Ontwerpprincipes voor beveiliging
Deze principes ondersteunen deze drie belangrijke strategieën en beschrijven een veilig ontworpen systeem dat wordt gehost in cloud- of on-premises datacenters (of een combinatie van beide). De toepassing van deze principes vergroot de kans aanzienlijk dat uw beveiligingsarchitectuur de zekerheid van vertrouwelijkheid, integriteit en beschikbaarheid behoudt.
Elke aanbeveling in dit document bevat een beschrijving van de reden waarom deze wordt aanbevolen. Deze wordt aan een van de volgende principes toe te kennen:
Beveiligingsprioriteiten afstemmen op missie – Beveiligingsbronnen zijn bijna altijd beperkt, dus geef prioriteit aan inspanningen en garanties door de beveiligingsstrategie en technische controles af te stemmen op het bedrijf met behulp van classificatie van gegevens en systemen. Beveiligingsbronnen moeten zich eerst richten op personen en assets (systemen, gegevens, accounts, enzovoort) met intrinsieke bedrijfswaarde en personen met beheerdersbevoegdheden voor bedrijfskritieke activa.
Een uitgebreide strategie bouwen : Een beveiligingsstrategie moet rekening houden met investeringen in cultuur, processen en beveiligingscontroles voor alle systeemonderdelen. Bij de strategie moet ook rekening worden houden met beveiliging voor de volledige levenscyclus van systeemonderdelen, waaronder de toeleveringsketen van software, hardware en services.
Eenvoud van de schijf – Complexiteit in systemen leidt tot meer verwarring bij mensen, fouten, automatiseringsfouten en problemen bij het herstellen van een probleem. De voorkeur gaat uit naar eenvoudige en consistente architecturen en implementaties.
Ontwerpen voor aanvallers – Uw beveiligingsontwerp en prioriteitsprioriteit moeten zijn gericht op de manier waarop aanvallers uw omgeving zien, wat vaak niet de manier is waarop IT- en toepassingsteams deze zien. Informeer uw beveiligingsontwerp en test het met penetratietests om een een keer aanvallen te simuleren. Gebruik rode teams om permanente aanvalsgroepen op de lange termijn te simuleren. Ontwerp uw segmentatiestrategie voor ondernemingen en andere beveiligingscontroles om aanvallers lateral movement binnen uw omgeving tegen te houden. Meet en verklein actief het potentiële aanvalsoppervlak dat aanvallers het doelwit zijn van misbruik van resources in de omgeving.
Gebruikmaken van native besturingselementen – Voorkeur geven aan native beveiligingscontroles die zijn ingebouwd in cloudservices boven externe besturingselementen van derden. Systeemeigen beveiligingscontroles worden onderhouden en ondersteund door de serviceprovider, waardoor het niet meer nodig is om externe beveiligingshulpprogramma's te integreren en deze integraties na een periode bij te werken.
Identiteit gebruiken als primaire Access Control – Toegang tot resources in cloudarchitecten wordt voornamelijk beheerd door verificatie op basis van identiteit en autorisatie voor toegangsbesturingselementen. Uw strategie voor accountbeheer moet afhankelijk zijn van identiteitssystemen voor het beheren van de toegang in plaats van te vertrouwen op netwerkbesturingselementen of direct gebruik van cryptografische sleutels.
Verantwoordelijkheden: wijs duidelijk eigendom van activa en beveiligingsverantwoordelijkheden aan en zorg ervoor dat acties traceerbaar zijn voor niet-weerlegbaarheid. U moet er ook voor zorgen dat aan entiteiten de minste vereiste bevoegdheden zijn verleend (tot een beheerbaar granulariteitsniveau).
Automation omarmen - Automatisering van taken vermindert de kans op menselijke fouten die risico's kunnen veroorzaken. Daarom moeten zowel IT-activiteiten als best practices voor beveiliging zoveel mogelijk worden geautomatiseerd om menselijke fouten te verminderen (terwijl ervaren mensen de automatisering regelen en controleren).
Focus op Information Protection – Intellectueel eigendom is vaak een van de grootste opslagplaatsen van organisatiewaarde en deze gegevens moeten overal worden beveiligd, inclusief cloudservices, mobiele apparaten, werkstations of samenwerkingsplatforms (zonder dat dit de samenwerking in de weg zit waardoor bedrijfswaarde kan worden gemaakt). Uw beveiligingsstrategie moet worden gebaseerd op het classificeren van informatie en assets om prioriteitsprioriteit op het gebied van beveiliging mogelijk te maken, krachtige technologie voor toegangsbeheer en versleuteling te gebruiken en te voldoen aan zakelijke behoeften zoals productiviteit, bruikbaarheid en flexibiliteit.
Ontwerpen voor tolerantie – Uw beveiligingsstrategie moet ervan uitgaan dat besturingselementen mislukken en dienovereenkomstig ontwerpen. Om uw beveiligingsstatus robuuster te maken, moeten verschillende benaderingen samenwerken:
Evenwichtig investeren: investeer in kernfuncties die de volledige levenscyclus van het NIST Cybersecurity Framework beslaat (identificeren, beveiligen, detecteren, reageren en herstellen) om ervoor te zorgen dat aanvallers die preventieve maatregelen met succes omzeilen, geen toegang meer hebben tot detectie-, respons- en herstelmogelijkheden.
Doorlopend onderhoud: behoudt beveiligingscontroles en -garanties om ervoor te zorgen dat ze na een periode niet in de weg raken met wijzigingen in de omgeving of worden nalalig.
Voortdurende alertheid: zorg ervoor dat afwijkingen en mogelijke bedreigingen die risico's voor de organisaties kunnen vormen, tijdig worden aangepakt.
Diepgaande verdediging: overweeg aanvullende besturingselementen in het ontwerp om risico's voor de organisatie te beperken als een primaire beveiligingscontrole mislukt. In dit ontwerp moet worden rekening houden met de kans dat de primaire controle mislukt, het potentiële organisatierisico als dit het geval is en de effectiviteit van de extra controle (met name in de waarschijnlijke gevallen die ertoe leiden dat het primaire besturingselement mislukt).
Least Privilege: dit is een vorm van diepgaande verdediging om de schade te beperken die kan worden veroorzaakt door één account. Accounts moeten zo veel mogelijk bevoegdheden krijgen om hun toegewezen taken uit te voeren. Beperk de toegang op machtigingsniveau en op tijd. Dit vermindert de schade van een externe aanvaller die toegang krijgt tot het account en/of een interne werknemer die onbedoeld of opzettelijk (bijvoorbeeld een insider-aanval) beveiligingsgaranties in gevaar heeft.
Basislijn en benchmark – Om ervoor te zorgen dat uw organisatie rekening houdt met het huidige denken van externe bronnen, evalueert u uw strategie en configuratie aan de hand van externe verwijzingen (inclusief nalevingsvereisten). Dit helpt bij het valideren van uw benaderingen, het minimaliseren van het risico op onbedoeld toezicht en het risico op boetes voor niet-naleving.
Continue verbetering aan te brengen – Systemen en bestaande procedures moeten regelmatig worden geëvalueerd en verbeterd om ervoor te zorgen dat ze effectief zijn en blijven tegen aanvallers die voortdurend verbeteren en de continue digitale transformatie van de onderneming. Dit moeten processen omvatten die proactief leerprocessen integreren van echte aanvallen, realistische penetratietests en rode teamactiviteiten en andere bronnen, indien beschikbaar.
Ga ervan Zero Trust: Bij het evalueren van toegangsaanvragen moeten alle aanvragende gebruikers, apparaten en toepassingen als niet-vertrouwd worden beschouwd totdat hun integriteit voldoende kan worden gevalideerd. Toegangsaanvragen moeten voorwaardelijk worden verleend op basis van het vertrouwensniveau van de aanvraag en de gevoeligheid van de doelresource. Er moeten redelijke pogingen worden gedaan om de validatie van vertrouwensrelatie te vergroten (bijvoorbeeld meervoudige verificatie aan te vragen) en bekende risico's te herstellen (bekende gelekte wachtwoorden wijzigen, malware-infecties herstellen) ter ondersteuning van productiviteitsdoelen.
Beveiliging opleiden en stimuleren – De mensen die de cloudworkloads ontwerpen en gebruiken, maken deel uit van het hele systeem. Het is essentieel om ervoor te zorgen dat deze mensen worden geleid, geïnformeerd en gecentraliseerd om de beveiligingsgarantiedoelen van het systeem te ondersteunen. Dit is met name belangrijk voor personen met accounts met uitgebreide beheerdersbevoegdheden.