Standardní příručka pro zásady správného řízení podniku: vylepšení pravidla směrného plánu zabezpečeníStandard enterprise governance guide: Improve the Security Baseline discipline

Tento článek postoupí k Předčítání strategie zásad správného řízení přidáním ovládacích prvků zabezpečení, které podporují přesun chráněných dat do cloudu.This article advances the governance strategy narrative by adding security controls that support moving protected data to the cloud.

Posunutí mluveného komentářeAdvancing the narrative

Vedení IT a firmy je příjemné s výsledky z předčasného experimentu, které jsou týmy pro IT, vývoj aplikací a BI.IT and business leadership are happy with results from early experimentation by the IT, application development, and BI teams. Aby bylo možné realizovat hmotné obchodní hodnoty z těchto experimentů, musí být těmto týmům povoleno integrovat chráněná data do řešení.To realize tangible business values from these experiments, those teams must be allowed to integrate protected data into solutions. Tato integrace aktivuje změny firemních zásad.This integration triggers changes to corporate policy. Vyžaduje také přírůstkové zlepšení implementace zásad správného řízení cloudu před tím, než se chráněná data mohou vykládat v cloudu.It also requires incremental improvement of the cloud governance implementations before protected data can land in the cloud.

Změny týmu zásad správného řízení clouduChanges to the cloud governance team

Vzhledem k tomu, že je v současné době změna mluveného komentáře a podpory k dispozici, je teď tým zásad správného řízení cloudu zobrazen odlišně.Given the effect of the changing narrative and support provided so far, the cloud governance team is now viewed differently. Dva správci systému, kteří tým zahájili, se teď zobrazují jako zkušení cloudové architekty.The two system administrators who started the team are now viewed as experienced cloud architects. V rámci tohoto mluveného komentáře se jejich vnímání posunou od cloudové starají k většímu počtu rolí ochrany cloudu.As this narrative develops, the perception of them will shift from that of cloud custodians to more of a cloud guardian role.

Rozdíl je malý, ale při vytváření jazykové verze IT zaměřené na zásady správného řízení je důležitým rozdílem.The difference is subtle, but it's an important distinction when you're creating a governance-focused IT culture. Cloudový implicitní správce čistí přehledy, které udělal inovativní cloudové architekty.A cloud custodian cleans up the messes made by innovative cloud architects. Tyto dvě role mají přirozené tření a protichůdné cíle.The two roles have natural friction and opposing goals. Na druhé straně strážce cloudu pomáhá udržet Cloud v bezpečí, takže ostatní cloudové architekty se můžou rychleji pohybovat, a to s menším počtem obav.On the other hand, a cloud guardian helps keep the cloud safe so other cloud architects can move more quickly, with fewer messes. A ochrana cloudu se zabývá vytvářením šablon, které urychlují nasazení a přijetí.And a cloud guardian is involved in creating templates that accelerate deployment and adoption. Proto jsou mezi nimi inovace akcelerátory, které se snaží chránit i pět oborů zásad správného řízení cloudu.So they're innovation accelerators in addition to being defenders of the Five Disciplines of Cloud Governance.

Změny v aktuálním stavuChanges in the current state

Na začátku tohoto mluveného komentáře vývojové týmy aplikace i nadále pracovaly s kapacitou pro vývoj a testování a tým BI ještě v experimentální fázi.At the start of this narrative, the application development teams were still working in a dev/test capacity, and the BI team was still in the experimental phase. Provozuje se dvě prostředí hostované infrastruktury, která se označují jako Prod a DR .IT operated two hosted infrastructure environments, referred to as Prod and DR.

Od té doby se změnily některé věci, které budou mít vliv na zásady správného řízení:Since then, some things have changed that will affect governance:

  • Vývojový tým aplikace implementoval kanál CI/CD pro nasazení nativní cloudové aplikace s vylepšeným uživatelským prostředím.The application development team has implemented a CI/CD pipeline to deploy a cloud-native application with an improved user experience. Tato aplikace ještě nekomunikuje s chráněnými daty, takže není připravená pro produkční prostředí.That application doesn't yet interact with protected data, so it isn't production ready.
  • Tým business intelligence v rámci IT aktivně vystavuje data v cloudu z logistiky, inventáře a zdrojů třetích stran.The business intelligence team within IT actively curates data in the cloud from logistics, inventory, and third-party sources. Tato data se používají k řízení nových předpovědi, která by mohla tvarovat obchodní procesy.This data is used to drive new predictions, which could shape business processes. Tyto předpovědi a přehledy nejsou vhodné, dokud se zákazníci a finanční data nedají integrovat do datové platformy.Those predictions and insights aren't actionable until customer and financial data can be integrated into the data platform.
  • IT tým pokračuje v plánech CIO a CFO k vyřazení datacentra DR.The IT team is progressing on the CIO and CFO plans to retire the DR datacenter. V datacentru DR bylo vyřazeno nebo Migrováno více než 1 000 prostředků 2 000.More than 1,000 of the 2,000 assets in the DR datacenter have been retired or migrated.
  • Volně definované zásady pro osobní údaje a finanční data byly moderní.The loosely defined policies for personal data and financial data have been modernized. Nové podnikové zásady jsou závislé na implementaci souvisejících zásad zabezpečení a zásad správného řízení.The new corporate policies are contingent on the implementation of related security and governance policies. Týmy jsou stále zablokované.Teams are still stalled.

Přírůstkové zlepšení budoucího stavuIncrementally improve the future state

Předčasné experimenty pro vývoj aplikací a týmy v oblasti BI ukazují možné vylepšení v oblasti zákazníků a rozhodování na základě dat.Early experiments by the application development and BI teams show potential improvements in customer experiences and data-driven decisions. Oba týmy chtějí po dalších 18 měsících rozšířit přijetí cloudu nasazením těchto řešení do produkčního prostředí.Both teams want to expand adoption of the cloud over the next 18 months by deploying those solutions to production.

Během zbývajících šest měsíců bude tým zásad správného řízení pro Cloud implementovat požadavky na zabezpečení a zásady správného řízení, které umožní týmům v rámci cloudového přijímání migrovat chráněná data v těchto datových centrech.During the remaining six months, the cloud governance team will implement security and governance requirements to allow the cloud adoption teams to migrate the protected data in those datacenters.

Změny aktuálního a budoucího stavu zveřejňují nová rizika, která vyžadují nové příkazy zásad.The changes to current and future state expose new risks that require new policy statements.

Změny v hmatatelných rizicíchChanges in tangible risks

Porušení dat: Když přijmete novou datovou platformu, dojde k podstatnému nárůstu závazků souvisejících s potenciálním porušením dat.Data breach: When you adopt any new data platform, there's an inherent increase in liabilities related to potential data breaches. Technici, kteří přijali cloudové technologie, zvýšili zodpovědnost za implementaci řešení, která můžou toto riziko snížit.Technicians adopting cloud technologies have increased responsibility to implement solutions that can reduce this risk. K zajištění toho, aby tyto technici splnily tyto zodpovědnosti, je nutné implementovat robustní strategii zabezpečení a zásad správného řízení.A robust security and governance strategy must be implemented to ensure those technicians fulfill those responsibilities.

Toto obchodní riziko se dá rozšířit na několik technických rizik:This business risk can be expanded into a few technical risks:

  • Klíčové aplikace nebo chráněná data se můžou neúmyslně nasadit.Mission-critical applications or protected data might be deployed unintentionally.
  • Chráněná data mohou být během úložiště vystavena z důvodu špatného rozhodování o šifrování.Protected data might be exposed during storage because of poor encryption decisions.
  • Oprávnění uživatelé můžou přistupovat k chráněným datům.Unauthorized users might access protected data.
  • Externí vniknutí může mít za následek přístup k chráněným datům.External intrusion might result in access to protected data.
  • K externímu vniknutí nebo útokům DOS (Denial-of-Service) může dojít k výpadku firmy.External intrusion or denial-of-service attacks might cause a business interruption.
  • Změny v organizaci nebo zaměstnanosti můžou umožňovat neoprávněný přístup k chráněným datům.Organization or employment changes might allow unauthorized access to protected data.
  • Nová zneužití můžou vytvořit nové příležitosti pro vniknutí nebo přístup.New exploits could create new intrusion or access opportunities.
  • Nekonzistentní procesy nasazení můžou mít za následek mezery v zabezpečení, což by mohlo vést k úniku nebo přerušením dat.Inconsistent deployment processes might result in security gaps, which could lead to data leaks or interruptions.
  • Aktualizace s posunem nebo chybějícím nastavením můžou vést k nezamýšleným bezpečnostním otvorům, což by mohlo vést k úniku nebo přerušením dat.Configuration drift or missed patches might result in unintended security gaps, which could lead to data leaks or interruptions.

Ztráta dat: Na nové platformě se taky přináší riziko ztráty dat.Data loss: There's also an inherent risk of data loss in the new platform. Strategie zabezpečení a zásad správného řízení by měla vzít v úvahu následující scénáře, kdy může dojít ke ztrátě dat:The security and governance strategy should consider the following scenarios in which data loss can happen:

  • Zásadní prostředek je ztracen nebo odstraněn.A mission-critical resource is lost or deleted.
  • Klíčové prostředky jsou k dispozici, ale data jsou ztracena z důvodu nechtěného odstranění.A mission-critical resource is present, but the data is lost because of accidental deletion.
  • Klíčové prostředky jsou k dispozici, ale data jsou ztracena z důvodu škodlivé správy.A mission-critical resource is present, but the data is lost because of malicious administration.

Přírůstkové zlepšování příkazů zásadIncremental improvement of policy statements

Následující změny zásad vám pomůžou opravit nová rizika a implementaci příručky.The following changes to policy will help remediate the new risks and guide implementation. Seznam vypadá dlouhou dobu, ale přijetí těchto zásad může být snazší, než si myslíte.The list looks long, but adopting these policies might be easier than you think.

