你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。
入门：在整个企业环境中实现安全性
安全性有助于为企业提供保密性、完整性和可用性保证。 安全工作的关键重点是防止内部和外部恶意及无意行为对操作造成潜在影响。
本入门指南概述了缓解或避免网络安全攻击带来的业务风险的关键步骤。 这可帮助你在云中快速建立基本的安全做法，并将安全性集成到云采用过程中。
本指南中的步骤适用于支持云环境和登陆区域安全性保证的所有角色。 任务包括设置立即缓解风险的措施的优先级、指导构建新式安全策略、确保方法可操作，以及执行该策略。
按照本指南中的步骤操作有助于在关键流程点上集成安全性。 目标是在云采用过程中避免障碍，并减少不必要的业务或操作中断。
Microsoft 已构建相关功能和资源，来帮助你更快地在 Microsoft Azure 上实现此安全指南。 本指南中将参考的这些资源。 它们旨在帮助建立、监视和实施安全性，我们将经常更新和审查这些资源。
下图显示了使用安全指南和平台工具在 Azure 中建立对云资产的安全可见性和控制的整体方法。 建议采用此方法。
按照这些步骤规划和执行策略，从而保护云资产并使用云来实现安全操作的现代化。
步骤 1：建立基本安全做法
要在云中实现安全性，首先是在系统中的人员、流程和技术元素中应用最重要的安全做法。 此外，一些体系结构决策是基础性的，之后很难更改，因此应谨慎应用。
无论是已在云中操作还是规划将来的采用，都建议遵循下面 11 条基本安全做法（除了满足任何明确规定的法规合规性要求以外）。
人员：
处理：
技术：
基础体系结构决策：
注意
每个组织都应定义自己的最低标准。 风险状况和随后对该风险的容忍度可能因行业、文化和其他因素而有很大差异。 例如，银行可能不会容忍测试系统受到哪怕轻微的攻击对其声誉造成任何潜在损害。 如果可将数字化转型加快三到六个月，有的组织可能很乐意接受这样的风险。
步骤 2：实现安全策略现代化
要在云中实现有效的安全性，需要一种可反映当前威胁环境及托管企业资产的云平台性质的策略。 清晰的策略有助于改进所有团队的工作，从而提供安全且可持续的企业云环境。 安全策略必须实现定义的业务成果，将风险降低到可接受的水平，并保证员工能够高效工作。
云安全策略为所有从事此采用的技术、流程和人员准备工作的团队提供指导。 策略应对云体系结构和技术能力进行说明，为构建安全体系结构和功能提供指导，并对团队培训产生影响。
交付成果：
策略步骤应纳入到文档中，可轻松传达给组织中许多利益干系人。 利益干系人可能包括组织领导团队中的高管人员。
建议在演示文稿中展示策略，以便于讨论和更新。 可根据文化和偏好，对此演示文稿提供文档进行补充。
策略演示文稿：可以只有一份策略演示文稿，也可选择为领导层受众创建摘要版本。
完整演示文稿：应包括主演示文稿或可选参考幻灯片中的安全策略的全套元素。
执行摘要：用于高管人员和董事会成员的版本可能仅包含与其角色相关的关键要素，例如风险偏好、首要任务或可接受的风险。
还可在策略和计划模板中记录动机、结果和业务理由。
有关构建安全策略的最佳做法：
成功的计划会在其安全策略流程给包含以下元素：
与业务策略紧密地保持一致：安全性的宗旨在于保护业务价值。 所有的安全工作都应服务于该目的，并且尽量减少内部冲突，这一点至关重要。
建立对业务、IT 和安全性要求的共识。
尽早将安全性集成到云采用中，避免在最后一刻出现可避免的风险危机。
使用敏捷方法立即建立最低安全要求，并随着时间的推移不断改进安全性保证。
通过有意识的积极领导行动，鼓励安全文化转变。
有关详细信息，请参阅转换、思维模式和期望。
安全策略现代化：安全策略应包括对现代技术环境、最新威胁状况和安全社区资源的各个方面的注意事项。
- 适应云的责任共担模式。
- 包括所有云类型和多云部署。
- 首选本机云控制，避免不必要的有害冲突。
- 集成安全社区，随时了解攻击者的最近进展。
有关其他上下文的相关资源：
针对云采用框架的策略注意事项：
| 问责团队 | 负责和支持团队 |
|---|---|
策略审批：
对组织内业务线的结果或风险负责的高管人员和业务主管应对此策略进行审核。 这组人员可能包括董事会，具体取决于组织。
步骤 3：制定安全性计划
