Zabezpečení v Microsoft Cloud Adoption Framework pro Azure

  • Článek

Stejně jako přechod na cloud je zabezpečení cloudu průběžnou cestou přírůstkového pokroku a vyspělosti, nikoli statickým cílem.

Představte si koncový stav zabezpečení

Cesta bez cíle je pouhé bloudění. Tento přístup může nakonec vést k osvětě, ale obchodní cíle a omezení často vyžadují zaměření na cíle a klíčové výsledky.

Metodologie zabezpečení poskytuje vizi úplného koncového stavu, který vede ke zlepšování vašeho programu zabezpečení v průběhu času. Následující vizuál mapuje klíčové způsoby integrace zabezpečení s větší organizací a ukazuje disciplíny v rámci zabezpečení.

Vizuál znázorňující obchodní sladění a disciplíny zabezpečení pomocí metodologie zabezpečení CAF

Touto cestou zabezpečení se řídí Cloud Adoption Framework tím, že poskytuje jasné informace o procesech, osvědčených postupech, modelech a prostředích. Tyto pokyny vycházejí ze získaných poznatků a zkušeností skutečných zákazníků, cesty Microsoftu k zabezpečení a spolupráce s organizacemi, jako jsou NIST, The Open Group a Center for Internet Security (CIS).

Následující video ukazuje, jak metodologie zabezpečení pomáhá při vylepšování zabezpečení v průběhu času.

Mapování na koncepty, architektury a standardy

Zabezpečení je samostatná disciplína organizace a atribut, který je integrovaný nebo překrývající se v jiných disciplínách. Je obtížné přesně definovat a podrobně mapovat. Odvětví zabezpečení používá k provozu, zachytávání rizik a plánování kontrolních mechanismů různé architektury. Disciplíny v metodologii zabezpečení CAF souvisejí s dalšími koncepty zabezpečení a pokyny následujícími způsoby:

  • nulová důvěra (Zero Trust): Microsoft se domnívá, že všechny disciplíny zabezpečení by se měly řídit principy nulová důvěra (Zero Trust), mezi které patří předpoklady porušení zabezpečení, explicitní ověření a použití nejnižší úrovně oprávnění. Tyto zásady jsou základem každé řádné strategie zabezpečení a musí být vyváženy s cíli pro podporu podnikání . První a nejviditelnější část nulová důvěra (Zero Trust) je v řízení přístupu, takže je zvýrazněná v popisu disciplíny zabezpečení řízení přístupu.

  • Otevřená skupina: Tyto disciplíny zabezpečení se úzce mapují na nulová důvěra (Zero Trust) komponenty v dokumentu white paper o základních principech publikovaném společností The Open Group, kde se Microsoft aktivně účastní. Významnou výjimkou je, že Microsoft zvýšil disciplínu v oblasti zabezpečení inovací tak, aby byl DevSecOps elementem nejvyšší úrovně, protože tato disciplína je pro mnoho organizací nová, důležitá a transformativní.

  • Rámec kybernetické bezpečnosti NIST: Pro organizace, které používají rámec pro kybernetickou bezpečnost NIST, jsme zvýraznili tučný text, kde se architektura nejvíce mapuje. Moderní řízení přístupu a DevSecOps se mapují v širokém měřítku na celé spektrum architektury, takže se tyto položky nezaznamenává jednotlivě.

Mapování na role a zodpovědnosti

Následující diagram shrnuje role a odpovědnosti v programu zabezpečení.

Diagram odpovědností a funkcí týmu zabezpečení podniku

Další informace najdete v tématu Funkce zabezpečení cloudu.

Transformace zabezpečení

Když organizace osvojují cloud, rychle zjišťují, že statické procesy zabezpečení nedokážou držet krok se změnami v cloudových platformách, prostředím hrozeb a vývojem technologií zabezpečení. Zabezpečení se musí posunout k neustále se vyvíjejícímu přístupu, aby odpovídalo tempu této změny. Transformuje kulturu organizace a každodenní procesy v celé organizaci.