  • Všechny nasazené prostředky musí být rozdělené do kategorií podle závažnosti a klasifikace dat.All deployed assets must be categorized by criticality and data classification. Tým zásad správného řízení cloudu a vlastník aplikace musí tyto klasifikace před nasazením do cloudu zkontrolovat.The cloud governance team and the application owner must review these classifications before deployment to the cloud.
  • Aplikace, které ukládají nebo mají přístup k chráněným datům, se musí spravovat jinak než aplikace, které ne.Applications that store or access protected data must be managed differently than applications that don't. Aby nedocházelo k neúmyslnému přístupu k chráněným datům, měly by být segmentované.At a minimum, they should be segmented to avoid unintended access of protected data.
  • Všechna chráněná data musí být v klidovém stavu zašifrovaná.All protected data must be encrypted when at rest. Toto šifrování je výchozím nastavením pro všechny účty Azure Storage.This encryption is the default for all Azure Storage accounts. Je ale možné, že budete potřebovat další strategie šifrování, včetně šifrování dat v rámci účtu úložiště, šifrování virtuálních počítačů a šifrování na úrovni databáze při použití SQL na virtuálním počítači (TDE a šifrování sloupce).But you might need additional encryption strategies, including encryption of the data within the storage account, encryption of VMs, and database-level encryption when you use SQL in a VM (TDE and column encryption).
  • Kritická data je možné odstranit omylem.Mission-critical data can be deleted accidentally. Je potřeba vyvinout strategii zálohování dat, která toto riziko zpracovává, a obnovovat data před bodem odstranění.You need to develop a data backup strategy to handle this risk and restore the data from before the deletion point. Správce se zlými úmysly může odstranit také důležitá data z hlediska poslání a zálohy.A malicious admin can delete the mission-critical data and its backups as well. Aby bylo možné tento scénář zpracovat, je nutné odstranit data zálohy, která lze vrátit zpět.To handle this scenario, deletions of backup data should be soft deletions that can be reversed. V obou těchto scénářích může Azure Backup pomáhat.Azure Backup can help with both of these scenarios.
  • Zvýšená oprávnění v jakémkoli segmentu, který obsahuje chráněná data, by měla být výjimka.Elevated permissions in any segment that contains protected data should be an exception. Jakékoli takové výjimky budou zaznamenány s týmem zásad správného řízení cloudu a budou pravidelně auditovány.Any such exceptions will be recorded with the cloud governance team and audited regularly.
  • Podsítě sítě, které obsahují chráněná data, musí být izolované od jiných podsítí.Network subnets that contain protected data must be isolated from other subnets. Síťový provoz mezi podsítěmi chráněných dat se pravidelně Audituje.Network traffic between protected data subnets will be audited regularly.
  • Žádná podsíť, která obsahuje chráněná data, by měla být přímo přístupná prostřednictvím veřejného Internetu nebo napříč datovými centry.No subnet that contains protected data should be directly accessible over the public internet or across datacenters. Přístup k těmto podsítím musí být směrován prostřednictvím zprostředkujících podsítí.Access to those subnets must be routed through intermediate subnets. Všechny přístupy do těchto podsítí se musí nacházet prostřednictvím řešení brány firewall, které umožňuje provádět kontrolu paketů a blokující funkce.All access into those subnets must come through a firewall solution that can perform packet scanning and blocking functions.
  • Nástroje pro správu zásad správného řízení musí auditovat a vymáhat požadavky na konfiguraci sítě definované týmem správy zabezpečení.Governance tooling must audit and enforce network configuration requirements defined by the security management team.
  • Nástroje zásad správného řízení musí omezit nasazení virtuálního počítače jenom na schválené image.Governance tooling must limit VM deployment to only approved images.
