Začínáme: implementace zabezpečení v podnikovém prostředíGet started: Implement security across the enterprise environment

Zabezpečení pomáhá vytvořit záruky důvěrnosti, integrity a dostupnosti pro firmu.Security helps create assurances of confidentiality, integrity, and availability for a business. Úsilí zabezpečení má zásadní fokus na ochranu před potenciálním dopadem na operace způsobené interním i externím škodlivým a neúmyslným chováním.Security efforts have a critical focus on protecting against the potential impact to operations caused by both internal and external malicious and unintentional acts.

Tato příručka Začínáme popisuje klíčové kroky, které zmírňují nebo nebrání obchodním rizikům z kyberbezpečnostich útoků.This getting started guide outlines the key steps that will mitigate or avoid the business risk from cybersecurity attacks. Pomůže vám rychle vytvořit základní postupy zabezpečení v cloudu a integrovat zabezpečení do vašeho procesu přijetí do cloudu.It can help you rapidly establish essential security practices in the cloud and integrate security into your cloud adoption process.

Kroky v této příručce jsou určené pro všechny role, které podporují bezpečnostní záruky pro cloudová prostředí a zóny pro vykládku.The steps in this guide are intended for all roles that support security assurances for cloud environments and landing zones. Úkoly zahrnují přímé priority pro zmírnění rizik, pokyny k vytvoření moderní strategie zabezpečení, zprovozňování přístupu a jejich provádění na této strategii.Tasks include immediate risk mitigation priorities, guidance on building a modern security strategy, operationalizing the approach, and executing on that strategy.

Tato příručka obsahuje prvky z rozhraní pro přijetí Microsoft Cloud pro Azure:This guide includes elements from across the Microsoft Cloud Adoption Framework for Azure:

Začínáme s podnikovým zabezpečením

Dodržování kroků v této příručce vám pomůže při integraci zabezpečení v kritických bodech procesu.Adhering to the steps in this guide will help you integrate security at critical points in the process. Cílem je vyhnout se překážkám při přijímání v cloudu a snižovat zbytečné obchodní nebo provozní přerušení.The goal is to avoid obstacles in cloud adoption and reduce unnecessary business or operational disruption.

Společnost Microsoft sestavila možnosti a prostředky, které vám pomůžou zrychlit implementaci tohoto bezpečnostního návodu na Microsoft Azure.Microsoft has built capabilities and resources to help accelerate your implementation of this security guidance on Microsoft Azure. V této příručce se zobrazí tyto prostředky, na které se odkazuje.You'll see these resources referenced throughout this guide. Jsou navržené tak, aby vám pomohly navázat, monitorovat a vymáhat zabezpečení a jsou často aktualizovány a revidovány.They're designed to help you establish, monitor, and enforce security, and they're frequently updated and reviewed.

Následující diagram znázorňuje holistickýý přístup k používání pokynů k zabezpečení a nástrojů platformy k tomu, aby bylo možné v Azure zajistit viditelnost a kontrolu zabezpečení vašich cloudových prostředků.The following diagram shows a holistic approach for using security guidance and platform tooling to establish security visibility and control over your cloud assets in Azure. Doporučujeme tento přístup.We recommend this approach.

Diagram zabezpečení

Pomocí těchto kroků můžete naplánovat a spustit strategii pro zabezpečení cloudových prostředků a používání cloudu k modernizovat operací zabezpečení.Use these steps to plan and execute your strategy for securing your cloud assets and using the cloud to modernize security operations.

Krok 1: zavedení základních postupů zabezpečeníStep 1: Establish essential security practices

Zabezpečení v cloudu začíná použití nejdůležitějších postupů zabezpečení pro osoby, procesy a prvky vašeho systému.Security in the cloud starts with applying the most important security practices to the people, process, and technology elements of your system. Některá rozhodnutí architektury jsou navíc základem a je velmi obtížné později změnit, aby bylo možné je pečlivě použít.Additionally, some architectural decisions are foundational and are very difficult to change later so should be carefully applied.

Bez ohledu na to, jestli už pracujete v cloudu nebo plánujete budoucí přijetí, doporučujeme, abyste provedli tyto 11 základní postupy zabezpečení (kromě splnění jakýchkoli výslovných požadavků na dodržování předpisů).Whether you're already operating in the cloud or you're planning for future adoption, we recommend that you follow these 11 essential security practices (in addition to meeting any explicit regulatory compliance requirements).

LidéPeople:

  1. Vzdělávání týmů v souvislosti s cestou cloudového zabezpečeníEducate teams about the cloud security journey
  2. Pedagogické týmy na technologii zabezpečení clouduEducate teams on cloud security technology

PřihlášeníProcess:

  1. Přiřazení zodpovědnosti za rozhodování o zabezpečení clouduAssign accountability for cloud security decisions
  2. Aktualizace procesů reakce na incidenty pro CloudUpdate incident response processes for cloud
  3. Zavedení správy stav zabezpečeníEstablish security posture management

TechnologieTechnology:

  1. Vyžadovat neheslem nebo ověřování Multi-Factor AuthenticationRequire passwordless or multi-factor authentication
  2. Integrace nativní brány firewall a zabezpečení sítěIntegrate native firewall and network security
  3. Integrace detekce nativních hrozebIntegrate native threat detection

Rozhodnutí týkající se základní architektury:Foundational architecture decisions:

  1. Standardizace pro jediný adresář a identituStandardize on a single directory and identity
  2. Použití řízení přístupu na základě identity (místo klíčů)Use identity-based access control (instead of keys)
  3. Vytvoření jednotné sjednocené strategie zabezpečeníEstablish a single unified security strategy

Poznámka

Každá organizace by měla definovat vlastní minimální standardy.Each organization should define its own minimum standards. Rizika stav a následná tolerance tohoto rizika se můžou výrazně lišit v závislosti na odvětví, jazykové verzi a dalších faktorech.Risk posture and subsequent tolerance to that risk can vary widely based on industry, culture, and other factors. Například banka nemusí tolerovat žádnou potenciální škodu své reputace z ještě menšího útoku na testovací systém.For example, a bank might not tolerate any potential damage to its reputation from even a minor attack on a test system. Některé organizace by si toto riziko přijali, pokud svou digitální transformaci zrychlí o tři až šest měsíců.Some organizations would gladly accept that same risk if it accelerated their digital transformation by three to six months.

Krok 2: modernizovat strategie zabezpečeníStep 2: Modernize the security strategy

Efektivní zabezpečení v cloudu vyžaduje strategii, která odráží aktuální prostředí hrozeb a povaze cloudové platformy, která je hostitelem podnikových prostředků.Effective security in the cloud requires a strategy that reflects the current threat environment and the nature of the cloud platform that's hosting the enterprise assets. Jasná strategie zlepšuje úsilí všech týmů o zajištění zabezpečeného a udržitelného podnikového cloudového prostředí.A clear strategy improves the effort of all teams to provide a secure and sustainable enterprise cloud environment. Strategie zabezpečení musí umožňovat definované obchodní výsledky, snížit rizika na přijatelnou úroveň a umožnit zaměstnancům, aby byli produktivní.The security strategy must enable defined business outcomes, reduce risk to an acceptable level, and enable employees to be productive.

Strategie cloudového zabezpečení poskytuje pokyny pro všechny týmy pracující na technologiích, procesech a připravenost lidí pro účely tohoto přijetí.A cloud security strategy provides guidance to all teams working on the technology, processes, and people readiness for this adoption. Strategie by měla informovat cloudovou architekturu a technické možnosti, pořídit architekturu a možnosti zabezpečení a ovlivnit školení a vzdělávání týmů.The strategy should inform the cloud architecture and technical capabilities, guide the security architecture and capabilities, and influence the training and education of teams.

DodávkyDeliverables:

Krok strategie by měl vést k dokumentu, který může snadno sdělit spoustě účastníků v rámci organizace.The strategy step should result in a document that can easily be communicated to many stakeholders within the organization. Účastníci můžou potenciálně zahrnout vedoucí pracovníky do vedoucího týmu organizace.The stakeholders can potentially include executives on the organization's leadership team.

V prezentaci doporučujeme zachytit strategii, aby se usnadnila jednoduchá diskuze a aktualizace.We recommended capturing the strategy in a presentation to facilitate easy discussion and updating. Tato prezentace může být podporována dokumentem v závislosti na jazykové verzi a předvolbách.This presentation can be supported with a document, depending on the culture and preferences.

  • Prezentace strategie: Je možné, že máte jednu strategii prezentace, nebo se můžete rozhodnout také vytvořit souhrnnou verzi pro cílové skupiny.Strategy presentation: You might have a single strategy presentation, or you might choose to also create summary versions for leadership audiences.

    • Úplná prezentace: To by mělo zahrnovat úplnou sadu prvků pro strategii zabezpečení v hlavní prezentaci nebo na volitelných referenčních snímcích.Full presentation: This should include the full set of elements for the security strategy in the main presentation or in optional reference slides.
    • Shrnutí vedoucích: Verze, které se mají použít s vyššími vedoucími a členy na vývěsce, můžou obsahovat jenom kritické prvky, které jsou relevantní pro jejich roli, jako je později rizika, hlavní priority nebo přijatá rizika.Executive summaries: Versions to use with senior executives and board members might contain only critical elements relevant to their role, such as risk appetite, top priorities, or accepted risks.
  • V šabloně strategie a plánmůžete také zaznamenat motivaci, výsledky a obchodní odůvodnění.You can also record motivations, outcomes, and business justifications in the strategy and plan template.

Osvědčené postupy pro vytváření strategie zabezpečení:Best practices for building security strategy:

Úspěšné programy zahrnou tyto prvky do procesu strategie zabezpečení:Successful programs incorporate these elements into their security strategy process:

  • Úzce zarovnejte do obchodní strategie: Charta zabezpečení je chránit obchodní hodnotu.Align closely to business strategy: Security's charter is to protect business value. Je důležité sjednotit všechny bezpečnostní úsilí k tomuto účelu a minimalizovat vnitřní konflikt.It's critical to align all security efforts to that purpose and minimize internal conflict.

    • Vytvořte si sdílený výklad požadavků na firmu, IT a zabezpečení.Build a shared understanding of business, IT, and security requirements.
    • Integrujte zabezpečení v rané fázi do cloudu , abyste se vyhnuli posledním minutám z nevyhnutelných rizik.Integrate security early into cloud adoption to avoid last-minute crises from avoidable risks.
    • Využijte agilní přístup k okamžitému zavedení minimálních požadavků na zabezpečení a průběžně Vylepšete bezpečnostní záruky v průběhu času.Use an agile approach to immediately establish minimum security requirements and continuously improve security assurances over time.
    • Povzbuzovat změnu jazykové verze zabezpečení prostřednictvím záměrné akce proaktivního vedoucího vedení.Encourage security culture change through intentional proactive leadership actions.

    Další informace najdete v tématu transformace, mindsets a očekávání.For more information, see Transformations, mindsets, and expectations.

  • Modernizovat strategie zabezpečení: Strategie zabezpečení by měla zahrnovat aspekty pro všechny aspekty moderního technologického prostředí, aktuální oblasti hrozeb a bezpečnostních prostředků komunity zabezpečení.Modernize security strategy: The security strategy should include considerations for all aspects of modern technology environment, current threat landscape, and security community resources.

    • Přizpůsobte se sdílenému modelu zodpovědnosti cloudu.Adapt to the shared responsibility model of the cloud.
    • Zahrňte všechny typy cloudu a nasazení ve více cloudech.Include all cloud types and multicloud deployments.
    • Preferovat nativní cloudové ovládací prvky, aby nedocházelo k zbytečnému a škodlivému tření.Prefer native cloud controls to avoid unnecessary and harmful friction.
    • Integrujte komunitu zabezpečení, abyste zachovali tempo vývoje útočníka.Integrate the security community to keep up with the pace of attacker evolution.

Související prostředky pro další kontext:Related resources for additional context:


Tým s účtemAccountable team Zodpovědné a podpůrné týmyResponsible and supporting teams
  • Tým vedoucího zabezpečení (hlavní ředitel pro informační zabezpečení (ředitelka zabezpečení informací) nebo ekvivalentní)Security leadership team (chief information security officer (CISO) or equivalent)
  • Tým strategie clouduCloud strategy team
  • Tým zabezpečení clouduCloud security team
  • Tým přijetí clouduCloud adoption team
  • Cloudové centrum excelence nebo středový týmCloud center of excellence or central IT team
  • Schválení strategie:Strategy approval:

    Vedoucí pracovníci a vedoucí firmy s zodpovědností na výsledky nebo rizika obchodních linek v rámci organizace by měli tuto strategii schválit.Executives and business leaders with accountability for outcomes or risks of business lines within the organization should approve this strategy. Tato skupina může v závislosti na organizaci zahrnovat představenstvo.This group might include the board of directors, depending on the organization.

    Krok 3: vývoj plánu zabezpečeníStep 3: Develop a security plan

    Plánování přináší strategii zabezpečení do akce definováním výsledků, milníků, časových os a vlastníků úloh.Planning puts the security strategy into action by defining outcomes, milestones, timelines, and task owners. Tento plán také popisuje role a zodpovědnosti týmů.This plan also outlines the roles and responsibilities of the teams.

    Plánování zabezpečení a plánování přijetí do cloudu by se nemělo provádět v izolaci.Security planning and cloud adoption planning should not be done in isolation. Je velmi důležité pozvat tým cloudového zabezpečení do plánovacích cyklů, aby nedocházelo k zastavení práce nebo zvýšení rizika při zjištění problémů se zabezpečením, která jsou příliš pozdě.It's critical to invite the cloud security team into the planning cycles early, to avoid work stoppage or increased risk from security issues being discovered too late. Plánování zabezpečení funguje nejlépe s podrobnými znalostmi a povědomí o digitální nemovitosti a stávajícím portfoliu IT, které pocházejí z úplné integrace do procesu plánování cloudu.Security planning works best with in-depth knowledge and awareness of the digital estate and existing IT portfolio that comes from being fully integrated into the cloud planning process.

    DodávkyDeliverables:

    • Plán zabezpečení: Plán zabezpečení by měl být součástí hlavní dokumentace plánování pro Cloud.Security plan: A security plan should be part of the main planning documentation for the cloud. Může se jednat o dokument, který používá šablonu strategie a plánování, podrobnou prezentaci nebo soubor projektu.It might be a document that uses the strategy and plan template, a detailed slide deck, or a project file. Případně se může jednat o kombinaci těchto formátů v závislosti na velikosti, jazykové verzi a standardní praxi organizace.Or it might be a combination of these formats, depending on the organization's size, culture, and standard practices.

      Plán zabezpečení by měl zahrnovat všechny tyto prvky:The security plan should include all of these elements:

      • Plán organizačních funkcí, takže týmy vědí, jak se stávající role zabezpečení a zodpovědnosti mění s přesunem do cloudu.Organizational functions plan, so teams know how current security roles and responsibilities will change with the move to the cloud.

      • Dovednosti v oblasti zabezpečení vám umožní podporovat členy týmu při navigaci významných změn v technologii, rolích a zodpovědnostech.Security skills plan to support team members as they navigate the significant changes in technology, roles, and responsibilities.

      • Technická Architektura zabezpečení a plán možností pro vedení technických týmů.Technical security architecture and capabilities roadmap to guide technical teams.

        Společnost Microsoft poskytuje referenční architektury a technologie, které vám pomůžou při sestavování architektury a plánu, včetně těchto možností:Microsoft provides reference architectures and technology capabilities to help you as you build your architecture and roadmap, including:

      • Sledování zabezpečení a plán vzdělávání, takže všechny týmy mají základní důležité znalosti zabezpečení.Security awareness and education plan, so all teams have basic critical security knowledge.

      • Označení citlivosti prostředků k označení citlivých prostředků pomocí taxonomie zarovnané na obchodní dopad.Asset sensitivity marking to designate sensitive assets by using a taxonomy aligned to business impact. Taxonomie je postavená v obchodních zájmech, týmech zabezpečení a dalších zúčastněných stranách.The taxonomy is built jointly by business stakeholders, security teams, and other interested parties.

