Browser ini sudah tidak didukung.
Mutakhirkan ke Microsoft Edge untuk memanfaatkan fitur, pembaruan keamanan, dan dukungan teknis terkini.
Artikel ini menjelaskan peran keamanan yang diperlukan untuk keamanan cloud dan fungsi yang mereka lakukan terkait dengan infrastruktur dan platform cloud. Peran ini membantu Anda memastikan bahwa keamanan adalah bagian dari setiap tahap siklus hidup cloud, dari pengembangan hingga operasi dan peningkatan berkelanjutan.
Catatan
Cloud Adoption Framework untuk Azure berfokus pada infrastruktur dan platform cloud yang mendukung beberapa beban kerja. Untuk panduan keamanan untuk beban kerja individual, lihat panduan keamanan dalam Azure Well-Architected Framework.
Bergantung pada ukuran organisasi Anda dan faktor lainnya, peran dan fungsi yang dibahas dalam artikel ini mungkin dipenuhi oleh orang-orang yang melakukan beberapa fungsi (peran) daripada oleh satu orang atau tim. Perusahaan dan organisasi besar cenderung memiliki tim yang lebih besar dengan peran yang lebih khusus, sedangkan organisasi yang lebih kecil cenderung mengonsolidasikan beberapa peran dan fungsi di antara sejumlah kecil orang. Tanggung jawab keamanan tertentu juga bervariasi tergantung pada platform teknis dan layanan yang digunakan organisasi.
Beberapa tugas keamanan akan dilakukan langsung oleh tim teknologi dan cloud. Yang lain mungkin dilakukan oleh tim keamanan khusus yang beroperasi secara kolaboratif dengan tim teknologi. Terlepas dari ukuran dan struktur organisasi Anda, pemangku kepentingan harus memiliki pemahaman yang jelas tentang pekerjaan keamanan yang perlu dilakukan. Setiap orang juga harus menyadari persyaratan bisnis dan toleransi risiko keamanan organisasi sehingga mereka dapat membuat keputusan yang baik tentang layanan cloud yang memperhitungkan dan menyeimbangkan keamanan sebagai persyaratan utama.
Gunakan panduan dalam artikel ini untuk membantu memahami fungsi tertentu yang dilakukan tim dan peran dan bagaimana tim yang berbeda berinteraksi untuk mencakup keseluruhan organisasi keamanan cloud.
Peran arsitektur, teknik, dan operasi keamanan mengalami transformasi yang signifikan dari tanggung jawab dan prosesnya. (Transformasi ini mirip dengan transformasi yang digerakkan cloud dari peran infrastruktur dan platform.) Transformasi peran keamanan ini telah didorong oleh beberapa faktor:
Karena alat keamanan semakin berbasis SaaS, tidak perlu merancang, mengimplementasikan, menguji, dan mengoperasikan infrastruktur alat keamanan. Peran ini masih perlu mendukung siklus hidup penuh mengonfigurasi layanan dan solusi cloud (termasuk peningkatan berkelanjutan) untuk memastikan mereka memenuhi persyaratan keamanan.
Pengakuan bahwa keamanan adalah pekerjaan semua orang mendorong pendekatan yang lebih kolaboratif dan matang yang memungkinkan tim keamanan dan teknologi untuk bekerja sama:
Tim teknik teknis bertanggung jawab untuk memastikan bahwa langkah-langkah keamanan diterapkan secara efektif ke beban kerja mereka. Perubahan ini meningkatkan kebutuhan mereka akan konteks dan keahlian dari tim keamanan tentang cara memenuhi kewajiban ini secara efektif dan efisien.
Tim keamanan beralih dari peran kontrol kualitas (sedikit adversarial) ke peran yang memungkinkan tim teknis: menjadikan jalur aman sebagai jalur term mudah. Tim keamanan mengurangi gesekan dan hambatan dengan menggunakan otomatisasi, dokumentasi, pelatihan, dan strategi lainnya.
