Aracılığıyla paylaş

Bağımsızlık gereksinimlerinin değerlendirilmesi

  • Makale

Azure için Microsoft Bulut Benimseme Çerçevesi, bulut mimarlarının, BT profesyonellerinin ve iş karar vericilerinin bulutu benimseme hedeflerine ulaşmalarına yardımcı olan tam bir yaşam döngüsü çerçevesidir. Bulut için iş ve teknoloji stratejileri oluşturmaya ve uygulamaya yardımcı olacak en iyi uygulamaları, belgeleri ve araçları sağlar. Katı bağımsızlık gereksinimleri olan Kamu Sektörü kuruluşları, bağımsızlık hedeflerini planlama çalışmalarına dahil edebilir, böylece bulutun benimsenmesine ilişkin stratejik kararlar bu bağımsızlık gereksinimleriyle uyumlu hale gelir.

Bu makale kuruluşların bağımsızlık gereksinimlerini değerlendirmek, tanımlamak ve belgelemek isteyebileceği alanlara odaklanır ve bu gereksinimlerin Azure için Bulut Benimseme Çerçevesi ile ilişkili daha geniş planlama çalışmalarına nerede uyabileceğine ilişkin öneriler sunar.

Bağımsız verileri tanımlayın

Veri bağımsızlığı gereksinimleri, verilerin sahipliğini korumaya yönelik talimatları içerebilir ve verilerin depolanması, kullanılması ve iletilmesine yönelik yöntemleri belirleyebilir. Bazen veri bağımsızlığı gereksinimleri, veri yerleşimine ilişkin sınırlamaları veya zorunlulukları da içerebilir. Bu gereksinimleri bir kuruluşun bulut yolculuğunun erken safhalarında anlamak, iş yükü sahiplerinin bağımsızlık gereksinimlerini karşılamaya yönelik çözümler geliştirmesini beklemek yerine, veri bağımsızlığı için ortak tasarım modellerinin oluşturulmasına yardımcı olabilir.

Azure için Bulut Benimseme Çerçevesini izleyen kuruluşlar, planlama aşamasında buluta geçirilecek aday iş yüklerini belirler ve ardından hazırlık aşamasında bu iş yüklerini barındıracak ortamı tasarlar. Bu etkinlikler, bir kuruluşun hedef durum bulut ortamında özel işlem gerektiren bağımsız veri türlerini tanımlamasına olanak tanıyabilir.

Microsoft, çevrimiçi ve profesyonel hizmetler sunmak için Microsoft'a sağlanan kişisel bilgiler ve bulut hizmetlerine yüklenen müşteri verileri gibi birçok veri türünü kullanır. Microsoft'un veri koruma sorumlulukları, Microsoft Ürünleri ve Hizmetleri Veri Koruma Eki'nde (DPA) belgelenmiştir ve bir kuruluşun Microsoft ile yaptığı sözleşmelere dahil edilmiştir. DPA, Microsoft'un yönettiği farklı veri türlerini belirtir ve bu veri türlerini korumak için Microsoft tarafından kullanılan uygulamaları açıklar.

Pek çok kuruluş, hassas verilerin işlenmesine yönelik gereksinimleri belirleyen mevcut veri yönetişim programlarına sahiptir ve bu bilgileri, veri bağımsızlığı gereksinimlerinin veri sınıflandırmalarının tamamına mı yoksa yalnızca bir alt kümesine mi uygulanacağını belirlemek için kullanabilir. Bir kuruluş, verilerini bir bulut hizmetine yüklediğinde ve muhafaza ettiğinde, veri işleme gereksinimlerine uygun olarak verileri doğru bir şekilde sınıflandırmak, etiketlemek ve yönetmek onların sorumluluğundadır. Bazı kuruluşlar bulutu benimsemeyi veri sınıflandırma programlarını gözden geçirme fırsatı olarak kullanmak isteyebilir.

