セキュリティの準備を計画する
 摩擦を最小限に抑えて、アーキテクチャ設計の決定と運用にセキュリティ プラクティスを導入し、実装するよう努めます。 |
|---|
ワークロード所有者には、組織と共に資産を保護する共同責任があります。 ビジネスの優先順位に合わせたセキュリティ準備計画を策定すると、 適切に定義されたプロセス、適切な投資、適切な説明責任につながります。 この計画では、組織にワークロード要件を提供する必要があります。これにより、組織も資産を保護する責任を共有することになります。 セキュリティ プランでは、信頼性、正常性モデリング、自己保存に関する戦略を考慮する必要があります。
組織の資産に加えて、ワークロード自体も、侵入や流出の攻撃から保護する必要があります。 ゼロ トラストと CIA トライアドのあらゆる側面を計画に組み込む必要があります。
機能および機能以外の要件、予算の制約、その他の考慮事項によって、セキュリティへの投資が制限されたり、保証が薄れたりすることがないようにする必要があります。 同時に、これらの制約や制限を念頭に置いて、セキュリティへの投資を設計および計画する必要もあります。
サンプル シナリオ
Contoso Supermarket には、これまで顧客ロイヤルティ プログラムがありませんでしたが、これを構築することがビジネス上合理的であると判断しました。 セルフチェックアウトとレジ支援チェックアウトの両方の POS ソリューションとして、顧客の携帯電話の NFC 機能を使用する予定です。 顧客は、店舗の入口と出口にあるセルフ登録キオスクを使用して、プログラムに登録できます。 バックエンド処理ソリューションはクラウドでホストされる予定ですが、設計はまだ完成していません。
セグメント化を使用してセキュリティを最適化する
セグメント化を戦略として使用して、ワークロード環境、プロセス、チーム構造のセキュリティ境界を計画し、アクセスと機能を分離します。
セグメント化戦略は、ビジネス要件に基づいて決定する必要があります。 これは、コンポーネントの重要度、労働の分割、プライバシーに関する懸念事項、その他の要因に基づいて決定することができます。
ロールを定義し、明確な責任境界を確立すると、運用上の摩擦を最小限に抑えることができます。 また、この演習も、各ロール (特に重大な影響を受けるアカウント) のアクセス レベルを特定するのに役立ちます。
分離すると、機密性の高いフローの公開を、アクセスする必要があるロールおよび資産のみに制限できます。 過度に公開すると、情報フローの不用意な開示につながるおそれがあります。
"Contoso の課題"
- チームはこれまで、シンプルさを重視して、オーバーヘッドの低いアプローチを優先的に採用してきました。 これらのアプローチとしては、さまざまなワークロード コンポーネントを同じ場所に配置して管理の対象領域を削減することや、さまざまな個人をセキュリティ グループに整理してアクセス管理を簡素化することなどがあります。
- 残念なことに、セキュリティ グループのメンバーシップにより新しいデプロイ環境への広範なアクセスを許可されていたある QA インターンが、アカウントの侵害につながるソーシャル エンジニアリング攻撃の標的になってしまいました。
- 攻撃者は、そのデプロイだけでなく、同じアプリケーション プラットフォーム上で実行されている他のすべてのデプロイの機密性も侵害することができました。
"アプローチの適用と結果"
- 幸い、侵害された環境でホストされていたのは、ワークロードの初期テスト用プロトタイプでした。そのため、POS システム用の新しい顧客ロイヤルティ プログラム システムを設計中でしたが、運用システムは侵害されませんでした。
- ワークロード セキュリティ チームは、顧客の住所やメール アドレスなどの個人を特定できる情報 (PII) を処理するシステムを、PII 以外のコンポーネント (製品のクーポンなど) から分離するワークロードの設計と、可能な限り知る必要があり、Just-In-Time (JIT) のアクセス制御の設計に時間と資金を投資する予定です。また、ワークロード内でネットワークを分類して他のコンポーネントを保護し、Contoso に戻して組織を保護することにも投資する予定です。
- セグメント化を使用しても、侵害がワークロードの側面に影響を与える可能性はありますが、影響範囲は抑制されます。
インシデントに効率的に対応すする
ワークロードのインシデント対応計画があることを確認します。 準備、検出、封じ込め、軽減、インシデント後のアクティビティに関する標準的な運用手順を定義する業界フレームワークを使用します。
緊急時には、混乱を回避する必要があります。 きちんと文書化された計画があれば、責任者は不確実なアクションに時間を無駄にすることなく、実行に集中できます。 また、包括的な計画は、すべての修復要件を確実に満たすのに役立ちます。
"Contoso の課題"
- ワークロード チームは、サポートのエスカレーションや停止に備えて、小売業者サポート チャネル、顧客サポート チャネル、技術的なオンコール ローテーションの形式化を開始しています。
- これらの計画では、セキュリティに対して特に対処されていません。 また、チームは、Contoso が組織として何をサポートしているかを把握していません。
"アプローチの適用と結果"
- ワークロード チームは Contoso セキュリティ チームと協力して、組織の観点と外部のコンプライアンスの観点の両方から、この種の PII に対処するためのコンプライアンス要件を理解します。
- チームは、インシデントに関する標準化された通信要件など、セキュリティの検出、軽減、エスカレーション計画を策定します。
- ワークロード チームは、信頼性サポートと同様にセキュリティ インシデントへの準備についても安心感を持てるようになりました。 システムを実際に運用する前に、セキュリティ インシデントの予行演習を行い、計画を改良する予定です。
安全な運用と開発プラクティスを体系化する
ワークロードのライフサイクルと運用全体にわたってチームレベルのセキュリティ標準を定義して適用します。 コーディング、ゲート承認、リリース管理、データ保護と保持などの運用で一貫したプラクティスに努めます。
適切なセキュリティ プラクティスを定義すると、過失と、潜在的なエラーが攻撃を受ける可能性を最小限に抑えることができます。 チームは取り組みを最適化し、アプローチの一貫性が高まるため、結果を予測できるようになります。
セキュリティ標準を長期にわたって監視すると、自動化などの改善の機会を特定でき、取り組みがさらに合理化され、一貫性が向上します。
"Contoso の課題"
- インシデント対応の準備が整った後、ワークロード チームは、最初に問題を防ぐことに時間と労力を投資する必要があると判断します。
- チームは現在、特定の安全な開発ライフサイクルを念頭に置いておらず、以前のプロジェクトで使用したものと同じプロセスを使用する予定です。
"アプローチの適用と結果"
- このワークロードにはクレジット カード情報などの機密性の高いデータは保持されませんが、チームは顧客のデータを尊重して扱っており、保持されるデータの種類に対して従う必要があるローカルおよび連邦の規制があることを認識しています。
- チームは、現在の業界標準の安全な開発と運用のプラクティスを習得することに投資し、これまで不足していた対策を導入しています。
- また、チームは習得したことを Contoso セキュリティ チームと共有し、ベスト プラクティスが企業全体に確実に適用されるようにしています。