Řízení antipatternůGovern antipatterns

Zákazníci často využívají antipatterny během fáze řízení při přijímání cloudu.Customers often experience antipatterns during the Govern phase of cloud adoption. Doba pro pochopení sdílených odpovědností vám pomůže vyhnout se těmto antipatternům, protože sestavuje strategii zabezpečení ve stávajících rozhraních namísto vytváření vlastních.Taking the time to understand shared responsibilities helps you avoid these antipatterns, as does building your security strategy on existing frameworks instead of creating your own.

Antipattern: nepochopení sdílených odpovědnostíAntipattern: Misunderstand shared responsibilities

Když tento Cloud zadáte, není vždy jasné, kde skončila vaše zodpovědnost a že se v souvislosti s různými modely služeb začíná odpovědnost poskytovatele cloudu.When you adopt the cloud, it's not always clear where your responsibility ends and the cloud provider's responsibility starts regarding the different service models. K sestavování procesů a postupů v případě pracovních položek, které používají modely služeb, se vyžadují dovednosti v cloudu a znalosti.Cloud skills and knowledge are required to build processes and practices around work items that use service models.

Příklad: Předpokládejme, že poskytovatel cloudu spravuje aktualizace.Example: Assume the cloud provider manages updates

Členové oddělení lidských zdrojů (HR) společnosti nastavili mnoho serverů Windows v cloudu pomocí infrastruktury jako služby (IaaS).Members of a company's human resources (HR) department set up many Windows servers in the cloud using infrastructure as a service (IaaS). Předpokládají, že poskytovatel cloudu spravuje aktualizace, protože na pracovišti obvykle zpracovává instalaci aktualizací.They assume that the cloud provider manages updates, because on-site IT usually handles update installation. Oddělení lidských zdrojů nekonfiguruje aktualizace, protože nedokáže vědět, že Azure ve výchozím nastavení neimplementuje a nenainstaluje aktualizace operačního systému.The HR department doesn't configure the updates because they're not aware that Azure doesn't deploy and install operating system updates by default. V důsledku toho nejsou servery nekompatibilní a představují bezpečnostní riziko.As a result, the servers are noncompliant and pose a security risk.

Preferovaný výsledek: vytvoření plánu připravenostiPreferred outcome: Create a readiness plan

Pochopení sdílené zodpovědnosti v clouduUnderstand shared responsibility in the cloud. Sestavte a vytvořte plán připravenosti.Build and create a readiness plan. Plán připravenosti může vytvořit průběžné potenciál pro učení a vývoj zkušeností.A readiness plan can create ongoing momentum for learning and developing expertise.

Antipattern: předpokládat dopředná řešení, která poskytují zabezpečeníAntipattern: Assume out-of-the-box solutions provide security

Společnosti často vnímat zabezpečení v cloudu.Companies often perceive security as a given in the cloud. I když je tento předpoklad obvykle správný, většina prostředí musí splňovat požadavky na dodržování předpisů, které se můžou lišit od požadavků na zabezpečení.Although this assumption is usually correct, most environments also need to adhere to compliance framework requirements, which can differ from security requirements. Azure poskytuje základní zabezpečení.Azure provides basic security. A prostřednictvím Azure Security Center Azure Portal poskytuje lepší zabezpečení.And, through the Azure Security Center, the Azure portal provides help with improving security. Ale vynucování dodržování předpisů a standardu zabezpečení není při vytváření předplatného předem připravené.But, enforcing a compliance and security standard isn't an out-of-the-box experience when you create a subscription.

Příklad: opomíjení zabezpečení clouduExample: Neglect cloud security

Společnost vyvíjí novou aplikaci v cloudu.A company develops a new application in the cloud. Vybírá architekturu založenou na mnoha službách Platform as a Service (PaaS) a některé součásti IaaS pro účely ladění.It chooses an architecture based on many platform as a service (PaaS) services, plus some IaaS components for debugging purposes. Po uvolnění aplikace do produkčního prostředí si společnost uvědomuje, že jeden z jeho serverů pro odkazy je napadený a extrahuje data na neznámou IP adresu.After releasing the application to production, the company realizes that one of its jump servers has been compromised and was extracting data to an unknown IP address. Společnost zjistí, že tento problém je veřejná IP adresa serveru a heslo, které se dá snadno uhodnout.The company discovers that the problem is the jump server's public IP address and a password that's easy to guess. Společnost se mohla této situaci vyhnout, pokud se jí zaměřilo na zabezpečení cloudu.The company could have avoided this situation if it had focused more on cloud security.

Preferovaný výsledek: definování strategie cloudového zabezpečeníPreferred outcome: Define a cloud security strategy

Definujte správnou strategii cloudového zabezpečení.Define a proper cloud security strategy. Další informace najdete v tématu Průvodce připravenostmi na Cloud ředitelka zabezpečení informací , kde najdete další informace v článku ředitelka zabezpečení informací (hlavní informace o zabezpečení informací) k této příručce.See CISO cloud readiness guide for more information, and refer your chief information security office (CISO) to this guide. Popisuje témata, jako jsou prostředky, ochrana osobních údajů a ovládací prvky, dodržování předpisů a transparentnost.It discusses topics such as security platform resources, privacy and controls, compliance, and transparency.

