Kontrol Keamanan V2: Perlindungan Data
Catatan
Tolok Ukur Keamanan Azure terbaru tersedia di sini.
Perlindungan Data mencakup kontrol perlindungan data saat istirahat, saat transit, dan melalui mekanisme akses resmi. Ini termasuk menemukan, mengklasifikasikan, melindungi, dan memantau aset data sensitif menggunakan kontrol akses, enkripsi, dan pembuatan log di Microsoft Azure.
Untuk melihat Azure Policy bawaan yang berlaku, lihat Detail inisiatif bawaan Kepatuhan Peraturan Azure Security Benchmark: Perlindungan Data
DP-1: Menemukan, mengklasifikasi, dan memberi label pada data sensitif
| ID Microsoft Azure | CIS Controls v7.1 ID(s) | NIST SP 800-53 r4 ID(s) |
|---|---|---|
| DP-1 | 13.1, 14.5, 14.7 | SC-28 |
Temukan, klasifikasi, dan beri label data sensitif Anda sehingga Anda dapat merancang kontrol yang sesuai untuk memastikan informasi sensitif disimpan, diproses, dan dikirimkan dengan aman oleh sistem teknologi organisasi.
Gunakan Microsoft Azure Information Protection (dan alat pemindaian terkait) untuk informasi sensitif dalam dokumen Office di Microsoft Azure, lokal, Office 365, dan lokasi lain.
Anda dapat menggunakan Microsoft Azure Information Protection Azure SQL untuk membantu klasifikasi dan pelabelan informasi yang disimpan di Azure SQL Database.
Tanggung Jawab: Bersama
Pemangku Kepentingan Keamanan Pelanggan (Pelajari selengkapnya):
DP-2: Melindungi data sensitif
| ID Microsoft Azure | CIS Controls v7.1 ID(s) | NIST SP 800-53 r4 ID(s) |
|---|---|---|
| DP-2 | 13.2, 2.10 | SC-7, AC-4 |
Lindungi data sensitif dengan membatasi akses menggunakan kontrol akses berbasis peran Azure (Azure RBAC), kontrol akses berbasis jaringan, dan kontrol khusus di layanan Microsoft Azure (seperti enkripsi di SQL dan database lainnya).
Untuk memastikan kontrol akses yang konsisten, semua jenis kontrol akses harus diselaraskan dengan strategi segmentasi perusahaan Anda. Strategi segmentasi perusahaan juga harus diinformasikan oleh lokasi data dan sistem penting sensitif atau bisnis.
Untuk platform dasar, yang dikelola oleh Microsoft, Microsoft memperlakukan semua konten pelanggan sebagai hal yang sensitif dan menjaga dari kehilangan dan paparan data pelanggan. Untuk memastikan data pelanggan di dalam Microsoft Azure tetap aman, Microsoft telah menerapkan beberapa kontrol dan kemampuan perlindungan data default.
Tanggung Jawab: Bersama
Pemangku Kepentingan Keamanan Pelanggan (Pelajari selengkapnya):
DP-3: Memantau transfer data sensitif yang tidak sah
| ID Microsoft Azure | CIS Controls v7.1 ID(s) | NIST SP 800-53 r4 ID(s) |
|---|---|---|
| DP-3 | 13,3 | AC-4, SI-4 |
Pantau transfer data yang tidak sah ke lokasi di luar visibilitas dan kontrol perusahaan. Ini biasanya melibatkan pemantauan untuk aktivitas anomali (transfer besar atau tidak biasa) yang dapat mengindikasikan eksfiltrasi data yang tidak sah.
Azure Defender untuk Penyimpanan dan Azure SQL ATP dapat memperingatkan tentang transfer informasi yang tidak wajar yang mungkin mengindikasikan transfer informasi sensitif yang tidak sah.
Perlindungan Informasi Microsoft Azure (AIP) menyediakan kemampuan pemantauan untuk informasi yang telah diklasifikasikan dan diberi label.
Jika diperlukan untuk kepatuhan pencegahan kehilangan data (DLP), Anda dapat menggunakan solusi DLP berbasis host untuk menegakkan kontrol detektif dan/atau pencegahan untuk mencegah penyelundupan data.
Tanggung Jawab: Bersama
Pemangku Kepentingan Keamanan Pelanggan (Pelajari selengkapnya):
DP-4: Mengenkripsi informasi sensitif saat transit
| ID Microsoft Azure | CIS Controls v7.1 ID(s) | NIST SP 800-53 r4 ID(s) |
|---|---|---|
| DP-4 | 14,4 | SC-8 |
Untuk melengkapi kontrol akses, data dalam transit harus dilindungi dari serangan "out of band" (seperti penangkapan lalu lintas) menggunakan enkripsi untuk memastikan bahwa penyerang tidak dapat dengan mudah membaca atau memodifikasi data.
Meskipun bersifat opsional untuk lalu lintas pada jaringan privat, ini sangat penting untuk lalu lintas di jaringan eksternal dan publik. Untuk lalu lintas HTTP, pastikan setiap klien yang terhubung ke sumber daya Azure Anda dapat menegosiasikan TLS v1.2 atau yang lebih besar. Untuk manajemen jarak jauh, gunakan SSH (untuk Linux) atau RDP/TLS (untuk Windows) alih-alih protokol yang tidak terenkripsi. Versi dan protokol SSL, TLS, dan SSH yang kedaluwarsa, dan sandi yang lemah harus dinonaktifkan.
Secara default, Microsoft Azure menyediakan enkripsi untuk data saat transit di antara pusat data Microsoft Azure.
Tanggung Jawab: Bersama
Pemangku Kepentingan Keamanan Pelanggan (Pelajari selengkapnya):
DP-5: Enkripsi data sensitif yang tidak aktif
| ID Microsoft Azure | CIS Controls v7.1 ID(s) | NIST SP 800-53 r4 ID(s) |
|---|---|---|
| DP-5 | 14,8 | SC-28, SC-12 |
Untuk melengkapi kontrol akses, data yang tidak aktif harus dilindungi dari serangan 'out of band' (seperti mengakses penyimpanan yang mendasarinya) menggunakan enkripsi. Perlindungan ini membantu memastikan bahwa penyerang tidak dapat dengan mudah membaca atau merubah data.
Microsoft Azure menyediakan enkripsi untuk data yang tidak aktif secara default. Untuk data yang sangat sensitif, Anda memiliki opsi untuk menerapkan enkripsi tambahan saat tidak aktif ke semua sumber daya Microsoft Azure jika tersedia. Microsoft Azure mengelola kunci enkripsi Anda secara default, tetapi Microsoft Azure menyediakan opsi untuk mengelola kunci Anda sendiri (kunci yang dikelola pelanggan) untuk layanan Microsoft Azure tertentu.
Tanggung Jawab: Bersama
Pemangku Kepentingan Keamanan Pelanggan (Pelajari selengkapnya):