Microsoft Security Adoption Framework (SAF)

Microsoft Security Adoption Framework (SAF) è un modello operativo pratico per trasformare le priorità aziendali, i rischi e i principi Zero Trust in azione coordinata. Connette ruoli aziendali, tecnologici e di sicurezza in strategia, architettura, implementazione e operazioni.

Usare SAF per definire risultati condivisi, chiarire le responsabilità, selezionare le discipline e le tecnologie importanti, implementare le protezioni e misurare lo stato di avanzamento in ambienti ibridi, multicloud e multipiattaforma.

Perché usare SAF?

Usa SAF per:

• Allineare il lavoro di sicurezza alle priorità e ai rischi aziendali. Collega decisioni e investimenti aziendali, tecnologici e di sicurezza ai risultati che l'organizzazione deve raggiungere e proteggere.
• Coordina la responsabilità condivisa. Chiarire in che modo i ruoli aziendali, tecnologici e di sicurezza prendono decisioni e forniscono risultati insieme.
• Applicare Zero Trust in modo coerente. Usare i principi di Zero Trust per strategia, governance, architettura, implementazione e operazioni.
• Connettere la strategia all'implementazione. Collegare i risultati desiderati alle discipline, alle tecnologie e alle soluzioni tecniche.
• Misura i progressi e adattati. Tenere traccia dei risultati e adeguarsi man mano che cambiano le esigenze aziendali, la tecnologia, le minacce e le capacità organizzative.

Funzionamento di SAF

SAF connette le priorità aziendali e il rischio ad attività di sicurezza coordinate e all'implementazione della tecnologia. Quattro componenti connessi aiutano i team aziendali, tecnologici e di sicurezza a comprendere i risultati desiderati, il lavoro di sicurezza necessario, cosa deve essere protetto e come vengono implementate e gestite le protezioni.

I quattro componenti sono:

• Gli scenari aziendali connettono importanti iniziative aziendali o tecnologiche ai risultati e ai rischi desiderati.
• Le discipline di sicurezza organizzano il lavoro di sicurezza necessario per gestire i rischi, prendere decisioni e migliorare le funzionalità di sicurezza.
• Le tecnologie identificano cosa deve essere protetto, tra cui identità, endpoint, applicazioni, dati, infrastruttura, reti e intelligenza artificiale.
• Le soluzioni tecniche convertono i requisiti di sicurezza nell'implementazione e nelle operazioni sostenibili nei vari prodotti e nelle varie piattaforme.

Le priorità aziendali e i rischi forniscono contesto. Gli scenari aziendali descrivono i risultati desiderati. Le discipline di sicurezza definiscono il modo in cui i team lavorano. Le tecnologie identificano ciò che deve essere protetto. Le soluzioni tecniche trasformano questo orientamento in implementazione e operazioni.

I principi di Zero Trust informano le decisioni in tutti e quattro i componenti SAF, dalle priorità aziendali e dalla governance attraverso l'architettura, l'implementazione e le operazioni.

Utilizzo di SAF da parte dei ruoli

Gruppo di ruolo	Come il gruppo usa SAF	Focus SAF comune
Leader aziendali e proprietari dei rischi	Definire i risultati desiderati, le priorità aziendali, il rischio, la responsabilità e le misure di successo.	Scenari aziendali, strategia e rischi
Team tecnici e di prodotto	Traduci le priorità e i requisiti di sicurezza in architettura, progettazione, erogazione, implementazione e operazioni sostenibili.	Tecnologie e soluzioni tecniche
Team di sicurezza	Fornire informazioni dettagliate sui rischi, competenze per la sicurezza, governance, architettura, protezioni, convalida, rilevamento e risposta e misurazione della sicurezza.	Discipline di sicurezza e requisiti di sicurezza

Questi ruoli contribuiscono ai risultati condivisi e collaborano per raggiungerli. SAF offre un contesto condiviso per aiutare i ruoli aziendali, tecnologici e di sicurezza a coordinare decisioni e responsabilità anziché considerare la modernizzazione della sicurezza come il lavoro di un singolo team. I partner possono apportare competenze specialistiche, implementazione e servizi operativi.

Scegli da dove iniziare

Non è necessario usare SAF in una sequenza fissa. Scegliere un punto di partenza che corrisponda al contesto corrente:

• Iniziare con la strategia e la trasformazione quando è disponibile una sponsorizzazione di leadership per la modernizzazione coordinata e l'organizzazione ha bisogno di una direzione strategica condivisa.
• Iniziare con un rischio o un problema prioritario quando un divario urgente o un'opportunità di alto valore necessita di attenzione.
• Inizia con un'iniziativa aziendale o tecnologica quando un'iniziativa specifica richiede una protezione coordinata tra ruoli, discipline e tecnologie.
• Inizia con uno standard o un framework di sicurezza quando l'organizzazione deve allineare il lavoro di sicurezza agli obiettivi o alle procedure definite.

Questi punti di partenza sono comuni, non fasi obbligatorie. Le organizzazioni possono combinarle o passare dall'una all'altra man mano che priorità, rischi e capacità cambiano.

Linee guida per l'uso efficace di SAF

Le organizzazioni possono usare SAF in modi diversi a seconda delle priorità, dei rischi e della maturità attuale della sicurezza. Indipendentemente da dove si inizi:

• Allineare il lavoro alle priorità aziendali e al rischio.
• Applica i principi Zero Trust in tutte le decisioni aziendali, procedure di sicurezza, progettazione della tecnologia, distribuzione e operazioni.
• Coordinare le responsabilità tra team aziendali, tecnologici e di sicurezza.
• Connettere miglioramenti mirati alla strategia e all'architettura di sicurezza più ampia.
• Misurare i risultati e adattarsi man mano che le priorità, i rischi e le condizioni cambiano.

Per i percorsi di lettura basati su obiettivi e basati sui ruoli, vedere Uso efficace di SAF.

In che modo le linee guida per la sicurezza esistenti rientrano in SAF

SAF si basa sulle linee guida di sicurezza stabilite Microsoft anziché sostituirle. Alcune linee guida esistenti sono incorporate nella struttura SAF, mentre altre risorse rimangono indipendenti e completano SAF con architettura, ingegneria, valutazione, workshop o linee guida operative più approfondite.

Microsoft fornisce indicazioni complementari in diverse aree:

• Strategy and architecture:CISO workshop and Microsoft Cybersecurity Reference Architectures (MCRA)
• Valutazione e implementazione della tecnologia:Valutazione Zero Trust e guida all'implementazione della tecnologia
• Engineering:Microsoft Security Development Lifecycle (SDL), DevSecOps Capability Model e Secure Future Initiative (SFI)
• Operazioni e risposta:linee guida per l'accesso con privilegi e playbook di risposta agli incidenti

Per informazioni dettagliate sul modo in cui queste e altre risorse di sicurezza Microsoft si riferiscono a SAF, vedere Come le indicazioni di sicurezza esistenti si inseriscono in SAF.

Esplora SAF

• Uso efficace di SAF.
• Esplora gli scenari aziendali.
• Esplora gli ambiti della sicurezza.
• Tecnologie sicure.
• Implementa soluzioni tecniche.
• Usa i workshop SAF.

Passaggio successivo

Scopri come scegliere un punto di ingresso pratico e connettere il tuo lavoro attraverso SAF in Uso efficace di SAF.