Veri sınıflandırmasının bulutun benimsenmesine nasıl uygulandığı hakkında daha fazla bilgi için bkz. Azure'da veri sınıflandırması ve Bulut yönetişim kılavuzları.

Veri bağımsızlığı gereksinimlerine örnekler

Katı veri bağımsızlığı gereksinimlerine sahip kuruluşların, iş yüklerini buluta geçirirken aşağıdaki temsili senaryolardan bazılarını planlamaları gerekebilir.

Veri sınıflandırma etiketlemesi

Sınıflandırma etiketleri, özel kullanım gereksinimleri olan kaynakları tanımlar. Sınıflandırma etiketleri belgelere uygulanabildiği gibi varlıklara da uygulanabilmektedir. Müşteriler, hesaplama hizmetleri ve veri depoları gibi kaynaklara ve Azure'daki abonelikler ve yönetim grupları gibi mantıksal yapılara sınıflandırma etiketleri uygulamak için Azure'daki yerel etiketleme özelliklerini kullanabilir.

Daha fazla bilgi için bakınız Azure'da etiketleme ve Microsoft Purview eKeşif çözümleri.

Veri sınıflandırma sınırları

Bir kuruluş benzer bir sınıflandırmadaki verileri (veya uygulamaları) toplamayı seçtiğinde, genellikle veri depolamaya izin verilen konumun sınırı olarak hizmet vermek üzere bir güvenlik çevresi dağıtılır. Müşteriler Azure'da iş yüklerini dağıtırken, kuruluşun bulut ortamında mantıksal sınırlar oluşturmak için abonelikleri ve yönetim gruplarını kullanabilirler. Bu sınırlar, yetkisiz erişimle ilgili gizlilik risklerinin ve veri toplama ve ilişkilendirmeyle ilgili gizlilik risklerinin azaltılmasına yardımcı olur.

Katı veri bağımsızlığı gereksinimlerine sahip kuruluşlar, ortamlarını daha yüksek ayrıcalık düzeylerinin daha düşük ayrıcalık düzeylerini devraldığı hiyerarşik bir modelde mi düzenlemek istediklerini (örneğin Bell-LaPadula modelinde olduğu gibi) veya ortamın bazı kısımlarını ortamın geri kalanından ayıran sınırlar oluşturmak için zorunlu erişim kontrollerinin kullanıldığı hiyerarşik olmayan bir model uygulamayı tercih edip etmediklerini düşünmek isteyebilirler. Azure için Bulut Benimseme Çerçevesinin hazırlık aşamasında Giriş Bölgelerini tasarlarken bir kuruluşun veri sınıflandırma sınırlarını nasıl yönettiğine ilişkin kararlar çok önemlidir.

Daha fazla bilgi için bakınız Azure'daki Yönetim Grupları ve Veri yönetimi.

Veri yerleşimi

Veri yerleşimi gereksinimlerini karşılaması gereken kuruluşlar, bir iş yükünü desteklemek için hangi Azure hizmetlerine ihtiyaç duyduklarına ve bu hizmetlerin coğrafi olarak nerede mevcut olduğuna özellikle dikkat etmelidir. Azure hizmetleri, düşük gecikme süreli ağ bağlantılarını ve kullanılabilirlik alanları gibi özellikleri destekleyen bölgelerde dağıtılır. Bu bölgeler, ekstra dayanıklılık ve olağanüstü durum kurtarma özellikleri sağlayan coğrafyalara göre gruplandırılmıştır.

Bir kuruluşun iş yükü için veri yerleşimini sürdürmesi gerekiyorsa, kullanılan Azure hizmetlerinin tercih ettiği bölge ve coğrafyada mevcut olduğundan emin olması gerekir. Ek olarak, bazı hizmetler küresel olarak dağıtılır ve söz konusu hizmet içinde depolanan veriler için belirli bir bölge veya coğrafyada veri yerleşimi sunmaz.

Veri Yerleşimi, Azure bölgeleri ve kullanılabilirlik alanları ile Azure hizmetlerinin bölgesel kullanılabilirliği hakkında daha fazla bilgi için aşağıdaki makalelere bakın:

Verilerin sahipliği, saklanması ve taşınabilirliği

Katı veri bağımsızlığı gereksinimlerine sahip müşterilerin genellikle Azure'da depolanan verilerin mülkiyetini kimin elinde tuttuğu, bu verilere kimin erişebileceği ve bir müşterinin iş yükünü başka bir platforma taşımayı seçmesi durumunda bu verilere ne olacağı konusunda birçok sorusu olur. Bu gereksinimler kapsam ve spesifiklik açısından farklılık gösterebilir ancak genellikle verileri bir Microsoft Cloud Service'te barındırdığınızda verilere ne olacağı şeklindeki temel soruyla ilişkili olma eğilimindedirler.

Bu soruların yüksek düzeyde ele alınmasına yardımcı olmak ve müşterilere, bulut hizmet sağlayıcıları için geçerli olan veri bağımsızlığı gereksinimlerini belirlemeleri için bir başlangıç noktası sunmak amacıyla Microsoft, müşteri verilerinin korunması ve yönetilmesiyle ilgili bu soruların çoğunu ele alan bir dizi makale yayımladı ve bu makaleler Güven Merkezi'nde çevrimiçi olarak mevcuttur.

Daha fazla bilgi için bkz. Microsoft'ta veri yönetimi.

Bulutta operasyonel bağımsızlığı koruyun

Operasyonel bağımsızlık gereksinimleri, Azure'daki bir ortamın nasıl tasarlandığını, güncelleştirildiğini ve yönetildiğini etkileyebilir. Bu nedenle, Azure için Bulut Benimseme Çerçevesinin hazırlık aşamasının bir parçası olarak teknik tasarımlar tamamlanmadan önce bu gereksinimlerin net bir şekilde anlaşılması önemlidir. Ortak operasyonel bağımsızlık gereksinimleri şunları içerebilir:

  • İdari personelin yeri ve uyruğuna ilişkin sınırlamalar.
  • Bulut hizmeti sağlayıcılarının ayrıcalıklı erişimini sınırlayan erişim denetimi gereksinimleri.
  • Yüksek kullanılabilirlik ve olağanüstü durum kurtarma için zorunluluklar.

Bu gereksinimlerin çoğunun bulutta yaygın olarak yerinde kullanılanlardan farklı yöntemler kullanılarak karşılanması nedeniyle bu gereksinimlerin amacını ve azalttığı riskleri açıkça anlamak önemlidir.

Kuruluş, operasyonel bağımsızlık gereksinimlerini belirledikten sonra, doğru düzeyde risk azaltma ve güvence sağlamak için uygun teknik ve idari bağımsızlık kontrollerini seçebilir. Bağımsızlık denetimlerini seçerken, ekstra operasyonel bağımsızlık sağlayabilecek bazı yetenekleri seçmenin bir kuruluşun diğer Azure hizmetlerini benimseme seçeneklerini sınırladığını anlamak önemlidir.

Örneğin, Azure iş yükleri için gizli bilgi işlem gerektiren bir kuruluşun, mimari seçimlerini, Gizli Sanal Makineler veya Gizli Kapsayıcılar gibi Azure Gizli Bilgi İşlem üzerinde çalışabilen hizmetlerle sınırlaması gerekir. Bu nedenle, tüm iş yüklerinin ve verilerin en kısıtlayıcı bağımsızlık gereksinimleri kümesini karşılaması gereken bir yaklaşımı benimsemek yerine, operasyonel bağımsızlık gereksinimlerini belirli bir veri sınıflandırmasıyla ilişkilendirmek genellikle iyi bir fikirdir.

Ek olarak, Autarky gibi bazı operasyonel bağımsızlık gereksinimleri (örneğin, harici ağlardan ve sistemlerden bağımsız çalışabilme), sistemleri en iyi durumda tutmak için düzenli platform güncellemelerine dayanan Azure gibi hiper ölçekli bulut bilgi işlem platformlarında mümkün değildir.

