Поделиться через

Контрольный список проверки разработки для безопасности

Этот контрольный список содержит набор рекомендаций по безопасности, которые помогут обеспечить безопасность рабочей нагрузки и соответствие модели "Нулевое доверие". Если вы не проверили следующие поля и рассмотрели компромиссы, то ваш дизайн может быть под угрозой. Внимательно рассмотрим все моменты, описанные в контрольном списке, чтобы получить уверенность в безопасности рабочей нагрузки.

Checklist

  Code Recommendation
☐ СЭ:01 Установите базовый уровень безопасности, соответствующий требованиям соответствия, отраслевым стандартам и рекомендациям платформы. Регулярно сравнивайте архитектуру и операции вашей рабочей нагрузки с базовым уровнем, чтобы поддерживать или улучшать уровень безопасности с течением времени.
☐ SE:02
SE:02		 Поддерживайте безопасный жизненный цикл разработки с помощью надежной, в основном автоматизированной и проверяемой цепочки поставок программного обеспечения. Внедрите методы безопасной разработки, используя моделирование угроз для защиты от реализаций, нарушающих безопасность.
☐ SE:03 Классифицируйте и последовательно применяйте метки конфиденциальности и типов информации ко всем данным рабочей нагрузки и системам, участвующим в обработке данных. Используйте классификацию для влияния на проектирование, реализацию и приоритет безопасности рабочей нагрузки.
☐ SE:04 Создайте преднамеренную сегментацию и периметры в вашем проекте архитектуры и в распределении рабочей нагрузки на платформе. Стратегия сегментации должна включать сети, роли и обязанности, идентификацию рабочей нагрузки и организацию ресурсов.
☐ СЭ:05 Реализуйте строгое, условное и проверяемое управление идентификацией и доступом (IAM) для всех пользователей рабочей нагрузки, членов команды и компонентов системы. Ограничьте доступ в виде исключений при необходимости. Используйте современные отраслевые стандарты для всех реализаций аутентификации и авторизации. Ограничивайте и строго проверяйте доступ, не основанный на идентификации.
☐ SE:06 Изоляция, фильтрация и управление сетевым трафиком как входящего, так и исходящего трафика. Примените принципы глубокой защиты с помощью локализованных сетевых элементов управления на всех доступных границах сети как на востоке, так и на северо-юге.
☐ SE:07 Шифруйте данные, используя современные, стандартные в отрасли методы для защиты конфиденциальности и целостности. Согласуйте область шифрования с классификациями данных и установите приоритет собственным методам шифрования платформы.
☐ SE:08 Ужесточение всех компонентов рабочей нагрузки путем уменьшения дополнительных областей поверхности и ужесточения конфигураций для повышения затрат злоумышленников.
☐ SE:09 Защитите секреты приложений , укрепив систему их хранения и ограничив доступ и манипулирование ими, а также проведя аудит этих действий. Запустите надежный и регулярный процесс смены секретов, который позволит импровизировать смену на случай чрезвычайных ситуаций.
☐ СЭ:10 Реализуйте комплексную стратегию мониторинга , основанную на современных механизмах обнаружения угроз, которые можно интегрировать с платформой. Механизмы должны надежно предупреждать о выставленных приоритетах и отправлять сигналы в существующие процессы безопасности.
☐ SE:11 Разработать комплексный режим тестирования, который объединяет подходы к предотвращению проблем безопасности, проверке реализации мер по предотвращению угроз и тестированию механизмов обнаружения угроз.
☐ SE:12 Определите и протестируйте эффективные процедуры реагирования на инциденты , охватывающие весь спектр инцидентов: от локальных проблем до восстановления после сбоев. Четко определите группу или человека, которые должны выполнять процедуру.

Дальнейшие шаги

Мы рекомендуем ознакомиться с компромиссами по безопасности, чтобы изучить другие понятия.

Компромиссы по безопасности

  • Last updated on