Présentation du benchmark de sécurité cloud Microsoft
Notes
Microsoft Cloud Security Benchmark est le successeur d’Azure Security Benchmark (ASB), qui a été renommé en octobre 2022. Il est actuellement en préversion publique.
De nouveaux services et fonctionnalités sont publiés quotidiennement dans les plateformes des fournisseurs de services cloud et Azure, les développeurs publient rapidement de nouvelles applications cloud basées sur ces services, et les attaquants cherchent constamment de nouvelles façons d’exploiter des ressources mal configurées. Le cloud se déplace rapidement, les développeurs se déplacent rapidement et les attaquants se déplacent également rapidement. Comment vous assurer que vos déploiements cloud sont sécurisés ? Comment les pratiques de sécurité pour les systèmes cloud diffèrent-elles des systèmes locaux et différentes entre les fournisseurs de services cloud ? Comment surveiller votre charge de travail pour assurer la cohérence entre plusieurs plateformes cloud ?
Microsoft a découvert que l’utilisation de benchmarks de sécurité peut vous aider à sécuriser rapidement les déploiements dans le cloud. Une infrastructure complète des meilleures pratiques de sécurité des fournisseurs de services cloud peut vous donner un point de départ pour sélectionner des paramètres de configuration de sécurité spécifiques dans votre environnement cloud, sur plusieurs fournisseurs de services et vous permettre de surveiller ces configurations à l’aide d’un seul volet de verre.
Le benchmark de sécurité cloud Microsoft (MCSB) comprend une collection de recommandations de sécurité à fort impact que vous pouvez utiliser pour sécuriser vos services cloud dans un environnement unique ou multicloud. Les recommandations MCSB incluent deux aspects clés :
- Contrôles de sécurité : ces recommandations sont généralement applicables dans vos charges de travail cloud. Chaque recommandation identifie une liste des parties prenantes qui sont généralement impliquées dans la planification, l’approbation ou l’implémentation du benchmark.
- Bases de référence du service : elles appliquent les contrôles aux services cloud individuels pour fournir des recommandations sur la configuration de sécurité de ce service spécifique. Nous avons actuellement des lignes de base de service disponibles uniquement pour Azure.
Implémenter le benchmark de sécurité cloud Microsoft
- Planifiez votre implémentation MCSB en examinant la documentation relative aux contrôles d’entreprise et aux lignes de base propres aux services pour planifier votre infrastructure de contrôle et comment elle correspond à des conseils tels que Center for Internet Security (CIS), National Institute of Standards and Technology (NIST) et l’infrastructure PCI-DSS (Payment Card Industry Data Security Standard).
- Surveillez votre conformité avec l’état MCSB (et d’autres jeux de contrôles) à l’aide du Microsoft Defender pour cloud – Tableau de bord de conformité réglementaire pour votre environnement multicloud. .
- Établissez des garde-fous pour automatiser des configurations sécurisées et appliquer la conformité avec MCSB (et d’autres exigences de votre organisation) à l’aide de fonctionnalités telles qu’Azure Blueprints, Azure Policy ou les technologies équivalentes provenant d’autres plateformes cloud.
Cas d’usage courants
Le benchmark de sécurité cloud Microsoft peut souvent être utilisé pour relever les défis courants pour les clients ou les partenaires de service qui sont :
- Nouveautés d’Azure (et d’autres plateformes cloud majeures, telles qu’AWS) et recherchez les meilleures pratiques de sécurité pour garantir un déploiement sécurisé des services cloud et de votre propre charge de travail d’application.
- Vous cherchez à améliorer la posture de sécurité des déploiements cloud existants pour hiérarchiser les principaux risques et atténuations.
- Utilisation d’environnements multiclouds (comme Azure et AWS) et de défis liés à l’alignement de la surveillance et de l’évaluation des contrôles de sécurité à l’aide d’un seul volet de verre.
- Évaluation des fonctionnalités de sécurité/fonctionnalités d’Azure (et d’autres plateformes cloud majeures, telles qu’AWS) avant d’intégrer/approuver un ou plusieurs services dans le catalogue de services cloud.
- Avoir à respecter les exigences de conformité dans les secteurs hautement réglementés, tels que le gouvernement, les finances et les soins de santé. Ces clients doivent s’assurer que leurs configurations de service d’Azure et d’autres clouds répondent aux spécifications de sécurité définies dans l’infrastructure, comme CIS, NIST ou PCI. MCSB offre une approche efficace avec les contrôles déjà préapprés sur ces benchmarks de l’industrie.
Terminologie
Les termes « contrôle » et « ligne de base » sont souvent utilisés dans la documentation du benchmark de sécurité cloud Microsoft. Il est important de comprendre comment MCSB utilise ces termes.
| Terme | Description | Exemple |
|---|---|---|
| Control | Un contrôle est une description de haut niveau d’une fonctionnalité ou d’une activité à traiter, qui n’est pas propre à une technologie ou à une implémentation. | La protection des données constitue l’une des familles de contrôles de sécurité. La protection des données contient des actions spécifiques qui doivent être entreprises pour s’assurer que les données sont bien protégées. |
| Ligne de base | Une ligne de base est l’implémentation du contrôle sur les services Azure individuels. Chaque organisation dicte une recommandation d’évaluation et les configurations correspondantes sont nécessaires dans Azure. Remarque : Aujourd’hui, nous avons des lignes de base de service disponibles uniquement pour Azure. | La société Contoso cherche à activer Azure SQL fonctionnalités de sécurité en suivant la configuration recommandée dans la ligne de base de sécurité Azure SQL. |
Nous vous invitons à nous faire part de vos commentaires sur le benchmark de sécurité cloud microsoft. Nous vous invitons à les formuler dans la zone de commentaires ci-dessous. Si vous préférez partager votre entrée plus en privé avec l’équipe de sécurité cloud Microsoft, veuillez nous envoyer un e-mail à l’adresse benchmarkfeedback@microsoft.com.