Função das normas e políticas de segurança da cloud

Política de segurança e normas as equipas criam, aprovam e publicam normas e políticas de segurança para orientar as decisões de segurança na organização.

As políticas e normas devem:

• Refletir a estratégia de segurança das organizações de uma forma suficientemente detalhada para orientar as decisões na organização por várias equipas
• Ativar a produtividade em toda a organização, ao mesmo tempo que reduz o risco para a empresa e missão das organizações

A política de segurança deve refletir objetivos sustentáveis a longo prazo que se alinham com a estratégia de segurança das organizações e a tolerância ao risco. A política deve sempre abordar:

• Requisitos de conformidade regulamentar e estado de conformidade atual (requisitos cumpridos, riscos aceites, etc.)
• Avaliação arquitetónica do estado atual e o que é tecnicamente possível conceber, implementar e impor
• Cultura e preferências organizacionais
• Melhores práticas do setor
• Responsabilidade pelo risco de segurança atribuído aos intervenientes empresariais adequados responsáveis por outros riscos e resultados empresariais.

As normas de segurança definem os processos e regras para suportar a execução da política de segurança.

Modernização

Embora a política deva permanecer estática, as normas devem ser dinâmicas e continuamente revisitadas para acompanhar o ritmo de mudança na tecnologia da cloud, no ambiente de ameaças e no panorama competitivo do negócio.

Devido a esta elevada taxa de alteração, deve estar atento ao número de exceções que estão a ser feitas, uma vez que tal pode indicar a necessidade de ajustar os padrões (ou a política).

As normas de segurança devem incluir orientações específicas para a adoção da cloud, como:

• Utilização segura de plataformas na cloud para alojar cargas de trabalho
• Utilização segura do modelo de DevOps e inclusão de aplicações na cloud, APIs e serviços em desenvolvimento
• Utilização de controlos de perímetro de identidade para complementar ou substituir controlos de perímetro de rede
• Definir a estratégia de segmentação antes de mover as cargas de trabalho para a plataforma IaaS
• Etiquetar e classificar a confidencialidade dos recursos
• Definir o processo para avaliar e garantir que os seus recursos estão configurados e protegidos corretamente

Composição da equipa e relações-chave

As normas e a política de segurança da cloud são normalmente fornecidas pelos seguintes tipos de funções. A política organizacional deve informar (e ser informada por):

• Arquiteturas de segurança
• Equipas de gestão de conformidade e riscos
• Liderança e representantes da unidade de negócio
• Tecnologia da informação
• Equipas jurídicas e de auditoria

A política deve ser refinada com base em muitas entradas/requisitos de toda a organização, incluindo, mas não restrita, às ilustradas no diagrama de descrição geral de segurança.

Passos seguintes

Reveja a função de um centro de operações de segurança na cloud (SOC).