Microsoft Security導入フレームワーク (SAF) は、ビジネスの優先順位、リスク、およびゼロ トラストの原則を調整されたアクションに変える実用的な運用モデルです。 戦略、アーキテクチャ、実装、運用の間で、ビジネス、テクノロジ、セキュリティの担当者を結び付けます。
SAF を使用して、共有の成果を定義し、責任を明確にし、重要な分野とテクノロジを選択し、保護を実装し、ハイブリッド、マルチクラウド、マルチプラットフォーム環境全体の進行状況を測定します。
SAF を使用する理由
SAF を使用して次を行います:
- セキュリティ作業をビジネスの優先順位とリスクに合わせます。 ビジネス、テクノロジ、セキュリティの決定と投資を、組織が達成し保護すべき成果に結び付けます。
- 責任を共有する。 ビジネス、テクノロジ、セキュリティの各ロールが意思決定を行い、成果を共同で実現する方法を明確にします。
- ゼロ トラストを一貫して適用します。 戦略、ガバナンス、アーキテクチャ、実装、運用全体にわたってゼロ トラスト原則を使用します。
- 戦略を実装に結び付けます。 目的の結果をセキュリティ分野、テクノロジ、および技術ソリューションにリンクします。
- 進捗を確認し、調整します。 ビジネス ニーズ、テクノロジ、脅威、組織の能力の変化に応じて、結果を追跡し、調整します。
SAF のしくみ
SAF は、ビジネスの優先順位とリスクを、調整されたセキュリティ作業とテクノロジの実装に結び付けます。 4 つの接続されたコンポーネントは、ビジネス チーム、テクノロジ チーム、およびセキュリティ チームが、必要な結果、必要なセキュリティ作業、保護する必要がある内容、保護の実装と運用方法を理解するのに役立ちます。
4 つのコンポーネントは次のとおりです。
- ビジネス シナリオは、 重要なビジネスまたはテクノロジの取り組みを、望ましい成果とリスクに結び付けます。
- セキュリティ分野は、リスクの管理、意思決定、およびセキュリティ機能の向上に必要なセキュリティ作業を整理します。
- テクノロジ は、ID、エンドポイント、アプリケーション、データ、インフラストラクチャ、ネットワーク、AI など、保護する必要のあるものを識別します。
- 技術的なソリューションは、セキュリティ要件を製品とプラットフォーム全体の実装と持続可能な運用へと落とし込みます。
ビジネスの優先順位とリスクはコンテキストを提供します。 ビジネス シナリオでは、望ましい結果について説明します。 セキュリティ分野は、チームの働き方を整理します。 テクノロジーは、保護する必要があるものを特定します。 技術的なソリューションは、この方針を実装と運用へと具体化します。
ゼロ トラスト原則は、ビジネスの優先順位とガバナンスからアーキテクチャ、実装、運用に至るまで、4つのSAFコンポーネントすべてにわたる意思決定の指針となります。
ロールでの SAF の使用方法
| 役割グループ | グループでの SAF の使用方法 | 一般的なSAFの重点分野 |
|---|---|---|
| ビジネス リーダーとリスク責任者 | 望ましい成果、ビジネスの優先順位、リスク、アカウンタビリティ、成功の尺度を定義します。 | ビジネス シナリオ、戦略、およびリスク |
| テクノロジと製品チーム | 優先順位とセキュリティ要件を、アーキテクチャ、エンジニアリング、デリバリー、実装、および持続可能な運用に反映します。 | テクノロジー と 技術的なソリューション |
| セキュリティチーム | リスク分析情報、セキュリティの専門知識、ガバナンス、アーキテクチャ、ガードレール、検証、検出と対応、およびセキュリティ測定を提供します。 | セキュリティ分野 とセキュリティ要件 |
これらの役割は、共有された成果に貢献し、それらを達成するために共同作業します。 SAF は、セキュリティモダン化を単一のチームの仕事として扱うのではなく、ビジネス、テクノロジ、およびセキュリティの役割が決定と責任を調整するのに役立つ共有コンテキストを提供します。 パートナーは、専門的な専門知識、実装、運用サービスを提供できます。
どこから始めるか選べます
固定シーケンスで SAF を使用する必要はありません。 現在のコンテキストに一致する開始点を選択してください。
- 調整されたモダン化のためのリーダーシップ スポンサーシップがあり、組織が戦略的方向性を共有する必要がある場合は、戦略と変革から始めます。
- 緊急のギャップや価値の高い機会に注意が必要な場合は、優先度の高いリスクや問題から始めます。
- 特定のイニシアチブが役割、規範、テクノロジ間で協調的な保護を必要とする場合は、ビジネスまたはテクノロジのイニシアチブから始めます。
- 組織が定義された目標またはプラクティスに合わせてセキュリティ作業を調整する必要がある場合は、セキュリティ標準またはフレームワークから始めます。
これらの開始点は一般的であり、必須のステージではありません。 組織は、優先度、リスク、および能力の変化に応じて、それらを組み合わせたり、それらの間を移動したりできます。
SAF を効果的に使用するためのガイドライン
組織は、優先順位、リスク、および現在のセキュリティの成熟度に応じて、さまざまな方法で SAF を使用できます。 開始する場所に関係なく:
- ビジネスの優先順位とリスクに合わせて作業を調整します。
- ビジネス上の意思決定、セキュリティ プラクティス、テクノロジの設計、デリバリー、運用全体にわたって ゼロ トラスト の原則を適用します。
- ビジネス チーム、テクノロジ チーム、セキュリティ チーム全体で責任を調整します。
- 重点的な改善を、より広範なセキュリティ戦略とアーキテクチャに結び付けます。
- 結果を測定し、優先順位、リスク、条件が変化するにつれて適応します。
目標ベースおよびロールベースの閲覧パスについては、SAF を効果的に使用するを参照してください。
既存のセキュリティ ガイダンスが SAF にどのように適合するか
SAF は、確立されたMicrosoftセキュリティ ガイダンスに取って代わるのではなく、それに基づいています。 既存のガイダンスの一部は SAF 構造に組み込まれていますが、他のリソースは独立しており、より詳細なアーキテクチャ、エンジニアリング、評価、ワークショップ、運用に関するガイダンスによって SAF を補完します。
Microsoft は、いくつかの分野で補完的なガイダンスを提供しています。
- 戦略とアーキテクチャ:CISO ワークショップと Microsoft サイバーセキュリティ参照アーキテクチャ (MCRA)
- 評価とテクノロジの実装:ゼロ トラスト評価とテクノロジの実装ガイダンス
- エンジニアリング:Microsoft セキュリティ開発ライフサイクル (SDL)、DevSecOps Capability Model、Secure Future Initiative (SFI)
- 運用と対応:特権アクセスガイダンス と インシデント対応プレイブック
これらのセキュリティー・リソースおよびその他の Microsoft セキュリティー・リソースと SAF との関係の詳細については、既存のセキュリティ ガイダンスが SAF にどのように適合するかを参照してください。
SAF を確認
次のステップ
SAF を効果的に使用して、実用的なエントリ ポイントを選択し、SAF 全体で作業を接続する方法を学びましょう。