helfen kann, Cloudbereitstellungen schnell zu sichern. Ein umfassendes Framework für bewährte Sicherheitspraxis von Clouddienstanbietern kann Ihnen einen Ausgangspunkt für die Auswahl bestimmter Sicherheitskonfigurationseinstellungen in Ihrer Cloudumgebung in mehreren Dienstanbietern bieten. Außerdem können Sie diese Konfigurationen mit einem einzigen Glasbereich überwachen.

Der Microsoft Cloud Security Benchmark v2 (Vorschau)

Der Microsoft Cloud Security Benchmark v2 (Vorschau) stellt die neueste Entwicklung des MCSB mit erweiterten Azure-fokussierten Anleitungen, erweiterten Sicherheitsdomänen und umfassenden details zur technischen Implementierung dar. Diese Version führt eine neue Sicherheitsdomäne für künstliche Intelligenz mit sieben Empfehlungen ein, über 420 integrierte Azure-Richtliniendefinitionen für die automatisierte Complianceüberwachung sowie risiko- und bedrohungsbasierte Anleitungen mit detaillierten Implementierungsbeispielen. Ausführliche Informationen zur Sicherheitssteuerungsstruktur, Domänenbeschreibungen und Implementierungsanleitungen finden Sie in der Übersicht über den Microsoft Cloud Security Benchmark v2 (Vorschau).

Implementieren von Microsoft Cloud Security Benchmark

Die Sicherheitskontrollen in MCSB gelten in der Regel für Ihre Cloudworkloads. Jede Sicherheitskontrolle identifiziert Projektbeteiligte, die in der Regel an der Planung, Genehmigung oder Implementierung beteiligt sind. Diese Informationen helfen Organisationen dabei, ihre Sicherheitsbemühungen effektiv zu koordinieren.

• Planen Sie Ihre MCSB-Implementierung, indem Sie die Dokumentation für die Sicherheitskontrollen überprüfen, um Ihr Framework zu planen und wie diese auf Leitfäden wie die CIS-Controls (Center for Internet Security), das NIST (National Institute of Standards and Technology) und das PCI-DSS-Framework (Payment Card Industry Data Security Standard) abgebildet werden.
• Überwachen Sie Ihre Compliance mit dem MCSB-Status (und anderen Steuerelementsätzen) mithilfe des Microsoft Defender for Cloud – Regulatory Compliance Dashboard für Ihre Multicloud-Umgebung.
• Richten Sie Schutzschienen ein, um sichere Konfigurationen zu automatisieren und die Einhaltung von MCSB (und anderen Anforderungen in Ihrer Organisation) mithilfe von Features wie Azure Blueprints, Azure Policy oder den entsprechenden Technologien von anderen Cloudplattformen zu erzwingen.

Gängige Anwendungsfälle

Verwenden Sie den Microsoft Cloud Security-Benchmark, um häufige Herausforderungen für Kunden oder Servicepartner zu bewältigen, die:

• Neu bei Azure (und anderen wichtigen Cloudplattformen, z. B. AWS), und nach bewährten Methoden für die Sicherheit suchen, um eine sichere Bereitstellung von Clouddiensten und Ihrer eigenen Anwendungsauslastung sicherzustellen.
• Um die Sicherheitslage vorhandener Cloudbereitstellungen zu verbessern und die wichtigsten Risiken und Gegenmaßnahmen zu priorisieren.
• Die Verwendung von Multicloud-Umgebungen (z. B. Azure und AWS) und die Bewältigung von Herausforderungen bei der Anpassung der Überwachung und Bewertung der Sicherheitskontrollen mithilfe eines einzigen Glasbereichs.
• Bewerten der Sicherheitsfeatures und -funktionen von Azure (und anderen wichtigen Cloudplattformen, z. B. AWS), bevor ein Dienst in den Clouddienstkatalog integriert oder genehmigt wird.
• Einhaltung der Complianceanforderungen in stark regulierten Branchen, z. B. Behörden, Finanzen und Gesundheitswesen. Diese Kunden müssen ihre Dienstkonfigurationen von Azure und anderen Clouds sicherstellen, um die sicherheitsspezifikation zu erfüllen, die im Framework definiert ist, z. B. CIS, NIST oder PCI. MCSB bietet einen effizienten Ansatz mit den bereits vorgemappten Kontrollen nach diesen Branchen-Benchmarks.

Terminologie

Der Microsoft Cloud Security-Benchmark verwendet mehrere schlüsselbegriffe, um Sicherheitsrichtlinien zu organisieren und zu beschreiben. Es ist wichtig zu verstehen, wie MCSB diese Begriffe verwendet.

Begriff	BESCHREIBUNG	Beispiel
Sicherheitsdomäne	Eine übergeordnete Gruppierung von verwandten Sicherheitskontrollen, die sich auf einen bestimmten Bereich des Sicherheitsanliegens beziehen.	Artificial Intelligence Security ist einer der 12 Sicherheitsdomänen in MCSB v2. Sie gruppiert alle Sicherheitskontrollen im Zusammenhang mit der Sicherung von KI-Workloads und -Diensten.
Sicherheitskontrolle	Eine bestimmte Sicherheitsanforderung oder Empfehlung innerhalb einer Domäne, die behoben werden muss. Sicherheitskontrollen sind technologieunabhängige Beschreibungen, was Sie erreichen sollten.	Innerhalb der Datenschutzdomäne ist "DP-1: Ermitteln, Klassifizieren und Bezeichnen vertraulicher Daten" ein Sicherheitssteuerelement, das die Notwendigkeit beschreibt, vertrauliche Informationen zu identifizieren und zu kategorisieren.
Sicherheitsuntersteuerung	Eine detaillierte, präzise Empfehlung oder Implementierungsanleitung, die eine Sicherheitskontrolle unterstützt. Ein Sicherheits-Untersteuerelement bietet bestimmte technische oder verfahrenstechnische Schritte.	Unter der Sicherheitskontrolle DP-1 bietet die Sicherheitsunterkontrolle DP-1.1 spezifische Anleitungen für die Implementierung der Datenklassifizierung mithilfe von Microsoft Purview oder ähnlichen Tools.
Grundlinie	Eine Reihe von Sicherheitskontrollimplementierungen, die auf ein bestimmtes Szenario, Complianceframework oder eine Bestimmte Branche zugeschnitten sind.	Während Basispläne für MCSB v2 (Vorschau) noch nicht verfügbar sind, finden Sie Informationen zu den MCSB v1-Basiswerten unter Übersicht über den Microsoft Cloud Security Benchmark v1.

Wir freuen uns über Ihr Feedback zur Microsoft Cloud Security Benchmark! Wir empfehlen Ihnen, Im Feedbackbereich unten Kommentare bereitzustellen. Wenn Sie Ihre Eingabe lieber privat mit dem Microsoft Cloud Security-Team teilen möchten, senden Sie uns eine E-Mail an benchmarkfeedback@microsoft.com.