Condividi tramite

Introduzione al benchmark della sicurezza del cloud Microsoft

  • Articolo

Annotazioni

Microsoft Cloud Security Benchmark è il successore di Azure Security Benchmark (ASB), che è stato rinominato nell'ottobre 2022.

I nuovi servizi e le nuove funzionalità vengono rilasciati quotidianamente nelle piattaforme dei provider di servizi cloud e di Azure, gli sviluppatori pubblicano rapidamente nuove applicazioni cloud basate su questi servizi e gli utenti malintenzionati cercano costantemente nuovi modi per sfruttare le risorse configurate in modo errato. Il cloud si muove rapidamente, gli sviluppatori si spostano rapidamente e gli utenti malintenzionati si spostano rapidamente. Come è possibile tenere il passo e assicurarsi che le distribuzioni cloud siano sicure? In che modo le procedure di sicurezza per i sistemi cloud sono diverse dai sistemi locali e dalle differenze tra i provider di servizi cloud? Come si monitora il carico di lavoro per garantire la coerenza tra più piattaforme cloud?

Microsoft ha rilevato che l'uso dei benchmark di sicurezza consente di proteggere rapidamente le distribuzioni cloud. Un framework di procedure consigliate per la sicurezza completo dei provider di servizi cloud può offrire un punto di partenza per la selezione di impostazioni di configurazione di sicurezza specifiche nell'ambiente cloud, in più provider di servizi e consente di monitorare queste configurazioni usando un unico pannello di controllo.

Microsoft Cloud Security Benchmark (MCSB) include una raccolta di raccomandazioni sulla sicurezza ad alto impatto che è possibile usare per proteggere i servizi cloud in un ambiente singolo o multi-cloud. Le raccomandazioni di MCSB includono due aspetti principali:

  • Controlli di sicurezza: questi consigli sono in genere applicabili nei carichi di lavoro cloud. Ogni raccomandazione identifica un elenco di stakeholder che sono in genere coinvolti nella pianificazione, nell'approvazione o nell'implementazione del benchmark.
  • Linee di base del servizio: applicano i controlli ai singoli servizi cloud per fornire raccomandazioni sulla configurazione di sicurezza di tale servizio specifico. Attualmente le baseline del servizio sono disponibili solo per Azure.

Implementare Microsoft Cloud Security Benchmark

  • Pianificare l'implementazione di Microsoft Cloud Security Benchmark esaminando la documentazione relativa ai controlli aziendali e alle baseline specifiche del servizio per pianificare il framework di controllo e il modo in cui è mappato alle indicazioni come i controlli Center for Internet Security (CIS), National Institute of Standards and Technology (NIST) e il framework PCI-DSS (Payment Card Industry Data Security Standard).
  • Monitora la conformità allo stato di MCSB (e ad altri set di controlli) utilizzando Microsoft Defender per Cloud - Dashboard di conformità alle normative per l'ambiente multi-cloud. .
  • Stabilire protezioni per automatizzare le configurazioni sicure e applicare la conformità con Microsoft Cloud Security Benchmark (e altri requisiti dell'organizzazione) usando funzionalità come Azure Blueprints, Criteri di Azure o le tecnologie equivalenti di altre piattaforme cloud.

Casi d'uso comuni

Microsoft Cloud Security Benchmark può spesso essere usato per affrontare le problematiche comuni per i clienti o i partner di servizi che sono:

  • Nuovo su Azure (e ad altre principali piattaforme cloud, ad esempio AWS) e cercando le migliori pratiche di sicurezza per garantire una distribuzione sicura dei servizi cloud e del carico di lavoro della propria applicazione.
  • Cercando di migliorare il comportamento di sicurezza delle distribuzioni cloud esistenti per classificare in ordine di priorità i rischi e le mitigazioni principali.
  • Utilizzando ambienti multi-cloud (come Azure e AWS) e affrontando sfide nell’allineare il monitoraggio e la valutazione dei controlli di sicurezza con un'unica interfaccia unificata.
  • Valutazione delle funzionalità/funzionalità di sicurezza di Azure (e di altre principali piattaforme cloud, ad esempio AWS) prima di eseguire l'onboarding/approvare uno o più servizi nel catalogo dei servizi cloud.
  • La necessità di soddisfare i requisiti di conformità in settori altamente regolamentati, ad esempio enti pubblici, finanziari e sanitari. Questi clienti devono assicurarsi che le configurazioni del servizio di Azure e di altri cloud soddisfino le specifiche di sicurezza definite nel framework, ad esempio CIS, NIST o PCI. MCSB offre un approccio efficiente con i controlli già pre-mappati a questi benchmark del settore.

Terminologia

I termini "controllo" e "baseline" vengono spesso usati nella documentazione del benchmark di sicurezza cloud Microsoft. È importante comprendere in che modo MCSB usa questi termini.

Termine Descrizione Esempio
Controllo Un controllo è una descrizione generale di una funzionalità o di un'attività che deve essere presa in considerazione e che non è specifica di una tecnologia o di un'implementazione. La protezione dei dati è una delle famiglie dei controlli di sicurezza. La protezione dei dati contiene azioni specifiche necessarie per garantire la protezione dei dati.
Base di riferimento Una baseline è l'implementazione del controllo sui singoli servizi di Azure. Ogni organizzazione decide le raccomandazioni del benchmark e le configurazioni corrispondenti necessarie in Azure. Nota: attualmente le baseline del servizio sono disponibili solo per Azure. L'azienda Contoso vuole abilitare le funzionalità di sicurezza di Azure SQL seguendo la configurazione consigliata nella baseline di sicurezza di Azure SQL.

Microsoft è lieta di ricevere commenti e suggerimenti sul benchmark della sicurezza del cloud Microsoft. Ti invitiamo a fornire commenti nell'area di feedback riportata di seguito. Se si preferisce condividere l'input in modo più privato con il team di sicurezza del cloud Microsoft, inviare un messaggio di posta elettronica all'indirizzo [email protected].