Güvenlik tasarım ilkeleri

Well-Architected iş yükü sıfır güven yaklaşımıyla oluşturulmalıdır. Güvenli iş yükü saldırılara dayanıklıdır ve iş hedeflerine ulaşmanın yanı sıra gizlilik , bütünlük ve kullanılabilirlik ( CIA triad olarak da bilinir) ile ilişkili güvenlik ilkelerini de içerir. Herhangi bir güvenlik olayı, iş yükünün veya kuruluşun markasını ve itibarını zedeleyen büyük bir ihlal olma potansiyeline sahiptir. Bir iş yüküne yönelik genel stratejinizin güvenlik etkinliğini ölçmek için şu sorularla başlayın:

• Savunma yatırımlarınız, saldırganların iş yükünüzü tehlikeye atmasını önlemek için anlamlı maliyet ve uyuşmalar sağlıyor mu?

• Güvenlik önlemleriniz bir olayın patlama yarıçapını kısıtlamada etkili olacak mı?

• İş yükünü denetlemenin bir saldırgan için ne kadar değerli olabileceğini anlıyor musunuz? İş yükünün ve verilerinin çalındığı, kullanılamadığı veya üzerinde oynandığı durumda işletmenizin üzerindeki etkisini anlıyor musunuz?

• İş yükü ve işlemler kesintileri hızla algılayabilir, yanıtlayabilir ve kurtarabilir mi?

Sisteminizi tasarladığınızda, güvenlik risklerini azaltmak için pusula olarak Microsoft Zero Trust modelini kullanın:

• Yalnızca güvenilen kimliklerinbeklenen konumlardan kaynaklanan hedeflenen ve izin verilen eylemleri gerçekleştirmesi için açıkça doğrulayın. Bu koruma, saldırganların yasal kullanıcı ve hesaplarına bürünmesini daha zordur.

• En az ayrıcalıklı erişimidoğru kimlikler, doğru izin kümesi, doğru süre ve doğru varlıklar için kullanın. İzinlerin sınırlandırılması, saldırganların yasal kullanıcıların ihtiyaç duymadığı izinleri suistimal etmesini engeller.

• Güvenlik denetimlerinin ihlalini varsayarak, birincil savunma katmanı başarısız olursa riski ve hasarı sınırlandıran telafi edici denetimler tasarlayın. Böylece, başarıyla ilgilenen bir saldırgan gibi (nasıl elde ettiklerine bakılmaksızın) iş yükünüzü daha iyi korumaya yardımcı olur.

Güvenlik bir kerelik bir çaba değil. Bu kılavuzu yinelenen aralıkla uygulamanız gerekir. Geliştirilmiş ve otomatik saldırı setlerine eklenen yenilikçi saldırı vektörlerine sürekli erişim elde eden saldırganlardan iş yükünüzü güvende tutmaya yardımcı olmak için savunma ve güvenlik bilgilerinizi sürekli geliştirin.

Tasarım ilkeleri, saldırganların girişimleri sürekli geliştikçe iş yükünüzün güvenlik duruşunu sürekli geliştirmenize yardımcı olmak için sürekli bir güvenlik anlayışı oluşturmaya yöneliktir. Bu ilkeler mimarinizin, tasarım seçimlerinizin ve operasyonel süreçlerinizin güvenliğine yol göstermelidir. Önerilen yaklaşımlarla başlayın ve bir dizi güvenlik gereksiniminin faydalarını temellendirin. Stratejinizi ayarladıktan sonra, sonraki adımınız olarak Güvenlik denetim listesini kullanarak eylemleri yönlendirin.

Bu ilkeler doğru uygulanmazsa işletme operasyonlarının ve gelirlerin olumsuz etkisi beklenebilir. Yasal iş yüklerinin cezaları gibi bazı sonuçlar belli olabilir. Diğerleri bu kadar belirgin olmayabilir ve algılanmadan önce devam eden güvenlik sorunlarına yol açabilir.

