A biztonsági felkészültség megtervezve
 Törekedjen a biztonsági eljárások bevezetésére és implementálására az architektúratervezési döntésekben és műveletekben minimális súrlódás mellett. |
|---|
Számítási feladat tulajdonosaként ön megosztott felelősséggel tartozik a szervezettel az eszközök védelméért. Hozzon létre egy biztonsági készültségi tervet, amely igazodik az üzleti prioritásokhoz. Ez jól meghatározott folyamatokhoz, megfelelő beruházásokhoz és megfelelő elszámoltathatósághoz vezet. A tervnek biztosítania kell a számítási feladatokra vonatkozó követelményeket a szervezet számára, amely az eszközök védelméért is felelős. A biztonsági terveknek bele kell számolniuk a megbízhatósági, állapotmodellezési és önmegőrzési stratégiába.
A szervezeti eszközök mellett magát a számítási feladatot is védeni kell a behatolással és a behatolási támadásokkal szemben. A Teljes felügyelet és a CIA triád minden aspektusát figyelembe kell venni a tervben.
A funkcionális és nem funkcionális követelményeknek, a költségvetési korlátozásoknak és egyéb szempontoknak nem szabad korlátozniuk a biztonsági befektetéseket, és nem szabad hígítani a biztosítékokat. Ugyanakkor ezeket a korlátozásokat és korlátozásokat szem előtt tartva kell megterveznie és megterveznie a biztonsági beruházásokat.
Példaforgatókönyv
Contoso Szupermarket még soha nem volt ügyfél hűség program előtt, de úgy döntött, hogy üzleti értelme, hogy építsen egyet. Az NFC-funkciók az ügyféltelefonokon az önkivétel és a pénztáros által támogatott pénztárosi fizetések esetében is az értékesítési ponton lesznek használhatók. Az áruház bejáratánál és kijáratánál található önregisztrációs kioszk lehetővé teszi az ügyfelek számára, hogy regisztráljanak a programban. A háttérfeldolgozási megoldás felhőben lesz üzemeltetve, de a kialakítás még nem véglegesítve.
A biztonság optimalizálása szegmentálással
A szegmentálással biztonsági határokat tervezhet a számítási feladatok környezetében, folyamataiban és csapatstruktúrájában a hozzáférés és a működés elkülönítéséhez.
A szegmentálási stratégiát üzleti követelményeknek kell vezérelnie. Ezt az összetevők kritikusságára, a munkamegosztásra, az adatvédelmi aggályokra és más tényezőkre alapozhatja.
A szerepkörök meghatározásával és egyértelmű felelősségi kör meghatározásával minimalizálhatja a működési súrlódást. Ez a gyakorlat az egyes szerepkörök hozzáférési szintjének azonosításában is segít, különösen a kritikus fontosságú fiókok esetében.
Az elkülönítés lehetővé teszi, hogy a bizalmas folyamatok csak a hozzáférésre szoruló szerepkörökre és eszközökre legyen kitéve. A túlzott expozíció véletlenül az információáramlás közzétételéhez vezethet.
A Contoso kihívása
- Az egyszerűség szellemében a csapat korábban előnyben részesítette az alacsony terhelésű megközelítéseket. Ezek a megközelítések magában foglalták a különböző számítási feladatok összetevőinek közös keresését a felügyeleti felület csökkentése érdekében, valamint a különálló személyek biztonsági csoportokba való rendszerezését a hozzáférés-kezelés egyszerűsítése érdekében.
- Sajnos egy minőségbiztosítási gyakornok, aki széles körű hozzáférést kapott az új üzembehelyezési környezethez a biztonsági csoporttagságuk miatt, egy társadalommérnöki támadásnak volt kitéve, amely a fiókjuk feltöréséhez vezetett.
- A támadó nem csak az üzemelő példány, hanem az ugyanazon az alkalmazásplatformon futó összes többi felhasználó bizalmasságát is veszélyeztette.
A megközelítés és az eredmények alkalmazása
- Szerencsére a sérült környezet a számítási feladat korai tesztelési prototípusát üzemeltette; miközben az értékesítési pontrendszerhez az új ügyfélhűség programrendszert tervezik, így nem törtek be éles rendszerek.