      • Změny zabezpečení v plánu cloudu: Aktualizujte další oddíly plánu přijetí do cloudu, aby odrážely změny aktivované plánem zabezpečení.Security changes to the cloud plan: Update other sections of the cloud adoption plan to reflect changes triggered by the security plan.

    Osvědčené postupy pro plánování zabezpečení:Best practices for security planning:

    Plán zabezpečení bude pravděpodobně úspěšný, pokud vaše plánování získá přístup k:Your security plan is likely to be more successful if your planning takes the approach of:

    • Předpokládejme hybridní prostředí: Která zahrnuje aplikace SaaS (software jako služba) a místní prostředí.Assume a hybrid environment: That includes software as a service (SaaS) applications and on-premises environments. Zahrnuje také více poskytovatelů cloudové infrastruktury jako služby (IaaS) a platforem jako služby (PaaS), pokud jsou k dispozici.It also includes multiple cloud infrastructure as a service (IaaS) and platform as a service (PaaS) providers, if applicable.

    • Přijmout agilní zabezpečení: Nejprve stanovte minimální požadavky na zabezpečení a přesuňte všechny nekritické položky do seznamu prioritních položek v následujících krocích.Adopt agile security: Establish minimum security requirements first and move all noncritical items to a prioritized list of next steps. Nemělo by se jednat o tradiční, podrobný plán 3-5 let.This should not be a traditional, detailed plan of 3-5 years. Cloudové a hrozbové prostředí se příliš rychle změnily, aby byl tento typ plánu užitečný.The cloud and threat environment change too fast to make that type of plan useful. Váš plán by se měl soustředit na vývoj počátečních a koncových stavů:Your plan should focus on developing the beginning steps and end state:

      • Rychlá služba WINS pro okamžitý budoucnost, která zajistí vysoký dopad před zahájením delšího období.Quick wins for the immediate future that will deliver a high impact before longer-term initiatives begin. Časový rámec může být 3-12 měsíců v závislosti na jazykové verzi organizace, standardních postupech a dalších faktorech.The time frame can be 3-12 months, depending on organizational culture, standard practices, and other factors.
      • Jasný výhled požadovaného koncového stavu, aby se zajistil proces plánování každého týmu (což může trvat několik let).Clear vision of the desired end state to guide each team's planning process (which might take multiple years to achieve).
    • Nasdílejte plán široce: Zvyšte povědomí o, zpětnou vazbu od a nákupu zúčastněnými stranami.Share the plan broadly: Increase awareness of, feedback from, and buy-in by stakeholders.

    • Vyhovět strategickým výsledkům: Ujistěte se, že váš plán je zarovnaný k a výsledkem jsou strategické výsledky popsané v strategii zabezpečení.Meet the strategic outcomes: Ensure that your plan aligns to and accomplishes the strategic outcomes described in the security strategy.

    • Nastavit vlastnictví, zodpovědnost a termíny: Ujistěte se, že vlastníci pro jednotlivé úlohy jsou identifikováni a jsou potvrzeny k dokončení této úlohy v určitém časovém rámci.Set ownership, accountability, and deadlines: Ensure that the owners for each task are identified and are committed to completing that task in a specific time frame.

    • Připojte se k lidské straně zabezpečení: Zapojení lidí do tohoto období transformace a nové očekávání pomocí:Connect with the human side of security: Engage people during this period of transformation and new expectations by:

      • Aktivně podporující transformaci členů týmu pomocí jasné komunikace a výukovým:Actively supporting team member transformation with clear communication and coaching on:

        • Jaké dovednosti potřebují vědět.What skills they need to learn.
        • Proč potřebují zjistit dovednosti (a jejich výhody).Why they need to learn the skills (and the benefits of doing so).
        • Jak získat tuto znalostní bázi (a poskytnout jim prostředky, které jim pomohou s jejich učením).How to get this knowledge (and provide resources to help them learn).

