Pengenalan tolok ukur keamanan cloud Microsoft

  • Artikel

Catatan

Tolok ukur keamanan cloud Microsoft adalah penerus Azure Security Benchmark (ASB), yang berganti nama pada Oktober 2022.

Layanan dan fitur baru dirilis setiap hari di platform penyedia layanan Azure dan cloud, pengembang dengan cepat menerbitkan aplikasi cloud baru yang dibangun di atas layanan ini, dan penyerang terus mencari cara baru untuk mengeksploitasi sumber daya yang salah dikonfigurasi. Cloud bergerak cepat, pengembang bergerak cepat, dan penyerang juga bergerak cepat. Bagaimana Anda mengikuti dan memastikan bahwa penyebaran cloud Anda aman? Bagaimana praktik keamanan untuk sistem cloud berbeda dari sistem lokal dan berbeda antara penyedia layanan cloud? Bagaimana Anda memantau beban kerja untuk konsistensi di beberapa platform cloud?

Microsoft telah menemukan bahwa menggunakan tolok ukur keamanan dapat membantu Anda mengamankan penyebaran cloud dengan cepat. Kerangka kerja praktik terbaik keamanan yang komprehensif dari penyedia layanan cloud dapat memberi Anda titik awal untuk memilih pengaturan konfigurasi keamanan tertentu di lingkungan cloud Anda, di beberapa penyedia layanan dan memungkinkan Anda memantau konfigurasi ini menggunakan satu panel kaca.

Tolok ukur keamanan cloud Microsoft (MCSB) menyertakan kumpulan rekomendasi keamanan berdampak tinggi yang dapat Anda gunakan untuk membantu mengamankan layanan cloud Anda dalam satu atau beberapa lingkungan cloud. Rekomendasi MCSB mencakup dua aspek utama:

  • Kontrol keamanan: Rekomendasi ini umumnya berlaku di seluruh beban kerja cloud Anda. Setiap rekomendasi mengidentifikasi daftar pemangku kepentingan yang biasanya terlibat dalam perencanaan, persetujuan, atau implementasi tolok ukur.
  • Garis besar layanan: Ini menerapkan kontrol ke layanan cloud individual untuk memberikan rekomendasi tentang konfigurasi keamanan layanan tertentu tersebut. Saat ini kami memiliki garis besar layanan yang hanya tersedia untuk Azure.

Menerapkan tolok ukur keamanan cloud Microsoft

  • Rencanakan implementasi MCSB Anda dengan meninjau dokumentasi untuk kontrol perusahaan dan garis besar khusus layanan untuk merencanakan kerangka kerja kontrol Anda dan bagaimana hal itu memetakan panduan seperti Kontrol Center for Internet Security (CIS), National Institute of Standards and Technology (NIST), dan kerangka kerja Standar Keamanan Data Industri Kartu Pembayaran (PCI-DSS).
  • Pantau kepatuhan Anda terhadap status MCSB (dan set kontrol lainnya) menggunakan Microsoft Defender untuk Cloud – Dasbor Kepatuhan Peraturan untuk lingkungan multi-cloud Anda. .
  • Buat pagar pembatas untuk mengotomatiskan konfigurasi yang aman dan menerapkan kepatuhan dengan MCSB (dan persyaratan lain di organisasi Anda) menggunakan fitur seperti Azure Blueprints, Azure Policy, atau teknologi yang setara dari platform cloud lainnya.

Kasus penggunaan umum

Tolok ukur keamanan cloud Microsoft sering digunakan untuk mengatasi tantangan umum bagi pelanggan atau mitra layanan yang:

  • Baru menggunakan Azure (dan platform cloud utama lainnya, seperti AWS) dan mencari praktik terbaik keamanan untuk memastikan penyebaran layanan cloud dan beban kerja aplikasi Anda sendiri yang aman.
  • Ingin meningkatkan postur keamanan penyebaran cloud yang ada untuk memprioritaskan risiko dan mitigasi teratas.
  • Menggunakan lingkungan multi-cloud (seperti Azure dan AWS) dan menghadapi tantangan dalam menyelaraskan pemantauan dan evaluasi kontrol keamanan menggunakan satu panel kaca.
  • Mengevaluasi fitur/kemampuan keamanan Azure (dan platform cloud utama lainnya, seperti AWS) sebelum onboarding/menyetujui layanan ke dalam katalog layanan cloud.
  • Harus memenuhi persyaratan kepatuhan di industri yang sangat teregulasi, seperti pemerintah, keuangan, dan layanan kesehatan. Pelanggan ini perlu memastikan konfigurasi layanan Azure dan cloud lainnya untuk memenuhi spesifikasi keamanan yang ditentukan dalam kerangka kerja seperti CIS, NIST, atau PCI. MCSB menyediakan pendekatan yang efisien dengan kontrol yang sudah dipetakan sebelumnya ke tolok ukur industri ini.

Terminologi

Istilah "kontrol" dan "garis besar" sering digunakan dalam dokumentasi tolok ukur keamanan cloud Microsoft. Penting untuk memahami bagaimana MCSB menggunakan istilah-istilah ini.

Istilah Deskripsi Contoh
Kontrol Kontrol adalah deskripsi tingkat tinggi dari fitur atau aktivitas yang perlu ditangani dan tidak spesifik untuk teknologi atau implementasi. Perlindungan Data adalah salah satu keluarga kontrol keamanan. Perlindungan Data berisi tindakan spesifik yang harus ditangani untuk membantu memastikan data dilindungi.
Acuan dasar Garis besar adalah implementasi kontrol pada layanan Azure individual. Setiap organisasi menentukan rekomendasi tolok ukur dan konfigurasi terkait diperlukan di Azure. Catatan: Hari ini kami memiliki garis besar layanan yang hanya tersedia untuk Azure. Perusahaan Contoso melihat untuk mengaktifkan fitur keamanan Azure SQL dengan mengikuti konfigurasi yang direkomendasikan dalam garis besar keamanan Azure SQL.

Kami menyambut umpan balik Anda tentang tolok ukur keamanan cloud Microsoft! Kami berharap Anda untuk memberikan komentar di area umpan balik di bawah. Jika Anda lebih suka membagikan input Anda secara lebih privat dengan tim keamanan cloud Microsoft, silakan kirim email kepada kami di benchmarkfeedback@microsoft.com.