Tim keamanan semakin memperluas keterampilan mereka untuk melihat masalah keamanan di beberapa teknologi dan sistem. Mereka mengatasi siklus hidup penyerang penuh, daripada berfokus pada area teknis yang sempit (keamanan jaringan, keamanan titik akhir, keamanan aplikasi, dan keamanan cloud, misalnya). Fakta bahwa platform cloud mengintegrasikan berbagai teknologi yang erat bersama-sama memperkuat kebutuhan pengembangan keterampilan ini.
Peningkatan tingkat perubahan dari layanan cloud teknologi dan keamanan mengharuskan proses keamanan terus diperbarui untuk tetap sinkron dan mengelola risiko secara efektif.
Ancaman keamanan sekarang dengan andal melewati kontrol keamanan berbasis jaringan, sehingga tim keamanan perlu mengadopsi pendekatan Zero Trust yang mencakup identitas, keamanan aplikasi, keamanan titik akhir, keamanan cloud, CI/CD, pendidikan pengguna, dan kontrol lainnya.
Adopsi proses DevOps/DevSecOps mengharuskan peran keamanan lebih gesit untuk mengintegrasikan keamanan secara asli ke dalam siklus hidup pengembangan solusi yang dipercepat yang dihasilkan.
Bagian berikut memberikan panduan tentang tim dan peran mana yang biasanya melakukan fungsi keamanan cloud utama (ketika fungsi-fungsi ini ada di organisasi). Anda harus memetakan pendekatan yang ada, mencari celah, dan menilai apakah organisasi Anda dapat dan harus berinvestasi untuk mengatasi kesenjangan tersebut.
Peran yang melakukan tugas keamanan mencakup peran berikut.
Penyedia cloud
Tim infrastruktur/platform (arsitektur, teknik, dan operasi)
Arsitektur keamanan, rekayasa, dan tim manajemen postur:
Arsitek dan insinyur keamanan (keamanan data, manajemen identitas dan akses (IAM), keamanan jaringan, server dan keamanan kontainer, keamanan aplikasi, dan DevSecOps)
Insinyur keamanan perangkat lunak (keamanan aplikasi)
Manajemen postur (pengelolaan kerentanan / manajemen permukaan serangan)
Operasi keamanan (SecOps/SOC):
Analis triase (tingkat 1)
Analis investigasi (tingkat 2)
Perburuan ancaman
Inteligensi ancaman
Rekayasa deteksi
Tata Kelola, Risiko, dan Kepatuhan Keamanan (GRC)
Pelatihan dan kesadaran keamanan
Sangat penting untuk memastikan bahwa semua orang memahami peran mereka dalam keamanan dan cara bekerja dengan tim lain. Anda dapat mencapai tujuan ini dengan mendokumenkan proses keamanan lintas tim dan model tanggung jawab bersama untuk tim teknis Anda. Melakukannya membantu Anda menghindari risiko dan limbah dari kesenjangan cakupan dan dari upaya yang tumpang tindih. Ini juga membantu Anda menghindari kesalahan umum (antipattern), seperti tim yang memilih solusi autentikasi dan kriptografi yang lemah atau bahkan mencoba membuat sendiri.
Catatan
Model tanggung jawab bersama mirip dengan model Responsible, Accountable, Consulted, Informed (RACI). Model tanggung jawab bersama membantu menggambarkan pendekatan kolaboratif tentang siapa yang membuat keputusan dan tim apa yang harus dilakukan untuk bekerja sama untuk item dan hasil tertentu.
Penyedia layanan cloud adalah anggota tim virtual secara efektif yang menyediakan fungsi dan kemampuan keamanan untuk platform cloud yang mendasar. Beberapa penyedia cloud juga menyediakan fitur dan kemampuan keamanan yang dapat digunakan tim Anda untuk mengelola postur dan insiden keamanan Anda. Untuk informasi selengkapnya tentang apa yang dilakukan penyedia layanan cloud, lihat model tanggung jawab bersama cloud.
Banyak penyedia layanan cloud memberikan informasi tentang praktik dan kontrol keamanan mereka berdasarkan permintaan atau melalui portal seperti portal kepercayaan layanan Microsoft.
Arsitektur infrastruktur/platform, teknik, dan tim operasi menerapkan dan mengintegrasikan kontrol keamanan, privasi, dan kepatuhan cloud di seluruh infrastruktur cloud dan lingkungan platform (di seluruh server, kontainer, jaringan, identitas, dan komponen teknis lainnya).
Peran teknik dan operasi dapat berfokus terutama pada sistem cloud atau integrasi berkelanjutan dan penyebaran berkelanjutan (CI/CD), atau mereka dapat bekerja di berbagai cloud, CI/CD, lokal, dan infrastruktur dan platform lainnya.
Tim ini bertanggung jawab untuk memenuhi semua ketersediaan, skalabilitas, keamanan, privasi, dan persyaratan lain untuk layanan cloud organisasi yang menghosting beban kerja bisnis. Mereka bekerja secara kolaboratif dengan pakar keamanan, risiko, kepatuhan, dan privasi untuk mendorong hasil yang memadukan dan menyeimbangkan semua persyaratan ini.
Tim keamanan bekerja dengan peran infrastruktur dan platform (dan lainnya) untuk membantu menerjemahkan strategi keamanan, kebijakan, dan standar ke dalam arsitektur, solusi, dan pola desain yang dapat ditindaklanjuti. Tim ini fokus pada pengaktifan keberhasilan keamanan tim cloud dengan mengevaluasi dan memengaruhi keamanan infrastruktur serta proses dan alat yang digunakan untuk mengelolanya. Berikut adalah beberapa tugas umum yang dilakukan oleh tim keamanan untuk infrastruktur:
Arsitek dan insinyur keamanan menyesuaikan kebijakan keamanan, standar, dan panduan lingkungan cloud untuk merancang dan menerapkan kontrol dalam kemitraan dengan mitra infrastruktur/platform mereka. Arsitek dan insinyur keamanan membantu dengan berbagai elemen, termasuk:
Penyewa/langganan. Arsitek dan insinyur keamanan berkolaborasi dengan arsitek dan insinyur infrastruktur dan arsitek akses (identitas, jaringan, aplikasi, dan lainnya) untuk membantu membangun konfigurasi keamanan untuk penyewa cloud, langganan, dan akun di seluruh penyedia cloud (yang dipantau oleh tim manajemen postur keamanan).
IAM. Arsitek akses (identitas, jaringan, aplikasi, dan lainnya) berkolaborasi dengan insinyur identitas dan operasi serta tim infrastruktur/platform untuk merancang, mengimplementasikan, dan mengoperasikan solusi manajemen akses. Solusi ini melindungi dari penggunaan aset bisnis organisasi yang tidak sah sambil memungkinkan pengguna yang berwenang untuk mengikuti proses bisnis untuk mengakses sumber daya organisasi dengan mudah dan aman. Tim ini bekerja pada solusi seperti direktori identitas dan solusi akses menyeluruh (SSO), autentikasi tanpa kata sandi dan multifaktor (MFA), solusi akses bersyarat berbasis risiko, identitas beban kerja, manajemen identitas/akses istimewa (PIM/PAM), infrastruktur cloud dan pengelolaan pemberian hak (CIEM), dan banyak lagi. Tim-tim ini juga berkolaborasi dengan teknisi dan operasi jaringan untuk merancang, mengimplementasikan, dan mengoperasikan solusi security service edge (SSE). Tim beban kerja dapat memanfaatkan kemampuan ini untuk menyediakan akses yang lancar dan lebih aman ke beban kerja individu dan komponen aplikasi.
Keamanan data. Arsitek dan insinyur keamanan berkolaborasi dengan arsitek dan teknisi data dan AI untuk membantu tim infrastruktur/platform membangun kemampuan keamanan data dasar untuk semua data dan kemampuan tingkat lanjut yang dapat digunakan untuk mengklasifikasikan dan melindungi data dalam beban kerja individual. Untuk informasi selengkapnya tentang keamanan data dasar, lihat tolok ukur Perlindungan Data keamanan Microsoft. Untuk informasi selengkapnya tentang melindungi data dalam beban kerja individual, lihat panduan Kerangka Kerja Well-Architected.