Görev açısından kritik iş yüklerinin çoğunda, güvenliğin yanı sıra güvenilirliğin yanı sıra, veri filtreleme gibi bazı saldırı vektörlerinin güvenilirliği etkilemediğinden, güvenlik birincil sorundur. Güvenlik odaklı tasarım hata noktalarını ortaya çıkarabildiği için, güvenlik ve güvenilirlik iş yükünü ters yönlere çekebilir ve operasyonel karmaşıklığı artırabilir. Güvenliğin güvenilirlik üzerindeki etkisi, çalıştırma kısıtlamalarıyla ortaya koyulan, genellikle dolaylıdır. Güvenlik ve güvenilirlik arasındaki takasları dikkatlice düşünün.

Bu ilkeleri izleyerek, güvenlik verimliliğini, iş yükü varlıklarını geliştirebilir ve kullanıcılarınıza güven oluşturabilirsiniz.

Güvenlik hazırlığınızı planlama

Mimari tasarım kararlarında ve operasyonlarında güvenlik uygulamalarını en düşük düzeyde sürtüşmelerle benimsemeye ve uygulamaya çabalayın.

İş yükü sahibi olarak, varlıkları korumak için kuruluşla paylaşılan bir sorumluluğunuz vardır. İş öncelikleriyle uyumlu bir güvenlik hazırlığı planı oluşturun. İyi tanımlanmış süreçlere, yeterli yatırımlara ve uygun sorumluluklara yol açar. Plan, kuruluşa iş yükü gereksinimlerini sağlamalı ve varlıkları koruma sorumluluğunu da paylaşmalıdır. Güvenlik planları güvenilirlik, sağlık modelleme ve kendini koruma stratejinizi dikkate almalıdır.

Kuruluş varlıklarına ek olarak, iş yükünün izinsiz giriş ve sızdırma saldırılarına karşı korunması gerekir. Zero Trust ve CIA üçlüsünün tüm modelleri plana dahil edilmelidir.

İşlevsel ve işlevsel olmayan gereksinimler, bütçe kısıtlamaları ve diğer önemli noktalar güvenlik yatırımlarını kısıtlamamalı veya güvenceleri daraltmamalıdır. Aynı zamanda, güvenlik yatırımlarını bu kısıtlamaları ve kısıtlamaları göz önünde bulundurarak tasarlamanız ve planlamanız gerekir.