Operasyonel bağımsızlık gereksinimlerine örnekler

Bazı ortak operasyonel bağımsızlık gereksinimlerinin yanı sıra bu gereksinimleri karşılayabilecek ilgili Azure hizmetleri ve yeteneklerine ilişkin örnekler aşağıdaki gibidir:

Yazılım güvenliği

Yazılım güvenliği gereksinimleri, belirli kriptografik önlemlerin uygulanması, kod incelemelerinin yapılması ve uygulama güvenliği ve sızma testlerinin gerçekleştirilmesi gibi geliştirme faaliyetlerini içerebilir. Ayrıca erişim kontrollerinin uygulanması, şifreleme teknolojilerinin kullanımı ve güvenlik olaylarının izlenmesi gibi operasyonel süreçleri de içerebilir.

Microsoft, müşterilerin Microsoft tarafından geliştirilen ve müşteri tarafından geliştirilen yazılımlara yönelik operasyonel bağımsızlık gereksinimlerini karşılamalarına yardımcı olmak için çeşitli yetenekler sağlar. Microsoft, Azure için platform düzeyinde yazılım geliştirirken Güvenli Geliştirme Yaşam Döngüsünü (SDL) izler. SDL'nin 12 uygulaması, Microsoft'un mühendislik süreçlerine ve prosedürlerine dahil edilir ve Microsoft'un güvence faaliyetlerinin bir parçası olarak düzenli olarak değerlendirilir. Ayrıca Microsoft, müşterilerin yazılım geliştirme yaşam döngülerinin bir parçası olarak Güvenli Geliştirme Yaşam Döngüsü uygulamalarını benimsemelerine yardımcı olacak yetenekler sağlar.

Daha fazla bilgi için bkz. Microsoft Güvenli Geliştirme Yaşam Döngüsü ve Azure'deki Güvenli Geliştirme En İyi uygulamaları.

Altyapı güvenliği

Azure'da çalışan iş yükleri, Microsoft'un platformun bütünlüğünü sağlamak için geliştirdiği birçok özellikten yararlanabilir. Özellikler arasında üretici yazılımı, yazılım ve ana bilgisayar altyapısı bulunur. Kuruluşların, verilerini bulut operatörlerinden yalıtmak için operasyonel bağımsızlık gereksinimleri olabilir. Azure, müşterilerin bulut hizmeti sağlayıcılarından ve onların idari personelinden izolasyonu korurken genel bulutun çevikliği ve dayanıklılığından yararlanmak için kullanabileceği yetenekler sağlar. Donanım düzeyinde doğrulama, yazılım bütünlüğü doğrulaması (örneğin, güvenli önyükleme) ve güvenli anahtar yönetimi ile ilgili gereksinimleri olan kuruluşlar, Microsoft'un platform bütünlüğünü ve güvenlik uygulamalarını inceleyebilir ve bu özelliklerin uygulanmasını doğrulamak için denetim belgelerine erişebilir.

Daha fazla bilgi için bkz. Platform bütünlüğü ve güvenliği ve Azure altyapı güvenliği.

Kullanımda olmayan veriler, aktarım halindeki veriler ve kullanımdaki veriler için şifreleme, veri gizliliği ve mahremiyetiyle ilgili çok çeşitli operasyonel bağımsızlık gereksinimlerinin karşılanmasına yardımcı olabilir. Ancak bu özelliklere ihtiyaç duyan kuruluşların şifreleme anahtarlarının oluşturulması ve yönetimi için planlama yapması gerekir. Azure, bulutta barındırılan veriler için sıfır bilgi şifrelemesi sağlayan istemci tarafı şifreleme yöntemlerinden, yerel bulut hizmetleriyle en yüksek düzeyde birlikte çalışabilirlik sunan hizmet tarafından yönetilen anahtarlara kadar müşterilerin seçebileceği çok çeşitli atıl veri şifreleme modelleri sunar.