Keamanan jaringan. Arsitek dan insinyur keamanan berkolaborasi dengan arsitek dan insinyur jaringan untuk membantu tim infrastruktur/platform membangun kemampuan keamanan jaringan dasar seperti konektivitas ke cloud (jalur privat/sewaan), strategi dan solusi akses jarak jauh, firewall masuk dan keluar, firewall aplikasi web (WAF), dan segmentasi jaringan. Tim-tim ini juga berkolaborasi dengan arsitek identitas, insinyur, dan operasi untuk merancang, mengimplementasikan, dan mengoperasikan solusi SSE. Tim beban kerja dapat memanfaatkan kemampuan ini untuk memberikan perlindungan diskrit atau isolasi beban kerja individu dan komponen aplikasi.
Server dan keamanan kontainer. Arsitek dan insinyur keamanan berkolaborasi dengan arsitek dan insinyur infrastruktur untuk membantu tim infrastruktur/platform membangun kemampuan keamanan dasar untuk server, komputer virtual (VM), kontainer, orkestrasi/manajemen, CI/CD, dan sistem terkait. Tim ini menetapkan proses penemuan dan inventaris, konfigurasi garis besar/tolok ukur keamanan, proses pemeliharaan dan patching, memungkinkan daftar untuk biner yang dapat dieksekusi, gambar templat, proses manajemen, dan banyak lagi. Tim beban kerja juga dapat memanfaatkan kemampuan infrastruktur dasar ini untuk memberikan keamanan bagi server dan kontainer untuk beban kerja individu dan komponen aplikasi.
Fondasi keamanan perangkat lunak (untuk keamanan aplikasi dan DevSecOps). Arsitek dan insinyur keamanan berkolaborasi dengan teknisi keamanan perangkat lunak untuk membantu tim infrastruktur/platform membangun kemampuan keamanan aplikasi yang dapat digunakan oleh beban kerja individu, pemindaian kode, alat tagihan perangkat lunak bahan (SBOM), WAF, dan pemindaian aplikasi. Lihat Kontrol DevSecOps untuk informasi selengkapnya tentang cara membuat siklus hidup pengembangan keamanan (SDL). Untuk informasi selengkapnya tentang cara tim beban kerja menggunakan kemampuan ini, lihat panduan siklus hidup pengembangan keamanan dalam Well-Architected Framework.
Teknisi keamanan perangkat lunak mengevaluasi kode, skrip, dan logika otomatis lainnya yang digunakan untuk mengelola infrastruktur, termasuk infrastruktur sebagai kode (IaC), alur kerja CI/CD, dan alat atau aplikasi lain yang dibuat khusus. Teknisi ini harus terlibat untuk melindungi kode formal dalam aplikasi yang dikompilasi, skrip, konfigurasi platform otomatisasi, dan bentuk lain dari kode atau skrip yang dapat dieksekusi yang dapat memungkinkan penyerang memanipulasi operasi sistem. Evaluasi ini mungkin memerlukan hanya melakukan analisis model ancaman sistem, atau mungkin melibatkan tinjauan kode dan alat pemindaian keamanan. Lihat panduan praktik SDL untuk informasi selengkapnya tentang cara membuat SDL.
Manajemen postur (pengelolaan kerentanan/manajemen permukaan serangan) adalah tim keamanan operasional yang berfokus pada pengaktifan keamanan untuk tim operasi teknis. Manajemen postur membantu tim ini memprioritaskan dan menerapkan kontrol untuk memblokir atau mengurangi teknik serangan. Tim manajemen postur bekerja di semua tim operasi teknis (termasuk tim cloud) dan sering berfungsi sebagai sarana utama mereka untuk memahami persyaratan keamanan, persyaratan kepatuhan, dan proses tata kelola.
Manajemen postur sering berfungsi sebagai center of excellence (CoE) untuk tim infrastruktur keamanan, mirip dengan cara teknisi perangkat lunak sering berfungsi sebagai CoE keamanan untuk tim pengembangan aplikasi. Tugas umum untuk tim ini mencakup yang berikut ini.
