Introdução ao benchmark de segurança na nuvem da Microsoft

Observação

O Microsoft cloud security benchmark v2 (pré-visualização) já está disponível. Encorajamo-lo a explorar esta versão e a fornecer feedback para nos ajudar a melhorá-la ainda mais. Para quaisquer perguntas ou comentários, envie-nos um email para benchmarkfeedback@microsoft.com.

O benchmark de segurança na cloud da Microsoft fornece boas práticas prescritivas e recomendações para ajudar a melhorar a segurança das cargas de trabalho, dados e serviços no Azure e no seu ambiente multicloud. Este benchmark foca-se em áreas de segurança centradas na cloud, com contributos de um conjunto de orientações holísticas de segurança da Microsoft e da indústria que incluem:

• Cloud Adoption Framework: Orientação sobre segurança, incluindo estratégia, funções e responsabilidades, Top 10 Security Best Practices do Azure e implementação de referência.
• Azure Well-Architected Framework: Orientação sobre como proteger suas cargas de trabalho no Azure.
• Microsoft Secure Future Initiative (SFI): O SFI é uma iniciativa interna da Microsoft lançada por vários anos para integrar a segurança em todas as fases do design, desenvolvimento e operações do produto. O SFI inclui as práticas recomendadas de segurança interna da Microsoft que também queremos recomendar aos nossos clientes.
• O Chief Information Security Officer (CISO) Workshop: Orientação do programa e estratégias de referência para acelerar a modernização da segurança usando os princípios Zero Trust.
• Outros padrões e estrutura de práticas recomendadas de segurança do setor e de provedores de serviços em nuvem: Exemplos incluem o Amazon Web Services (AWS) Well-Architected Framework, o Center for Internet Security (CIS) Controls, o National Institute of Standards and Technology (NIST) e o Payment Card Industry Data Security Standard (PCI-DSS).

Novos serviços e funcionalidades são lançados diariamente no Azure e nas plataformas dos fornecedores de serviços na cloud. Os programadores publicam rapidamente novas aplicações cloud baseadas nestes serviços. E os agentes mal-intencionados procuram constantemente novas formas de explorar recursos mal configurados. A nuvem move-se depressa. Os programadores movem-se depressa. Os maus atores também se movem rápido. Como você acompanha e garante que suas implantações na nuvem sejam seguras? Em que é que as práticas de segurança para sistemas em nuvem são diferentes dos sistemas locais e diferentes entre fornecedores de serviços em nuvem? Como você monitora sua carga de trabalho para obter consistência em várias plataformas de nuvem?

A Microsoft descobriu que usar benchmarks de segurança pode ajudar a proteger rapidamente as implementações na cloud. Um quadro abrangente de melhores práticas de segurança dos fornecedores de serviços cloud pode dar-lhe um ponto de partida para selecionar definições específicas de configuração de segurança no seu ambiente cloud, entre vários fornecedores de serviços. Também permite monitorizar estas configurações usando um único painel de vidro.

O benchmark de segurança na cloud Microsoft v2 (pré-visualização)

O benchmark de segurança na cloud da Microsoft v2 (pré-visualização) representa a mais recente evolução do MCSB com orientações reforçadas focadas no Azure, domínios de segurança expandidos e detalhes técnicos abrangentes de implementação. Esta versão introduz um novo domínio de segurança de Inteligência Artificial com sete recomendações, mais de 420 definições incorporadas de políticas Azure para monitorização automatizada de conformidade, e orientações baseadas em risco e ameaças com exemplos detalhados de implementação. Para informações detalhadas sobre a estrutura de controlo de segurança, descrições de domínio e orientações de implementação, consulte a Visão Geral do Microsoft Cloud Security Benchmark v2 (pré-visualização).

Implementar o benchmark de segurança na nuvem da Microsoft

Os controlos de segurança no MCSB aplicam-se geralmente a todas as cargas de trabalho na cloud. Cada controlo de segurança identifica as partes interessadas que normalmente estão envolvidas no planeamento, aprovação ou implementação. Esta informação ajuda as organizações a coordenar eficazmente os seus esforços de segurança.

