Обзор платформы внедрения нулевого доверия

Цифровое преобразование формирует новую норму. Организации принимают цифровое преобразование для управления непрерывными изменениями бизнес-среды путем отслеживания:

• Смена бизнес-моделей и партнерских отношений.
• Тенденции технологий.
• Нормативные, геополитические и культурные силы.

Кроме того, удаленная работа COVID-19 ускорила эту трансформацию и перемещает безопасность с центра затрат на стратегический драйвер роста.

Нулевое доверие — это безопасность для цифрового бизнеса. Для цифрового преобразования требуется обновление традиционных моделей безопасности, так как традиционные подходы к безопасности не соответствуют текущим требованиям для гибкости бизнеса, взаимодействия с пользователями и постоянно меняющихся угроз. Организации реализуют нулевое доверие для решения этих проблем и обеспечивают новую норму работы в любом месте, с кем угодно, в любое время.

Однако переход от традиционной модели безопасности к нулевому доверию представляет собой значительное преобразование, которое требует приобретения, внедрения и управления изменениями во всей организации. Бизнес-лидеры, технологические лидеры, лидеры безопасности и специалисты по безопасности все играют важную роль в создании гибкого подхода к безопасности нулевого доверия.

Многие архитекторы безопасности и ИТ-специалисты запрашивают помощь в взаимодействии с бизнес-лидерами, отслеживанием хода выполнения и внедрением. Это руководство помогает командам по безопасности и технологиям сотрудничать с бизнес-лидерами по нулю доверия, предоставляя следующее:

• Рекомендуемые цели нулевого доверия для руководителей бизнеса в разных организациях.
• Методический и поэтапный подход к реализации архитектуры нулевого доверия.
• Систематический способ отслеживания прогресса область бизнес-лидеров.
• Курирование наиболее важных ресурсов для внедрения нулевого доверия с слайдов, готовых представить бизнес-лидерам рекомендации по технической реализации и инфографикам пользователей.

"Наша цель заключается в том, чтобы помочь каждой организации укрепить свои возможности безопасности с помощью архитектуры Нулевого доверия, созданной на основе наших комплексных решений, охватывающих идентификацию, безопасность, соответствие и управление устройствами во всех облаках и платформах". - Сатья Наделла, исполнительный председатель и генеральный директор Корпорации Майкрософт.

В качестве партнера Майкрософт NBConsult внесли свой вклад и предоставили материалы по этому руководству по внедрению.

Нулевое доверие требует покупки на самом высоком уровне

Zero Trust защищает бизнес-активы, где бы они ни находились, и где бы они ни находились. Нулевое доверие — это упреждающий интегрированный подход к безопасности, который требует знания о том, какие бизнес-активы и процессы наиболее важны для защиты, и обеспечения их защиты при сохранении гибкости бизнеса.

Внедрение подхода "Нулевое доверие" требует покупки в C-suite. По мере расширения ландшафта угроз, и критически важные атаки становятся более распространенными, бизнес-лидеры в функциональных областях все чаще обеспокоены подходом к кибербезопасности, принятому их организацией.

Нулевое доверие позволяет всему C-suite и бизнесу принимать измеримый бизнес-результат, который соответствует сокращению угроз и повышению производительности.

Нулевое доверие добавляет значение к двум основным сценариям, которые отображаются в Marketplace:

1. Официальная стратегия безопасности, согласованная с бизнес-результатами. Этот подход нулевого доверия предоставляет целостное представление о безопасности для всего бизнеса, используя значения, общие для бизнеса и принятые на каждом уровне от верхнего уровня. Это часто ведется под руководством CISO, и бизнес-результаты отслеживаются в рамках функции отчетности нулевого доверия в постоянном режиме.
2. Делегированная безопасность ИТ-функциям , где безопасность рассматривается как другая вертикальная технология с минимальными входными данными и интеграцией с набором C. Это часто фокусируется на краткосрочной оптимизации затрат на безопасность, а не управление им как бизнес-риск, часто разделяя безопасность на не интегрированные "лучшие из пород" независимых решений.

Zero Trust предоставляет способ интеграции вертикальных решений в единое видение. Это видение поддерживает согласованные бизнес-возможности и результаты и предоставляет текущие измеримые метрики по состоянию безопасности.

Традиционно диспетчер ciso или ИТ/Security задает стратегию или по крайней мере варианты технологий безопасности. Тем не менее, покупка от других лидеров уровня C требуется для оправдания дополнительных "расходов на безопасность". В рамках стратегии безопасности нулевого доверия другие члены C-suite должны принять участие в пути "Нулевое доверие", понимая, что безопасность является общей бизнес-ответственностью, согласованной с бизнес-результатами.

Ниже представлено обобщенное представление о возможных функциях, принятых различными функциями уровня C, и их соответствие интегрированному представлению о безопасности с использованием нулевого доверия.

Принципы нулевого доверия для C-suite

Нулевое доверие — это стратегия и архитектура на основе трех принципов.

Функциональные области нулевого доверия и техническая архитектура

Три принципа нулевого доверия применяются в областях обороны. Иногда они называются функциональными областями или дисциплинами ит-управления. Многие организации структурированы вокруг этих областей с группами специализированных лиц.

Нулевое доверие требует принятия интегрированного подхода в этих областях и командах, поэтому так важно иметь покупку в C-suite и хорошо упорядоченную стратегию и план по всей организации.

При применении стратегии нулевого доверия для цифровых активов менее полезно думать о решении каждой из этих областей домена независимо. Это не так, как если команда удостоверений может выполнить все рекомендации, а затем фокус "Нулевое доверие" может перейти в команду, которая управляет конечными точками. Стратегия нулевого доверия применяет эти функциональные области вместе для обеспечения безопасности области в цифровой недвижимости, а затем расширяет область защиты по всей области.

Например, команда удостоверений может добиться столь большого прогресса в использовании политик условного доступа Microsoft Entra перед согласованием с командой конечных точек для объединения защиты.

На следующей схеме эти функциональные области интегрируются в единую архитектуру нулевого доверия.

На схеме:

• Каждая из функциональных областей представлена: удостоверения, конечные точки, сеть, данные, приложения, инфраструктура
• Нулевое доверие интегрирует защиту во всех функциональных областях с помощью политик и оптимизации политик.
• Защита от угроз объединяет сигналы в организации в режиме реального времени, чтобы обеспечить видимость атак и упростить исправление с помощью автоматизированных действий и отслеживания реагирования на инциденты.

В следующем разделе описывается, как приступить к работе с путешествием по нулю доверия. Мы будем использовать функциональную область удостоверений в качестве примера.

Движение по внедрению нулевого доверия

Клиенты, знакомые с Cloud Adoption Framework для Azure, спросили: "Где используется платформа внедрения нулевого доверия?"

Cloud Adoption Framework для Azure — это методический процесс внедрения новых приложений и служб в организацию. Основное внимание уделяется проверенным процессам, которые организация может следовать за внедрением приложения или службы в среду. Перемещение масштабирования повторяет процесс для каждого приложения, добавляемого в цифровое пространство.

Для внедрения стратегии нулевого доверия и архитектуры требуется другая область. Речь о внедрении новых конфигураций безопасности во всем цифровом активе. Перемещение масштабирования состоит из двухмерного:

• Принимая часть архитектуры нулевого доверия, например защиту данных, и масштабируя эту защиту во всем цифровом активе.
• Повторяя процесс с каждым дополнительным элементом архитектуры Нулевого доверия, начиная с стратегических быстрых побед и базовых частей, а затем продвигаться к более сложным частям.

Как и в Cloud Adoption Framework для Azure, в этом руководстве по внедрению нулевого доверия рассматриваются сценарии внедрения, как описано в следующем разделе.

На следующей схеме приведены различия между этими двумя типами движений внедрения.

В этом руководстве по внедрению нулевого доверия используются те же этапы жизненного цикла, что и Cloud Adoption Framework для Azure, но адаптированные для нулевого доверия.

В следующей таблице описаны этапы жизненного цикла.

Бизнес-сценарии

В этом руководстве по внедрению нулевого доверия рекомендуется создать стратегию и архитектуру нулевого доверия с помощью следующих бизнес-сценариев:

• Быстрая модернизация состояния безопасности
• Безопасная удаленная и гибридная работа
• Определение и защита конфиденциальных бизнес-данных
• Предотвращение или уменьшение ущерба для бизнеса из-за нарушения
• Соответствие нормативным требованиям и требованиям к соответствию

Каждый бизнес-сценарий описан в статье, описывающей ход технической работы с каждым этапом жизненного цикла, начиная с создания бизнес-сценария. Наиболее подходящие ресурсы предоставляются по пути.

Каждый из этих бизнес-сценариев разбивает работу нулевого доверия на управляемые части, которые можно реализовать на четырех этапах реализации. Это помогает определять приоритеты, перемещаться вперед и отслеживать работу при переходе по различным уровням реализации архитектуры нулевого доверия.

Это руководство включает в себя презентацию слайдов PowerPoint с слайдами хода выполнения, которые можно использовать для презентации работы и отслеживания хода выполнения на высоком уровне для руководителей бизнеса и других заинтересованных лиц. Слайды включают функции, которые помогают отслеживать и представлять прогресс заинтересованным лицам. Рассмотрим пример.

Это руководство также содержит книгу Excel с листами для каждого бизнес-сценария, который можно использовать для назначения владельцев и отслеживания хода выполнения для каждого этапа, цели и задачи. Рассмотрим пример.

В бизнес-сценариях этапы реализации примерно выровнены таким образом, чтобы достичь целей этапа 1 в сценариях помогают обеспечить прогресс вашей организации на всех фронтах.

Начало пути "Нулевое доверие"

Если вы начинаете путь нулевого доверия, который соответствует бизнес-сценарию или ищете, чтобы принять Нулевое доверие в качестве стратегической обороны доктрины, успех может быть трудно измерить. Это связано с тем, что безопасность не передает простой тип оценки передачи или сбоя. Скорее, безопасность является приверженностью и пути, к которому Нулевое доверие предоставляет руководящие принципы.

Используя это руководство по внедрению в качестве платформы процессов, сначала установите и задокументируйте нашу стратегию безопасности, очень похожую на документ о запуске проекта (PID). Используя принципы, которые применяются к стратегии, как минимум, следует документировать:

• Какие задачи вы выполняете?
• Почему ты делаешь это?
• Как вы согласны с успехом и измеряете успех?

Каждый бизнес-сценарий включает в себя другой набор ресурсов с различными инструментами для инвентаризации. Методично вы начинаете с инвентаризации и классификации активов для каждого бизнес-сценария:

1. Идентификация активов: какие ресурсы необходимо защитить, например удостоверения, данные, приложения, службы и инфраструктуру? Вы можете использовать функциональные области, перечисленные выше, в качестве руководства по началу работы. Идентификация активов является частью этапов жизненного цикла "Определение стратегии " и "Планирование ". Этап определения стратегии может сформулировать конкретный сценарий, а этап плана документирует цифровое имущество.
2. Классификация активов. Насколько важно каждое из идентифицированных активов, таких как удостоверения, критически важные для бизнеса данные и данные кадров? Классификация активов является частью этапа "Готово ", где начинается определение стратегии защиты для каждого ресурса.
3. Управление активами. Как защитить (управлять) и администрировать (управлять) этими ресурсами?
4. Восстановление активов: как восстановиться после компрометации или потери контроля над ресурсом (управление)?

Каждый бизнес-сценарий рекомендует принять инвентаризацию, а также как защитить ресурсы и сообщить о ходе выполнения. Хотя в бизнес-сценариях неизбежно возникает некоторое перекрытие, это руководство по внедрению пытается упростить как можно больше, обращаясь к типам активов в преимущественно одном бизнес-сценарии.

Отслеживание хода выполнения

Отслеживание прогресса в процессе внедрения нулевого доверия имеет решающее значение, так как позволяет вашей организации отслеживать и измерять стратегические цели и цели.

Что отслеживать и измерять

Корпорация Майкрософт рекомендует использовать два подхода к отслеживанию хода выполнения.

1. Измеряйте прогресс по устранению рисков для вашего бизнеса.
2. Измеряйте прогресс в достижении стратегических целей в архитектуре нулевого доверия.

Многие организации используют ресурсы и средства международных стандартов стандартизации (ISO) для оценки риска организации. В частности:

• ISO/IEC 27001:2022

  • Защита информации, кибербезопасность и защита конфиденциальности
  • Системы управления информационной безопасностью
  • Требования

• ISO 310000

  • Управление рисками

Требования и рекомендации в этих стандартах являются универсальными и могут применяться к любой организации. Они предоставляют структурированный и комплексный способ проверки и оценки рисков, которые применяются к вашей организации, а также устранения рисков.

Определение и понимание конкретных рисков, которые применяются к вашей организации, помогут вам определить приоритеты наиболее стратегических целей в архитектуре Нулевого доверия.

Отслеживание и измерение

После определения и приоритета вашей организации наиболее стратегических технических целей можно сопоставить поэтапной стратегии реализации. Затем можно отслеживать ход выполнения с помощью различных средств.

Настраиваемые отчеты об отслеживании

Корпорация Майкрософт предоставляет настраиваемые средства отслеживания PowerPoint и Excel. Они предварительно заполнены целями и задачами, организованными бизнес-сценариями нулевого доверия. Их можно настроить с помощью собственных приоритетов, целей и членов команды.