Tato metodologie řídí integraci zabezpečení s obchodními procesy a technickými disciplínami zabezpečení. Tyto procesy a disciplíny umožňují smysluplný a udržitelný pokrok na vaší cestě k zabezpečení, aby se snížila organizační rizika. Jen málo organizací dokáže zdokonalit všechny tyto postupy najednou, ale všechny organizace by měly postupně zralý každý proces a disciplínu.

Změnit ovladače

Organizace zabezpečení prožívají dva typy hlavních transformací současně.

  • Zabezpečení jako obchodní riziko: Zabezpečení se dostalo do sféry řízení obchodních rizik z čistě technické disciplíny zaměřené na kvalitu. Zabezpečení se řídí dvěma silami:
    • Digitální transformace: Digitální stopa neustále zvyšuje potenciální prostor pro útoky na organizaci.
    • Prostředí hrozeb: Zvýšení objemu útoků a sofistikovanosti, které jsou podporovány průmyslovou ekonomikou útoku se specializovanými dovednostmi a nepřetržitou komoditizací útočných nástrojů a technik.
  • Změna platformy: Zabezpečení se potýká se změnou technické platformy na cloud. Tento posun je v měřítku továren, které přejdou od provozování vlastních elektrických generátorů k zapojení do elektrické sítě. I když bezpečnostní týmy mají často správné základní dovednosti, jsou zahlcené změnami téměř všech procesů a technologií, které každý den používají.
  • Posun v očekávání: V minulém desetiletí digitální inovace předefinovaly celá odvětví. Obchodní flexibilita, zejména agilita související s digitální transformací, může organizaci rychle sesadit jako vedoucí na trhu. Ztráta důvěry spotřebitelů může mít na firmu podobný dopad. Kdysi bylo přijatelné, aby zabezpečení začalo "ne" blokovat projekt a chránit organizaci. Nyní je nutné přijmout digitální transformaci a změnit model zapojení na "promluvme si o tom, jak zůstat v bezpečí, zatímco vy děláte to, co je potřeba, abyste zůstali relevantní".

Průvodce trvalou transformací

Transformace způsobu, jakým obchodní a technické týmy pohlíží na zabezpečení, vyžaduje sladění zabezpečení s prioritami, procesy a riziky. Mezi klíčové oblasti, které podnětují úspěch, patří:

  • Kultury: Kultura bezpečnosti musí být zaměřena na bezpečné plnění obchodního poslání, nikoli na jeho překážku. Zabezpečení se musí stát normalizovanou součástí kultury organizace. Internet, na kterém firma působí, je otevřený a umožňuje nežádoucím uživatelům kdykoli se pokusit o útok. Tento kulturní posun vyžaduje vylepšené procesy, partnerství a průběžnou podporu vedení na všech úrovních, aby bylo možné komunikovat změny, modelovat chování a posílit posun.
  • Vlastnictví rizika: Odpovědnost za bezpečnostní rizika by měla být přiřazena stejným rolím, které vlastní všechna ostatní rizika. Tato odpovědnost uvolní zabezpečení a bude důvěryhodným poradcem a odborníkem na danou problematiku, nikoli obětním beránkem. Zabezpečení by mělo být zodpovědné za spolehlivá a vyvážená doporučení, která se komunikují v jazyce těchto vedoucích pracovníků, ale neměla by být zodpovědná za rozhodnutí, která nevlastní.
  • Talent v oblasti zabezpečení: Talent v oblasti zabezpečení je v chronickém nedostatku a organizace by měly plánovat, jak nejlépe rozvíjet a distribuovat znalosti a dovednosti v oblasti zabezpečení. Kromě rozrůstání týmů zabezpečení přímo se sadami technických dovedností zabezpečení se vyspělé bezpečnostní týmy zaměřují na:
    • Růst sad dovedností a znalostí v oblasti zabezpečení v rámci stávajících týmů v IT a v rámci firmy Tyto dovednosti jsou obzvláště důležité pro týmy DevOps s přístupem DevSecOps. Tyto dovednosti můžou mít mnoho podob, například bezpečnostní helpdesk, identifikaci a školení šampionů v rámci komunity nebo programy pro výměnu pracovních míst.
    • Nábor různorodých dovedností do bezpečnostních týmů, které přinášejí nové perspektivy a rámce pro problémy (jako je obchod, lidská psychologie nebo ekonomika) a budování lepších vztahů v rámci organizace.