  • Proces zásad správného řízení musí ověřit, jestli je zálohování, obnovení a dodržování SLA správně implementované pro klíčové aplikace a chráněná data.Governance process must validate that backup, recovery, and SLA adherence are properly implemented for mission-critical applications and protected data.
  • Kdykoli je to možné, musí Správa konfigurace uzlů uplatňovat požadavky zásad na konfiguraci libovolného hostovaného operačního systému.Whenever possible, node configuration management should apply policy requirements to the configuration of any guest operating system.
  • Nástroje správy zásad správného řízení musí vymáhat, že automatické aktualizace jsou povolené u všech nasazených prostředků.Governance tooling must enforce that automatic updates are enabled on all deployed assets. Porušení musí být přezkoumána s provozními týmy správy a opraveny v souladu se zásadami provozu.Violations must be reviewed with operational management teams and remediated in accordance with operations policies. Prostředky, které se automaticky neaktualizují, musí být zahrnuté do procesů, které vlastní IT operace.Assets that aren't automatically updated must be included in processes owned by IT operations.
  • Vytvoření nových předplatných nebo skupin pro správu pro všechny důležité aplikace nebo chráněná data budou vyžadovat kontrolu od týmu zásad správného řízení cloudu, aby bylo zajištěno, že bude přiřazen řádný plán.Creation of new subscriptions or management groups for any mission-critical applications or protected data will require a review from the cloud governance team to ensure that the proper blueprint is assigned.
  • Model přístupu s minimálními oprávněními se použije pro všechny skupiny pro správu nebo předplatné, které obsahují klíčové aplikace nebo chráněná data.A least-privilege access model will be applied to any management group or subscription that contains mission-critical applications or protected data.
  • Trendy a zneužití, které by mohly ovlivnit nasazení v cloudu, by pravidelně kontroloval tým zabezpečení, aby poskytoval aktualizace nástrojů pro správu zabezpečení používaných v cloudu.Trends and exploits that could affect cloud deployments should be reviewed regularly by the security team to provide updates to security management tooling used in the cloud.
  • Nástroje pro nasazení musí schválit tým zásad správného řízení cloudu, aby se zajistilo průběžné řízení nasazených prostředků.Deployment tooling must be approved by the cloud governance team to ensure ongoing governance of deployed assets.
  • Skripty nasazení musí být udržovány v centrálním úložišti přístupném týmem zásad správného řízení cloudu pro pravidelnou kontrolu a auditování.Deployment scripts must be maintained in a central repository accessible by the cloud governance team for periodic review and auditing.
  • Procesy zásad správného řízení musí zahrnovat audity v místě nasazení a v pravidelných cyklech, aby se zajistila konzistence napříč všemi prostředky.Governance processes must include audits at the point of deployment and at regular cycles to ensure consistency across all assets.
  • Nasazení všech aplikací, které vyžadují ověřování zákazníků, musí používat schváleného poskytovatele identity, který je kompatibilní s primárním zprostředkovatelem identity pro interní uživatele.Deployment of any applications that require customer authentication must use an approved identity provider that's compatible with the primary identity provider for internal users.
  • Procesy zásad správného řízení cloudu musí zahrnovat čtvrtletní recenze s týmy správy identit.Cloud governance processes must include quarterly reviews with identity management teams. Tyto recenze můžou přispět k identifikaci škodlivých aktérů nebo způsobů použití, které by měly být znemožněny konfigurací cloudového prostředku.These reviews can help identify malicious actors or usage patterns that should be prevented by cloud asset configuration.

