Beveiligingsgovernance

Beveiligingsgovernance overbrugt uw bedrijfsprioriteiten met technische implementatie zoals architectuur, standaarden en beleid. Governanceteams bieden toezicht en bewaking om de beveiligingspostuur in de loop van de tijd te behouden en te verbeteren. Deze teams rapporteren ook naleving zoals vereist door regelgevende instanties.

Bedrijfsdoelen en risico's bieden de beste richting voor beveiliging. Deze richting zorgt ervoor dat beveiliging zich richt op belangrijke zaken voor de organisatie. Het informeert ook risico-eigenaren met behulp van vertrouwde taal en processen in het kader voor risicobeheer.

Watch de volgende video voor meer informatie over beveiligingsbeheer.

Naleving en rapportage

Naleving en rapportage over externe beveiligingsvereisten, en soms intern beleid, zijn fundamentele vereiste elementen van het werken in een bepaalde branche. De verplichte vereisten zijn als het voeren van een beer in de dierentuin. Als je de beer niet elke dag voedt, kan hij je opeten.

Architectuur en standaarden

Architectuur, standaarden en beleid bieden de essentiële vertaling van bedrijfsvereisten en risico's naar de technische omgeving. We raden u aan een uniforme weergave voor uw bedrijfsomgeving te hebben in plaats van de cloud en on-premises op te splitsen. Aanvallers geven niet om uw interne processen en volgen het pad van de minste weerstand bij hun doel. Dit omvat zijdelings schakelen tussen cloud- en on-premises omgevingen. De meeste ondernemingen zijn tegenwoordig een hybride omgeving die het volgende omvat:

• On-premises: Omvat meerdere generaties technologie en vaak een aanzienlijke hoeveelheid verouderde software en hardware. Deze technologie omvat soms operationele technologie die fysieke systemen beheert met mogelijke gevolgen voor de levensduur of veiligheid.
• Wolken: Bevat doorgaans meerdere providers voor:
  • SaaS-toepassingen (Software as a Service)
  • Infrastructuur als een dienst (IaaS)
  • Platform as a Service (PaaS)

Beheer van beveiligingspostuur

Hoop en problemen melden is geen plan. Governance in het cloudtijdsymplement moet een actief onderdeel hebben dat voortdurend contact heeft met andere teams. Beveiligingspostuurbeheer is een opkomende functie. Het is een stap voorwaarts in de convergentie van veiligheidsfuncties op lange termijn. Deze functies beantwoorden de vraag 'hoe veilig is de omgeving?', waaronder het beheer van beveiligingsproblemen en rapportage over beveiligingsnaleving.

In de on-premises wereld volgde beveiligingsgovernance de frequentie van gegevens die over de omgeving kunnen worden opgehaald. Deze manier om gegevens op te halen kan enige tijd duren en voortdurend verouderd zijn. Cloudtechnologie biedt nu on-demand inzicht in de huidige beveiligingspostuur en assetdekking. Deze zichtbaarheid zorgt voor een belangrijke transformatie van governance naar een dynamischere organisatie. Deze organisatie biedt een hechtere relatie met andere beveiligingsteams om beveiligingsstandaarden te bewaken, richtlijnen te bieden en processen te verbeteren.

In zijn ideale staat is governance het hart van continue verbetering. Deze verbetering is van toepassing op de hele organisatie om de beveiligingspostuur voortdurend te verbeteren.

De belangrijkste succesbeginselen voor governance zijn:

• Continue detectie van activa en assettypen: Een statische inventarisatie is niet mogelijk in een dynamische cloudomgeving. Uw organisatie moet zich richten op de continue detectie van activa en assettypen. In de cloud worden regelmatig nieuwe typen services toegevoegd. Workloadeigenaren kunnen naar behoefte exemplaren van toepassingen en services dynamisch in- en uitschakelen, waardoor voorraadbeheer een dynamische discipline wordt. Governanceteams moeten continu assettypen en -exemplaren detecteren om op de hoogte te blijven van dit tempo van veranderingen.
• Continue verbetering van assetbeveiligingspostuur: Governanceteams moeten zich richten op het verbeteren van standaarden en het afdwingen van die standaarden om de cloud en aanvallers bij te houden. It-organisaties (informatietechnologie) moeten snel reageren op nieuwe bedreigingen en zich dienovereenkomstig aanpassen. Aanvallers zijn voortdurend bezig met het ontwikkelen van hun technieken en de verdediging wordt voortdurend verbeterd en moet mogelijk worden ingeschakeld. U kunt niet altijd alle beveiliging krijgen die u nodig hebt in de eerste configuratie.
• Beleidsgestuurde governance: Deze governance biedt consistente uitvoering door iets eenmaal in het beleid te herstellen dat automatisch op schaal wordt toegepast op resources. Dit proces beperkt eventuele verspilde tijd en moeite aan herhaalde handmatige taken. Het wordt vaak geïmplementeerd met behulp van Azure Policy of frameworks voor beleidsautomatisering van derden.

Om flexibiliteit te behouden, zijn de richtlijnen voor best practices vaak iteratief. Het verwerkt kleine stukjes informatie uit meerdere bronnen om het hele beeld te creëren en continu kleine aanpassingen aan te brengen.

Governance- en beveiligingsdisciplines

Beveiligingsdisciplines omvatten toegangsbeheer, activabescherming en innovatiebeveiliging. Het beveiligingsgovernanceteam biedt standaarden en richtlijnen voor het consistent uitvoeren van best practices en controles voor beveiliging.

In de ideale staat passen de beveiligingsteams deze besturingselementen toe en geven ze feedback over wat werkt, zoals uitdagingen bij het toepassen van de besturingselementen. De teams werken vervolgens samen om de beste oplossingen te vinden.

Beheer- en beveiligingsbewerkingen

Beveiligingsbeheer en beveiligingsbewerkingen werken samen om volledige zichtbaarheid te bieden. Ze zorgen ervoor dat lessen die zijn geleerd uit echte incidenten, worden geïntegreerd in architectuur, standaarden en beleid.

Governance- en beveiligingsbewerkingen bieden complementaire typen zichtbaarheid.

• Beveiligingsbewerkingen bieden inzicht in het onmiddellijke risico van actieve aanvallen.
• Beveiligingsgovernance biedt een brede of lange weergave van risico's van potentiële toekomstige aanvallen en aanvalsvectoren.

De beveiligingsarchitecten binnen de governancefunctie helpen bij het identificeren van lessen die zijn geleerd uit incidenten. Bijvoorbeeld de hoofdoorzaak van grote incidenten. Ze leggen de lessen vast in de standaarden van uw organisatie om een consistente toepassing in de hele onderneming te garanderen.

Zie Beveiligingsintegratie voor meer informatie.

Notitie

Sommige organisaties plaatsen bewaking van de beveiligingspostuur in beveiligingsbewerkingen. We raden u aan deze bewaking in governance te gebruiken. Deze plaatsing creëert een betere relatie met de IT-engineering- en operationele teams die de standaarden toepassen. Deze relatie resulteert vaak in communicatie van hogere kwaliteit en betere beveiligingsresultaten. Anders hebt u een governanceteam dat nooit de werkelijke impact van hun standaarden ziet.

Volgende stappen

De volgende discipline is innovatiebeveiliging.