Yaklaşım	Fayda
Erişimi ve işlevi yalıtmak için iş yükü ortamında, işlemlerde ve ekip yapısında güvenlik sınırlarını planlamak için segmentasyonu bir strateji olarak kullanın. Segmentasyon stratejiniz iş gereksinimlerine göre yönlendirilmelidir. Bileşenleri, iş gücünün bölünmesini, gizlilik endişelerini ve diğer faktörlerin kritikliğine dayandırabilirsiniz.	Rolleri tanımlayarak ve net sorumluluk satırları oluşturarak operasyonel uyuşmaları en aza indirebileceksiniz. Bu alıştırma, özellikle kritik etkiye neden olan hesaplar için her rol için erişim düzeyini belirlemenize de yardımcı olur. Yalıtım, hassas akışların açığa çıkarmasını yalnızca erişim gerektiren roller ve varlıklarla sınırlamanıza olanak tanır. Aşırı maruz kalma istemeden bilgi akışının açığa çıkmasına neden olabilir. Özetlemek gerekirse, güvenlik çalışmalarını her segmentin gereksinimlerine göre doğru boyutlandırabileceksiniz .
Kuruluşun gereksinimlerini ve iş yükünün kullanım örneklerini karşılayan rol tabanlı güvenlik eğitimi aracılığıyla sürekli beceriler oluşturun.	Yüksek beceriye sahip bir ekip, sürekli olarak sistemden yararlanmanın yeni yollarını arayan saldırganlara karşı etkili olmaya devam eden güvenlik denetimleri tasarlayabilir, uygulayabilir ve izleyebilir. Kuruluş genelinde eğitim genellikle ortak öğelerin güvenliğini sağlamak için daha geniş bir beceri kümesi geliştirmeye odaklanır. Ancak rol tabanlı eğitim sayesinde iş yükü endişelerini gideren platform tekliflerinde ve güvenlik özelliklerinde derin uzmanlık geliştirmeye odaklanırsınız. İyi tasarım ve etkili operasyonlarla saldırganlara karşı savunmak için her iki yaklaşımı da uygulamanız gerekir.
İş yükünüz için bir olay yanıt planı olduğundan emin olun. Hazırlık, algılama, kapsama, azaltma ve olay sonrası etkinlik için standart çalışma yordamını tanımlayan endüstri çerçevelerini kullanın.	Kriz zamanında karışıklıklardan kaçınılmalıdır. İyi belgelenmiş bir planınız varsa, sorumlu roller belirsiz eylemlere zaman kaybetmeden yürütmeye odaklanabilir . Ayrıca kapsamlı bir plan, tüm düzeltme gereksinimlerinin karşılandığından emin olmanıza yardımcı olabilir.
Kurumsal ilkeler, mevzuat uyumluluğu ve sektör standartları gibi iş yükü ekibinin dışındaki etkilerden kaynaklanan güvenlik uyumluluğu gereksinimlerini anlayarak güvenlik duruşunuzu güçlendirin.	Uyumluluk gereksinimleriyle ilgili netlik , doğru güvenlik güvenceleri için tasarlamanıza ve uyumsuzluk sorunlarını önlemenize yardımcı olur ve bu da cezalara yol açabilir. Sektör standartları bir temel sağlayabilir ve seçtiğiniz araçlar, ilkeler, güvenlik önlemleri, yönergeler, risk yönetimi yaklaşımları ve eğitim seçeneklerinizi etkileyebilir. İş yükünün uyumluluğa uygun olduğunu biliyorsanız, kullanıcı tabanınıza güven aşılayabileceksiniz .
İş yükünün yaşam döngüsü ve işlemleri genelinde ekip düzeyinde güvenlik standartlarını tanımlayın ve uygulayın. Kodlama, geçitli onaylar, yayın yönetimi, veri koruma ve saklama gibi işlemlerde tutarlı uygulamalar için çaba gösterin.	İyi güvenlik uygulamalarının tanımlanması, ihmali ve yüzey alanını olası hatalar için en aza indirgeyebilir . Ekip , çalışmaları iyileştirir ve yaklaşımlar daha tutarlı hale getirildiğinden sonuç tahmin edilebilir olacaktır . Zaman içinde güvenlik standartlarını gözlemlemek , büyük olasılıkla otomasyon da dahil olmak üzere geliştirme fırsatlarını belirlemenize olanak tanır ve bu da çabaları daha da kolaylaştıracak ve tutarlılığı artıracaktır.
Olay yanıtınızı kuruluşunuzdaki Güvenlik İşlem Merkezi (SOC) merkezi işleviyle hizalayın.	Olay yanıtı işlevlerini merkezi hale getirmek, olası tehditleri en kısa sürede ele almak için olayları gerçek zamanlı olarak algılayan özel BT uzmanlarından yararlanmanızı sağlar.

Gizliliği korumak için tasarım

Erişim kısıtlamaları ve gizleme teknikleri aracılığıyla gizlilik, mevzuat, uygulama ve özel bilgilerin açığa çıkmasını önleyin.

İş yükü verileri kullanıcı, kullanım, yapılandırma, uyumluluk, fikri mülkiyet ve daha fazlası tarafından sınıflandırılabilir. Bu veriler, yerleşik güven sınırları dışında paylaşılamaz veya erişemez. Gizliliği koruma çabaları erişim denetimlerine, opaklığa ve verilerle ve sistemle ilgili etkinliklerin denetim kaydını tutmaya odaklanmalıdır.