- A számítási feladatok biztonsági csapata időt és pénzt tervez a számítási feladat megtervezésére, hogy elkülönítse a személyazonosításra alkalmas adatokat (PÉLDÁUL az ügyfelek címét és e-mail-címét) kezelő rendszereket a nem megfelelő összetevőktől (például a termékek kuponjaitól); szükség esetén igény szerint és igény szerint (JIT) tervezzen hozzáférési vezérlőket; és elkülönítheti a hálózatokat a számítási feladaton belül, hogy megvédje a többi összetevőt, és vissza a Contoso-ba a szervezet védelme érdekében.
- A szegmentálás révén a kompromisszumok továbbra is hatással lehetnek a számítási feladat egyes részeire, de a robbanási sugár el lesz foglalva.
Incidensek hatékony kezelése
Győződjön meg arról, hogy van incidenskezelési terv a számítási feladathoz. Használjon olyan iparági keretrendszereket, amelyek meghatározzák a felkészültség, észlelés, elszigetelés, kockázatcsökkentés és incidens utáni tevékenységek szabványos üzemeltetési eljárását.
A válság idején el kell kerülni a zavarodottságot. Ha jól dokumentált tervvel rendelkezik, a felelős szerepkörök anélkül összpontosíthatnak a végrehajtásra, hogy időt kell fordítaniuk a bizonytalan műveletekre. Emellett egy átfogó terv segítségével gondoskodhat arról, hogy az összes szervizelési követelmény teljesüljön.
A Contoso kihívása
- A számítási feladatokért felelős csapat megkezdi a viszonteladói támogatási csatornák, az ügyfélszolgálati csatornák és a technikai ügyeleti rotációk hivatalossá tételét a támogatási eszkalációk és a kimaradások esetében.
- Ezek a tervek nem foglalkoznak a biztonsággal. Azt sem tudják, mit kínál a Contoso, mivel egy szervezet támogatást nyújt.
A megközelítés és az eredmények alkalmazása
- A számítási feladatokkal foglalkozó csapat együttműködik a Contoso biztonsági csapatával az ilyen jellegű PII-k kezelésére vonatkozó megfelelőségi követelmények megértéséhez mind szervezeti, mind külső megfelelőségi szempontból.
- A csapat biztonsági észlelési, kockázatcsökkentési és eszkalációs tervet készít, beleértve az incidensekre vonatkozó szabványosított kommunikációs követelményeket is.
- A számítási feladatokért felelős csapat most már ugyanolyan jól érzi magát a biztonsági incidensek felkészültségével, mint a megbízhatósági támogatásukkal. Tervezik a biztonsági incidensek kifúrást, hogy megszáradjanak, és finomítanák a tervet, mielőtt a rendszerrel élnének.
Biztonságos műveletek és fejlesztési eljárások kódolása
Csapatszintű biztonsági szabványok meghatározása és érvényesítése a számítási feladat életciklusa és működése során. Törekedjen az olyan műveletek konzisztens eljárásaira, mint a kódolás, a kapus jóváhagyások, a kiadáskezelés, valamint az adatvédelem és a megőrzés.
A helyes biztonsági eljárások meghatározása minimálisra csökkentheti a hanyagságot és a felszínt a lehetséges hibák esetén. A csapat optimalizálni fogja az erőfeszítéseket, és az eredmény kiszámítható lesz, mivel a megközelítések konzisztensebbek lesznek.
A biztonsági szabványok időbeli betartása lehetővé teszi a fejlesztési lehetőségek azonosítását, beleértve az automatizálást is, ami tovább egyszerűsíti az erőfeszítéseket, és növeli a konzisztenciát.
A Contoso kihívása
- Az incidenskezelés előkészítése után a számítási feladatokkal foglalkozó csapat úgy dönt, hogy időt és energiát kell fektetnie a problémák megelőzésére.
- Jelenleg nem foglalkoznak konkrét biztonságos fejlesztési életciklussal, és a korábbi projekteken használt folyamatokat fogják használni.
A megközelítés és az eredmények alkalmazása
- Bár ez a számítási feladat nem tárol szigorúan bizalmas adatokat, például hitelkártyaadatokat, a csapat tisztelettel kezeli ügyfelei adatait, és tisztában van azzal, hogy a tárolandó adattípusokra vonatkozó helyi és szövetségi előírásokat kell követni.
- A csapat a jelenlegi iparági szabványnak megfelelő biztonságos fejlesztési és üzemeltetési gyakorlatok megismerésébe fektet be, és olyan intézkedéseket vezet be, amelyek korábban nem voltak elegendőek.
- A csapat a Contoso biztonsági csapatával is megosztja a tanulást, hogy az ajánlott eljárásokat a vállalaton belül is elfogadják.