Memantau postur keamanan. Pantau semua sistem teknis dengan menggunakan alat manajemen postur seperti Microsoft Security Exposure Management, Manajemen Izin Microsoft Entra, kerentanan non-Microsoft dan alat External Attack Surface Management (EASM) dan CIEM, serta alat dan dasbor postur keamanan kustom. Selain itu, manajemen postur melakukan analisis untuk memberikan wawasan dengan:
Mengantisipasi sangat mungkin dan merusak jalur serangan. Penyerang "berpikir dalam grafik" dan mencari jalur ke sistem penting bisnis dengan menautkan beberapa aset dan kerentanan di berbagai sistem (misalnya, membahayakan titik akhir pengguna, lalu menggunakan hash/tiket untuk menangkap kredensial admin, lalu mengakses data penting bisnis). Tim manajemen postur bekerja dengan arsitek dan insinyur keamanan untuk menemukan dan mengurangi risiko tersembunyi ini, yang tidak selalu muncul dalam daftar teknis dan laporan.
Melakukan penilaian keamanan untuk meninjau konfigurasi sistem dan proses operasional untuk mendapatkan pemahaman dan wawasan yang lebih mendalam di luar data teknis dari alat postur keamanan. Penilaian ini dapat berupa percakapan penemuan informal atau latihan pemodelan ancaman formal.
Membantu dengan prioritas. Bantu tim teknis memantau aset mereka secara proaktif dan memprioritaskan pekerjaan keamanan. Manajemen postur membantu menempatkan pekerjaan mitigasi risiko ke dalam konteks dengan mempertimbangkan dampak risiko keamanan (diinformasikan oleh pengalaman, laporan insiden operasi keamanan dan inteligensi ancaman lainnya, intelijen bisnis, dan sumber lainnya) selain persyaratan kepatuhan keamanan.
Melatih, mentor, dan juara. Tingkatkan pengetahuan dan keterampilan keamanan tim teknik teknis melalui pelatihan, pendampingan individu, dan transfer pengetahuan informal. Peran manajemen postur mungkin juga bekerja dengan kesiapan organisasi / pelatihan dan pendidikan keamanan dan peran keterlibatan tentang pelatihan keamanan formal dan menyiapkan keamanan dalam tim teknis yang mengevaluasi dan mendidik rekan-rekan mereka tentang keamanan.
Identifikasi celah dan advokasi untuk perbaikan. Identifikasi tren keseluruhan, celah proses, kesenjangan alat, dan wawasan lainnya tentang risiko dan mitigasi. Peran manajemen postur berkolaborasi dan berkomunikasi dengan arsitek dan insinyur keamanan untuk mengembangkan solusi, membangun kasus untuk solusi pendanaan, dan membantu meluncurkan perbaikan.
Berkoordinasi dengan operasi keamanan (SecOps). Bantu tim teknis bekerja dengan peran SecOps seperti rekayasa deteksi dan tim perburuan ancaman. Kelangsungan ini di semua peran operasional membantu memastikan bahwa deteksi diberlakukan dan diterapkan dengan benar, data keamanan tersedia untuk penyelidikan insiden dan perburuan ancaman, proses diberlakukan untuk kolaborasi, dan banyak lagi.
Berikan laporan. Berikan laporan yang tepat waktu dan akurat tentang insiden keamanan, tren, dan metrik performa kepada manajemen senior dan pemangku kepentingan untuk memperbarui proses risiko organisasi.
Tim manajemen postur sering berevolusi dari peran pengelolaan kerentanan perangkat lunak yang ada untuk mengatasi serangkaian lengkap jenis kerentanan fungsional, konfigurasi, dan operasional yang dijelaskan dalam Model Referensi Open Group Zero Trust. Setiap jenis kerentanan dapat memungkinkan pengguna yang tidak sah (termasuk penyerang) untuk mengendalikan perangkat lunak atau sistem, memungkinkan mereka menyebabkan kerusakan pada aset bisnis.
Kerentanan fungsional terjadi dalam desain atau implementasi perangkat lunak. Mereka dapat mengizinkan kontrol tidak sah dari perangkat lunak yang terpengaruh. Kerentanan ini mungkin kelemahan dalam perangkat lunak yang dikembangkan atau kelemahan tim Anda sendiri dalam perangkat lunak komersial atau sumber terbuka (biasanya dilacak oleh pengidentifikasi Kerentanan dan Paparan Umum).
