Sicuro
È possibile usare la metodologia Secure per migliorare il comportamento di sicurezza. Queste linee guida sono pertinenti a tutte le metodologie all'interno di Cloud Adoption Framework perché è consigliabile implementare la sicurezza come parte integrante di ogni fase. Tutti i consigli nella metodologia di sicurezza aderiscono ai principi Zero Trust di presupporre la compromissione (o presupporre violazione), privilegi minimi e verifica esplicita dell'attendibilità.
Vantaggi delle indicazioni per la sicurezza
Questa guida sicura di Cloud Adoption Framework è un componente di una serie olistica più ampia di indicazioni per la sicurezza Microsoft progettate per aiutare i vari team a comprendere ed eseguire le proprie responsabilità di sicurezza. La serie completa include le indicazioni seguenti:
La metodologia di sicurezza di Cloud Adoption Framework fornisce indicazioni sulla sicurezza per i team che gestiscono l'infrastruttura tecnologica che supporta tutte le operazioni e lo sviluppo del carico di lavoro ospitati in Azure.
Le linee guida per la sicurezza di Azure Well-Architected Framework forniscono indicazioni per i singoli proprietari del carico di lavoro su come applicare le procedure consigliate per la sicurezza ai processi di sviluppo di applicazioni e DevOps e DevSecOps. Microsoft fornisce indicazioni che integrano questa documentazione su come applicare le procedure di sicurezza e i controlli DevSecOps in un ciclo di vita di sviluppo della sicurezza.
Il benchmark di sicurezza del cloud Microsoft fornisce indicazioni sulle procedure consigliate per gli stakeholder per garantire una sicurezza cloud affidabile. Queste indicazioni includono baseline di sicurezza che descrivono le funzionalità di sicurezza disponibili e le configurazioni ottimali consigliate per i servizi di Azure.
Il documento delle linee guida Zero Trust fornisce indicazioni per i team di sicurezza per implementare le capacità tecniche necessarie per supportare un'iniziativa di modernizzazione del modello Zero Trust.
Durante il percorso di adozione del cloud, cercare opportunità per migliorare il comportamento di sicurezza complessivo attraverso la modernizzazione, la preparazione degli eventi imprevisti e la risposta. La possibilità di prepararsi e rispondere agli incidenti può influire significativamente sul successo nel cloud. I meccanismi di preparazione e le procedure operative ben progettate consentono il rilevamento rapido delle minacce e consentono di ridurre al minimo il raggio di attacco degli incidenti.
Usare il modello CIA Triad
La triade cia è un modello fondamentale nella sicurezza delle informazioni che rappresenta tre principi fondamentali: riservatezza, integrità e disponibilità.
La riservatezza garantisce che solo gli utenti autorizzati possano accedere alle informazioni riservate. Questo principio include misure come la crittografia e i controlli di accesso per proteggere i dati da accessi non autorizzati.
L'integrità mantiene l'accuratezza e la completezza dei dati. Questo principio implica la protezione dei dati da modifiche o manomissioni da utenti non autorizzati, garantendo che le informazioni rimangano affidabili.
La disponibilità garantisce che le informazioni e le risorse siano accessibili agli utenti autorizzati quando necessario. Questo principio include la gestione di sistemi e reti per evitare tempi di inattività e garantire l'accesso continuo ai dati.
Alcuni modi in cui i principi Triad possono contribuire a garantire la sicurezza e l'affidabilità includono:
Protezione dei dati: Usare i principi di triade della CIA per guidare i controlli che proteggono i dati sensibili. Valutare e implementare i requisiti normativi e sulla privacy applicabili; l'applicazione della triade da sola non stabilisce la conformità.
Continuità aziendale: Garantire l'integrità e la disponibilità dei dati per mantenere le operazioni aziendali ed evitare tempi di inattività.
Attendibilità dei clienti: Implementare la triade cia per creare fiducia con clienti e stakeholder dimostrando un impegno per la sicurezza dei dati.
Assegnazione di ruoli
Assegnare ruoli di sicurezza appropriati per garantire che il team possa svolgere funzioni di sicurezza durante ogni fase del ciclo di vita del cloud, dallo sviluppo al miglioramento continuo.
- Eseguire il mapping dei ruoli esistenti e delle funzioni che coprono.
- Verificare la presenza di lacune.
- Valutare se l'organizzazione può e deve investire per gestire tali lacune.
È necessario assicurarsi che tutti comprendano il proprio ruolo nella sicurezza e come collaborare con altri team. Per realizzare questo obiettivo, documentare i processi di sicurezza tra team e un modello di responsabilità condivisa per i team tecnici. Un modello di responsabilità condivisa è simile a un modello responsabile, responsabile, consultato, informato (RACI). Un modello di responsabilità condivisa consente di illustrare un approccio collaborativo, inclusi coloro che prendono decisioni e cosa devono fare i team per collaborare per determinati elementi e risultati.
È necessario migliorare continuamente la sicurezza per mantenere una postura di sicurezza affidabile nel cloud perché le minacce informatiche si evolvono continuamente e diventano più sofisticate. Le analisi retrospettive e il monitoraggio consentono di identificare le aree che potrebbero trarre vantaggio dal miglioramento. Assicurarsi inoltre di fornire una formazione adeguata per rimanere aggiornati con minacce e tecnologie in continua evoluzione.