4. Adım - Doğrulama
Doğrulama aşaması, tehdit modelleme işleminin son adımıdır ve genellikle sistem dağıtılmadan önce gerçekleşir. Bu aşamada gereksinimlerin karşılandığından, varsayımların doğrulandığından ve güvenlik denetimlerinin hazır olduğundan emin olunur.
Hedefler
- Sistemin önceki ve yeni tüm güvenlik gereksinimlerini karşıladığını onaylayın
- Bulut sağlayıcısını, işletim sistemini ve bileşenleri güvenlik gereksinimlerini karşılayacak şekilde yapılandırma
- Tüm sorunların doğru güvenlik denetimleriyle giderildiğinden emin olun
- Dağıtımdan önce sistemi el ile ve otomatik doğrulama yoluyla alma
Önemli
Bu aşamayı tamamlamazsanız, güvenlik çalışmasının başarıyla tamamlandığını doğrulayamazsınız.
Gereksinimleri doğrulama ve varsayılanları ayarlama
İlk aşamada oluşturulan tüm gereksinimlerin karşılandığını doğrulayarak başlayın.
Örnekler:
- Ağ güvenlik planları
- Gizli dizi yönetimi çözümü uygulaması
- Günlük ve izleme sistemleri
- Kimlik ve erişim denetimleri
Ardından tüm güvenlik gereksinimlerini karşılamak için bulut sağlayıcısı, işletim sistemi ve bileşenlerden gelen tüm varsayılan yapılandırma ayarlarını değiştirdiğinizden emin olun.
Örnekler:
- Diskteki verileri korumak için Azure SQL Veritabanı saydam veri şifrelemesini etkinleştirme
- Kullanıcılara, gruplara ve uygulamalara izinler atamak için Rol Tabanlı Erişim Denetimi’ni (RBAC) kullanma
- Tüm profillerde Windows Güvenlik Duvarı’nı etkinleştirme
Hata yönetimi çözümünde günlüğe kaydedilen tüm sorunları çözmelisiniz. Tüm düzeltmeleri doğrulayın.
Doğrulamayı çalıştırma
Son bölüm hem el ile hem de otomatik doğrulamayı çalıştırmayı içerir. Microsoft'ta sistemler dağıtımdan önce bir doğrulama işlemine tabidir. İşlem otomatik tarayıcılar, kod incelemeleri ve sızma testlerini içerebilir. Süreç her dağıtımdan önce veya belirli aralıklarla, örneğin her 6-12 ayda bir zorunlu tutulabilir.
Aşağıdaki sorulardan herhangi birine evet yanıtı verirseniz daha kısa doğrulama tempolarına sahip olmak isteyebilirsiniz:
- Sistemim harici olarak kullanılacak mı?
- Gizli veriler barındırıyor mu?
- Yasal düzenlemelere uymam gerekiyor mu?
- Kuruluşum gizlilik etkileri, operasyonel risk veya geliştirme gereksinimleri gibi ek güvenlik süreçleri gerektiriyor mu?