Kerentanan konfigurasi adalah kesalahan konfigurasi sistem yang memungkinkan akses tidak sah ke fungsionalitas sistem. Kerentanan ini dapat diperkenalkan selama operasi yang sedang berlangsung, juga dikenal sebagai penyimpangan konfigurasi. Mereka juga dapat diperkenalkan selama penyebaran awal dan konfigurasi perangkat lunak dan sistem, atau oleh default keamanan yang lemah dari vendor. Beberapa contoh umum meliputi:
Objek tanpa intim yang memungkinkan akses tidak sah ke item seperti rekaman DNS dan keanggotaan grup.
Peran atau izin administratif yang berlebihan ke sumber daya.
Penggunaan protokol autentikasi atau algoritma kriptografi yang lebih lemah yang memiliki masalah keamanan yang diketahui.
Konfigurasi default lemah atau kata sandi default.
Kerentanan operasional adalah kelemahan dalam proses operasi standar dan praktik yang memungkinkan akses atau kontrol sistem yang tidak sah. Contohnya meliputi:
Administrator yang menggunakan akun bersama alih-alih akun individual mereka sendiri untuk melakukan tugas istimewa.
Penggunaan konfigurasi "telusuri" yang membuat jalur elevasi hak istimewa yang dapat disalahgunakan oleh penyerang. Kerentanan ini terjadi ketika akun administratif dengan hak istimewa tinggi masuk ke perangkat pengguna dan stasiun kerja dengan kepercayaan lebih rendah (seperti stasiun kerja pengguna standar dan perangkat milik pengguna), terkadang melalui server lompat yang tidak secara efektif mengurangi risiko ini. Untuk informasi selengkapnya, lihat mengamankan akses istimewa dan perangkat akses istimewa.
Tim SecOps terkadang disebut sebagai Security Operations Center (SOC). Tim SecOps berfokus pada menemukan dan menghapus akses lawan ke aset organisasi dengan cepat. Mereka bekerja dalam kemitraan yang erat dengan operasi teknologi dan tim teknik. Peran SecOps dapat bekerja di semua teknologi dalam organisasi, termasuk TI tradisional, teknologi operasional (OT), dan Internet of Things (IoT). Berikut ini adalah peran SecOps yang paling sering berinteraksi dengan tim cloud:
Analis triase (tingkat 1). Menanggapi deteksi insiden untuk teknik serangan terkenal dan mengikuti prosedur yang didokumenkan untuk menyelesaikannya dengan cepat (atau meningkatkannya ke analis investigasi yang sesuai). Bergantung pada cakupan dan tingkat kematangan SecOps, ini mungkin termasuk deteksi dan pemberitahuan dari email, solusi antimalware titik akhir, layanan cloud, deteksi jaringan, atau sistem teknis lainnya.
Analis investigasi (tingkat 2). Menanggapi investigasi insiden dengan kompleksitas yang lebih tinggi dan tingkat keparahan yang membutuhkan lebih banyak pengalaman dan keahlian (di luar prosedur resolusi yang didokumenkan dengan baik). Tim ini biasanya menyelidiki serangan yang dilakukan oleh musuh dan serangan manusia langsung yang memengaruhi beberapa sistem. Ini bekerja sama erat dengan operasi teknologi dan tim teknik untuk menyelidiki insiden dan menyelesaikannya.
Perburuan ancaman. Secara proaktif mencari ancaman tersembunyi dalam estat teknis yang telah menghindari mekanisme deteksi standar. Peran ini menggunakan analitik tingkat lanjut dan investigasi berbasis hipotesis.
Inteligensi ancaman. Mengumpulkan dan menyebarkan informasi tentang penyerang dan ancaman kepada semua pemangku kepentingan, termasuk bisnis, teknologi, dan keamanan. Tim inteligensi ancaman melakukan penelitian, membagikan temuan mereka (secara formal atau informal), dan menyebarkannya ke berbagai pemangku kepentingan, termasuk tim keamanan cloud. Konteks keamanan ini membantu tim ini membuat layanan cloud lebih tahan terhadap serangan karena mereka menggunakan informasi serangan dunia nyata dalam desain, implementasi, pengujian, dan operasi, dan terus meningkat.
Rekayasa deteksi. Membuat deteksi serangan kustom dan menyesuaikan deteksi serangan yang disediakan oleh vendor dan komunitas yang lebih luas. Deteksi serangan kustom ini melengkapi deteksi yang disediakan vendor untuk serangan umum yang umum ditemukan dalam alat deteksi dan respons yang diperluas (XDR) dan beberapa alat informasi keamanan dan manajemen peristiwa (SIEM). Teknisi deteksi bekerja sama dengan tim keamanan cloud untuk mengidentifikasi peluang untuk merancang dan menerapkan deteksi, data yang diperlukan untuk mendukungnya, dan prosedur respons/pemulihan untuk deteksi.
Tata Kelola Keamanan, Risiko, dan Kepatuhan (GRC) adalah serangkaian disiplin yang saling terkait yang mengintegrasikan pekerjaan teknis tim keamanan dengan tujuan dan harapan organisasi. Peran dan tim ini dapat menjadi hibrida dari dua atau beberapa disiplin ilmu atau dapat menjadi peran diskrit. Tim cloud berinteraksi dengan masing-masing disiplin ilmu ini selama siklus hidup teknologi cloud:
Disiplin tata kelola adalah kemampuan dasar yang berfokus pada memastikan organisasi secara konsisten menerapkan semua aspek keamanan. Tim tata kelola berfokus pada hak keputusan (yang membuat keputusan apa) dan memproses kerangka kerja yang menghubungkan dan memandu tim. Tanpa tata kelola yang efektif, organisasi dengan semua kontrol, kebijakan, dan teknologi yang tepat masih dapat dilanggar oleh penyerang yang menemukan area di mana pertahanan yang dimaksudkan tidak diimplementasikan dengan baik, sepenuhnya, atau sama sekali.
Disiplin manajemen risiko berfokus pada memastikan bahwa organisasi secara efektif menilai, memahami, dan mengurangi risiko. Peran manajemen risiko bekerja dengan banyak tim di seluruh organisasi untuk membuat representasi yang jelas tentang risiko organisasi dan menjaganya tetap terkini. Karena banyak layanan bisnis penting dapat dihosting di infrastruktur dan platform cloud, tim cloud dan risiko perlu berkolaborasi untuk menilai dan mengelola risiko organisasi ini. Selain itu, keamanan rantai pasokan berfokus pada risiko yang terkait dengan vendor eksternal, komponen sumber terbuka, dan mitra.
Disiplin kepatuhan memastikan bahwa sistem dan proses mematuhi persyaratan peraturan dan kebijakan internal. Tanpa disiplin ini, organisasi mungkin terkena risiko yang terkait dengan ketidakpatuhan dengan kewajiban eksternal (denda, tanggung jawab, hilangnya pendapatan dari ketidakmampuan untuk beroperasi di beberapa pasar, dan banyak lagi). Persyaratan kepatuhan biasanya tidak dapat mengikuti kecepatan evolusi penyerang, tetapi tetap merupakan sumber persyaratan penting.
Ketiga disiplin ini beroperasi di semua teknologi dan sistem untuk mendorong hasil organisasi di semua tim. Ketiganya juga mengandalkan konteks yang mereka dapatkan satu sama lain dan mendapat manfaat signifikan dari data keakuratan tinggi saat ini pada ancaman, bisnis, dan lingkungan teknologi. Disiplin ilmu ini juga mengandalkan arsitektur untuk mengekspresikan visi yang dapat ditindaklanjuti yang dapat diimplementasikan dan pendidikan keamanan dan kebijakan untuk menetapkan aturan dan memandu tim melalui banyak keputusan harian.
Tim teknik dan operasi cloud mungkin bekerja dengan peran manajemen postur, tim kepatuhan dan audit , arsitektur dan teknik keamanan, atau peran chief information security officer (CISO) tentang topik GRC.