Ek olarak, Ana Bilgisayar İşletim Sistemi, çekirdek, hipervizör ve idari personel gibi platform bileşenlerine duyulan güven ihtiyacını en aza indirmek isteyen kuruluşlar, kullanımdaki veri şifrelemesini uygulayabilir. Azure Gizli Bilgi İşlem, Intel Yazılım Koruma Uzantıları (SGX) veya AMD Güvenli Şifrelenmiş Sanallaştırma (SEV-SNP) kullanarak bellekteki verileri şifreleyen, donanım tabanlı güvenlik bölgelerine dağıtılan çeşitli işlem hizmetlerini içerir.

Şifrelemenin uygulanmasını gerektiren operasyonel bağımsızlık gereksinimlerine sahip kuruluşların Azure'daki aşağıdaki şifreleme özelliklerine aşina olması gerekir:

İşlemler ve dayanıklılık

Operasyonel güvenlik gereksinimleri, hem Azure platformunu çalıştırmak için Microsoft tarafından oluşturulan ve yönetilen platform düzeyindeki yazılımlara hem de iş yükünün parçası olan müşteri tarafından yönetilen yazılımlara uygulanabilir. Bulut bilişim için paylaşılan sorumluluk modeli, idari sorumluluğu müşteriden bulut hizmet sağlayıcısına kaydırır. Tüketilen bulut hizmetinin türüne bağlı olarak Microsoft, veri merkezlerimizdeki, işletim sistemlerimizdeki ve hizmet çalıştırma sürelerimizdeki yalın donanım altyapısını yönetmekten ve güncellemekten sorumlu olabilir. Microsoft'un güvenlik mühendisliği organizasyonu, operasyonel güvenlik uygulamalarıyla birlikte Microsoft Güvenli Geliştirme Yaşam Döngüsü'ndeki (SDL) uygulamalara dayanan bir operasyonel güvenlik programı uygulamaktadır. Uygulamalar arasında Microsoft Güvenlik Yanıt Merkezi tarafından uygulanan sır yönetimi, sızma testi ve güvenlik izleme yer alıyor.

Nadir durumlarda Microsoft, hizmetleri etkileyebilecek bir sorunu gidermek için müşteri verilerine erişim gerektirebilir. Değişiklik kontrolü ve ayrıcalıklı erişim yönetimi ile ilgili operasyonel bağımsızlık gereksinimlerine sahip müşteriler, Microsoft'un destek iş akışlarının bir parçası olarak erişim isteklerini onaylayabilmek amacıyla Azure için Müşteri Kasası'nı etkinleştirmek isteyebilir.

Ayrıca, platform yazılım güncellemelerinin onaylanması ve planlanması konusunda katı gereksinimleri olan müşteriler, müşterilerin ana bilgisayar düzeyindeki platform bakım etkinliklerini denetlemek için Bakım Yapılandırmalarını kullanmalarına olanak tanıyan Azure Ayrılmış Konakları kullanmayı düşünebilir. Ek olarak müşteriler, iş yüklerini barındırmak için kullanılan hizmetlerde ve bölgelerde bağımsızlığa dayalı herhangi bir sınırlama olup olmadığını belirlemek için esneklik gereksinimlerini incelemelidir.

Operasyonların sürekliliğiyle ilgili operasyonel bağımsızlık gereklilikleri (örneğin, çalışma süresini sürdürmek için iş yüklerinin yüksek düzeyde kullanılabilir yapılandırmalarda dağıtılmasını gerektirmek), veri yerleşimiyle ilgili veri bağımsızlık gereksinimleriyle (örneğin, iş yüklerini çeşitli konumlar sunmayan bir coğrafi sınırla kısıtlamak) çelişebilir.

Kuruluşlar bu gereksinimleri erkenden değerlendirmeli ve bu gereksinimleri dengelemenin en iyi yolunu düşünmelidir.