Planera din säkerhetsberedskap
 Sträva efter att införa och implementera säkerhetsrutiner i beslut och åtgärder för arkitekturdesign med minimal friktion. |
|---|
Som arbetsbelastningsägare har du ett delat ansvar med organisationen för att skydda tillgångar. Skapa en säkerhetsberedskapsplan som är anpassad till affärsprioriteringar. Det kommer att leda till väldefinierade processer, tillräckliga investeringar och lämpliga skulder. Planen ska tillhandahålla arbetsbelastningskraven till organisationen, som också delar ansvaret för att skydda tillgångar. Säkerhetsplaner bör ta hänsyn till din strategi för tillförlitlighet, hälsomodellering och självbevarande.
Förutom organisationstillgångar måste själva arbetsbelastningen skyddas mot intrångs- och exfiltreringsattacker. Alla aspekter av Nolltillit och CIA-triaden bör räknas in i planen.
Funktionella och icke-funktionella krav, budgetbegränsningar och andra överväganden bör inte begränsa säkerhetsinvesteringar eller utspädningsgarantier. Samtidigt måste du skapa och planera säkerhetsinvesteringar med dessa begränsningar i åtanke.
Exempelscenario
Contoso Supermarket har aldrig haft ett kundlojalitetsprogram tidigare, men har beslutat att det är affärsmässigt att bygga ett. NFC-funktioner på kundtelefoner kommer att användas som lösning vid kassan för både självutcheckning och kassaassisterad kassa. En helskärmsläge för självregistrering vid butikens ingång och utgång gör det möjligt för kunder att registrera sig i programmet. Serverdelsbearbetningslösningen kommer att finnas i molnet, men designen har inte slutförts ännu.
Optimera säkerheten genom segmentering
Använd segmentering som en strategi för att planera säkerhetsgränser i arbetsbelastningsmiljön, processerna och teamstrukturen för att isolera åtkomst och funktion.
Segmenteringsstrategin bör drivas av affärskrav. Du kan basera den på kritiska komponenter, arbetsfördelning, sekretessproblem och andra faktorer.
Du kommer att kunna minimera driftsfriktionen genom att definiera roller och upprätta tydliga ansvarslinjer. Den här övningen hjälper dig också att identifiera åtkomstnivån för varje roll, särskilt för konton med kritisk påverkan.
Med isolering kan du begränsa exponeringen av känsliga flöden till endast roller och tillgångar som behöver åtkomst. Överdriven exponering kan oavsiktligt leda till att informationsflödet avslöjas.
Contosos utmaning
- I enkelhetens anda har teamet historiskt gynnat låga omkostnader. Dessa metoder har inkluderat samlokalisering av olika arbetsbelastningskomponenter för att minska hanteringsytan och organisera olika individer i säkerhetsgrupper för att förenkla åtkomsthanteringen.
- Tyvärr var en QA-praktikant som beviljades bred åtkomst till den nya distributionsmiljön på grund av deras medlemskap i säkerhetsgruppen föremål för en social ingenjörsattack som ledde till en kompromiss av deras konto.
- Angriparen kunde kompromettera konfidentialiteten för inte bara distributionen, utan alla andra som körs på samma programplattform.
Tillämpa metoden och resultaten
- Lyckligtvis var den komprometterade miljön värd för en tidig testprototyp av arbetsbelastningen; medan de utformar det nya kundlojalitetsprogramsystemet för point-of-sale-systemet, så inga produktionssystem överträddes.
- Arbetsbelastningssäkerhetsteamet planerar att investera tid och pengar för att utforma arbetsbelastningen för att isolera system som hanterar personligt identifierbar information (PII), till exempel kundernas adress och e-post, från de komponenter som inte gör det (till exempel kuponger för produkter); utforma åtkomstkontroller som behöver känna till och just-in-time (JIT) där det är möjligt. och isolera nätverk både inom arbetsbelastningen för att skydda andra komponenter och tillbaka till Contoso för att skydda organisationen.
- Genom segmentering kan en kompromiss fortfarande påverka aspekter av arbetsbelastningen, men explosionsradien kommer att finnas.
Hantera incidenter effektivt
Kontrollera att det finns en incidenthanteringsplan för din arbetsbelastning. Använd branschramverk som definierar standardproceduren för beredskap, identifiering, inneslutning, åtgärd och aktivitet efter incident.
Vid tidpunkten för krisen måste förvirring undvikas. Om du har en väldokumenterad plan kan ansvarsfulla roller fokusera på körning utan att slösa tid på osäkra åtgärder. Dessutom kan en omfattande plan hjälpa dig att se till att alla reparationskrav uppfylls.
Contosos utmaning
- Arbetsbelastningsteamet börjar formalisera återförsäljares supportkanaler, kundsupportkanaler och tekniska jourrotationer för supporteskaleringar och avbrott.
- De har inte tagit upp säkerhet specifikt i dessa planer. De vet inte heller vad Contoso, som en organisation erbjuder för support.
Tillämpa metoden och resultaten
- Arbetsbelastningsteamet arbetar med Contosos säkerhetsteam för att förstå efterlevnadskrav för hantering av PII av detta slag, både ur ett organisationsperspektiv och ur ett externt efterlevnadsperspektiv.
- Teamet skapar en plan för säkerhetsidentifiering, minskning och eskalering, inklusive standardiserade kommunikationskrav för incidenter.
- Arbetsbelastningsteamet känner sig nu lika bekväma med beredskapen för säkerhetsincidenter som med deras tillförlitlighetsstöd. De planerar att borra på säkerhetsincidenter för att torrköra och förfina planen innan de går live med systemet.
Kodifiera säkra drifts- och utvecklingsmetoder
Definiera och framtvinga säkerhetsstandarder på teamnivå under hela arbetsbelastningens livscykel och drift. Sträva efter konsekventa metoder i åtgärder som kodning, gated approvals, versionshantering och dataskydd och kvarhållning.
Att definiera bra säkerhetsrutiner kan minimera försumlighet och ytan för potentiella fel. Teamet optimerar arbetet och resultatet blir förutsägbart eftersom metoderna blir mer konsekventa.
Genom att följa säkerhetsstandarder över tid kan du identifiera möjligheter till förbättringar, inklusive automatisering, vilket effektiviserar arbetet ytterligare och ökar konsekvensen.
Contosos utmaning
- När du har förberett för incidenthantering bestämmer arbetsbelastningsteamet att de behöver investera tid och arbete för att förhindra problem från början.
- De har för närvarande ingen specifik säker utvecklingslivscykel i åtanke och planerar att använda samma processer som de använde i tidigare projekt.
Tillämpa metoden och resultaten
- Även om den här arbetsbelastningen inte innehåller strikt konfidentiella data som kreditkortsinformation behandlar teamet sina kunders data med respekt och är medvetna om att det finns lokala och federala regler som måste följas för de typer av data som ska lagras.
- Teamet investerar i att lära sig om aktuella säkra utvecklings- och driftsmetoder av branschstandard och vidtar åtgärder som de tidigare hade saknat.
- Teamet delar också sin utbildning med Contosos säkerhetsteam för att säkerställa att bästa praxis antas i hela företaget.