• Средство отслеживания бизнес-лидера — скачиваемый слайд-палуба PowerPoint с отслеживанием хода выполнения. Они предназначены для отслеживания и взаимодействия прогресса на высоком уровне. Настройте эти слайды для собственного использования.
• Средство отслеживания реализации — скачиваемая книга Excel для назначения владения и отслеживания хода выполнения с помощью этапов, целей и задач. Для потенциальных клиентов в бизнес-сценариях, ИТ-клиентов и ИТ-реализаций.

Панели мониторинга в продукте

Microsoft Security Exposure Management — это решение для обеспечения безопасности, которое обеспечивает унифицированное представление о безопасности в ресурсах и рабочих нагрузках компании. В рамках этого инструмента инициативы безопасности помогают оценить готовность и зрелость в конкретных областях риска безопасности. Инициативы безопасности принимают упреждающий подход к управлению программами безопасности в отношении конкретных целей риска или домена.

Используйте инициативу "Нулевое доверие" для отслеживания прогресса вашей организации в реализации безопасности нулевого доверия. Эта инициатива согласована с этой платформой внедрения Microsoft Zero Trust, что позволяет отслеживать ход выполнения с метриками, согласованными с бизнес-сценариями. Эти метрики фиксируют охват ресурсов в приоритетных практических рекомендациях, помогающих группам безопасности защитить свою организацию. Эта инициатива также предоставляет данные в режиме реального времени о прогрессе нулевого доверия, которые можно предоставить заинтересованным лицам.

Дополнительные сведения о том, как использовать инициативу "Нулевое доверие" в средстве управления экспозицией, см. в статье "Быстрое модернизация состояния безопасности" — отслеживание и измерение.

Кроме того, несколько других порталов и отчетов могут помочь вам в создании обзора рисков в вашей организации, включая:

• Инициатива по защите критически важных активов в Microsoft Security Exposure Management объединяет критически важный риск активов в продуктах и областях Defender.
• Отчеты в Microsoft Defender XDR предоставляют сведения о тенденциях безопасности и отслеживают состояние защиты удостоверений, данных, устройств, приложений и инфраструктуры.
• Обозреватель Cloud Security позволяет заранее охотиться на риски безопасности.

Например, в microsoft Defender XDR инвентаризация устройств предоставляет четкое представление о недавно обнаруженных устройствах в вашей сети, которые еще не защищены. В верхней части каждой вкладки инвентаризации устройств можно увидеть общее количество устройств, которые не подключены. Рассмотрим пример.

Дополнительные сведения об использовании XDR в Microsoft Defender для отслеживания хода выполнения см. в статье "Укрепление безопасности с помощью XDR в Microsoft Defender".

Обратите внимание, что проценты хода выполнения, предоставляемые инструментами в продукте, могут не быть точными для организаций, которые не готовы реализовать все элементы управления из-за таких причин, как:

• Область деятельности бизнеса
• Лицензирование
• Capacity

Дополнительные статьи по внедрению

• Быстрая модернизация состояния безопасности
• Безопасная удаленная и гибридная работа с нулевой доверием
• Определение и защита конфиденциальных бизнес-данных
• Предотвращение или уменьшение ущерба для бизнеса из-за нарушения
• Соответствие нормативным требованиям и требованиям к соответствию

Ресурсы отслеживания хода выполнения

Для каждого бизнес-сценария можно использовать следующие ресурсы отслеживания хода выполнения.

Ресурс отслеживания хода выполнения	Это помогает вам...	Целевая аудитория
Скачиваемый файл Visio или PDF-файл планов внедрения плана внедрения	Легко понять улучшения безопасности для каждого бизнес-сценария и уровня усилий для этапов и целей этапа плана.	Руководитель проекта бизнес-сценария, руководители бизнеса и другие заинтересованные лица.
Средство отслеживания внедрения нулевого доверия, скачиваемое с помощью слайд-палубы PowerPoint	Отслеживайте ход выполнения этапов и целей этапа плана.	Руководитель проекта бизнес-сценария, руководители бизнеса и другие заинтересованные лица.
Задачи и задачи , которые можно скачать в Книге Excel	Назначьте владение и отслеживайте ход выполнения этапов, целей и задач этапа плана.	Руководители проектов бизнес-сценариев, ИТ-руководители и ИТ-реализация.

Дополнительные ресурсы см. в разделе "Оценка нулевого доверия" и ресурсы отслеживания хода выполнения.

Дополнительная документация по нулю доверия

См. дополнительные материалы нулевого доверия на основе набора документации или роли в организации.

Набор документации

Следуйте этой таблице для лучших наборов документации по нулю доверия для ваших потребностей.

Ваша роль

Следуйте этой таблице для лучших наборов документации для вашей роли в организации.