• Planeie a implementação do seu MCSB ao rever a documentação dos controlos de segurança para planear o seu framework e como este se alinha com orientações como o Center for Internet Security (CIS) Controls, o National Institute of Standards and Technology (NIST) e o framework do Payment Card Industry Data Security Standard (PCI-DSS).
• Monitorize a sua conformidade com o estado do MCSB (e outros conjuntos de controlo) utilizando o Microsoft Defender for Cloud – Regulatory Compliance Dashboard para o seu ambiente multicloud.
• Estabeleça limites para automatizar configurações seguras e garantir a conformidade com o MCSB (e outros requisitos na sua organização), utilizando funcionalidades como Azure Blueprints, Azure Policy ou tecnologias equivalentes de outras plataformas cloud.

Casos comuns de utilização

Use o benchmark de segurança na cloud da Microsoft para responder a desafios comuns para clientes ou parceiros de serviço que são:

• Novo no Azure (e em outras grandes plataformas de nuvem, como a AWS) e procurando práticas recomendadas de segurança para garantir uma implantação segura de serviços de nuvem e sua própria carga de trabalho de aplicativos.
• Procurando melhorar a postura de segurança das implantações de nuvem existentes para priorizar os principais riscos e mitigações.
• Utilizar ambientes multicloud (como Azure e AWS) e enfrentar desafios em alinhar a segurança, controlo, monitorização e avaliação usando um único painel de vidro.
• Avaliar as funcionalidades e capacidades de segurança do Azure (e de outras grandes plataformas cloud, como a AWS) antes de integrar ou aprovar um serviço no catálogo de serviços cloud.
• Ter que atender aos requisitos de conformidade em setores altamente regulamentados, como governo, finanças e saúde. Esses clientes precisam garantir suas configurações de serviço do Azure e de outras nuvens para atender à especificação de segurança definida em uma estrutura como CIS, NIST ou PCI. O MCSB fornece uma abordagem eficiente com os controles já pré-mapeados para esses benchmarks do setor.

Terminologia

O benchmark de segurança na cloud da Microsoft utiliza vários termos-chave para organizar e descrever orientações de segurança. É importante entender como o MCSB usa esses termos.

Período	Descrição	Exemplo
Domínio de Segurança	Um agrupamento de alto nível de controlos de segurança relacionados que abordam uma área específica de preocupação de segurança.	A Segurança em Inteligência Artificial é um dos 12 domínios de segurança do MCSB v2. Agrupa todos os controlos de segurança relacionados com a segurança de cargas de trabalho e serviços de IA.
Controlo de Segurança	Um requisito ou recomendação específica de segurança dentro de um domínio que precisa de ser abordada. Os controlos de segurança são descrições que não dependem de tecnologia sobre o que deve ser alcançado.	No domínio da Proteção de Dados, "DP-1: Descobrir, classificar e rotular dados sensíveis" é um controlo de segurança que descreve a necessidade de identificar e categorizar informações sensíveis.
Subcontrolo de Segurança	Uma recomendação detalhada e granular ou orientação de implementação que apoie um controlo de segurança. Um subcontrolo de segurança fornece passos técnicos ou processuais específicos.	Sob o controlo de segurança DP-1, o subcontrolo de segurança DP-1.1 fornece orientações específicas para implementar a classificação de dados usando Microsoft Purview ou ferramentas semelhantes.
Linha de base	Um conjunto de implementações de controlo de segurança adaptadas a um cenário específico, quadro de conformidade ou setor.	Embora os baselines para MCSB v2 (versão de prévia) ainda não estejam disponíveis, pode encontrar informações sobre os baselines do MCSB v1 em Visão Geral do Padrão de Segurança em Nuvem da Microsoft v1.

Agradecemos o seu feedback sobre o benchmark de segurança na nuvem da Microsoft! Encorajamo-lo a fazer comentários na área de feedback abaixo. Se preferir partilhar a sua opinião de forma mais privada com a equipa de segurança cloud da Microsoft, envie-nos um email para benchmarkfeedback@microsoft.com.