        Plán můžete zdokumentovat pomocí šablony strategie a plánu.You can document the plan by using the strategy and plan template. A k usnadnění vzdělávání členů týmu můžete použít online školení Microsoft Security .And you can use online Microsoft security training to help with education of your team members.

      • Zajištění povědomí o zabezpečení s cílem pomáhat osobám, které se připojují k bezpečnosti, se svými součástmi organizace.Making security awareness engaging to help people genuinely connect with their part of keeping the organization safe.

    • Přečtěte si informace o studiu a návodech Microsoftu: Společnost Microsoft zveřejnila přehledy a perspektivy, které vaší organizaci pomůžou svou transformaci do cloudu a moderní strategii zabezpečení.Review Microsoft learnings and guidance: Microsoft has published insights and perspectives to help your organization plan its transformation to the cloud and a modern security strategy. Materiál zahrnuje zaznamenané školení, dokumentaci a osvědčené postupy zabezpečení a doporučené standardy.The material includes recorded training, documentation, and security best practices and recommended standards.

      Technické pokyny, které vám pomůžou při sestavování plánu a architektury, najdete v dokumentaci k zabezpečení Microsoftu.For technical guidance to help build your plan and architecture, see the Microsoft security documentation.


    Tým s účtemAccountable team Zodpovědné a podpůrné týmyResponsible and supporting teams
  • Tým zabezpečení clouduCloud security team
  • Tým strategie clouduCloud strategy team
  • Tým zásad správného řízení clouduCloud governance team
  • Všechny rizikové týmy ve vaší organizaciAny risk teams in your organization
  • Cloudové centrum excelence nebo středový týmCloud center of excellence or central IT team
  • Schválení plánu zabezpečení:Security plan approval:

    Tým vedoucího zabezpečení (ředitelka zabezpečení informací nebo ekvivalentní) by měl schválit plán.The security leadership team (CISO or equivalent) should approve the plan.

    Krok 4: zabezpečení nových úlohStep 4: Secure new workloads

    Je mnohem snazší začít v zabezpečeném stavu než zpětnému pozměnění zabezpečení později do svého prostředí.It's a lot easier to start in a secure state than to retrofit security later into your environment. Důrazně doporučujeme začít se zabezpečenou konfigurací, aby bylo zajištěno, že úlohy budou migrovány a vyvíjeny a testovány v zabezpečeném prostředí.We strongly recommend starting with a secure configuration to ensure that workloads are migrated to, and developed and tested in, a secure environment.

    Při implementaci cílové zóny může mnoho rozhodnutí ovlivnit profily zabezpečení a rizika.During landing zone implementation, many decisions can affect security and risk profiles. Tým zabezpečení cloudu by měl zkontrolovat konfiguraci cílové zóny, aby splňoval standardy zabezpečení a požadavky ve standardních hodnotách zabezpečení vaší organizace.The cloud security team should review the landing zone configuration to ensure that it meets the security standards and requirements in your organization's security baselines.

    DodávkyDeliverables:

    • Zajistěte, aby nové cílové zóny splňovaly požadavky organizace na dodržování předpisů a požadavky na zabezpečení.Ensure that new landing zones meet the organization's compliance and security requirements.

    Doprovodné materiály k podpoře dokončení dodávky:Guidance to support deliverable completion:

    • Problende stávající požadavky a cloudová doporučení: Začněte s doporučenými pokyny a pak to Přizpůsobte podle svých jedinečných požadavků na zabezpečení.Blend existing requirements and cloud recommendations: Start with recommended guidance and then adapt this to your unique security requirements. Zjistili jsme problémy s tím, že se snažíte vyhovět stávajícím místním zásadám a standardům, protože ty často odkazují na zastaralé technologie nebo bezpečnostní přístupy.We have seen challenges with trying to enforce existing on-premises policies and standards, because these often refer to outdated technology or security approaches.