Obchodní rovnováha

Kvůli těmto posunům by se měl váš program přechodu na cloud zaměřit hlavně na obchodní sladění ve třech kategoriích:

  • Přehledy rizik: Srovnejte a integrujte přehledy zabezpečení a rizikové signály nebo zdroje do obchodních iniciativ. Zajistěte, aby opakovatelné procesy poučily týmy o používání těchto přehledů a aby týmy zodpovídaly za vylepšení.
  • Integrace zabezpečení: Integrujte znalosti, dovednosti a přehledy o zabezpečení do každodenního provozu obchodního a IT prostředí. Začleňte opakovatelné procesy a hluboké partnerství na všech úrovních organizace.
  • Provozní odolnost: Pokračováním operací během útoku (i v případě sníženého výkonu) zajistíte odolnost organizace. Organizace by se měla rychle vrátit k plnému provozu.

Obory zabezpečení

Tato transformace ovlivňuje každou disciplínu zabezpečení odlišně. Každá z těchto disciplín je důležitá a vyžaduje investice. Následující disciplíny jsou seřazené (zhruba) podle toho, které z nich mají při přechodu na cloud nejbližší příležitosti k rychlému vítězství:

  • Řízení přístupu: Použití sítě a identity vytváří hranice přístupu a segmentaci, aby se snížila frekvence a dosah porušení zabezpečení.
  • Operace zabezpečení: Monitorujte provoz IT, abyste mohli detekovat porušení zabezpečení, reagovat na něj a zotavit se z něj. Pomocí těchto dat můžete průběžně snižovat riziko porušení zabezpečení.
  • Ochrana prostředků: Maximalizujte ochranu prostředků, jako jsou infrastruktura, zařízení, data, aplikace, sítě a identity, a minimalizujte tak riziko pro celkové prostředí.
  • Zásady správného řízení zabezpečení: Rozhodnutí v přenesené pravomoci urychlují inovace a zavádějí nová rizika. Monitorujte rozhodnutí, konfigurace a data, abyste mohli řídit rozhodnutí přijatá v rámci celého prostředí a v rámci úloh v rámci portfolia.
  • Zabezpečení inovací: Vzhledem k tomu, že organizace přijímá modely DevOps, aby zrychlila tempo inovací, musí se zabezpečení stát nedílnou součástí procesu DevSecOps. Přímo do tohoto vysokorychlostního cyklu můžete integrovat odborné znalosti a prostředky týkající se zabezpečení. Tento proces zahrnuje přesun některých rozhodnutí z centralizovaných týmů za účelem posílení týmů zaměřených na úlohy.

Základní principy

Aktivity zabezpečení by měly být sladěné s a formovány dvojím zaměřením na:

  • Obchodní povolení: Sladit obchodní cíl a rámec rizik organizace.
  • Bezpečnostní záruky: Zaměřte se na uplatňování zásad nulová důvěra (Zero Trust), kterými jsou:
    • Předpokládejme porušení zabezpečení: Při návrhu zabezpečení pro součást nebo systém snižte riziko rozšíření přístupu útočníkem tím, že budete předpokládat, že dojde k ohrožení jiných prostředků v organizaci.
    • Explicitní ověření: Explicitně ověřte vztah důvěryhodnosti použitím všech dostupných datových bodů, místo abyste vztah důvěryhodnosti předpokládali. Například při řízení přístupu ověřte identitu uživatele, umístění, stav zařízení, službu nebo úlohu, klasifikaci dat a anomálie, místo toho, abyste povolili přístup z implicitně důvěryhodné interní sítě.
    • Přístup s nejnižšími oprávněními: Omezte riziko ohroženého uživatele nebo prostředku tím, že poskytnete přístup za běhu a dostatečný přístup (JIT/JEA), adaptivní zásady založené na rizicích a ochranu dat, které vám pomůžou zabezpečit data a produktivitu.

Další kroky

Metodologie zabezpečení je součástí komplexní sady pokynů k zabezpečení, které zahrnují: