Поделиться через

Контрольный список проверки разработки для безопасности

Этот контрольный список содержит набор рекомендаций по безопасности, которые помогут обеспечить безопасность рабочей нагрузки и соответствие модели "Нулевое доверие". Если вы не проверили следующие поля и рассмотрели компромиссы, то ваш дизайн может быть под угрозой. Внимательно рассмотрим все моменты, описанные в контрольном списке, чтобы получить уверенность в безопасности рабочей нагрузки.

Checklist

  Code Recommendation
☐ SE:01 Установите базовый уровень безопасности, соответствующий требованиям соответствия, отраслевым стандартам и рекомендациям платформы. Регулярно сравнивайте архитектуру и операции вашей рабочей нагрузки с базовым уровнем, чтобы поддерживать или улучшать уровень безопасности с течением времени.
☐ SE:02
SE:02		 Выравнивайте жизненный цикл безопасной разработки (SDL) на протяжении всего жизненного цикла разработки программного обеспечения , чтобы обеспечить конфиденциальность, целостность и доступность программного обеспечения и внедрение концепции безопасности в первую очередь.
☐ SE:03 Классифицируйте и последовательно применяйте метки конфиденциальности и типов информации ко всем данным рабочей нагрузки и системам, участвующим в обработке данных. Используйте классификацию для влияния на проектирование, реализацию и приоритет безопасности рабочей нагрузки.
☐ SE:04 Создайте преднамеренную сегментацию и периметры в вашем проекте архитектуры и в распределении рабочей нагрузки на платформе. Стратегия сегментации должна включать сети, роли и обязанности, идентификацию рабочей нагрузки и организацию ресурсов.
☐ СЭ:05 Реализуйте строгое, условное и проверяемое управление идентификацией и доступом (IAM) для всех пользователей рабочей нагрузки, членов команды и компонентов системы. Ограничьте доступ исключительно при необходимости. Используйте современные отраслевые стандарты для всех реализаций аутентификации и авторизации. Ограничивайте и строго проверяйте доступ, не основанный на идентификации.
☐ SE:06 Изоляция, фильтрация и управление сетевым трафиком как входящего, так и исходящего трафика. Примените принципы глубокой защиты с помощью локализованных сетевых элементов управления на всех доступных границах сети как на востоке, так и на северо-юге.
☐ SE:07 Шифруйте данные, используя современные, стандартные в отрасли методы для защиты конфиденциальности и целостности. Согласуйте область шифрования с классификациями данных и установите приоритет собственным методам шифрования платформы.
☐ SE:08 Ужесточение всех компонентов рабочей нагрузки путем уменьшения дополнительных областей поверхности и ужесточения конфигураций для повышения затрат злоумышленников.
☐ SE:09 Защитите секреты приложений , укрепив систему их хранения и ограничив доступ и манипулирование ими, а также проведя аудит этих действий. Запустите надежный и регулярный процесс ротации, который позволит импровизировать ротацию на случай чрезвычайных ситуаций.
☐ СЭ:10 Реализуйте комплексную стратегию мониторинга , основанную на современных механизмах обнаружения угроз, которые можно интегрировать с платформой. Механизмы должны надежно предупреждать о приоритизации и отправлять сигналы в существующие процессы SecOps.
☐ SE:11 Разработать комплексный режим тестирования, который объединяет подходы к предотвращению проблем безопасности, проверке реализации мер по предотвращению угроз и тестированию механизмов обнаружения угроз.
☐ SE:12 Определите и протестируйте эффективные процедуры реагирования на инциденты , охватывающие весь спектр инцидентов: от локальных проблем до восстановления после сбоев. Четко определите группу или человека, которые должны выполнять процедуру.

Дальнейшие шаги

Мы рекомендуем ознакомиться с компромиссами по безопасности, чтобы изучить другие понятия.

Компромиссы по безопасности

  • Last updated on