Microsoft Security Adoption Framework (SAF)

Das Microsoft Security Adoption Framework (SAF) ist ein praktisches Betriebsmodell für die Umwandlung von Geschäftsprioritäten, Risiken und Zero Trust Grundsätzen in koordinierte Maßnahmen. Sie verbindet Geschäfts-, Technologie- und Sicherheitsrollen über Strategie, Architektur, Implementierung und Betrieb hinweg.

Verwenden Sie SAF, um gemeinsame Ergebnisse zu definieren, Verantwortlichkeiten zu klären, die Disziplinen und Technologien auszuwählen, die wichtig sind, Schutzmaßnahmen zu implementieren und den Fortschritt in Hybrid-, Multicloud- und Multiplatform-Umgebungen zu messen.

Warum SAF verwenden?

Verwenden Sie SAF für:

• Richten Sie die Sicherheitsarbeit an geschäftsprioritäten und -risiken aus. Verbinden Sie Geschäfts-, Technologie- und Sicherheitsentscheidungen und Investitionen mit den Ergebnissen, die die Organisation erreichen muss, und mit dem, was sie schützen muss.
• Gemeinsame Verantwortung koordinieren. Klären Sie, wie Geschäfts-, Technologie- und Sicherheitsrollen Entscheidungen treffen und Ergebnisse zusammen liefern.
• Wenden Sie Zero Trust konsistent an. Verwenden Sie Zero Trust Prinzipien in Strategie, Governance, Architektur, Implementierung und Vorgängen.
• Verbinden Sie die Strategie mit der Implementierung. Verknüpfen Sie die gewünschten Ergebnisse mit Sicherheitsdisziplinen, Technologien und technischen Lösungen.
• Messen Sie den Fortschritt und passen Sie sich an. Verfolgen Sie Ergebnisse und passen Sie diese entsprechend an, wenn sich geschäftliche Anforderungen, Technologie, Bedrohungen und Organisationsfunktionen ändern.

Funktionsweise von SAF

SAF verbindet Geschäftsprioritäten und Risiken mit koordinierter Sicherheitsarbeit und Technologieimplementierung. Vier verbundene Komponenten helfen Unternehmens-, Technologie- und Sicherheitsteams, die gewünschten Ergebnisse zu verstehen, die erforderliche Sicherheitsarbeit, was geschützt werden muss und wie Schutzmaßnahmen implementiert und betrieben werden.

Die vier Komponenten sind:

• Geschäftsszenarien verbinden wichtige Geschäfts- oder Technologieinitiativen mit den gewünschten Ergebnissen und Risiken.
• Sicherheitsdisziplinen organisieren die Sicherheitsarbeit, die erforderlich ist, um Risiken zu verwalten, Entscheidungen zu treffen und Sicherheitsfunktionen zu verbessern.
• Technologien identifizieren, was geschützt werden muss, einschließlich Identitäten, Endpunkte, Anwendungen, Daten, Infrastruktur, Netzwerke und KI.
• Technische Lösungen übersetzen Sicherheitsanforderungen in Implementierung und nachhaltige Operationen über Produkte und Plattformen hinweg.

Geschäftsprioritäten und Risiko bilden den Kontext. Geschäftsszenarien beschreiben die gewünschten Ergebnisse. Sicherheitsdisziplinen legen fest, wie Teams arbeiten. Technologien identifizieren, was geschützt werden muss. Technische Lösungen setzen diese Ausrichtung in Implementierung und Betrieb um.

Zero Trust Prinzipien leiten Entscheidungen über alle vier SAF-Komponenten hinweg – von den Geschäftsprioritäten und der Governance über Architektur, Implementierung und Betrieb.

So verwenden Rollen SAF

Rollengruppe	So verwendet die Gruppe SAF	Allgemeiner Schwerpunkt auf SAF
Führungskräfte und Risikobesitzer	Definieren Sie die gewünschten Ergebnisse, Geschäftsprioritäten, Risiken, Rechenschaftspflicht und Erfolgskennzahlen.	Geschäftsszenarien, Strategie und Risiko
Technologie- und Produktteams	Überführen Sie Prioritäten und Sicherheitsanforderungen in Architektur, Technik, Bereitstellung, Implementierung und nachhaltige Vorgänge.	Technologien und technische Lösungen
Sicherheitsteams	Bieten Sie Risikoerkenntnisse, Sicherheitskompetenz, Governance, Architektur, Leitplanken, Validierung, Erkennung und Reaktion sowie Sicherheitsmessungen.	Sicherheitsdisziplinen und Sicherheitsanforderungen

Diese Rollen tragen zu gemeinsamen Ergebnissen bei und arbeiten zusammen, um sie zu erreichen. SAF bietet gemeinsamen Kontext, um Geschäfts-, Technologie- und Sicherheitsrollen bei der Koordinierung von Entscheidungen und Verantwortlichkeiten zu unterstützen, anstatt die Sicherheitsmodernisierung als Die Arbeit eines einzelnen Teams zu behandeln. Partner können spezialisiertes Fachwissen, Implementierung und operative Dienstleistungen bereitstellen.