计划通过定义结果、里程碑、时间线和任务负责人，将安全策略付诸行动。 此计划还概述了团队的角色和职责。
安全性规划和云采用规划不应孤立进行。 为了避免太晚发现安全问题而导致工作停止或风险增加，有必要尽早邀请云安全团队参与规划。 如果对数字资产和现有 IT 项目组合有深入的了解和认识（这源于充分参与到云规划过程中），那么安全性规划的效果最佳。
交付成果：
安全性计划：安全性计划应是云的主要规划文档的一部分。 它可能是使用策略和计划模板的文档、详细的幻灯片组或项目文件。 也可能是这些形式的组合，具体取决于组织的规模、文化和标准做法。
安全性计划应包括以下所有元素：
组织职能计划，这样团队就知道在迁移到云后，当前安全角色和职责将如何变化。
安全技能计划，用于在团队成员应对技术、角色和职责方面的重大变化时提供支持。
技术安全体系结构和功能路线图，用于为技术团队提供指导。
Microsoft 提供了参考体系结构和技术功能，在你构建自己的体系结构和路线图时提供帮助，其中包括：
- 了解 Azure 组件和参考模型 ，以加速 Azure 安全角色的规划和设计。
Microsoft 网络安全参考体系结构，用于为跨本地资源和云资源的混合企业构建网络安全体系结构。
安全运营中心 (SOC) 参考体系结构，用于将安全检测、响应和恢复现代化。
零信任用户访问参考体系结构，用于实现云生成访问控制体系结构的现代化。
Microsoft Defender for Cloud 和 Microsoft Defender for Cloud Apps，用于帮助保护云资产。
安全意识和教育计划，使所有团队都能了解基本的关键安全性知识。
资产敏感度标记，用于指定敏感资产（通过使用与业务影响一致的分类）。 此分类是由业务利益干系人、安全团队和其他相关方共同构建。
云计划的安全性变更：更新云采用计划的其他部分，以反映由安全性计划触发的更改。
安全性规划的最佳做法：
如果你的计划采用以下方法，那么安全性计划成功的可能性更大：
假设一个混合环境：这包括服务型软件 (SaaS) 应用程序和本地环境。 还包括多个云基础结构即服务 (IaaS) 和平台即服务 (PaaS) 提供程序（如果适用）。
采用敏捷安全性：首先建立最低安全要求，然后将所有非关键项移到设定了优先级的后续步骤列表中。 这不应该是传统的、详细的 3-5 年计划。 云和威胁环境变化太快，使得这类计划无法发挥用作。 计划应着重于制定开始步骤和结束状态：
短时间内快速制胜，在长期计划开始之前产生重大影响。 时间跨度可以是 3-12 个月，具体取决于组织文化、标准做法和其他因素。
对期望的最终状态具有清晰愿景，来指导每个团队的规划过程（可能需要多年才能实现）。
广泛分享计划：提高利益干系人的认知、反馈和接受程度。
实现战略成果：确保计划符合并实现安全策略中描述的战略成果。
设定所有权、责任和截止日期：确保明确每项任务的负责人，并承诺在特定时间范围内完成该任务。
与安全方面的相关人员保持联系：在此转型期间和新的期望中，通过以下方式让人们参与进来：
主动支持团队成员转型，并就以下内容提供明确的沟通和指导：
- 他们需要学习什么技能。
- 为什么需要学习这些技能（以及这样做的好处）。
- 如何获取此知识（并提供资源帮助他们学习）。
可以使用策略和计划模板来记录计划。 可使用在线 Microsoft 安全培训来帮助团队成员学习。
树立安全意识，帮助成员真正参与到保护组织安全的工作中。
查看 Microsoft Learning 和指导：Microsoft 已发布相关见解和观点，以帮助组织规划向云的转型和新式安全策略。 资料包括记录的培训、文档、安全最佳做法和建议的标准。
有关帮助构建计划和体系结构的技术指导，请参阅 Microsoft 安全文档。
| 问责团队 | 负责和支持团队 |
|---|---|
安全性计划审批：
安全领导团队（CISO 或等职人员）应对此计划进行审核。
步骤 4：保护新的工作负载
相比之后再在环境中增强安全性，在安全的状态下开始要容易得多。 强烈建议从安全配置开始，来确保工作负载迁移到安全的环境中，并在此环境中进行开发和测试。
在登陆区域实现期间，许多决策可能会影响安全性和风险状况。 云安全团队应审查登陆区域配置，以确保其符合组织安全基线中的安全标准和要求。
交付成果：
- 确保新的登陆区域满足组织的合规性和安全性要求。
