Повышение безопасности целевых зон
Если рабочей нагрузке или целевым зонам, на которых она размещена, требуется доступ к каким-либо конфиденциальным данным или критическим системам, важно защитить данные и ресурсы.
Защита
Когда вы выходите из состояния "Готово", вы несете постоянную ответственность за обеспечение безопасности вашей среды. Облачная безопасность также является добавочным процессом вместо статического назначения. Сосредоточьтесь на целях и ключевых результатах при подготовке состояния конечной точки безопасности. Сопоставляйте понятия, платформы и стандарты с дисциплинами в методологии безопасности CAF вместе с сопоставлением ролей и обязанностей по дисциплине человека. Методология обеспечения безопасности предоставляет рекомендации.
Ниже приведен обзор этого руководства со ссылками на подробные сведения.
Анализ рисков
Бизнес-операции имеют риски безопасности. Группа безопасности должна информировать и консультировать лиц, принимающих решения о том, как риски безопасности вписываются в их платформы, понимая бизнес и используя методики безопасности, чтобы распознать, какой риск будет соответствующим образом планировать и принимать меры.
- Что такое риск кибербезопасности?: все потенциальные повреждения или разрушения бизнеса, вызванные злоумышленниками, пытающимися украсть валюту, внутри информации или технологии.
- Выравнивайте управление рисками безопасности: инвестируйте в преодоление кибербезопасности и руководства организации, чтобы объяснить угрозы безопасности с помощью понятной для бизнеса терминологии, активно слушать и взаимодействовать со всеми людьми по всему бизнесу.
- Понимание риска кибербезопасности: понимание мотивов и шаблонов поведения злоумышленников для кражи денег, информации или технологий и выявления потенциального влияния различных типов атак.
Интеграция решений для обеспечения безопасности
Убедитесь, что безопасность является организационной проблемой и не разделена на одну группу. Интеграция с безопасностью предоставляет рекомендации по интеграции безопасности с ролью всех пользователей при минимизации трений с бизнес-процессами. К конкретным рекомендациям относятся следующие рекомендации:
- Нормализация отношений. Убедитесь, что все команды интегрированы с командами безопасности и имеют общее представление о целях безопасности. Кроме того, работайте над поиском правильного уровня элементов управления безопасностью, гарантируя, что элементы управления не перевешивают бизнес-ценность.
- Интеграция с ИТ-операциями и бизнес-операциями: балансируйте реализацию обновлений системы безопасности и сопоставление того, как все процессы безопасности влияют на текущее влияние бизнеса и потенциальные риски безопасности в будущем.
- Интеграция групп безопасности: избегайте работы в силосах, отвечая на активные угрозы и постоянно повышая уровень безопасности организации, практикуя безопасность как динамическую дисциплину.
Устойчивость бизнеса
Хотя организации никогда не могут иметь идеальную безопасность, существует по-прежнему прагматичный подход к устойчивости бизнеса в инвестиция в полный жизненный цикл риска безопасности до, во время и после инцидента.
- Цели устойчивости: сосредоточьтесь на том, чтобы ваш бизнес быстро внедрял инновации, ограничивать влияние и всегда искать безопасные способы внедрения технологий.
- Устойчивость системы безопасности и предполагать нарушение. Предположим, что нарушение или компромисс следует ключевому принципу нулевого доверия и прагматичному поведению безопасности, чтобы предотвратить атаки, ограничить ущерб и быстро восстановить их.
Управление доступом
Сделайте стратегию управления доступом, которая соответствует как пользовательскому интерфейсу, так и гарантии безопасности.
- От периметра безопасности до нулевого доверия: примите подход нулевого доверия для контроля доступа для установления и улучшения гарантий безопасности при работе в облаке и использовании новых технологий.
- Современный контроль доступа: сделайте стратегию управления доступом, которая является комплексной, согласованной и гибкой. Перейдите за рамки одной тактики или технологии для нескольких рабочих нагрузок, облаков и различных уровней конфиденциальности бизнеса.
- Известный, доверенный, разрешенный: выполните динамический трехэтапный процесс, чтобы обеспечить известную проверку подлинности, доверять пользователю или устройству и разрешать соответствующие права и привилегии для приложения, службы или данных.
- Решения по доступу на основе данных: принятие обоснованных решений из различных данных на пользователях и устройствах для выполнения явной проверки.
- Сегментация. Разделение для защиты: создайте границы в виде отдельных сегментов внутренней среды, чтобы содержать повреждения успешных атак.
- Изоляция: избегайте брандмауэра и забывайте: разработка крайней формы сегментации для критически важных для бизнеса ресурсов, состоящих из: людей, процессов и технологий.
Операции безопасности
Создание операций безопасности путем снижения риска, быстрого реагирования и восстановления для защиты организации и выполнения дисциплины безопасности процесса DevOps.
- Люди и процесс. Создание культуры для предоставления людям возможностей с инструментами, чтобы позволить им в качестве наиболее ценных активов и диверсифицировать свой портфель мышления, в том числе и обучение не технических людей с сильным опытом в судебно-медицинских расследованиях ролей.
- Модель операций безопасности. Сосредоточьтесь на результатах управления инцидентами, подготовки инцидентов и аналитики угроз. Делегируйте результаты между подкатамами, чтобы расследовать, исследовать и охотиться на большие объемы и сложные инциденты.
- SecOps business touchpoints: взаимодействуйте с бизнес-руководством, чтобы сообщить о крупных инцидентах и определить влияние критически важных систем. Непрерывная совместная практика реагирования на снижение риска организации.
- Модернизация SecOps: развитие операций безопасности путем следующих тенденций, связанных с покрытием платформы, безопасностью, устройствами IoT и OT и соответствующими данными телеметрии из облака.
Защита ресурсов
Безопасные критически важные для бизнеса ресурсы, которые включают все физические и виртуальные элементы, реализуя элементы управления безопасностью, уникальные для каждого типа активов. Последовательно выполняйте профилактическую и детективную защиту в соответствии с политиками, стандартами и архитектурой.
- Получите безопасность: довести ресурсы до последних стандартов безопасности и политики вашей организации, применяя текущие элементы управления к ресурсам браунфилда и гарантируя, что ресурсы гринфилда устанавливаются в самые последние стандарты.
- Оставайтесь безопасными: практики непрерывного улучшения облака и планирования обновления или выхода на пенсию программного обеспечения в качестве бизнеса, технологии и требований к безопасности быстро изменяются.
- Начало работы. Начните защищать ресурсы, сосредоточив внимание на известных облачных ресурсах в первую очередь и используйте известные и проверенные поставщики или отраслевые базовые показатели для конфигурации безопасности.
- Ключевые сведения: используйте ключевые элементы учетных и ответственных команд для управления ресурсами на уровне предприятия, такими как потребности рабочей нагрузки в облаке и элементы управления проектированием, чтобы определить рекомендации. Измеряйте бизнес-ценность защиты активов и предпочитайте автоматическую политику, чтобы избежать затрат и повторения вручную.
Управление безопасностью
Выполняйте надзор и мониторинг с помощью системы управления безопасностью для поддержания и улучшения состояния безопасности с течением времени с помощью бизнес-целей и рисков, чтобы определить лучшее направление безопасности.
- Соответствие требованиям и отчетность. Имеют как внешние, так и внутренние политики безопасности соответствуют обязательным требованиям в данной отрасли.
- Архитектура и стандарты. Создание единого представления в корпоративной недвижимости, так как большинство предприятий являются гибридной средой, которая включает как локальные, так и облачные ресурсы.
- Управление безопасностью. Планирование управления стандартами безопасности, предоставление рекомендаций и улучшение процессов. Обеспечение гибкости путем управления с помощью политики и непрерывного улучшения.
- Дисциплины управления и защиты: применение элементов управления безопасностью и предоставление отзывов для выявления лучших решений.
- Управление и операции безопасности. Убедитесь, что уроки, полученные от инцидентов, интегрируются в операции безопасности и управление.
Инновационная безопасность
Защита процессов и данных инноваций от кибератак, так как новые приложения разрабатываются с учетом инновационной безопасности .
- Что такое DevSecOps?: интегрированная безопасность в уже объединенный процесс разработки и операций в DevOps для снижения рисков в процессе инноваций.
- Безопасная путем проектирования и смены влево: обеспечение безопасности на всех этапах жизненного цикла DevOps и обеспечение соответствия командам по скорости инноваций, надежности и устойчивости.
- Почему DevSecOps?: чтобы защитить процесс DevOps, защищающий от злоумышленников, эксплуатирующих слабые места во всей ИТ-инфраструктуре в вашей организации, которая, в свою очередь, защищает ваших клиентов.
- Путешествие DevSecOps: используйте инкубацию идей и DevOps в качестве двухэтапного процесса, как и большинство организаций. Определите требования MVP (минимальный жизнеспособный продукт), используйте методы руководства для устранения конфликтов команд и интеграции безопасности в существующие процессы и средства.
- Советы при переходе по пути: при преобразовании безопасности на протяжении всего пути будут распространенные проблемы, которые будут включать образование, время, ресурсов и общую смену характера ИТ-операций.
Элементы управления DevSecOps
Добавьте безопасность на каждый этап непрерывной интеграции и непрерывной доставки (CI/CD) при создании элементов управления DevSecOps.
- Защита дизайна: обеспечение безопасности на этапе планирования в современных методологиях разработки для реализации моделирования угроз, подключаемых модулей безопасности интегрированной среды разработки и предварительной фиксации и одноранговой проверки.
- Защитите код: оцените и реализуйте возможность сканирования уязвимостей в централизованных репозиториях, чтобы обнаружить риски и выполнить исправление.
- Защита конвейера. Используйте конвейеры сборки и выпуска для автоматизации и стандартизации для процессов создания и развертывания безопасного кода, не тратя большое время на повторное развертывание или обновление существующих сред.
- Безопасные операции: контролируйте состояние безопасности и управляйте им, когда решение будет доставлено в рабочую среду. Используйте средства сканирования инфраструктуры и методики тестирования на проникновение, чтобы группы могли находить риски и уязвимости для решения.
Цикл разработки на основе тестирования
Прежде чем приступить к повышению безопасности, важно понять "определение готовности" и все "условия приемки". Дополнительные сведения см. в статьях о разработке целевых зон на основе тестирования и разработке на основе тестирования в Azure.
Следующие шаги
Узнайте, как оптимизировать операции с целевыми зонами для поддержки важных приложений.