Lista kontrolna przeglądu projektu dotycząca zabezpieczeń

Ta lista kontrolna zawiera zestaw zaleceń dotyczących zabezpieczeń, które ułatwiają zapewnienie bezpieczeństwa i dopasowania obciążenia do modelu Zero Trust. Jeśli nie zaznaczyłeś poniższych pól kontrolnych i nie rozważyłeś kompromisów, projekt jest zagrożony. Starannie rozważ wszystkie punkty uwzględnione na liście kontrolnej, aby mieć pewność co do bezpieczeństwa obciążenia.

Checklist

	Code	Rekomendacja
☐	SE:01	Ustanów punkt odniesienia zabezpieczeń, który jest zgodny z wymaganiami dotyczącymi zgodności, standardami branżowymi i zaleceniami dotyczącymi platformy. Regularnie sprawdzaj architekturę i operacje obciążenia w stosunku do planu bazowego, aby zapewnić obsługi lub poprawić bezpieczeństwo w czasie.
☐	SE:02 SE:02	Dopasowanie bezpiecznego cyklu życia programowania (SDL) w całym cyklu tworzenia oprogramowania w celu zapewnienia poufności, integralności i dostępności oprogramowania oraz wdrożenia myślenia opartego na zabezpieczeniach.
☐	SE:03	Klasyfikuj i konsekwentnie stosuj etykiety poufności i typów informacji we wszystkich danych i systemach zaangażowanych w przetwarzanie pracy z danymi. Klasyfikacja służy do wywierania wpływu na projektowanie, implementację i priorytetyzację zabezpieczeń obciążeń.
☐	SE:04	Twórz celowe segmentacje i obwody w projekcie architektury oraz w śladzie obciążenia na platformie. Strategia segmentowania musi obejmować sieci, role i obowiązki, tożsamości obciążeń i organizację zasobów.
☐	SE:05	Implementuj ścisłe, warunkowe i podlegające inspekcji zarządzanie tożsamością i dostępem (IAM) dla wszystkich użytkowników, członków zespołu i składników systemu. Dostęp należy ograniczyć wyłącznie wtedy, gdy jest to konieczne. Użyj nowoczesnych standardów branżowych dla wszystkich implementacji uwierzytelniania i autoryzacji. Ogranicz i rygorystycznie badaj dostęp, który nie jest oparty na tożsamości.
☐	SE:06	Izolowanie, filtrowanie i kontrolowanie ruchu sieciowego zarówno w przepływach przychodzących, jak i wychodzących. Zastosuj zasady obrony głębokiej, używając zlokalizowanych mechanizmów kontroli sieci we wszystkich dostępnych granicach sieci zarówno w ruchu wschód-zachód, jak i północ-południe.
☐	SE:07	Szyfruj dane przy użyciu nowoczesnych, zgodnych ze standardami branżowymi metod ochrony poufności i integralności. Wyrównaj zakres szyfrowania z klasyfikacjami danych i priorytetyzuj macierzyste metody szyfrowania platformy.
☐	SE:08	Wzmacnianie wszystkich składników obciążenia przez zmniejszenie nadmiarowego obszaru powierzchni i zaostrzenie konfiguracji w celu zwiększenia kosztów ataku.
☐	SE:09	Chroń tajemnice aplikacji poprzez utwardzanie ich przechowywania, ograniczanie dostępu oraz manipulacji oraz przeprowadzanie audytów tych działań. Uruchom niezawodny i regularny proces rotacji, który może dostosować rotacje w sytuacjach awaryjnych.
☐	SE:10	Zaimplementuj holistyczną strategię monitorowania, która opiera się na nowoczesnych mechanizmach wykrywania zagrożeń, które można zintegrować z platformą. Mechanizmy powinny niezawodnie ostrzegać przed klasyfikacją i wysyłać sygnały do istniejących procesów SecOps.
☐	SE:11	Ustanów kompleksowy schemat testowania, który łączy podejścia do zapobiegania problemom z zabezpieczeniami, weryfikowania implementacji zapobiegania zagrożeniom i testowania mechanizmów wykrywania zagrożeń.
☐	SE:12	Definiuj i testuj skuteczne procedury reagowania na incydenty, które obejmują spektrum incydentów, od lokalnych problemów po odzyskiwanie po awarii. Określ jasno, który zespół lub poszczególne osoby uruchamiają procedurę.

Dalsze kroki

Zalecamy przejrzenie kompromisów w zakresie bezpieczeństwa, aby odkryć inne zagadnienia.

Kompromisy w zabezpieczeniach