关于支持实现交付成果的指导：
结合现有要求和云建议：从推荐的指南开始，然后根据你独有的安全性要求进行调整。 我们发现，在尝试执行现有本地策略和标准时面临诸多挑战，因为这些常常涉及过时的技术或安全方法。
Microsoft 发布了相关指南来帮助你构建安全基线：
- 适用于策略和体系结构的 Azure 安全标准：有关塑造环境安全状况的策略和体系结构建议。
- Azure 安全基准：用于保护 Azure 环境的特定配置建议。
- Azure 安全基线培训。
提供防护措施：安全措施应包括自动策略审核和实施。 对于这些新环境，团队应努力审核和实施组织的安全基线。 这些工作有助于最大程度地减少工作负荷开发过程中的安全惊喜，以及工作负载的持续集成和持续部署 CI/CD。
为了实现此目的，Microsoft 在 Azure 中提供了几个本机功能：
安全功能分数：通过分数对 Azure 安全状况进行评估，来跟踪组织中的安全工作和项目。
Azure Policy：这是其他服务使用的可见性和控制功能的基础。 Azure Policy 已集成到 Azure 资源管理器中，这样你可在资源创建前后或创建期间审核 Azure 中所有资源的更改并对其执行策略。
Azure Policy 即代码：此方法将策略定义保留在源代码管理中，并将 DevOps、基础结构即代码（IaC）和 Azure Policy 组合在一起，以大规模部署策略、计划（设置定义）、分配和策略豁免。
改进登陆区域操作：采用最佳做法来增强登陆区域内的安全性。
| 问责团队 | 负责和支持团队 |
|---|---|
步骤 5：保护现有云工作负载
许多组织已经将资产部署到企业云环境中，但未应用安全性最佳做法，从而导致业务风险增加。
在确保新的应用程序和登陆区域遵循安全最佳做法后，应侧重于改善现有环境，使其提高到相同标准。
交付成果：
确保所有现有云环境和登陆区域都满足组织的合规性和安全性要求。
使用安全基线策略测试生产部署的操作就绪情况。
验证对安全基线的设计指南和安全要求的遵守情况。
关于支持实现交付成果的指导：
使用在步骤 4 中构建的相同安全基线作为理想状态。 可能必须调整某些策略设置，才可仅审核而非强制执行这些设置。
平衡操作和安全风险。 这些环境可能托管支持关键业务流程的生产系统，因此可能需要逐步实现安全改进，从而避免操作故障风险。
按业务关键性确定安全风险的发现和修正的优先级。 从被入侵后会严重影响业务的工作负载和具有高风险的工作负载开始。
有关详细信息，请参阅确定业务关键应用程序并分类。
| 问责团队 | 负责和支持团队 |
|---|---|
步骤 6：通过治理来管理和改善安全状况
与所有现代规则一样，安全性是一个迭代的过程，应专注于持续改进。 如果组织不长期持续关注，安全状况也会下降。
要实现一致的安全性要求，需要健全的治理规则和自动化解决方案。 在云安全团队定义安全基线之后，应对这些要求进行审核，以确保在所有云环境中一致地应用它们（并在适用时强制执行）。
交付成果：
关于支持实现交付成果的指导：
使用在步骤 4 中构建的相同安全基线和审核机制作为监视基线的技术组成部分。 通过控制人员和流程来对这些基线进行补充，从而确保一致性。
确保所有工作负载和资源都遵循正确的命名和标记约定。 使用 Azure Policy 强制执行标记约定，特别强调针对数据敏感性的标记。
如果你还不熟悉云治理，请使用治理方法建立治理策略、流程和规程。
| 问责团队 | 负责和支持团队 |
|---|---|
后续步骤
本指南中的步骤已帮助你实现在整个企业中一致管理安全风险所需的策略、控制、流程、技能和文化。
若要继续了解云安全的操作模式，请考虑以下步骤：
查看 Microsoft 安全文档。 它提供技术指南，来帮助安全专业人员构建并改进网络安全策略、体系结构和设定优先级顺序的路线图。
查看 Azure 服务的内置安全控制中的安全信息。
查看 Azure 上可用的安全服务和技术中的 Azure 安全工具和服务。
查看 Microsoft 信任中心。 它包含大量指南、报告和相关文档，可帮助在法规合规性过程中执行风险评估。
查看可用于帮助满足安全要求的第三方工具。 有关详细信息，请参阅在 Microsoft Defender for Cloud 中集成安全解决方案。