Wählen Sie, wo Sie anfangen möchten

Sie müssen SAF nicht in einer festen Sequenz verwenden. Wählen Sie einen Ausgangspunkt aus, der Ihrem aktuellen Kontext entspricht:

• Beginnen Sie mit Strategie und Transformation , wenn es Führungssponsoring für koordinierte Modernisierung gibt und die Organisation eine gemeinsame strategische Ausrichtung benötigt.
• Beginnen Sie mit einem prioritären Risiko oder Problem, wenn eine dringende Lücke oder eine wichtige Chance Aufmerksamkeit benötigt.
• Beginnen Sie mit einer Geschäfts- oder Technologieinitiative , wenn eine bestimmte Initiative koordinierten Schutz über Rollen, Disziplinen und Technologien hinweg benötigt.
• Beginnen Sie mit einem Sicherheitsstandard oder Framework , wenn die Organisation die Sicherheitsarbeit an definierte Ziele oder Praktiken ausrichten muss.

Diese Ausgangspunkte sind üblich, nicht erforderliche Stufen. Organisationen können sie kombinieren oder zwischen ihnen wechseln, wenn sich Prioritäten, Risiken und Fähigkeiten ändern.

Richtlinien für die effektive Verwendung von SAF

Organisationen können SAF je nach Ihren Prioritäten, Risiken und der aktuellen Sicherheitsreife auf unterschiedliche Weise verwenden. Unabhängig davon, wo Sie beginnen:

• Richten Sie die Arbeit an Geschäftsprioritäten und -risiken aus.
• Wenden Sie Zero Trust Prinzipien bei Geschäftsentscheidungen, Sicherheitspraktiken, Technologiedesign, Lieferung und Vorgängen an.
• Koordinieren Sie die Verantwortlichkeiten zwischen Geschäfts-, Technologie- und Sicherheitsteams.
• Verbinden Sie fokussierte Verbesserungen mit einer umfassenderen Sicherheitsstrategie und -architektur.
• Messen Sie Ergebnisse, und passen Sie diese an, wenn sich Prioritäten, Risiken und Bedingungen ändern.

Informationen zu zielbasierten und rollenbasierten Lesepfaden finden Sie unter SAF effektiv verwenden.

Wie vorhandene Sicherheitsleitlinien zu SAF passen

SAF baut auf etablierten Microsoft Sicherheitsleitlinien auf, anstatt sie zu ersetzen. Einige bestehende Leitlinien sind in die SAF-Struktur integriert, während andere Ressourcen unabhängig bleiben und SAF durch tiefere Architektur, Engineering, Bewertung, Workshop oder operative Anleitung ergänzen.

Microsoft bietet ergänzende Anleitungen in verschiedenen Bereichen:

• Strategie und Architektur:CISO Workshop und Microsoft Cybersecurity Reference Architectures (MCRA)
• Bewertungs- und Technologieimplementierung:Zero Trust-Bewertung und Leitfaden zur Technologieimplementierung
• Engineering:Microsoft Security Development Lifecycle (SDL), DevSecOps-Fähigkeitsmodell und Secure Future Initiative (SFI)
• Betrieb und Reaktion:Leitfaden für privilegierten Zugriff und Playbooks zur Reaktion auf Vorfälle

Ausführliche Informationen dazu, wie sich diese und andere Microsoft-Sicherheitsressourcen auf SAF beziehen, finden Sie unter Wie vorhandene Sicherheitsrichtlinien in SAF passen.

SAF erkunden

• SAF effektiv verwenden.
• Geschäftsszenarien erkunden.
• Sicherheitsdisziplinen entdecken.
• Sichere Technologien.
• Implementieren Sie technische Lösungen.
• Verwenden Sie SAF-Workshops.

Nächster Schritt

Erfahren Sie, wie Sie einen praktischen Einstiegspunkt auswählen und Ihre Arbeit über SAF hinweg in SAF effektiv nutzen verbinden.