Functies voor cloudbeveiliging

Functies zijn taken en verantwoordelijkheden die essentieel zijn voor een organisatie. Met andere woorden, functies zijn 'taken die moeten worden uitgevoerd'.

Dit artikel bevat een overzicht van de organisatiefuncties die nodig zijn voor het beheren van informatiebeveiligingsrisico's in een onderneming. Deze rollen en verantwoordelijkheden vormen het menselijke deel van een algemeen cyberbeveiligingssysteem.

Beveiliging is een teamsport

Personen in het beveiligingsteam moeten samenwerken en elkaar zien als integraal onderdeel van de hele organisatie. Ze maken ook deel uit van een grotere beveiligingscommunity die zich verdedigen tegen dezelfde aanvallers.

Dit holistische wereldbeeld helpt het team om niet-geplande hiaten en overlappingen te omzeilen die zijn ontdekt tijdens de evolutie van rollen en verantwoordelijkheden.

Typen beveiligingsfuncties

In het volgende diagram ziet u specifieke organisatiefuncties binnen de beveiliging. De weergegeven functies vertegenwoordigen een ideale weergave van een compleet ondernemingsbeveiligingsteam. Beveiligingsteams met beperkte resources hebben mogelijk geen formele verantwoordelijkheden die zijn gedefinieerd voor al deze functies. Elke functie kan worden uitgevoerd door een of meer personen en elke persoon kan een of meer functies uitvoeren, afhankelijk van factoren zoals cultuur, budget en beschikbare resources.

Meer informatie over elke functie vindt u in de volgende artikelen. Ze bevatten een samenvatting van de doelstellingen, hoe de functie kan evolueren en de relaties en afhankelijkheden die essentieel zijn voor het succes ervan.

• Beleid en standaarden
• Beveiligingsbewerkingen
• Beveiligingsarchitectuur
• Beveiligingsnalevingsbeheer
• Persoonsbeveiliging
• Toepassingsbeveiliging en DevSecOps
• Gegevensbeveiliging
• Infrastructuur- en eindpuntbeveiliging
• Identiteits- en sleutelbeheer
• Bedreigingsinformatie
• Postuurbeheer
• Incidentvoorbereiding

Rollen en verantwoordelijkheden

In de Microsoft-documentatie wordt verwezen naar beveiligingsrollen en -verantwoordelijkheden, waaronder de Azure Security Benchmark, een plan voor snelle modernisering voor het beveiligen van bevoegde toegang en best practices voor Azure-beveiliging.

In het volgende diagram ziet u hoe deze functies worden toegewezen aan roltypen binnen een organisatie:

Beveiliging toewijzen aan bedrijfsresultaten

Op organisatieniveau worden beveiligingsdisciplines toegewezen aan standaardfasen voor plan-build-run, die veel worden gezien in verschillende branches en organisaties. Beveiliging is zowel een discipline met eigen unieke functies als een essentieel element om te integreren in normale bedrijfsactiviteiten.

Roltypen

In het diagram zijn verantwoordelijkheden ingedeeld in typische rollen met gemeenschappelijke vaardigheden en carrièreprofielen. Deze groeperingen bieden ook duidelijkheid over de invloed van branchetrends op beveiligingsprofessionals:

• Beveiligingsleiderschap: Deze rollen omvatten vaak functies om ervoor te zorgen dat teams met elkaar samenwerken. Ze bieden ook prioriteitsaanduiding en stellen culturele normen, beleidsregels en standaarden voor beveiliging in.
• Beveiligingsarchitect: Deze rollen omvatten functies en bieden een belangrijke governancemogelijkheid om ervoor te zorgen dat alle technische functies harmonieus werken binnen een consistente architectuur.
• Beveiligingspostuur en naleving: Een nieuwer roltype dat de convergentie van nalevingsrapportage vertegenwoordigt met traditionele beveiligingsdisciplines, zoals beheer van beveiligingsproblemen en configuratiebasislijnen. Hoewel het bereik en de doelgroep verschillend zijn voor beveiligings- en nalevingsrapportage, meten ze beide de beveiliging van de organisatie. De manier waarop die vraag wordt beantwoord, lijkt steeds meer op elkaar via hulpprogramma's zoals Microsoft Secure Score en Microsoft Defender for Cloud:
  • Het gebruik van gegevensfeeds op aanvraag van cloudservices verkort de tijd die nodig is om naleving te rapporteren.
  • Het grotere bereik van de beschikbare gegevens zorgt ervoor dat beveiligingsgovernance verder kan kijken dan traditionele software-updates en beveiligingsproblemen kunnen detecteren in beveiligingsconfiguraties en operationele procedures.
• Platformbeveiligingstechnicus: Deze technologierollen zijn gericht op platforms die meerdere workloads hosten, zowel toegangsbeheer als assetbeveiliging. Deze rollen worden vaak gegroepeerd in teams met gespecialiseerde technische vaardigheden, waaronder netwerkbeveiliging, infrastructuur en eindpunten, identiteits- en sleutelbeheer en andere. Deze teams werken aan zowel preventieve controles als detectivecontroles, waarbij detectivecontroles een partnerschap zijn met SecOps en preventieve controles voornamelijk een partnerschap met IT-activiteiten zijn. Zie Beveiligingsintegratie voor meer informatie.
• Toepassingsbeveiligingstechnicus: Deze technologierollen zijn gericht op beveiligingscontroles voor specifieke workloads, die ondersteuning bieden voor zowel klassieke ontwikkelingsmodellen als moderne DevOps-/DevSecOps-modellen. Ze combineren beveiligingsvaardigheden voor toepassingen en ontwikkeling voor unieke code- en infrastructuurvaardigheden voor algemene technische onderdelen, zoals VM's, databases en containers. Deze rollen kunnen zich bevinden in centrale IT- of beveiligingsorganisaties of binnen bedrijfs- en ontwikkelingsteams, afhankelijk van organisatorische factoren.

Notitie

Naarmate DevOps en infrastructuur-als-codetrends zich ontwikkelen, migreren sommige beveiligingstalent waarschijnlijk van platformbeveiligingsteams naar toepassingsbeveiligingsteams en postuurbeheerrollen. Het DevOps-model vereist infrastructuurbeveiligingsvaardigheden , zoals het beveiligen van de ops in DevOps. Governanceteams hebben deze vaardigheden en ervaring ook nodig om de technische beveiligingspostuur in realtime effectief te kunnen bewaken. Daarnaast automatiseert infrastructure-as-code terugkerende handmatige technische taken, waardoor de benodigde tijd voor deze vaardigheden in de rollen van platformbeveiligingstechnicus wordt verkort (hoewel de behoefte aan brede technische vaardighedensets en automatiserings- of scriptvaardigheden toeneemt).

Volgende stappen

Meer informatie over beveiliging in de Microsoft Cloud Adoption Framework.