Поделиться через

Соответствуйте требованиям к удостоверениям меморандума 22-09 с Microsoft Entra ID

  • Статья

Исполнительный указ по улучшению кибербезопасности страны (14028), направляет федеральные учреждения на продвижение мер безопасности, которые значительно снижают риск успешных кибератак против федеральной цифровой инфраструктуры правительства. 26 января 2022 года, в поддержку исполнительного указа (EO) 14028, Управление по управлению и бюджету (OMB) опубликовало федеральную стратегию нулевого доверия в меморандуме M 22-09 для руководителей исполнительных департаментов и учреждений.

В этой серии статей содержатся рекомендации по использованию идентификатора Microsoft Entra в качестве централизованной системы управления удостоверениями при реализации принципов нулевого доверия, как описано в memo 22-09.

Memo 22-09 поддерживает инициативы Нулевого доверия в федеральных учреждениях. Он имеет нормативные рекомендации по федеральным законам о кибербезопасности и конфиденциальности данных. В записке упоминается эталонная архитектура нулевого доверия Министерства обороны США (DoD) .

"Базовый принцип модели нулевого доверия заключается в том, что ни один субъект, система, сеть или служба, работающая за пределами или в периметре безопасности, не является доверенным. Вместо этого необходимо проверить все и все, что пытается установить доступ. Это драматический сдвиг парадигмы в философии того, как мы защищаем нашу инфраструктуру, сети и данные, от одного раза до постоянной проверки каждого пользователя, устройства, приложения и транзакции."

Памятка определяет пять основных целей для достижения федеральных учреждений, организованных с использованием модели зрелости информационных систем кибербезопасности (CISA). Модель CISA Zero Trust описывает пять дополнительных областей усилий или основных принципов:

  • Идентичность
  • Приборы
  • Сети
  • Приложения и рабочие нагрузки
  • Данные

Столбы пересекаются со следующими элементами:

  • Видимость
  • Аналитика
  • Автоматизация
  • Оркестрация
  • Управление

Область рекомендаций

Используйте серию статей для создания плана, чтобы удовлетворить требования к служебной записке. Предполагается использование продуктов Microsoft 365 и клиента Microsoft Entra.

Дополнительные сведения: Краткое руководство. Создание нового клиента в Microsoft Entra ID.

Инструкции серии статей охватывают инвестиции агентства в технологии компании Microsoft, которые соответствуют действиям, связанным с идентификацией.

  • Для пользователей агентства учреждения используют централизованные системы управления удостоверениями, которые можно интегрировать с приложениями и общими платформами.
  • Агентства используют корпоративную многофакторную проверку подлинности (MFA)
    • MFA применяется на уровне приложения, а не сетевом уровне.
    • Для сотрудников агентства, подрядчиков и партнеров требуется MFA, устойчивый к фишингу
    • Для общедоступных пользователей фишингозащищённая многофакторная аутентификация может быть использована.
    • Политики паролей не требуют специальных символов или регулярного поворота
  • Когда агентства авторизуют доступ пользователей к ресурсам, они учитывают по крайней мере один сигнал на уровне устройства с идентификационной информацией о пользователе, прошедшем проверку подлинности.

Дальнейшие действия