Organisasi harus memastikan bahwa semua peran memiliki literasi dan panduan keamanan dasar tentang apa yang diharapkan mereka lakukan mengenai keamanan dan cara melakukannya. Untuk mencapai tujuan ini, Anda memerlukan kombinasi kebijakan tertulis dan pendidikan. Pendidikan untuk tim cloud dapat menjadi pendampingan informal oleh profesional keamanan yang bekerja langsung dengan mereka, atau dapat menjadi program formal dengan kurikulum yang didokumenkan dan juara keamanan yang ditunjuk.
Dalam organisasi yang lebih besar, tim keamanan bekerja dengan kesiapan organisasi / pelatihan dan pendidikan keamanan dan peran keterlibatan tentang pelatihan keamanan formal dan menyiapkan juara keamanan dalam tim teknis untuk mengevaluasi dan mendidik rekan-rekan mereka tentang keamanan.
Pendidikan dan kebijakan keamanan harus membantu setiap peran memahami:
Mengapa. Tunjukkan setiap peran mengapa keamanan penting bagi mereka dan tujuannya dalam konteks tanggung jawab peran mereka. Jika orang tidak mengerti dengan jelas mengapa keamanan penting bagi mereka, mereka akan menilainya tidak penting dan melanjutkan ke sesuatu yang lain.
Apa. Ringkas tugas keamanan apa yang perlu mereka lakukan dalam bahasa yang sudah mereka pahami. Jika orang tidak tahu apa yang diminta untuk mereka lakukan, mereka akan menganggap keamanan tidak penting atau relevan bagi mereka dan melanjutkan ke sesuatu yang lain.
Bagaimana. Pastikan bahwa setiap peran memiliki instruksi yang jelas tentang cara menerapkan panduan keamanan dalam peran mereka. Jika orang tidak tahu cara benar-benar melakukan apa yang diminta untuk mereka lakukan (misalnya, menambal server, mengidentifikasi apakah tautan adalah tautan pengelabuan, melaporkan pesan dengan benar, meninjau kode, atau melakukan model ancaman), mereka akan gagal dan melanjutkan ke sesuatu yang lain.
Ketika organisasi menyebarkan dan mengoprasikan WAF, beberapa tim keamanan harus berkolaborasi untuk memastikan penyebaran, manajemen, dan integrasi yang efektif ke dalam infrastruktur keamanan yang ada. Berikut adalah bagaimana interoperabilitas di antara tim mungkin terlihat di organisasi keamanan perusahaan:
Dengan berkolaborasi secara efektif, peran ini memastikan bahwa WAF disebarkan dengan benar dan juga terus dipantau, dikelola, dan ditingkatkan untuk melindungi aplikasi web organisasi dari ancaman yang berkembang.
Pelatihan
Jalur pembelajaran
Solution Architect: Design Microsoft Power Platform solutions - Training
Learn how a solution architect designs solutions.
Sertifikasi
Bersertifikat Microsoft: Rekanan Insinyur Keamanan Azure - Certifications
Menunjukkan keterampilan yang diperlukan untuk menerapkan kontrol keamanan, mempertahankan postur keamanan organisasi, dan mengidentifikasi dan memulihkan kerentanan keamanan.
Dokumentasi
Gambaran Umum Aman - Cloud Adoption Framework
Pelajari cara membuat, memelihara, dan mengotomatiskan keamanan cloud di Azure dengan menggunakan Cloud Adoption Framework untuk metodologi Azure Secure untuk memberikan pendekatan terstruktur.
Mengelola Cloud Estate Anda dengan Keamanan yang Ditingkatkan - Cloud Adoption Framework
Pelajari cara mengadopsi praktik terbaik keamanan selama fase manajemen cloud estate Anda. Mengelola kesiapsiagaan dan respons insiden, kerahasiaan, dan banyak lagi.
Memulai: Mengamankan lingkungan perusahaan - Cloud Adoption Framework
Mulailah mengintegrasikan keamanan pada titik kritis selama upaya dan operasi adopsi cloud Anda.