Поделиться через

Повышение безопасности целевых зон

  • Статья

Если рабочей нагрузке или целевым зонам, на которых она размещена, требуется доступ к каким-либо конфиденциальным данным или критическим системам, важно защитить данные и ресурсы.

Защита

Когда вы выходите из состояния "Готово", вы несете постоянную ответственность за обеспечение безопасности вашей среды. Облачная безопасность также является добавочным процессом вместо статического назначения. Сосредоточьтесь на целях и ключевых результатах при подготовке состояния конечной точки безопасности. Сопоставляйте понятия, платформы и стандарты с дисциплинами в методологии безопасности CAF вместе с сопоставлением ролей и обязанностей по дисциплине человека. Методология обеспечения безопасности предоставляет рекомендации.

Ниже приведен обзор этого руководства со ссылками на подробные сведения.

Анализ рисков

Бизнес-операции имеют риски безопасности. Группа безопасности должна информировать и консультировать лиц, принимающих решения о том, как риски безопасности вписываются в их платформы, понимая бизнес и используя методики безопасности, чтобы распознать, какой риск будет соответствующим образом планировать и принимать меры.

  • Риски кибербезопасности: все потенциальные повреждения или разрушения бизнеса, вызванные злоумышленниками, пытающимися украсть валюту, внутри информации или технологии.
  • Выравнивайте управление рисками безопасности: инвестируйте в преодоление кибербезопасности и руководства организации, чтобы объяснить угрозы безопасности с помощью понятной для бизнеса терминологии, активно слушать и взаимодействовать со всеми людьми по всему бизнесу.
  • Понимание риска кибербезопасности: понимание мотивов и шаблонов поведения злоумышленников для кражи денег, информации или технологий и выявления потенциального влияния различных типов атак.

Интеграция решений для обеспечения безопасности

Убедитесь, что безопасность является организационной проблемой и не разделена на одну группу. Интеграция с безопасностью предоставляет рекомендации по интеграции безопасности с ролью всех пользователей при минимизации трений с бизнес-процессами. К конкретным рекомендациям относятся следующие рекомендации:

  • Нормализация отношений. Убедитесь, что все команды интегрированы с командами безопасности и имеют общее представление о целях безопасности. Кроме того, работайте над поиском правильного уровня элементов управления безопасностью, гарантируя, что элементы управления не перевешивают бизнес-ценность.
  • Интеграция с ИТ-операциями и бизнес-операциями: балансируйте реализацию обновлений системы безопасности и сопоставление того, как все процессы безопасности влияют на текущее влияние бизнеса и потенциальные риски безопасности в будущем.
  • Интеграция групп безопасности: избегайте работы в силосах, отвечая на активные угрозы и постоянно повышая уровень безопасности организации, практикуя безопасность как динамическую дисциплину.

Устойчивость бизнеса

Хотя организации никогда не могут иметь идеальную безопасность, существует по-прежнему прагматичный подход к устойчивости бизнеса в инвестиция в полный жизненный цикл риска безопасности до, во время и после инцидента.

  • Цели устойчивости: сосредоточьтесь на том, чтобы ваш бизнес быстро внедрял инновации, ограничивать влияние и всегда искать безопасные способы внедрения технологий.
  • Устойчивость системы безопасности и предполагать нарушение. Предположим, что нарушение или компромисс следует ключевому принципу нулевого доверия и прагматическому поведению безопасности, чтобы предотвратить атаки, ограничить ущерб и быстро восстановить их.

Управление доступом

Сделайте стратегию управления доступом, которая соответствует как пользовательскому интерфейсу, так и гарантии безопасности.

  • От периметра безопасности до нулевого доверия: использование подхода "Нулевое доверие" для контроля доступа для установления и улучшения гарантий безопасности при работе в облаке и использовании новых технологий.
  • Современный контроль доступа: сделайте стратегию управления доступом, которая является комплексной, согласованной и гибкой. Перейдите за рамки одной тактики или технологии для нескольких рабочих нагрузок, облаков и различных уровней конфиденциальности бизнеса.
  • Известный, доверенный, разрешенный: выполните динамический трехэтапный процесс, чтобы обеспечить известную проверку подлинности, доверять пользователю или устройству и разрешать соответствующие права и привилегии для приложения, службы или данных.
  • Решения по доступу на основе данных: принятие обоснованных решений из различных данных на пользователях и устройствах для выполнения явной проверки.
  • Сегментация. Разделение для защиты: создайте границы в виде отдельных сегментов внутренней среды, чтобы содержать повреждения успешных атак.
  • Изоляция: избегайте брандмауэра и забывайте: разработка крайней формы сегментации для критически важных для бизнеса ресурсов, состоящих из: людей, процессов и технологий.

Операции безопасности

Создание операций безопасности путем снижения риска, быстрого реагирования и восстановления для защиты организации и выполнения дисциплины безопасности процесса DevOps.

  • Люди и процесс: создание культуры для предоставления людям возможностей с инструментами, чтобы дать им возможность в качестве вашего наиболее ценного актива и диверсифицировать свой портфель мышления, в том числе и обучение не технических людей с сильным опытом в судебно-медицинских расследованиях ролей.
  • Модель операций безопасности. Сосредоточьтесь на результатах управления инцидентами, подготовки инцидентов и аналитики угроз. Делегируйте результаты между подкатамами, чтобы расследовать, исследовать и охотиться на большие объемы и сложные инциденты.
  • SecOps business touchpoints: взаимодействуйте с бизнес-руководством, чтобы сообщить о крупных инцидентах и определить влияние критически важных систем. Непрерывная совместная практика реагирования на снижение риска организации.
  • Модернизация SecOps: развитие операций безопасности путем следующих тенденций, связанных с покрытием платформы, безопасностью, устройствами IoT и OT и соответствующими данными телеметрии из облака.

Защита ресурсов

Безопасные критически важные для бизнеса ресурсы, которые включают все физические и виртуальные элементы, реализуя элементы управления безопасностью, уникальные для каждого типа активов. Последовательно выполняйте профилактическую и детективную защиту в соответствии с политиками, стандартами и архитектурой.

  • Получите безопасность: довести ресурсы до последних стандартов безопасности и политики вашей организации, применяя текущие элементы управления к ресурсам браунфилда и гарантируя, что ресурсы гринфилда устанавливаются в самые последние стандарты.
  • Оставайтесь безопасными: практики непрерывного улучшения облака и планирования обновления или выхода на пенсию программного обеспечения в качестве бизнеса, технологии и требований к безопасности быстро изменяются.
  • Начало работы. Начните защищать ресурсы, сосредоточив внимание на известных облачных ресурсах в первую очередь и используйте известные и проверенные поставщики или отраслевые базовые показатели для конфигурации безопасности.
  • Ключевые сведения: используйте ключевые элементы учетных и ответственных команд для управления ресурсами на уровне предприятия, такими как потребности рабочей нагрузки в облаке и элементы управления проектированием, чтобы определить рекомендации. Измеряйте бизнес-ценность защиты активов и предпочитайте автоматическую политику, чтобы избежать затрат и повторения вручную.

Управление безопасностью

Выполняйте надзор и мониторинг с помощью системы управления безопасностью для поддержания и улучшения состояния безопасности с течением времени с помощью бизнес-целей и рисков, чтобы определить лучшее направление безопасности.

  • Соответствие требованиям и отчетность. Имеют как внешние, так и внутренние политики безопасности соответствуют обязательным требованиям в данной отрасли.
  • Архитектура и стандарты. Создание единого представления в корпоративной недвижимости, так как большинство предприятий являются гибридной средой, которая включает как локальные, так и облачные ресурсы.
  • Управление безопасностью. Планирование управления стандартами безопасности, предоставление рекомендаций и улучшение процессов. Обеспечение гибкости путем управления с помощью политики и непрерывного улучшения.
  • Дисциплины управления и защиты: применение элементов управления безопасностью и предоставление отзывов для выявления лучших решений.
  • Управление и операции безопасности. Убедитесь, что уроки, полученные от инцидентов, интегрируются в операции безопасности и управление.

Инновационная безопасность

Защита процессов и данных инноваций от кибератак, так как новые приложения разрабатываются с учетом инновационной безопасности .

  • DevSecOps: интегрированная безопасность в уже объединенный процесс разработки и операций в DevOps для снижения рисков в процессе инноваций.
  • Защита путем проектирования и смены влево: обеспечение безопасности на всех этапах жизненного цикла DevOps и обеспечение соответствия командам по скорости инноваций, надежности и устойчивости.
  • Почему DevSecOps: чтобы защитить процесс DevOps, защищающий от злоумышленников, эксплуатирующих слабые места во всей ИТ-инфраструктуре в вашей организации, которая, в свою очередь, защищает ваших клиентов.
  • Путешествие DevSecOps: используйте инкубацию идей и DevOps в качестве двухэтапного процесса, как и большинство организаций. Определите требования MVP (минимальный жизнеспособный продукт), используйте методы руководства для устранения конфликтов команд и интеграции безопасности в существующие процессы и средства.
  • Советы по навигации по пути: при преобразовании безопасности на протяжении всего пути будут распространенные проблемы, которые будут включать образование, время, ресурсов и общую смену характера ИТ-операций.

Элементы управления DevSecOps

Добавьте безопасность на каждый этап непрерывной интеграции и непрерывной доставки (CI/CD) при создании элементов управления DevSecOps.

  • Защита дизайна: обеспечение безопасности на этапе планирования в современных методологиях разработки для реализации моделирования угроз, подключаемых модулей безопасности интегрированной среды разработки и предварительной фиксации и одноранговой проверки.
  • Защитите код: оцените и реализуйте возможность сканирования уязвимостей в централизованных репозиториях, чтобы обнаружить риски и выполнить исправление.
  • Защита конвейера. Используйте конвейеры сборки и выпуска для автоматизации и стандартизации для процессов создания и развертывания безопасного кода, не тратя большое время на повторное развертывание или обновление существующих сред.
  • Безопасные операции: контролируйте состояние безопасности и управляйте им, когда решение будет доставлено в рабочую среду. Используйте средства сканирования инфраструктуры и методики тестирования на проникновение, чтобы группы могли находить риски и уязвимости для решения.

Цикл разработки на основе тестирования

Перед началом каких-либо улучшений безопасности важно понимать "определение сделано" и все "критерии принятия". Дополнительные сведения см. в статьях по разработке целевых зон на основе тестов и разработке на основе тестов в Azure.

Следующие шаги

Узнайте, как оптимизировать операции с целевыми зонами для поддержки важных приложений.

Улучшение операций целевой зоны