Postupné vylepšování postupů správného řízeníIncremental improvement of governance practices

Návrh MVP pro zásady správného řízení se změní tak, aby zahrnoval nové zásady Azure a implementaci Azure Cost Management + fakturace.The governance MVP design will change to include new Azure policies and an implementation of Azure Cost Management + Billing. Tyto dvě změny návrhu společně budou plnit nové příkazy podnikové zásady.Together, these two design changes will fulfill the new corporate policy statements.

  • Sítě a týmy zabezpečení IT budou definovat požadavky na síť.The networking and IT security teams will define network requirements. Tým zásad správného řízení pro Cloud bude tuto konverzaci podporovat.The cloud governance team will support the conversation.
  • Identita a týmy zabezpečení IT budou definovat požadavky na identitu a provádět všechny nezbytné změny v místní implementaci služby Active Directory.The identity and IT security teams will define identity requirements and make any necessary changes to local Active Directory implementation. Tým zásad správného řízení pro Cloud bude kontrolovat změny.The cloud governance team will review changes.
  • Vytvořte v Azure DevOps úložiště, ve kterém se uloží a naplní všechny relevantní šablony Azure Resource Manager a skriptované konfigurace.Create a repository in Azure DevOps to store and version all relevant Azure Resource Manager templates and scripted configurations.
  • Implementace úložiště Azure Recovery Services:Azure Recovery Services vault implementation:
    • Definování a nasazení úložiště Azure Recovery Services pro procesy zálohování a obnovení.Define and deploy an Azure Recovery Services vault for backup and recovery processes.
    • Vytvořte šablonu Správce prostředků pro vytvoření trezoru v každém předplatném.Create a Resource Manager template for creation of a vault in each subscription.
  • Azure Security Center implementace:Azure Security Center implementation:
    • Nakonfigurujte Azure Security Center pro všechny skupiny pro správu, které obsahují chráněné klasifikace dat.Configure Azure Security Center for any management group that contains protected data classifications.
    • Nastavte Automatické zřizování na zapnuto ve výchozím nastavení, aby se zajistilo dodržování předpisů.Set automatic provisioning to on by default to ensure patching compliance.
    • Navažte konfigurace zabezpečení operačního systému.Establish OS security configurations. Tým zabezpečení IT bude definovat konfiguraci.The IT security team will define the configuration.
    • Podporuje tým zabezpečení IT při prvotním použití Security Center.Support the IT security team in the initial use of Security Center. Převeďte Security Center k bezpečnostnímu týmu IT, ale Udržujte přístup za účelem neustálého zlepšování zásad správného řízení.Transition the use of Security Center to the IT security team, but maintain access for the purpose of continually improving governance.
    • Vytvořte šablonu Správce prostředků, která odráží změny požadované pro Security Center konfiguraci v rámci předplatného.Create a Resource Manager template that reflects the changes required for Security Center configuration within a subscription.
  • Aktualizovat zásady Azure pro všechna předplatná:Update Azure policies for all subscriptions:
    • Auditujte a vyjistěte kritickou klasifikaci dat a dat napříč všemi skupinami pro správu a předplatnými k identifikaci všech předplatných s chráněnými klasifikacemi dat.Audit and enforce the criticality of data and data classification across all management groups and subscriptions to identify any subscriptions with protected data classifications.
    • Auditujte a vynutili použití jenom schválených imagí.Audit and enforce the use of approved images only.
  • Aktualizujte zásady Azure pro všechna předplatná, která obsahují klasifikace chráněných dat:Update Azure policies for all subscriptions that contain protected data classifications:
    • Auditujte a vyjistěte použití pouze standardních rolí Azure.Audit and enforce the use of standard Azure roles only.
    • Auditujte a vynutili šifrování pro všechny účty úložiště a soubory v klidovém umístění na jednotlivých uzlech.Audit and enforce encryption for all storage accounts and files at rest on individual nodes.
    • Audituje a vynutila použití NSG pro všechny síťové karty a podsítě.Audit and enforce the application of an NSG to all NICs and subnets. NSG budou definovat sítě a týmy zabezpečení IT.The networking and IT security teams will define the NSG.
    • Auditujte a vynutili použití schválené podsítě sítě a virtuální sítě na síťové rozhraní.Audit and enforce the use of approved network subnet and virtual network per network interface.
    • Audituje a vynutil omezení uživatelem definovaných směrovacích tabulek.Audit and enforce the limitation of user-defined routing tables.
    • Použijte předdefinované zásady pro konfiguraci hostů následujícím způsobem:Apply the built-in policies for guest configuration as follows:
      • Audit, zda webové servery Windows používají zabezpečené komunikační protokoly.Audit that Windows web servers are using secure communication protocols.
      • Auditovat správné nastavení zabezpečení hesla v počítačích se systémy Linux a Windows.Audit that password security settings are set correctly inside Linux and Windows machines.
    • Proveďte audit a vyjistěte, aby v předplatném existovaly trezory služby Azure Recovery Services.Audit and enforce that Azure Recovery Services vaults exist in the subscription.
  • Konfigurace brány firewall:Firewall configuration:
  • Plány Azure:Azure Blueprints:
    • Vytvořte nový podrobný plán s názvem protected-data .Create a new blueprint named protected-data.
    • Přidejte šablony Azure Firewall, šablony Azure Security Center a šablony služby Azure Recovery Services trezor do podrobného plánu.Add the Azure Firewall templates, Azure Security Center templates, and Azure Recovery Services vault templates to the blueprint.
    • Přidejte nové zásady pro odběry chráněných dat.Add the new policies for protected data subscriptions.
    • Publikovat podrobný plán do jakékoli skupiny pro správu, která aktuálně plánuje hostování chráněných dat.Publish the blueprint to any management group that currently plans on hosting protected data.
    • Použijte nový podrobný plán na všechny ovlivněné předplatné a na existující plány.Apply the new blueprint to each affected subscription and to existing blueprints.

ZávěrConclusion

Přidání výše uvedených procesů a změn do MVP pro řízení správného řízení vám pomůže napravit mnoho rizik spojených se zabezpečením zásad správného řízení.Adding the above processes and changes to the governance MVP will help to remediate many of the risks associated with security governance. Společně přidávají nástroje pro monitorování sítě, identity a zabezpečení potřebné k ochraně dat.Together, they add the network, identity, and security monitoring tools needed to protect data.

Další krokyNext steps

V případě, že se přijetí cloudu pokračuje a přináší další obchodní hodnoty, rizika a potřeby zásad správného řízení cloudu.As cloud adoption continues and delivers additional business value, risks and cloud governance needs also change. Pro fiktivní společnost v tomto průvodci je dalším krokem podpora důležitých úloh.For the fictional company in this guide, the next step is to support mission-critical workloads. V tuto chvíli jsou potřebné ovládací prvky pro zajištění konzistence prostředků.At this point, resource consistency controls are needed.