Introducción a la prueba comparativa de seguridad en la nube de Microsoft

Nota:

Microsoft Cloud Security Benchmark es el sucesor de Azure Security Benchmark (ASB), que se cambió de nombre en octubre de 2022.

Los nuevos servicios y características se publican diariamente en plataformas de proveedores de servicios en la nube y Azure, los desarrolladores publican rápidamente nuevas aplicaciones en la nube basadas en estos servicios y los atacantes buscan constantemente nuevas formas de aprovechar recursos mal configurados. La nube se mueve rápido, los desarrolladores se mueven rápido y los atacantes también se mueven rápidamente. ¿Cómo puede mantenerse al día y asegurarse de que sus implementaciones en la nube están seguras? ¿Cómo son las prácticas de seguridad para los sistemas en la nube diferentes de los sistemas locales y diferentes entre los proveedores de servicios en la nube? ¿Cómo se supervisa la carga de trabajo para mantener la coherencia en varias plataformas en la nube?

Microsoft ha descubierto que el uso de pruebas comparativas de seguridad puede ayudarle a proteger rápidamente las implementaciones en la nube. Un marco de procedimientos recomendados de seguridad completo de los proveedores de servicios en la nube puede proporcionarle un punto de partida para seleccionar opciones de configuración de seguridad específicas en el entorno de nube, entre varios proveedores de servicios y permitirle supervisar estas configuraciones mediante un solo panel de control.

El banco de pruebas de seguridad en la nube de Microsoft (MCSB) incluye una colección de recomendaciones de seguridad de alto impacto que puede usar para ayudar a proteger los servicios en la nube en un entorno único o multinube. Las recomendaciones de MCSB incluyen dos aspectos clave:

• Controles de seguridad: estas recomendaciones suelen aplicarse en las cargas de trabajo en la nube. Cada recomendación señala una lista de partes interesadas que suelen estar implicadas en el planeamiento, la aprobación o la implementación de la prueba comparativa.
• Líneas base de servicio: aplican los controles a servicios en la nube individuales para proporcionar recomendaciones sobre la configuración de seguridad de ese servicio específico. Actualmente solo hay líneas de base de servicio disponibles para Azure.

Implementación del punto de referencia de seguridad en la nube de Microsoft

• Planifique la implementación de MCSB revisando la documentación de los controles empresariales y las líneas base específicas del servicio para planear el marco de control y cómo se asigna según los Controles del Centro para la Seguridad en Internet (CIS), el Instituto Nacional de Estándares y Tecnología (NIST) y el marco de estándares de seguridad de datos del sector de tarjetas de pago (PCI-DSS).
• Supervise el cumplimiento con el estado de MCSB (y otros conjuntos de controles) mediante el Panel de cumplimiento normativo de Microsoft Defender for Cloud para su entorno de varias nubes. .
• Establezca límites de protección para automatizar configuraciones seguras y aplicar el cumplimiento con MCSB (y otros requisitos de su organización) mediante características como Azure Blueprints, Azure Policy o las tecnologías equivalentes de otras plataformas en la nube.

Casos de uso comunes

A menudo, el banco de pruebas de seguridad en la nube de Microsoft se puede usar para abordar los desafíos comunes para los clientes o asociados de servicio que son:

• Si eres nuevo en Azure (y otras principales plataformas de nube, como AWS) y buscas las mejores prácticas de seguridad para garantizar una implementación segura de servicios en la nube y de la carga de trabajo de tus aplicaciones.
• Buscando mejorar la posición de seguridad de las implementaciones en la nube existentes para priorizar los principales riesgos y mitigaciones.
• El uso de entornos de varias nubes (como Azure y AWS) y los desafíos para alinear la supervisión y evaluación del control de seguridad mediante un único panel de vidrio.
• Evaluar las características y funcionalidades de seguridad de Azure (y otras plataformas en la nube principales, como AWS) antes de incorporar o aprobar un servicio en el catálogo de servicios en la nube.
• Tener que cumplir los requisitos de cumplimiento en sectores altamente regulados, como gobierno, finanzas y atención sanitaria. Estos clientes deben asegurarse de que sus configuraciones de servicio de Azure y otras nubes cumplan la especificación de seguridad definida en el marco, como CIS, NIST o PCI. MCSB proporciona un enfoque eficiente con los controles ya asignados previamente a estos puntos de referencia del sector.

Terminología

Los términos "control" y "línea base" se usan a menudo en la documentación de pruebas comparativas de seguridad en la nube de Microsoft. Es importante comprender cómo MCSB usa estos términos.

Término	Descripción	Ejemplo
Supervisión	Un control es una descripción de alto nivel de una característica o actividad que debe abordarse y no es específico de una tecnología o implementación.	La protección de datos es una de las familias de control de seguridad. La protección de datos contiene acciones específicas que deben abordarse para ayudar a garantizarla.
Línea base	Una línea de base es la implementación del control en los servicios individuales de Azure. Cada organización determina una recomendación de punto de referencia y, en Azure, se necesitan las configuraciones correspondientes. Nota: Actualmente solo hay líneas de base de servicio disponibles para Azure.	La empresa Contoso busca habilitar las características de seguridad de Azure SQL según la configuración recomendada en la línea de base de seguridad de Azure SQL.

Le damos la bienvenida a sus comentarios sobre el banco de pruebas de seguridad en la nube de Microsoft. Le animamos a proporcionar comentarios en el área de comentarios siguiente. Si prefiere compartir su entrada de forma más privada con el equipo de seguridad en la nube de Microsoft, envíenos un correo electrónico a benchmarkfeedback@microsoft.com.