Bagikan melalui

Memenuhi persyaratan identitas memorandum 22-09 dengan ID Microsoft Entra

  • Artikel

Perintah Eksekutif untuk Meningkatkan Keamanan Cyber Bangsa (14028), mengarahkan lembaga federal untuk memajukan langkah-langkah keamanan yang secara signifikan mengurangi risiko serangan siber yang berhasil terhadap infrastruktur digital pemerintah federal. Pada 26 Januari 2022, dalam mendukung Executive Order (EO) 14028, Office of Management and Budget (OMB) merilis strategi Zero Trust federal dalam Nota M 22-09 untuk Kepala Departemen Eksekutif dan Badan.

Seri artikel ini memiliki panduan untuk menggunakan MICROSOFT Entra ID sebagai sistem manajemen identitas terpusat saat menerapkan prinsip Zero Trust, seperti yang dijelaskan dalam memorandum 22-09.

Memorandum 22-09 mendukung inisiatif Zero Trust di lembaga federal. Ini memiliki panduan peraturan untuk keamanan cyber federal dan undang-undang privasi data. Memo ini mengutip Arsitektur Referensi Zero Trust Departemen Pertahanan AS (DoD):

"Tenet dasar Model Zero Trust adalah bahwa tidak ada aktor, sistem, jaringan, atau layanan yang beroperasi di luar atau dalam perimeter keamanan yang tepercaya. Sebagai gantinya, kita harus memverifikasi apa pun dan segala sesuatu yang mencoba membangun akses. Ini adalah pergeseran paradigma dramatis dalam filosofi tentang bagaimana kami mengamankan infrastruktur, jaringan, dan data kami, dari memverifikasi sekali di perimeter hingga verifikasi berkelanjutan dari setiap pengguna, perangkat, aplikasi, dan transaksi."

Memo ini mengidentifikasi lima tujuan inti bagi lembaga federal untuk dicapai, diatur dengan Model Kematangan Cybersecurity Information Systems Architecture (CISA). Model CISA Zero Trust menjelaskan lima area upaya pelengkap, atau pilar:

  • Identitas
  • Perangkat
  • Jaringan
  • Aplikasi dan beban kerja
  • Data

Pilar bersinggungan dengan:

  • Visibilitas
  • Analitik
  • Automation
  • Orkestrasi
  • Pemerintahan

Ruang lingkup panduan

Gunakan seri artikel untuk membuat rencana untuk memenuhi persyaratan memo. Ini mengasumsikan penggunaan produk Microsoft 365 dan penyewa Microsoft Entra.

Pelajari selengkapnya: Mulai cepat: Membuat penyewa baru di ID Microsoft Entra.

Instruksi seri artikel mencakup investasi agensi dalam teknologi Microsoft yang selaras dengan tindakan terkait identitas memo.

  • Untuk pengguna agensi, agensi menggunakan sistem manajemen identitas terpusat yang dapat diintegrasikan dengan aplikasi dan platform umum
  • Agensi menggunakan autentikasi multifaktor (MFA) di seluruh perusahaan yang kuat
    • MFA diberlakukan pada lapisan aplikasi, bukan lapisan jaringan
    • Untuk staf agensi, kontraktor, dan mitra, MFA tahan phishing diperlukan
    • Untuk pengguna publik, MFA tahan phishing adalah opsi
    • Kebijakan kata sandi tidak memerlukan karakter khusus atau rotasi reguler
  • Saat agensi mengotorisasi akses pengguna ke sumber daya, mereka mempertimbangkan setidaknya satu sinyal tingkat perangkat, dengan informasi identitas tentang pengguna yang diautentikasi

Langkah berikutnya