      Společnost Microsoft zveřejnila pokyny, které vám pomůžou při sestavování standardních hodnot zabezpečení:Microsoft has published guidance to help you build your security baselines:

    • Poskytněte guardrails: K ochraně by měly patřit automatizované auditování a vynucování zásad.Provide guardrails: Safeguards should include automated policy auditing and enforcement. V těchto nových prostředích by týmy měly usilovat o audit a prosazování standardních hodnot zabezpečení organizace.For these new environments, teams should strive to both audit and enforce the organization's security baselines. Toto úsilí může přispět k minimalizaci překvapením zabezpečení během vývoje úloh a také průběžné integrace a průběžného nasazování (CI/CD) úloh.These efforts can help minimize security surprises during the development of workloads, as well as continuous integration and continuous deployment (CI/CD) of workloads.

      Microsoft poskytuje v Azure několik nativních funkcí, které tuto možnost povolují:Microsoft provides several native capabilities in Azure to enable this:

      • Bezpečné skóre: k sledování úsilí a projektů ve vaší organizaci použijte hodnocení služby Azure Security stav s využitím skóre.Secure score: Use a scored assessment of your Azure security posture to track security efforts and projects in your organization.
      • Plány Azure: cloudové architekti a centralizované skupiny IT můžou definovat opakující se sadu prostředků Azure, které implementují a vyhovují standardům, vzorům a požadavkům organizace.Azure Blueprints: Cloud architects and centralized IT groups can define a repeatable set of Azure resources that implements and adheres to an organization's standards, patterns, and requirements.
      • Azure Policy: základem funkcí viditelnosti a kontroly, které používají jiné služby.Azure Policy: This is the foundation of the visibility and control capabilities that the other services use. Azure Policy je integrován do Azure Resource Manager, takže můžete auditovat změny a vystavovat zásady napříč libovolným prostředkem v Azure před, během nebo po jeho vytvoření.Azure Policy is integrated into Azure Resource Manager, so you can audit changes and enforce policies across any resource in Azure before, during, or after its creation.
      • Zlepšení operací při vykládku zóny: použijte osvědčené postupy pro zlepšení zabezpečení v cílové zóně.Improve landing zone operations: Use best practices for improving security within a landing zone.

    Tým s účtemAccountable team Zodpovědné a podpůrné týmyResponsible and supporting teams
  • Tým zabezpečení clouduCloud security team
  • Tým přijetí clouduCloud adoption team
  • Tým cloudové platformyCloud platform team
  • Tým strategie clouduCloud strategy team
  • Tým zásad správného řízení clouduCloud governance team
  • Cloudové centrum excelence nebo středový týmCloud center of excellence or central IT team
  • Krok 5: zabezpečení stávajících cloudových úlohStep 5: Secure existing cloud workloads

    Mnoho organizací už na podniková cloudová prostředí nasadilo prostředky bez použití osvědčených postupů zabezpečení, které vytváří zvýšené obchodní riziko.Many organizations have already deployed assets to enterprise cloud environments without applying the security best practices, creating increased business risk.

    Až zajistěte, aby nové aplikace a cílové zóny dodržovaly osvědčené postupy zabezpečení, měli byste se zaměřit na přenesení stávajících prostředí do stejných standardů.After you ensure that new applications and landing zones follow security best practices, you should focus on bringing existing environments up to the same standards.

    DodávkyDeliverables:

    • Zajistěte, aby všechna existující cloudová prostředí a cílová zóna splňovaly požadavky organizace na dodržování předpisů a zabezpečení.Ensure that all existing cloud environments and landing zones meet the organization's compliance and security requirements.
    • Otestujte Provozní připravenost produkčních nasazení pomocí zásad pro standardní hodnoty zabezpečení.Test operational readiness of production deployments by using policies for security baselines.
    • Ověřte dodržování pokynů pro návrh a požadavky na zabezpečení pro standardní hodnoty zabezpečení.Validate adherence to design guidance and security requirements for security baselines.