Yaklaşım	Fayda
Yalnızca bilinmesi gereken bir temelde erişim veren güçlü erişim denetimleri uygulayın.	En az ayrıcalık. İş yükü yetkisiz erişime ve yasaklanmış etkinliklere karşı korunacaktır. Erişim güvenilir kimliklerden olsa bile, iletişim yolu sınırlı bir süre açık olduğundan erişim izinleri ve pozlama süresi en aza indirilir .
Verileri türüne, duyarlılığına ve olası risklerine göre sınıflandırabilirsiniz. Her birine bir gizlilik düzeyi atayın. Tanımlanan düzeyin kapsamında olan sistem bileşenlerini dahil edin.	Açıkça doğrulayın. Bu değerlendirme, güvenlik önlemlerini doğru boyutlandırmanıza yardımcı olur. Ayrıca , yüksek olası etkiye ve/veya risklere maruz kalma olasılığı olan verileri ve bileşenleri de belirleyebilirsiniz. Bu alıştırma, bilgi koruma stratejinize netlik kazandırır ve sözleşmenin sağlanmasına yardımcı olur.
Şifreleme kullanarak verilerinizi beklerken, aktarılırken ve işlenirken koruyun. Stratejinizi atanan gizlilik düzeyine dayandırın.	İhlal olduğunu varsayalım. Bir saldırgan erişim elde edebilse bile , düzgün şifrelenmiş hassas verileri okuyamaz . Hassas veriler, sistemin içinde daha fazla erişim elde etmek için kullanılan yapılandırma bilgilerini içerir. Veri şifreleme riskleri kontrol etmenize yardımcı olabilir.
Bilgilerin gereksiz bir şekilde ifşa edilmesine neden olabilecek istismarlara karşı koruma.	Açıkça doğrulayın. Kimlik doğrulama ve yetkilendirme uygulamaları, kod, yapılandırmalar, operasyonlar ve sistem kullanıcılarının sosyal alışkanlıklarından kaynaklanan güvenlik açıklarını en aza indirmek çok önemlidir. Güncel güvenlik önlemleri , bilinen güvenlik açıklarının sisteme girmesini engellemenizi sağlar. Ayrıca, geliştirme döngüsü boyunca düzenli işlemler uygulayarak ve güvenlik güvencelerini sürekli geliştirerek zaman içinde ortaya çıkabilen yeni güvenlik açıklarını azaltabilirsiniz.
Verilere kötü amaçlı veya yanlışlıkla erişimden kaynaklanan veri sızdırmaya karşı koruma.	İhlal olduğunu varsayalım. Yetkisiz veri aktarımını engelleyerek patlama yarıçapını kontrol edebileceksiniz. Ayrıca ağ, kimlik ve şifrelemeye uygulanan denetimler çeşitli katmanlardaki verileri korur.
Verilerin sistemin çeşitli bileşenleri aracılığıyla akmasıyla gizlilik düzeyini koruyun.	İhlal olduğunu varsayalım. Sistem genelinde gizlilik düzeylerini zorunlu tutma, tutarlı bir sağlamlaştırma düzeyi sağlamanıza olanak tanır. Bunun yapılması, verilerin daha düşük bir güvenlik katmanına taşınmasına neden olabilecek güvenlik açıklarını engelleyebilir .
Her tür erişim etkinliğinin denetim kaydını tutma.	İhlal olduğunu varsayalım. Denetim günlükleri, olaylar durumunda daha hızlı algılama ve kurtarmayı destekler ve sürekli güvenlik izlemesine yardımcı olur.

Bütünlüğü korumak için tasarım

Sistemin amaçlanan yardımcı programını sunmasını durdurabilecek veya belirtilen sınırların dışında çalışmasına neden olabilecek kesintileri önlemek için tasarım, uygulama, işlemler ve verilerin bozulmasını önleyin. Sistem, iş yükü yaşam döngüsü boyunca bilgi güvencesi sağlamalıdır.

Önemli olan iş mantığının, akışların, dağıtım işlemlerinin, verilerin ve hatta işletim sistemi ve önyükleme dizisi gibi alt yığın bileşenlerinin kurcalanmasını engelleyen denetimler uygulamaktır. Bütünlük eksikliği, gizlilik ve kullanılabilirlik ihlallerine yol açabilecek güvenlik açıklarına neden olabilir.

Yaklaşım	Fayda
Sistemin kimliğini doğrulayan ve erişimi yetkilendirilen güçlü erişim denetimleri uygulayın. Ayrıcalık, kapsam ve zamana göre erişimi en aza indirin.	En az ayrıcalık. Denetimlerin gücüne bağlı olarak, onaylanmamış değişikliklerin risklerini önleyebilir veya azaltabilirsiniz. Bu, verilerin tutarlı ve güvenilir olmasını sağlamaya yardımcı olur. Erişimi en aza indirmek olası bozulmanın kapsamını sınırlar.
Güvenlik açıklarına karşı sürekli koruma sağlayın ve saldırganların altyapınıza, derleme sisteminize, araçlarınıza, kitaplıklarınıza ve diğer bağımlılıklarınıza yazılım hataları eklemesini engellemek için bunları tedarik zincirinizde algılayın. Tedarik zinciri, derleme ve çalışma zamanında güvenlik açığı taraması yapmalıdır.	İhlal olduğunu varsayalım. Yazılımın kaynağını bilmek ve yaşam döngüsü boyunca orijinalliğini doğrulamak öngörülebilirlik sağlayacaktır. Güvenlik açıklarını önceden iyi biliyor olacaksınız, böylece bunları proaktif olarak düzeltebilir ve sistemin üretimde güvenliğini sağlayabilirsiniz.
Kanıtlama, kod imzalama, sertifikalar ve şifreleme gibi şifreleme tekniklerini kullanarak güven oluşturun ve doğrulayın. Saygın şifre çözme işlemlerine izin vererek bu mekanizmaları koruyun.	Açıkça doğrula, en az ayrıcalık. Verilerde yapılan değişikliklerin veya sisteme erişimin güvenilir bir kaynak tarafından doğrulandığını bilirsiniz. Şifrelenmiş veriler kötü amaçlı bir aktör tarafından aktarım sırasında kesilse bile, aktör içeriğin kilidini veya şifresini çözemez. İletim sırasında verilerin değiştirilmediğinden emin olmak için dijital imzaları kullanabilirsiniz.
Veriler çoğaltıldığında veya aktarıldığında yedekleme verilerinin sabit ve şifrelenmiş olduğundan emin olun.	Açıkça doğrulayın. Yedekleme verisinin bekleme halinde iken yanlışlıkla veya kötü niyetli bir şekilde değiştirilmediğinden emin olarak verileri güvenle kurtarabileceksiniz.
İş yükünüzün hedeflenen sınırların ve amaçların dışında çalışmasına olanak sağlayan sistem uygulamalarından kaçının veya azaltın.	Açıkça doğrulayın. Sisteminizde, kullanımın hedeflenen sınırlar ve amaçlarla uyumlu olup olmadığını denetleyebilen güçlü korumalar olduğunda, işlem, ağ ve veri depolarınızın olası kötüye kullanımı veya kurcalama kapsamı azalır.

Kullanılabilirliği korumak için tasarım

Güçlü güvenlik denetimleri kullanarak bir güvenlik olayı durumunda sistem ve iş yükü kapalı kalma süresini ve düşüşü önleyin veya en aza indirin. Olay sırasında ve sistem kurtarıldıktan sonra veri bütünlüğünü korumanız gerekir.

Kullanılabilirlik mimarisi seçimlerini güvenlik mimarisi seçenekleriyle dengelemeniz gerekir. Kullanıcıların verilere erişimi olduğundan ve verilere erişilebilir olduğundan emin olmak için sistemin kullanılabilirlik garantileri olmalıdır. Güvenlik perspektifinden, kullanıcılar izin verilen erişim kapsamı içinde çalışmalı ve verilere güvenilmelidir. Güvenlik denetimleri kötü aktörleri engellemelidir, ancak geçerli kullanıcıların sisteme ve verilere erişimini engellememelidir.

