Présentation du benchmark de sécurité cloud Microsoft

Remarque

Le benchmark de sécurité cloud Microsoft est le successeur d’Azure Security Benchmark (ASB), qui a été renommé en octobre 2022.

De nouveaux services et fonctionnalités sont publiés quotidiennement dans les plateformes des fournisseurs de services cloud et Azure, les développeurs publient rapidement de nouvelles applications cloud basées sur ces services, et les attaquants cherchent constamment de nouvelles façons d’exploiter des ressources mal configurées. Le cloud se déplace rapidement, les développeurs se déplacent rapidement et les attaquants se déplacent également rapidement. Comment vous assurer que vos déploiements cloud sont sécurisés ? Comment les pratiques de sécurité pour les systèmes cloud diffèrent-elles des systèmes locaux et différentes entre les fournisseurs de services cloud ? Comment surveiller votre charge de travail pour assurer la cohérence entre plusieurs plateformes cloud ?

Microsoft a découvert que l’utilisation de benchmarks de sécurité peut vous aider à sécuriser rapidement les déploiements dans le cloud. Un framework complet des bonnes pratiques de sécurité des fournisseurs de services cloud peut vous donner un point de départ pour sélectionner des paramètres de configuration de sécurité spécifiques dans votre environnement cloud pour plusieurs fournisseurs de services et vous permettre de superviser ces configurations en utilisant un seul environnement.

Le benchmark de sécurité cloud Microsoft (MCSB) comprend une collection de recommandations de sécurité à impact élevé que vous pouvez utiliser pour sécuriser vos services cloud dans un environnement unique ou multicloud. Les recommandations du MCSB incluent deux aspects importants :

• Contrôles de sécurité : ces recommandations sont généralement applicables dans vos charges de travail cloud. Chaque recommandation identifie une liste des parties prenantes qui sont généralement impliquées dans la planification, l’approbation ou l’implémentation du benchmark.
• Lignes de base du service : elles appliquent les contrôles à des services cloud individuels pour fournir des recommandations sur la configuration de sécurité de ce service spécifique. Nous avons actuellement des bases de référence des services disponibles seulement pour Azure.

Implémenter le Benchmark de sécurité cloud Microsoft

• Planifiez votre implémentation de MCSB en consultant la documentation relative aux contrôles d’entreprise et aux bases de référence spécifiques aux services pour planifier votre framework de contrôle, et la façon dont elle correspond à des directives comme les contrôles CIS (Center for Internet Security), NIST (National Institute of Standards and Technology) et le framework PCI-DSS (Payment Card Industry Data Security Standard).
• Surveillez votre conformité avec l’état MCSB (et d’autres jeux de contrôles) à l’aide du tableau de bord de conformité réglementaire Microsoft Defender pour cloud pour votre environnement multicloud. .
• Établissez des garde-fous pour automatiser les configurations sécurisées et appliquer la conformité avec MCSB (et d’autres exigences de votre organisation) en utilisant des fonctionnalités comme Azure Blueprints, Azure Policy ou les technologies équivalentes d’autres plateformes cloud.

Cas d’usage courants

Le benchmark de sécurité cloud Microsoft peut souvent être utilisé pour relever les défis courants pour les clients ou les partenaires de service qui sont :

• Nouveautés d’Azure (et d’autres plateformes cloud majeures, telles que AWS) et recherchez les meilleures pratiques de sécurité pour garantir un déploiement sécurisé des services cloud et de votre propre charge de travail d’application.
• Cherchez à améliorer le niveau de sécurité des déploiements cloud existants pour hiérarchiser les principaux risques et les mesures d'atténuation.
• Utilisation d’environnements multiclouds (tels qu’Azure et AWS) et de défis liés à l’alignement de la surveillance et de l’évaluation du contrôle de sécurité à l’aide d’un seul volet de verre.
• Évaluation des fonctionnalités de sécurité/fonctionnalités d’Azure (et d’autres plateformes cloud majeures, telles que AWS) avant d’intégrer/approuver un ou plusieurs services dans le catalogue de services cloud.
• Avoir à respecter les exigences de conformité dans les secteurs hautement réglementés, tels que le gouvernement, les finances et les soins de santé. Ces clients doivent s’assurer que leurs configurations de service d’Azure et d’autres clouds répondent à la spécification de sécurité définie dans l’infrastructure telle que CIS, NIST ou PCI. MCSB offre une approche efficace avec les contrôles déjà préconfigurés pour ces benchmarks de l’industrie.

Terminologie

Les termes « contrôle » et « base de référence » sont souvent utilisés dans la documentation du benchmark de sécurité cloud Microsoft. Il est important de comprendre comment MCSB utilise ces termes.

Terme	Descriptif	Exemple :
Contrôle	Un contrôle est une description de haut niveau d’une fonctionnalité ou d’une activité à traiter, qui n’est pas propre à une technologie ou à une implémentation.	La protection des données constitue l’une des familles de contrôles de sécurité. La protection des données contient des actions spécifiques qui doivent être entreprises pour s’assurer que les données sont bien protégées.
Ligne de base	Une base de référence est l’implémentation du contrôle sur les services Azure individuels. Chaque organisation édicte une recommandation de benchmark et les configurations correspondantes sont nécessaires dans Azure. Remarque : nous avons actuellement des bases de référence des services disponibles seulement pour Azure.	La société Contoso cherche à activer les fonctionnalités de sécurité d’Azure SQL en suivant la configuration recommandée dans de base de référence de sécurité d’Azure SQL.

Nous vous invitons à nous faire part de vos commentaires sur le benchmark de sécurité cloud De Microsoft ! Nous vous encourageons à fournir des commentaires dans la zone de commentaires ci-dessous. Si vous préférez partager votre entrée plus en privé avec l’équipe de sécurité cloud Microsoft, veuillez nous envoyer un e-mail à l’adresse benchmarkfeedback@microsoft.com.