Přečtěte si o zabezpečených cloudových úlohách v srovnávacím testu zabezpečení Azure.Read about secure cloud workloads in the Azure Security Benchmark. Sestavujte na ovládacím prvku CIS v 7.1 z centra pro Internet Security společně s NIST SP800-53 Framework z Národního institutu standardů a technologií, které řeší nejdůležitější bezpečnostní rizika a míry.Build upon the CIS Controls v7.1 from the Center for Internet Security, along with NIST SP800-53 Framework from the National Institute of Standards and Technology, which address most security risks and measures.

Pomocí Azure Security Center můžete identifikovat rizika, přizpůsobit osvědčené postupy a zlepšit stav zabezpečení vaší společnosti.Use the Azure Security Center to identify risks, adapt best practices, and improve your company's security posture.

Implementace nebo podpora automatizovaných požadavků na dodržování předpisů a zabezpečení pro konkrétní společnosti pomocí Azure Policy a Azure modrotisky.Implement or support company-specific, automated compliance and security requirements by using Azure Policy and Azure Blueprints.

Antipattern: použití vlastního rozhraní pro dodržování předpisů nebo zásad správného řízeníAntipattern: Use a custom compliance or governance framework

Představení vlastního rozhraní a zásad správného řízení, které není založené na průmyslových standardech, může podstatně zvýšit dobu trvání přijetí v cloudu, protože může být obtížné přeložit vlastní rozhraní do nastavení cloudu.Introducing a custom compliance and governance framework that isn't based on industry standards can substantially increase cloud adoption time, because it can be difficult to translate the custom framework to cloud settings. Tento scénář může zvýšit úsilí, které je potřeba k překladu vlastních měr a požadavků do implementovaných kontrolních mechanismů zabezpečení.This scenario can increase the effort that's needed to translate custom measures and requirements into implementable security controls. Většina společností potřebuje dodržovat podobné sady požadavků na zabezpečení a dodržování předpisů.Most companies need to comply with similar sets of security and compliance requirements. V důsledku toho se většina vlastních rozhraní pro dodržování předpisů a zabezpečení liší od současných architektur dodržování předpisů jenom mírně.As a result, most custom compliance and security frameworks differ only slightly from current compliance frameworks. Společnosti, které mají další požadavky na zabezpečení, mohou zvážit vytváření nových rozhraní.Companies with additional security requirements can consider building new frameworks.

Příklad: použití vlastního rozhraní zabezpečeníExample: Use a custom security framework

ŘEDITELKA zabezpečení informací společnosti přiřazuje bezpečnostním zaměstnancům strategii a architekturu zabezpečení cloudu.The CISO of a company assigns IT security employees the task of coming up with a cloud security strategy and framework. Místo sestavování podle oborových standardů vytvoří oddělení IT Security nové rozhraní, které bude sestaveno na základě aktuálních místních zásad zabezpečení.Instead of building upon industry standards, the IT security department creates a new framework that builds on the current on-premises security policy. Po dokončení zásad zabezpečení cloudu mají týmy AppOps a DevOps potíže s implementací zásad zabezpečení cloudu.After completing the cloud security policy, the AppOps and DevOps teams have difficulty implementing the cloud security policy.

Azure nabízí komplexnější strukturu zabezpečení a dodržování předpisů, která se liší od vlastního rozhraní společnosti.Azure offers a more comprehensive security and compliance structure that differs from the company's own framework. Tým ředitelka zabezpečení informací si myslí, že ovládací prvky Azure nejsou kompatibilní s vlastními pravidly dodržování předpisů a zabezpečení.The CISO team thinks that the Azure controls are incompatible with its own compliance and security rules. Pokud využívalo své rozhraní na standardizovaných ovládacích prvcích, nemuseli jsme k tomuto závěru přijít.If it had based its framework on standardized controls, it wouldn't have come to that conclusion.

Upřednostňovaný výsledek: spoléhá se na existující rozhraní.Preferred outcome: Rely on existing frameworks

Použijte nebo sestavte existující architektury, jako jsou například ovládací prvky CIS v 7.1 nebo NIST SP800-53, a teprve potom vytvořte nebo zaveďte vlastní architekturu dodržování předpisů vaší společnosti.Use or build on existing frameworks, such as CIS Controls v7.1 or NIST SP800-53, before you establish or introduce a custom company compliance framework. Stávající rozhraní usnadňují přechod na nastavení zabezpečení cloudu a umožňují snazší a větší možnosti měřit.Existing frameworks make the transition to cloud security settings easier and more measurable. Další implementace architektury najdete na stránce ukázek Azure modrotisky.Find more framework implementations on the Azure Blueprints samples page. Plány pro běžné architektury dodržování předpisů jsou dostupné taky pro Azure.Blueprints for common compliance frameworks are also available for Azure.

Další krokyNext steps