Yaklaşım	Fayda
Güvenliği aşılmış kimliklerin sistemin denetimini elde etmek için erişimi kötüye kullanmasını önleyin. Riskin en aza indirilmesi için aşırı yaygın kapsam ve zaman sınırlarını denetleyin.	En az ayrıcalık. Bu strateji, kritik kaynaklardaki aşırı, gereksiz veya hatalı erişim izinlerinin risklerini azaltır . Riskler arasında yetkisiz değişiklikler ve hatta kaynakların silinmesi yer alır. Platformun sağladığı tam zamanında (JIT), yeterli erişim (JEA) ve zaman bazlı güvenlik modlarını kullanarak mevcut kalıcı izinleri mümkün olduğunca değiştirin.
Saldırıların ve kod açıklarının kaynak tükenmesine ve erişimi engellemesine neden olmasını önlemek için güvenlik denetimlerini ve tasarım desenlerini kullanın.	Açıkça doğrulayın. Sistem, dağıtılmış hizmet reddi (DDoS) saldırıları gibi kötü amaçlı eylemlerden kaynaklanan kapalı kalma süresiyle karşılaşmaz .
Uygulama kodu, ağ protokolleri, kimlik sistemleri, kötü amaçlı yazılım koruması ve diğer alanlardaki güvenlik açıklarından yararlanan saldırı vektörleri için önleyici önlemler uygulayın.	İhlal olduğunu varsayalım. Kod tarayıcıları uygulayın, en son güvenlik düzeltme eklerini uygulayın, yazılımı güncelleştirin ve sisteminizi sürekli olarak etkili kötü amaçlı yazılımdan koruma yazılımıyla koruyun. İş sürekliliğini sağlamak için saldırı yüzeyini azaltabileceksiniz.
Sistemdeki risklere açık kritik bileşenler ve akışlar üzerinde güvenlik denetimlerinin önceliğini belirleyin.	İhlal olduğunu varsayalım, açıkça doğrulayın. Düzenli algılama ve öncelik belirleme alıştırmaları, sistemin kritik yönlerine güvenlik uzmanlığı uygulamanıza yardımcı olabilir. En olası ve zarar verici tehditlere odaklanabilecek ve en çok dikkat edilmesi gereken alanlarda risk azaltmayı başlatabileceksiniz.
Kurtarma kaynaklarınızda ve işlemlerinizde güvenlik denetimleri ve yedekleme sıklığı dahil olmak üzere birincil ortamda yaptığınız güvenlik katılığının en az aynı düzeyini uygulayın.	İhlal olduğunu varsayalım. Olağanüstü durum kurtarma için korunmuş bir güvenli sistem durumunuz olmalıdır. Eğer bunu yaparsanız, güvenli bir ikincil sisteme veya konuma geçiş yapabilir ve tehdit oluşturmayacak yedeklemeleri geri yükleyebilirsiniz. İyi tasarlanmış bir işlem, bir güvenlik olayının kurtarma işlemini engellemesini engelleyebilir. Bozuk yedekleme verileri veya şifresi kaldırılabilen şifrelenmiş veriler kurtarmayı yavaşlatabilir.

Güvenlik duruşunuzu sürdürme ve geliştirme

Sürekli iyileştirmeyi dahil edin ve saldırı stratejilerini sürekli geliştiren saldırganların önüne geçmek için dikkatli olun.

Güvenlik duruşunuz zaman içinde azalmamalıdır. Yeni kesintilerin daha verimli bir şekilde ele alınabilmesi için güvenlik operasyonlarını sürekli geliştirmeniz gerekir. İyileştirmeleri endüstri standartları tarafından tanımlanan aşamalarla uyumlu hale getirmek için çabalayın. Bunu yapmak daha iyi hazırlık, olay tespit süresini kısaltma ve etkili durdurma ve azaltmaya yol açar. Sürekli iyileştirme, geçmiş olaylardan alınan derslere dayandırılmalıdır.

Gelişen tehditler karşısında güvenlik duruşunuzu sürekli iyileştirmek için güvenlik duruşunuzu ölçmeniz, bu duruşu korumak için ilkeleri zorunlu tutmanız ve güvenlik azaltmalarınızı ve telafi denetimlerinizi düzenli olarak doğrulamanız önemlidir.