    Doprovodné materiály k podpoře dokončení dodávky:Guidance to support deliverable completion:

    • Použijte stejné směrné plány zabezpečení, které jste vytvořili v kroku 4 , jako ideální stav.Use the same security baselines that you built in Step 4 as your ideal state. Možná budete muset upravit některá nastavení zásad jenom na audit, nikoli na jejich vynucování.You might have to adjust some policy settings to only audit instead of enforcing them.
    • Vyvážení provozní a bezpečnostní riziko.Balance operational and security risk. Vzhledem k tomu, že tato prostředí můžou hostovat provozní systémy, které umožňují kritické obchodní procesy, možná budete muset implementovat vylepšení zabezpečení přírůstkově, abyste se vyhnuli riziku v provozu.Because these environments might host production systems that enable critical business processes, you might need to implement security improvements incrementally to avoid risking operational downtime.
    • Určete prioritu zjišťování a nápravy bezpečnostního rizika podle důležitosti podniku.Prioritize the discovery and remediation of security risk by business criticality. Začněte s úlohami, které mají vysoký dopad na bezpečnost, pokud dojde k ohrožení a zatížení, které mají vysokou expozici riziku.Start with workloads that have a high business impact if compromised and workloads that have a high exposure to risk.

    Další informace najdete v tématu identifikace a klasifikace důležitých podnikových aplikací.For more information, see Identify and classify business-critical applications.


    Tým s účtemAccountable team Zodpovědné a podpůrné týmyResponsible and supporting teams
  • Tým přijetí clouduCloud adoption team
  • Tým přijetí clouduCloud adoption team
  • Tým strategie clouduCloud strategy team
  • Tým zabezpečení clouduCloud security team
  • Tým zásad správného řízení clouduCloud governance team
  • Cloudové centrum excelence nebo středový týmCloud center of excellence or central IT team
  • Krok 6: řízení a vylepšení stav zabezpečeníStep 6: Govern to manage and improve security posture

    Stejně jako všechny moderní disciplíny je zabezpečení iterativní proces, který by se měl zaměřit na průběžné vylepšování.Like all modern disciplines, security is an iterative process that should focus on continuous improvement. Stav zabezpečení může také Decay, pokud organizace v průběhu času neutrpí fokus.Security posture can also decay if organizations don't sustain focus on it over time.

    Konzistentní aplikace požadavků na zabezpečení pochází ze zvukových pravidel zásad správného řízení a automatizovaných řešení.Consistent application of security requirements comes from sound governance disciplines and automated solutions. Po definování standardních hodnot zabezpečení tým zabezpečení cloudu musí tyto požadavky auditovat, aby bylo zajištěno, že budou použity konzistentně pro všechna cloudová prostředí (a v případě potřeby vynutila).After the cloud security team defines the security baselines, those requirements should be audited to ensure they're applied consistently to all cloud environments (and enforced where applicable).

    DodávkyDeliverables:

    • Zajistěte, aby byly standardní hodnoty zabezpečení organizace aplikovány na všechny příslušné systémy.Ensure that the organization's security baselines are applied to all relevant systems. Auditujte anomálie pomocí zabezpečeného skóre nebo podobného mechanismu.Audit anomalies by using a secure score or a similar mechanism.
    • Dokumentace k zásadám standardních hodnot zabezpečení, procesům a pokynům k návrhu v šabloně pravidla směrného plánu zabezpečeníDocument your Security Baseline policies, processes, and design guidance in the Security Baseline discipline template.

    Doprovodné materiály k podpoře dokončení dodávky:Guidance to support deliverable completion:


    Tým s účtemAccountable team Zodpovědné a podpůrné týmyResponsible and supporting teams
  • Tým zásad správného řízení clouduCloud governance team
  • Tým strategie clouduCloud strategy team
  • Tým zabezpečení clouduCloud security team
  • Cloudové centrum excelence nebo středový týmCloud center of excellence or central IT team
  • Další krokyNext steps

    Kroky v této příručce vám pomohly implementovat strategii, ovládací prvky, procesy, dovednosti a jazykovou verzi potřebnou pro konzistentní správu rizik zabezpečení napříč podnikem.The steps in this guide have helped you implement the strategy, controls, processes, skills, and culture needed to consistently manage security risks across the enterprise.

    Jak budete pokračovat v provozním režimu zabezpečení cloudu, zvažte tyto další kroky:As you continue into the operations mode of cloud security, consider these next steps: