Kontrol Keamanan V2: Tata Kelola dan Strategi

Catatan

Tolok Ukur Keamanan Azure terbaru tersedia di sini.

Tata Kelola dan Strategi menyediakan panduan untuk memastikan strategi keamanan yang koheren dan pendekatan tata kelola yang terdokumentasi untuk memandu dan mempertahankan jaminan keamanan, termasuk menetapkan peran dan tanggung jawab untuk berbagai fungsi keamanan cloud, strategi teknis terpadu, serta mendukung kebijakan dan standar.

GS-1: Menentukan pengelolaan aset dan strategi perlindungan data

Azure ID	CIS Controls v7.1 ID(s)	NIST SP 800-53 r4 ID
GS-1	2, 13	SC, AC

Pastikan Anda mendokumentasikan dan mengomunikasikan strategi yang jelas untuk pemantauan dan perlindungan sistem dan data yang berkelanjutan. Prioritaskan penemuan, penilaian, perlindungan, dan pemantauan data dan sistem yang penting bagi bisnis.

Strategi ini mencakup panduan, kebijakan, dan standar yang terdokumentasi untuk beberapa elemen berikut:

• Standar klasifikasi data sesuai dengan risiko bisnis

• Visibilitas organisasi keamanan ke risiko dan inventaris aset

• Persetujuan organisasi keamanan layanan Azure untuk digunakan

• Keamanan aset sepanjang siklus hidup aset

• Strategi kontrol akses yang diperlukan sesuai dengan klasifikasi data organisasi

• Penggunaan kemampuan perlindungan data asli dan pihak ketiga Azure

• Persyaratan enkripsi data untuk kasus penggunaan dalam transit dan saat tidak aktif

• Standar kriptografis yang sesuai

Untuk informasi selengkapnya, lihat referensi berikut ini:

• Rekomendasi Arsitektur Keamanan Azure - Penyimpanan, data, dan enkripsi

• Dasar-Dasar Keamanan Azure - Keamanan, enkripsi, dan penyimpanan Data Azure

• Kerangka Kerja Adopsi Cloud - Praktik terbaik keamanan dan enkripsi data Azure

• Azure Security Benchmark - Manajemen aset

• Azure Security Benchmark - Perlindungan Data

Tanggung Jawab: Konsumen

Pemangku Kepentingan Keamanan Konsumen (Pelajari selengkapnya):

• Semua pemangku kepentingan

GS-2: Menentukan strategi segmentasi perusahaan

Azure ID	CIS Controls v7.1 ID(s)	NIST SP 800-53 r4 ID
GS-2	4, 9, 16	AC, CA, SC

Mendirikan strategi di seluruh perusahaan untuk mengelompokkan akses ke aset menggunakan kombinasi identitas, jaringan, aplikasi, langganan, grup pengelolaan, dan kontrol lainnya.

Seimbangkan dengan saksama kebutuhan pemisahan keamanan dengan kebutuhan yang memungkinkan operasi sistem harian yang harus dikomunikasikan dengan satu sama lain dan data akses.

Pastikan bahwa strategi segmentasi diterapkan secara konsisten di seluruh jenis kontrol termasuk model keamanan jaringan, identitas dan akses, dan model izin/akses aplikasi, dan kontrol proses manusia.

• Panduan tentang strategi segmentasi di Azure (video)

• Panduan tentang strategi segmentasi di Azure (dokumen)

• Menyelaraskan segmentasi jaringan dengan strategi segmentasi perusahaan

Tanggung Jawab: Konsumen

Pemangku Kepentingan Keamanan Konsumen (Pelajari selengkapnya):

• Semua pemangku kepentingan

GS-3: Menentukan strategi manajemen postur keamanan

Azure ID	CIS Controls v7.1 ID(s)	NIST SP 800-53 r4 ID
GS-3	20, 3, 5	RA, CM, SC

Mengukur dan mengurangi secara berkelanjutan risiko terhadap aset individu Anda dan lingkungan tempat risiko di-host. Prioritaskan aset bernilai tinggi dan permukaan serangan dengan paparan tinggi, seperti aplikasi yang diterbitkan, titik masuk dan keluar jaringan, titik akhir pengguna dan administrator, dll.

• Azure Security Benchmark - Pengelolaan postur dan kerentanan

Tanggung Jawab: Konsumen

Pemangku Kepentingan Keamanan Konsumen (Pelajari selengkapnya):

• Semua pemangku kepentingan

GS-4: Menyelaraskan peran, tanggung jawab, dan akuntabilitas organisasi

Azure ID	CIS Controls v7.1 ID(s)	NIST SP 800-53 r4 ID
GS-4	T/A	PL, PM

Memastikan Anda mendokumentasikan dan mengomunikasikan strategi yang jelas untuk peran dan tanggung jawab dalam organisasi keamanan Anda. Prioritaskan untuk menyediakan akuntabilitas yang jelas untuk keputusan keamanan, yang mendidik semua orang tentang model tanggung jawab bersama, dan mendidik tim teknis tentang teknologi untuk mengamankan cloud.

• Praktik Terbaik Azure Security 1 – Orang: Mendidik Tim tentang Perjalanan Keamanan Cloud

• Praktik Terbaik Azure Security 2 – Orang: Mendidik Tim tentang teknologi Keamanan Cloud

• Praktik Terbaik Keamanan Azure 3 - Proses: Menetapkan Akuntabilitas untuk Keputusan Keamanan Cloud

Tanggung Jawab: Konsumen

Pemangku Kepentingan Keamanan Konsumen (Pelajari selengkapnya):

• Semua pemangku kepentingan

GS-5: Menentukan strategi keamanan jaringan

Azure ID	CIS Controls v7.1 ID(s)	NIST SP 800-53 r4 ID
GS-5	9	CA, SC

Mendirikan pendekatan keamanan jaringan Azure sebagai bagian dari keseluruhan strategi kontrol akses keamanan organisasi Anda.

Strategi ini mencakup panduan, kebijakan, dan standar yang terdokumentasi untuk beberapa elemen berikut:

• Manajemen jaringan terpusat dan tanggung jawab keamanan

• Model segmentasi jaringan virtual yang selaras dengan strategi segmentasi perusahaan

• Strategi remediasi dalam berbagai skenario ancaman dan serangan

• Tepi internet serta strategi masuk dan keluar

• Strategi interkoneksi cloud hibrida dan on-premise

• Artefak keamanan jaringan terkini (seperti diagram jaringan, arsitektur jaringan referensi)

Untuk informasi selengkapnya, lihat referensi berikut ini:

• Praktik Terbaik Keamanan Azure 11 - Arsitektur. Satu strategi keamanan terpadu

• Tolok Ukur Keamanan Azure - Keamanan Jaringan

• Ringkasan keamanan jaringan Azure

• Strategi arsitektur jaringan perusahaan

Tanggung Jawab: Konsumen

Pemangku Kepentingan Keamanan Konsumen (Pelajari selengkapnya):

• Semua pemangku kepentingan

GS-6: Menentukan identitas dan strategi akses hak istimewa

Azure ID	CIS Controls v7.1 ID(s)	NIST SP 800-53 r4 ID
GS-6	16, 4	AC, AU, SC

Mendirikan pendekatan identitas Azure dan akses dengan hak istimewa sebagai bagian dari keseluruhan strategi kontrol akses keamanan organisasi Anda.

Strategi ini mencakup panduan, kebijakan, dan standar yang terdokumentasi untuk beberapa elemen berikut:

• Sistem identitas serta autentikasi terpusat dan interkonektivitasnya dengan sistem identitas internal dan eksternal lainnya

• Metode autentikasi yang kuat dalam kasus dan kondisi penggunaan yang berbeda

• Perlindungan pengguna dengan hak istimewa tingkat tinggi

• Pemantauan dan penanganan aktivitas pengguna anomali

• Identitas pengguna dan tinjauan akses serta proses rekonsiliasi

Untuk informasi selengkapnya, lihat referensi berikut ini:

• Tolok Ukur Keamanan Azure - Manajemen identitas

• Tolok Ukur Keamanan Azure - Akses hak istimewa

• Praktik Terbaik Keamanan Azure 11 - Arsitektur. Satu strategi keamanan terpadu

• Ikhtisar keamanan pengelolaan identitas Azure

Tanggung Jawab: Konsumen

Pemangku Kepentingan Keamanan Konsumen (Pelajari selengkapnya):

• Semua pemangku kepentingan

GS-7: Menentukan strategi tanggapan pengelogan dan ancaman

Azure ID	CIS Controls v7.1 ID(s)	NIST SP 800-53 r4 ID
GS-7	19	IR, AU, RA, SC

Mendirikan strategi tanggapan pengelogan dan ancaman untuk mendeteksi dan memulihkan ancaman dengan cepat sembari tetap memenuhi persyaratan kepatuhan. Prioritaskan untuk menyediakan pemberitahuan berkualitas tinggi kepada analis dan pengalaman yang mulus sehingga dapat berfokus pada ancaman daripada integrasi dan langkah manual.

Strategi ini mencakup panduan, kebijakan, dan standar yang terdokumentasi untuk beberapa elemen berikut:

• Peran dan tanggung jawab organisasi operasi keamanan (SecOps)

• Proses tanggapan insiden yang terdefinisi dengan baik selaras dengan NIST atau kerangka kerja industri lain

• Mencatat pengambilan dan retensi untuk mendukung deteksi ancaman, respons insiden, dan kebutuhan kepatuhan

• Visibilitas terpusat dan informasi korelasi tentang ancaman, menggunakan SIEM, kemampuan Azure asli, dan sumber lainnya

• Rencana komunikasi dan pemberitahuan kepada pelanggan, pemasok, dan pihak publik yang berkepentingan

• Penggunaan platform asli Azure dan pihak ketiga untuk penanganan insiden, seperti pengelogan dan deteksi ancaman, forensik, serta remediasi dan pemberantasan serangan

• Proses penanganan insiden dan aktivitas pasca-insiden, seperti pelajaran dari pengalaman dan penyimpanan bukti

Untuk informasi selengkapnya, lihat referensi berikut ini:

• Tolok Ukur Keamanan Azure - Pengelogan dan deteksi ancaman

• Tolok Ukur Keamanan Azure - Respons insiden

• Praktik Terbaik Keamanan Azure 4 - Proses. Memperbarui Proses Respons Insiden untuk Cloud

• Kerangka Kerja Adopsi Azure, pengelogan, dan panduan keputusan pelaporan

• Skala, pengelolaan, dan pemantauan perusahaan Azure

Tanggung Jawab: Konsumen

Pemangku Kepentingan Keamanan Konsumen (Pelajari selengkapnya):

• Semua pemangku kepentingan

GS-8: Menentukan strategi pencadangan dan pemulihan

Azure ID	CIS Controls v7.1 ID(s)	NIST SP 800-53 r4 ID
GS-8	10	CP

Mendirikan strategi pencadangan dan pemulihan Azure untuk organisasi Anda.

Strategi ini mencakup panduan, kebijakan, dan standar yang terdokumentasi untuk beberapa elemen berikut:

• Definisi sasaran waktu pemulihan (RTO) dan sasaran titik pemulihan (RPO) sesuai dengan tujuan ketahanan bisnis Anda

• Rancangan berlebih dalam penyiapan aplikasi dan infrastruktur Anda

• Perlindungan pencadangan menggunakan kontrol akses dan enkripsi data

Untuk informasi selengkapnya, lihat referensi berikut ini:

• Azure Security Benchmark - Pencadangan dan pemulihan

• Azure Well-Architecture Framework - Pencadangan dan pemulihan bencana untuk aplikasi Azure

• Azure Adoption Framework - kelangsungan bisnis dan pemulihan bencana

Tanggung Jawab: Konsumen

Pemangku Kepentingan Keamanan Konsumen (Pelajari selengkapnya):

• Semua pemangku kepentingan