Yaklaşım	Fayda
Kaynaklar, konumlar, bağımlılıklar, sahipler ve güvenlikle ilgili diğer meta veriler hakkında sınıflandırılmış bilgileri içeren kapsamlı bir varlık envanteri oluşturun ve koruyun. Mümkün olduğunca sistemden veri türetmek için envanteri otomatikleştirin .	İyi düzenlenmiş bir envanter, ortamın bütünsel bir görünümünü sağlar ve bu da sizi özellikle olay sonrası etkinlikler sırasında saldırganlara karşı avantajlı bir konuma getirir. Ayrıca iletişimi, kritik bileşenlerin bakımını ve yetim kaynakların devre dışı bırakılmasını sağlamak için bir iş ritmi oluşturur.
Olası tehditleri tanımlamak ve azaltmak için tehdit modellemesi gerçekleştirin.	Önem derecelerine göre önceliklendirilmiş saldırı vektörleri raporunuz olacak. Tehditleri ve güvenlik açıklarını hızla belirleyebilecek ve karşı önlemler oluşturabileceksiniz.
Geçerli durumunuzu yerleşik güvenlik temelinize göre ölçmek için düzenli olarak verileri yakalayın ve düzeltmeler için öncelikleri ayarlayın. Güvenlik duruşu yönetimi ve dış ve iç kuruluşlar tarafından uygulanan uyumluluğun uygulanması için platform tarafından sağlanan özelliklerden yararlanın.	Odak alanlarına netlik ve fikir birliği getiren doğru raporlara ihtiyacınız vardır. En yüksek öncelikli öğelerden başlayarak teknik düzeltmeleri hemen yürütebileceksiniz. Ayrıca, iyileştirme fırsatları sağlayan boşlukları da belirleyeceksiniz. Zorlama uygulamak, güvenlik duruşunuzu koruyan ihlalleri ve regresyonları önlemeye yardımcı olur.
Düzenli güvenlik testleri, iş yükü ekibinin dışındaki uzmanlar tarafından sistemi etik olarak hacklemeye çalışan şekilde gerçekleştirilir. Altyapı, bağımlılıklar ve uygulama kodundaki açıkları algılamak için rutin ve tümleşik güvenlik açığı taraması gerçekleştirin.	Bu testler, sızma testi gibi teknikler kullanarak gerçek dünya saldırılarının simülasyonunu yaparak güvenlik savunmalarını doğrulamanızı sağlar. Tehditler, değişiklik yönetiminizin bir parçası olarak kullanıma sunulur. Tarayıcıları dağıtım işlem hatlarıyla tümleştirmek, güvenlik açıklarını otomatik olarak algılamanızı ve hatta güvenlik açıkları kaldırılana kadar kullanımı karantinaya almanızı sağlar.
Hızlı ve etkili güvenlik işlemleriyle algılama, yanıtlama ve kurtarma.	Bu yaklaşımın birincil avantajı, bir saldırı sırasında ve sonrasında CIA üçlüsünün güvenlik güvencelerini korumanıza veya geri yüklemenize olanak sağlamasıdır. Araştırmalarınızı başlatabilmeniz ve uygun eylemleri gerçekleştirebilmeniz için bir tehdit algılanır algılanmaz uyarı almanız gerekir.
Kök neden analizleri, otopsiler ve olay raporları gibi olay sonrası etkinlikleri gerçekleştirin.	Bu etkinlikler, ihlalin etkisine ve savunma ve operasyonlarda iyileştirmeleri yönlendiren çözüm önlemlerine ilişkin içgörü sağlar.
Güncel olun ve güncel kalın. Güncelleştirmeler, yama uygulama ve güvenlik düzeltmeleri hakkında güncel kalmayı ihmal etmeyin. Sistemi sürekli olarak değerlendirin ve denetim raporlarına, karşılaştırmalara ve test etkinliklerinden alınan derslere göre geliştirin. Uygun şekilde otomasyonu göz önünde bulundurun. Tehditlerin dinamik olarak algılanması için güvenlik analizi tarafından desteklenen tehdit zekasını kullanın. Düzenli aralıklarla iş yükünün Güvenlik Geliştirme Yaşam Döngüsü (SDL) en iyi yöntemlerine uyumluluğunu gözden geçirin.	Güvenlik duruşunuzun zaman içinde azalmadığından emin olabilirsiniz. Gerçek dünyadaki saldırılardan ve test etkinliklerinden elde edilen bulguları tümleştirerek, yeni güvenlik açığı kategorilerini sürekli geliştiren ve bu kategorilerden yararlanan saldırganlarla mücadele edebileceksiniz. Yinelenen görevlerin otomasyonu, risk oluşturabilecek insan hatası olasılığını azaltır . SDL incelemeleri, güvenlik özellikleriyle ilgili netlik getirir. SDL, kaynak, kullanım, operasyonel zayıflıklar ve diğer faktörleri kapsayan iş yükü varlıklarının ve bunların güvenlik raporlarının envanterini tutmanıza yardımcı olabilir.

Sonraki Adımlar

Güvenlik denetim listesi