Lista de comprobación de RaMP: protección de datos

Esta lista de comprobación del Plan de modernización rápida (RaMP) le ayuda a proteger los datos locales y en la nube de acceso accidental y malintencionado.

  • El acceso involuntario se produce cuando un usuario obtiene acceso a datos que, en función de sus roles y responsabilidades, no debe tener. El resultado puede ser una pérdida de datos no deseada, la destrucción de los datos o infracciones de las regulaciones de privacidad y seguridad de datos.

  • El acceso malintencionado se produce cuando un atacante externo o un usuario interno malintencionado trata de acceder intencionadamente a los datos. Los usuarios internos malintencionados pueden usar los datos con fines de lucro o para dañar a la organización. Los atacantes externos pueden eliminar, modificar, filtrar y cifrar los datos más confidenciales, lo que le deja indefenso ante un ataque de ransomware.

Para ambos tipos de ataques, debe realizar los pasos necesarios para identificar los datos, protegerlos, evitar su destrucción o filtración, y asegurarse de que solo los usuarios con un propósito empresarial tengan acceso a ellos.

La protección de los datos forma parte del principio de Confianza cero "asumir la vulneración". Incluso con todas las protecciones de dispositivos y cuentas de usuario implementadas, debe suponer que un atacante podría lograr entrar y comenzar a recorrer el entorno, en busca de los datos más valiosos de la organización.

Por lo tanto, debe:

  • Conozca los datos

    Comprenda el panorama de datos e identifique información importante en la nube y en el entorno local.

  • Protección de los datos

    Proteja los datos confidenciales a lo largo de su ciclo de vida aplicando etiquetas de confidencialidad vinculadas a acciones de protección como cifrado, restricciones de acceso, marcas visuales, etc.

  • Prevención de pérdida de datos

    Aplique un conjunto coherente de directivas de prevención de pérdida de datos en toda la nube, entornos locales y puntos de conexión para supervisar, evitar y corregir actividades de riesgo con datos confidenciales.

  • Acceso con privilegios mínimos

    Aplique permisos mínimos que constan de quién puede acceder y cuáles pueden hacer con los datos para satisfacer los requisitos empresariales y de productividad.

Responsabilidades de los miembros del programa y del proyecto

En esta tabla se describe la protección general de los datos de la organización en términos de una jerarquía de patrocinio, administración de programas o administración de proyectos para determinar e impulsar los resultados.

Lead Propietario Responsabilidad
CISO, CIO o Director de seguridad de datos Patrocinio ejecutivo
Liderazgo del programa de Seguridad de lo datos Impulsar los resultados y la colaboración entre equipos.
Arquitecto de seguridad Asesorar sobre la configuración y los estándares
Administradores de Microsoft 365 Implementar cambios en el inquilino de Microsoft 365 para OneDrive y carpetas protegidas
Ingeniero de seguridad de datos o ingeniero de seguridad de infraestructura Habilitación de la copia de seguridad de la infraestructura
Propietarios de la aplicación Identificar recursos empresariales críticos
Administración de seguridad de datos Implementar cambios de configuración.
Administración de TI Actualizar documentos de directivas y estándares
Gobernanza de seguridad o Administración de TI Supervisar para garantizar el cumplimiento
Equipo de educación de usuarios Asegurarse de que la guía para los usuarios refleje las actualizaciones de las directivas

Objetivos de la implementación

Cumpla estos objetivos de implementación para proteger los datos de Confianza cero.

Listo Objetivo de implementación Propietario
1. Conocer los datos Arquitecto de seguridad de datos
2. Protección de los datos Ingeniero de seguridad de datos
3. Evitar la pérdida de datos Ingeniero de seguridad de datos
4. Uso del acceso con privilegios mínimos Ingeniero de seguridad de datos

1. Conocer los datos

Realice estos pasos de implementación para cumplir el objetivo de implementación De datos .

Listo Paso de implementación Propietario Documentación
1. Determinar los niveles de clasificación de datos. Arquitecto de seguridad de datos Más información sobre
2. Determinar tipos de información confidencial integrados y personalizados. Arquitecto de seguridad de datos Más información sobre
3. Determinar el uso de clasificadores capacitados entrenados previamente y personalizados. Arquitecto de seguridad de datos Más información sobre
4. Detectar y clasificar los datos confidenciales. Arquitecto de seguridad de datos o Ingeniero de seguridad de datos Más información sobre

2. Protección de los datos

Realice estos pasos de implementación para cumplir el objetivo proteger la implementación de datos .

Listo Paso de implementación Propietario Documentación
1. Determine el uso y el diseño de etiquetas de confidencialidad. Arquitecto de seguridad Introducción
2. Etiquete y proteja los elementos para aplicaciones y servicios de Microsoft 365. Ingeniero de seguridad de datos Administrar etiquetas de confidencialidad
3. Habilite y configure Microsoft Cloud App Security. Ingeniero de seguridad de datos Introducción
4. Detectar, etiquetar y proteger elementos confidenciales que residen en almacenes de datos en la nube. Ingeniero de seguridad de datos procedimientos recomendados
5. Detectar, etiquetar y proteger elementos confidenciales que residen en almacenes de datos locales. Ingeniero de seguridad de datos Analizador de etiquetado unificado de Azure Information Protection (AIP)
6. Extensión de las etiquetas de confidencialidad a los recursos de Azure Purview Ingeniero de seguridad de datos Etiquetado en Azure Purview

3. Evitar la pérdida de datos

Realice estos pasos de implementación para cumplir el objetivo de implementación Evitar pérdida de datos .

Listo Paso de implementación Propietario Documentación
1. Diseñe y cree directivas de prevención de pérdida de datos (DLP). Arquitecto de seguridad Más información sobre
2. Habilite y configure la prevención de pérdida de datos del punto de conexión. Ingeniero de seguridad de datos Más información sobre
3. Configurar directivas de acceso para Cloud App Security control de aplicaciones de acceso condicional. Ingeniero de seguridad de datos Información general

4. Uso del acceso con privilegios mínimos

Realice estos pasos de implementación para asegurarse de que los usuarios y administradores cumplan el objetivo de implementación Uso del acceso con privilegios mínimos .

Listo Paso de implementación Propietario
1. Desde el objetivo Conocer la implementación de datos, revise los permisos para las ubicaciones de información confidencial y crítica. Ingeniero de seguridad de datos
2. Implemente permisos mínimos para la información confidencial y crítica, a la vez que cumpla los requisitos empresariales y de colaboración e informe a los usuarios afectados. Ingeniero de seguridad de datos
3. Realice la administración de cambios para los empleados para que las ubicaciones futuras de información confidencial y crítica se creen y mantengan con permisos mínimos. Equipo de educación de usuarios
4. Audite y supervise las ubicaciones de información confidencial y crítica para asegurarse de que no se conceden permisos amplios. Ingeniero de seguridad de datos o Administración de gobernanza de seguridad

Results

Después de completar estos objetivos de implementación, habrá creado la sección Datos de la arquitectura de Confianza cero.

La sección Datos de la arquitectura de Confianza cero