Freigeben über

Sicherheitskontrolle: Governance und Strategie

Governance und Strategie bieten Anleitungen für die Sicherstellung einer kohärenten Sicherheitsstrategie und dokumentierten Governance-Ansatz, um die Sicherheit zu unterstützen und zu gewährleisten, einschließlich der Festlegung von Rollen und Verantwortlichkeiten für die verschiedenen Cloudsicherheitsfunktionen, einheitliche technische Strategie und unterstützende Richtlinien und Standards.

GS-1: Ausrichten von Organisationsrollen, Zuständigkeiten und Verantwortlichkeiten

CIS Controls v8-ID(s) ID(s) von NIST SP 800-53 r4 PCI-DSS ID(s) v3.2.1
14.9 PL-9, PM-10, PM-13, AT-1, AT-3 2.4

Allgemeiner Leitfaden: Stellen Sie sicher, dass Sie eine klare Strategie für Rollen und Zuständigkeiten in Ihrer Sicherheitsorganisation definieren und kommunizieren. Priorisieren Sie die Bereitstellung klarer Verantwortlichkeit für Sicherheitsentscheidungen, schulen Sie alle über das Modell der gemeinsamen Verantwortung, und schulen Sie technische Teams zur Technologiesicherheit, um die Cloud zu schützen.

Implementierung und zusätzlicher Kontext:

Kundensicherheitsbeteiligte (Weitere Informationen):

GS-2: Definieren und Umsetzen einer Strategie für Unternehmenssegmentierung/Aufgabentrennung

CIS Controls v8-ID(s) ID(s) von NIST SP 800-53 r4 PCI-DSS ID(s) v3.2.1
3.12 AC-4, SC-7, SC-2 1.2, 6.4

Allgemeiner Leitfaden: Richten Sie eine unternehmensweite Strategie ein, um den Zugriff auf Ressourcen mithilfe einer Kombination aus Identität, Netzwerk, Anwendung, Abonnement, Verwaltungsgruppe und anderen Steuerelementen zu segmentieren.

Berücksichtigen Sie sorgfältig die Notwendigkeit der Sicherheitstrennung mit der Notwendigkeit, den täglichen Betrieb der Systeme zu ermöglichen, die miteinander kommunizieren müssen und auf Daten zugreifen müssen.

Stellen Sie sicher, dass die Segmentierungsstrategie in der Workload konsistent implementiert wird, einschließlich Netzwerksicherheits-, Identitäts- und Zugriffsmodelle sowie Anwendungsberechtigungs-/Zugriffsmodelle sowie Steuerelemente für menschliche Prozesse.

Implementierung und zusätzlicher Kontext:

Kundensicherheitsbeteiligte (Weitere Informationen):

GS-3: Definieren und Umsetzen einer Strategie für Datenschutz

CIS Controls v8-ID(s) ID(s) von NIST SP 800-53 r4 PCI-DSS ID(s) v3.2.1
3.1, 3.7, 3.12 AC-4, SI-4, SC-8, SC-12, SC-17, SC-28, RA-2 3.1, 3.2, 3.3, 3.4, 3.5, 3.6, 3.7, 4.1, A3.2

Allgemeiner Leitfaden: Einrichten einer unternehmensweiten Strategie für den Datenschutz in Ihrer Cloudumgebung:

  • Definieren und anwenden Sie den Datenklassifizierungs- und Schutzstandard gemäß dem Unternehmensdatenverwaltungsstandard und der einhaltung gesetzlichen Vorschriften, um die für jede Ebene der Datenklassifizierung erforderlichen Sicherheitskontrollen zu diktieren.
  • Richten Sie Ihre Cloudressourcenverwaltungshierarchie ein, die an die Unternehmensegmentierungsstrategie ausgerichtet ist. Die Unternehmensegmentierungsstrategie sollte auch über den Standort sensibler oder geschäftskritischer Daten und Systeme informiert werden.
  • Definieren und anwenden Sie die anwendbaren Zero-Trust-Prinzipien in Ihrer Cloudumgebung, um die Implementierung von Vertrauensstellungen basierend auf dem Netzwerkstandort innerhalb eines Perimeters zu vermeiden. Verwenden Sie stattdessen Geräte- und Benutzervertrauensansprüche, um zugriff auf Daten und Ressourcen zu erhalten.
  • Verfolgen und minimieren Sie den sensitiven Datenbestand (Speicherung, Übertragung und Verarbeitung) im gesamten Unternehmen, um die Angriffsfläche zu verringern und die Datenschutzkosten zu senken. Berücksichtigen Sie Techniken wie Unidirektionales Hashing, Abschneiden und Tokenisierung in der Workload, um das Speichern und Übertragen vertraulicher Daten in ihrer ursprünglichen Form zu vermeiden.
  • Stellen Sie sicher, dass Sie über eine vollständige Lebenszyklussteuerungsstrategie verfügen, um die Sicherheit der Daten und Zugriffsschlüssel zu gewährleisten.

Implementierung und zusätzlicher Kontext:

Kundensicherheitsbeteiligte (Weitere Informationen):

GS-4: Definieren und Umsetzen einer Strategie für Netzwerksicherheit

CIS Controls v8-ID(s) ID(s) von NIST SP 800-53 r4 PCI-DSS ID(s) v3.2.1
12.2, 12.4 AC-4, AC-17, CA-3, CM-1, CM-2, CM-6, CM-7, SC-1, SC-2, SC-5, SC-7, SC-20, SC-21, SI-4 1.1, 1.2, 1.3, 1.5, 4.1, 6.6, 11.4, A2.1, A2.2, A2.3, A3.2

Allgemeiner Leitfaden: Einrichten einer Cloudnetzwerksicherheitsstrategie als Teil der allgemeinen Sicherheitsstrategie Ihrer Organisation für die Zugriffssteuerung. Diese Strategie sollte dokumentierte Anleitungen, Richtlinien und Standards für die folgenden Elemente umfassen:

  • Entwerfen Sie ein zentralisiertes/dezentrales Netzwerkverwaltungs- und Sicherheitsverantwortungsmodell, um Netzwerkressourcen bereitzustellen und zu verwalten.
  • Ein virtuelles Netzwerksegmentierungsmodell, das an der Segmentierungsstrategie des Unternehmens ausgerichtet ist.
  • Eine Internet-Edge- und Eingangs- und Ausgangspunktsstrategie.
  • Eine hybride Cloud- und lokale Verbindungsstrategie.
  • Eine Netzwerküberwachungs- und Protokollierungsstrategie.
  • Aktuelle Netzwerksicherheitsartefakte (z. B. Netzwerkdiagramme, Referenznetzwerkarchitektur).

Implementierung und zusätzlicher Kontext:

Kundensicherheitsbeteiligte (Weitere Informationen):

GS-5: Definieren und Umsetzen einer Strategie zur Verwaltung der Sicherheitslage

CIS Controls v8-ID(s) ID(s) von NIST SP 800-53 r4 PCI-DSS ID(s) v3.2.1
4.1, 4.2 CA-1, CA-8, CM-1, CM-2, CM-6, RA-1, RA-3, RA-5, SI-1, SI-2, SI-5 1.1, 1.2, 2.2, 6.1, 6.2, 6.5, 6.6, 11.2, 11.3, 11.5

Allgemeine Anleitungen: Richten Sie eine Richtlinie, ein Verfahren und einen Standard ein, um sicherzustellen, dass die Sicherheitskonfigurationsverwaltung und die Sicherheitsrisikoverwaltung in Ihrem Cloudsicherheitsmandat vorhanden sind.

Die Sicherheitskonfigurationsverwaltung in der Cloud sollte die folgenden Bereiche umfassen:

  • Definieren Sie die Basiswerte für sichere Konfigurationen für verschiedene Ressourcentypen in der Cloud, z. B. das Webportal/die Konsole, die Verwaltungs- und Kontrollebene sowie Ressourcen, die in den IaaS-, PaaS- und SaaS-Diensten ausgeführt werden.
  • Stellen Sie sicher, dass die Sicherheitsgrundwerte die Risiken in verschiedenen Kontrollbereichen wie Netzwerksicherheit, Identitätsverwaltung, privilegiertem Zugriff, Datenschutz usw. behandeln.
  • Verwenden Sie Tools, um die Konfiguration kontinuierlich zu messen, zu überwachen und zu erzwingen, um zu verhindern, dass die Konfiguration vom Basisplan abweicht.
  • Entwickeln Sie eine Häufigkeit, um mit Sicherheitsfeatures auf dem neuesten Stand zu bleiben, z. B. abonnieren Sie die Dienstupdates.
  • Verwenden Sie einen Sicherheitsintegritäts- oder Complianceüberprüfungsmechanismus (z. B. Secure Score, Compliance Dashboard in Microsoft Defender for Cloud), um den Sicherheitskonfigurationsstatus regelmäßig zu überprüfen und die identifizierten Lücken zu beheben.

Die Sicherheitsrisikomanagement in der Cloud sollte die folgenden Sicherheitsaspekte umfassen:

  • Bewerten und Beheben von Sicherheitsrisiken in allen Cloudressourcentypen, z. B. cloudeigene Dienste, Betriebssysteme und Anwendungskomponenten.
  • Verwenden Sie einen risikobasierten Ansatz, um Bewertung und Behebung zu priorisieren.
  • Abonnieren Sie die sicherheitsspezifischen Hinweise und Blogs des CSPM, um die neuesten Sicherheitsupdates zu erhalten.
  • Stellen Sie sicher, dass die Sicherheitsrisikobewertung und -behebung (z. B. Zeitplan, Umfang und Techniken) die Complianceanforderungen für Ihre Organisation.dule, Umfang und Techniken erfüllen, die regelmäßigen Complianceanforderungen für Ihre Organisation erfüllen.

Implementierung und zusätzlicher Kontext:

Kundensicherheitsbeteiligte (Weitere Informationen):

GS-6: Definieren und Umsetzen einer Strategie für Identität und privilegierten Zugriff

CIS Controls v8-ID(s) ID(s) von NIST SP 800-53 r4 PCI-DSS ID(s) v3.2.1
5.6, 6.5, 6.7 AC-1, AC-2, AC-3, AC-4, AC-5, AC-6, IA-1, IA-2, IA-4, IA-5, IA-8, IA-9, SI-4 7.1, 7.2, 7.3, 8.1, 8.2, 8.3, 8.4, 8.5, 8.6, 8.7, 8.8, A3.4

Allgemeiner Leitfaden: Einrichten eines Cloudidentitäts- und Privilegierten Zugriffsansatzes als Teil der allgemeinen Strategie für die Sicherheitszugriffskontrolle Ihrer Organisation. Diese Strategie sollte dokumentierte Leitlinien, Richtlinien und Standards für die folgenden Aspekte umfassen:

  • Zentrales Identitäts- und Authentifizierungssystem (z. B. Azure AD) und seine Verbindung mit anderen internen und externen Identitätssystemen
  • Privilegierte Identitäts- und Zugriffsgovernance (z. B. Zugriffsanforderung, Überprüfung und Genehmigung)
  • Privilegierte Konten im Notfall (Break-Glass)-Situation
  • Sichere Authentifizierungsmethoden (kennwortlose Authentifizierung und mehrstufige Authentifizierung) in unterschiedlichen Anwendungsfällen und Bedingungen.
  • Sicherer Zugriff durch administrative Zugriffe über Webportal/Konsole, Kommandozeile und API.

In Ausnahmefällen, in denen ein Unternehmenssystem nicht verwendet wird, stellen Sie sicher, dass angemessene Sicherheitskontrollen für identitäts-, Authentifizierungs- und Zugriffsverwaltung eingerichtet und gesteuert werden. Diese Ausnahmen sollten vom Unternehmensteam genehmigt und regelmäßig überprüft werden. Diese Ausnahmen sind in der Regel in Fällen wie:

  • Verwendung eines nicht unternehmensspezifischen Identitäts- und Authentifizierungssystems, z. B. cloudbasierte Drittanbietersysteme (kann unbekannte Risiken darstellen)
  • Privilegierte Benutzer, die lokal authentifiziert wurden und/oder nicht starke Authentifizierungsmethoden verwenden

Implementierung und zusätzlicher Kontext:

Kundensicherheitsbeteiligte (Weitere Informationen):

GS-7: Definieren und Umsetzen einer Strategie für Protokollierung, Bedrohungserkennung und Vorfallsreaktion

CIS Controls v8-ID(s) ID(s) von NIST SP 800-53 r4 PCI-DSS ID(s) v3.2.1
8.1, 13.1, 17.2, 17.4,17.7 AU-1, IR-1, IR-2, IR-10, SI-1, SI-5 10.1, 10.2, 10.3, 10.4, 10.5, 10.6, 10.7, 10.8, 10.9, 12.10, A3.5

Allgemeiner Leitfaden: Richten Sie eine Strategie zur Protokollierung, Bedrohungserkennung und Reaktion auf Vorfälle ein, um Bedrohungen schnell zu erkennen und zu beheben und Complianceanforderungen zu erfüllen. Das Sicherheitsoperationen (SecOps/SOC)-Team sollte hochwertige Warnungen und nahtlose Erlebnisse prioritären, damit sie sich auf Bedrohungen konzentrieren können, anstatt sich mit der Protokollintegration und manuellen Schritte zu beschäftigen. Diese Strategie sollte dokumentierte Richtlinien, Verfahren und Standards für die folgenden Aspekte umfassen:

  • Rolle und Verantwortlichkeiten der Sicherheitsoperationen (SecOps) der Organisation
  • Ein gut definierter und regelmäßig getesteter Vorfallreaktionsplan und -behandlungsprozess, der sich an NIST SP 800-61 (Leitfaden zur Behandlung von Sicherheitsvorfällen) oder anderen Branchenframeworks richtet.
  • Kommunikations- und Benachrichtigungsplan mit Ihren Kunden, Lieferanten und öffentlichen Interessensparteien.
  • Simulieren Sie sowohl erwartete als auch unerwartete Sicherheitsereignisse in Ihrer Cloudumgebung, um die Effektivität Ihrer Vorbereitung zu verstehen. Überarbeiten Sie das Ergebnis Ihrer Simulation, um die Skalierung Ihrer Reaktionsstrategie zu verbessern, die Zeit bis zur Wertschöpfung zu verkürzen und das Risiko weiter zu senken.
  • Bevorzugte Verwendung erweiterter Erkennungs- und Reaktionsfunktionen (XDR), z. B. Azure Defender-Funktionen, um Bedrohungen in verschiedenen Bereichen zu erkennen.
  • Verwendung von cloudeigenen Funktionen (z. B. Microsoft Defender für Cloud) und Plattformen von Drittanbietern für die Behandlung von Vorfällen, z. B. Protokollierung und Bedrohungserkennung, Forensik und Angriffsbehebung und Ausrottung.
  • Bereiten Sie die erforderlichen Runbooks vor, sowohl manuell als auch automatisiert, um zuverlässige und konsistente Antworten sicherzustellen.
  • Definieren Sie wichtige Szenarien (z. B. Bedrohungserkennung, Vorfallreaktion und Compliance), und richten Sie die Protokollerfassung und -aufbewahrung ein, um die Szenarioanforderungen zu erfüllen.
  • Zentrale Sichtbarkeit und Korrelationsinformationen zu Bedrohungen, unter Verwendung von SIEM, nativen Funktionen zur Erkennung von Cloud-Bedrohungen und anderen Quellen.
  • Aktivitäten nach dem Vorfall, z. B. Erkenntnisse und Aufbewahrung von Nachweisen.

Implementierung und zusätzlicher Kontext:

Kundensicherheitsbeteiligte (Weitere Informationen):

GS-8: Definieren und Umsetzen einer Strategie für Sicherung und Wiederherstellung

CIS Controls v8-ID(s) ID(s) von NIST SP 800-53 r4 PCI-DSS ID(s) v3.2.1
11.1 CP-1, CP-9, CP-10 3.4

Allgemeiner Leitfaden: Einrichten einer Sicherungs- und Wiederherstellungsstrategie für Ihre Organisation. Diese Strategie sollte dokumentierte Leitlinien, Richtlinien und Standards in den folgenden Aspekten umfassen:

  • Definition des Recovery Time Objectives (RTO) und des Recovery Point Objectives (RPO) gemäß Ihren Geschäftsresilienzzielen und gesetzlichen Compliance-Anforderungen.
  • Redundanzdesign (einschließlich Sicherung, Wiederherstellung und Replikation) in Ihren Anwendungen und Infrastruktur sowohl in der Cloud als auch lokal. Berücksichtigen Sie Regionen, Regionenpaare, regionsübergreifende Wiederherstellung und externe Speicherorte als Teil Ihrer Strategie.
  • Schutz der Sicherung vor unbefugtem Zugriff und Manipulation mithilfe von Kontrollen wie Datenzugriffskontrolle, Verschlüsselung und Netzwerksicherheit.
  • Verwendung von Sicherung und Wiederherstellung, um die Risiken von neuen Bedrohungen wie Ransomware-Angriffen zu mindern. Sichern Sie zudem die Sicherungs- und Wiederherstellungsdaten selbst vor diesen Angriffen.
  • Überwachen der Sicherungs- und Wiederherstellungsdaten und -vorgänge für Überwachungs- und Warnzwecke.

Implementierung und zusätzlicher Kontext:

Kundensicherheitsbeteiligte (Weitere Informationen):

GS-9: Definieren und Umsetzen einer Strategie für Endpunktsicherheit

CIS Controls v8-ID(s) ID(s) von NIST SP 800-53 r4 PCI-DSS ID(s) v3.2.1
4.4, 10.1 SI-2, SI-3, SC-3 5.1, 5.2, 5.3, 5.4, 11.5

Allgemeiner Leitfaden: Einrichten einer Cloudendpunktsicherheitsstrategie, die die folgenden Aspekte umfasst:- Stellen Sie die Endpunkterkennungs- und -reaktions- und Antischadsoftwarefunktion in Ihren Endpunkt bereit und integrieren Sie sie mit der Bedrohungserkennung und SIEM-Lösung und dem Prozess für Sicherheitsvorgänge.

  • Befolgen Sie den Microsoft Cloud Security Benchmark, um sicherzustellen, dass endpunktbezogene Sicherheitseinstellungen in anderen Bereichen (z. B. Netzwerksicherheit, Sicherheitslageverwaltung, Identität und privilegierter Zugriff sowie Protokollierung und Bedrohungserkennungen) ebenfalls vorhanden sind, um einen umfassenden Schutz für Ihren Endpunkt bereitzustellen.
  • Priorisieren Sie die Endpunktsicherheit in Ihrer Produktionsumgebung, stellen Sie jedoch sicher, dass Nichtproduktionsumgebungen (z. B. Test- und Buildumgebung, die im DevOps-Prozess verwendet werden) ebenfalls gesichert und überwacht werden, da diese Umgebungen auch verwendet werden können, um Schadsoftware und Sicherheitsrisiken in die Produktionsumgebung einzuführen.

Implementierung und zusätzlicher Kontext:

Kundensicherheitsbeteiligte (Weitere Informationen):

GS-10: Definieren und Umsetzen einer Strategie für DevOps-Sicherheit

CIS Controls v8-ID(s) ID(s) von NIST SP 800-53 r4 PCI-DSS ID(s) v3.2.1
4.1, 4.2, 16.1, 16.2 SA-12, SA-15, CM-1, CM-2, CM-6, AC-2, AC-3, AC-6, SA-11, AU-6, AU-12, SI-4 2.2, 6.1, 6.2, 6.3, 6.5, 7.1, 10.1, 10.2, 10.3, 10.6, 12.2

Allgemeine Anleitungen: Die Sicherheitskontrollen als Teil des DevOps-Engineering- und Betriebsstandard der Organisation mandaten. Definieren Sie die Sicherheitsziele, Kontrollanforderungen und Toolerstellungsspezifikationen gemäß den Unternehmens- und Cloudsicherheitsstandards in Ihrer Organisation.

Ermutigen Sie die Verwendung von DevOps als wesentliches Betriebssystemmodell in Ihrer Organisation, um sicherheitsrisiken schnell zu identifizieren und zu beheben, indem Sie verschiedene Arten von Automatisierungen (z. B. Infrastruktur wie Codebereitstellung und automatisierte SAST- und DAST-Überprüfung) während des GESAMTEN CI/CD-Workflows verwenden. Dieser Ansatz "Schicht nach links" erhöht auch die Sichtbarkeit und Fähigkeit, konsistente Sicherheitsüberprüfungen in Ihrer Bereitstellungspipeline zu erzwingen, und stellt Sicherheitsschutzschienen im Voraus in die Umgebung bereit, um bei der Bereitstellung einer Arbeitsauslastung in der Produktion überraschungen in letzter Minute zu vermeiden.

Wenn Sicherheitskontrollen in die Phasen vor der Bereitstellung verschoben werden, implementieren Sie Sicherheitsleitplanken, um sicherzustellen, dass die Kontrollen während des gesamten DevOps-Prozesses bereitgestellt und durchgesetzt werden. Diese Technologie könnte Ressourcenbereitstellungsvorlagen (z. B. Azure ARM-Vorlage) umfassen, um Leitplanken in der IaC (Infrastruktur als Code) zu definieren, Ressourcenbereitstellung und Überwachung zu ermöglichen, die einschränken, welche Dienste oder Konfigurationen in der Umgebung bereitgestellt werden können.

Befolgen Sie für die Laufzeitsicherheitskontrollen Ihrer Workload den Microsoft Cloud Security Benchmark, um effektive Steuerelemente zu entwerfen und zu implementieren, z. B. Identität und privilegierter Zugriff, Netzwerksicherheit, Endpunktsicherheit und Datenschutz in Ihren Workloadanwendungen und -diensten.

Implementierung und zusätzlicher Kontext:

GS-11: Definieren und Implementieren der Multi-Cloud-Sicherheitsstrategie

CIS Controls v8-ID(s) ID(s) von NIST SP 800-53 r4 PCI-DSS ID(s) v3.2.1
Nicht verfügbar Nicht verfügbar Nicht verfügbar

Allgemeiner Leitfaden: Stellen Sie sicher, dass eine Multi-Cloud-Strategie in Ihrer Cloud- und Sicherheitsgovernance, dem Risikomanagement und dem Betriebsprozess definiert ist, die die folgenden Aspekte umfassen sollten:

  • Multi-Cloud-Einführung: Für Organisationen, die eine Multi-Cloud-Infrastruktur betreiben, und Informieren Sie Ihre Organisation, um sicherzustellen, dass Teams den Featureunterschied zwischen den Cloudplattformen und dem Technologiestapel verstehen. Erstellen, Bereitstellen und/oder Migrieren von Lösungen, die portabel sind. Ermöglichen Sie eine einfache Bewegung zwischen Cloudplattformen mit minimaler Anbietersperrung, während Cloud native Features angemessen für das optimale Ergebnis der Cloudakzeptanz verwendet werden.
  • Cloud- und Sicherheitsvorgänge: Optimieren Sie Sicherheitsvorgänge zur Unterstützung der Lösungen in jeder Cloud durch einen zentralen Satz von Governance- und Verwaltungsprozessen, die gemeinsame Vorgänge gemeinsam nutzen, unabhängig davon, wo die Lösung bereitgestellt und betrieben wird.
  • Tools und Technologiestapel: Wählen Sie die geeigneten Tools aus, die Multi-Cloud-Umgebung unterstützen, um einheitliche und zentralisierte Verwaltungsplattformen einzurichten, die alle in diesem Sicherheits-Benchmark behandelten Sicherheitsdomänen enthalten können.

Implementierung und zusätzlicher Kontext: