Wymagania dotyczące zabezpieczeń Centrum partnerskiego

Odpowiednie role: agent Administracja

Pulpit nawigacyjny wymagań dotyczących zabezpieczeń to zaawansowane narzędzie ułatwiające ocenę i zwiększenie bieżącego poziomu zabezpieczeń w Centrum partnerskim. Ta funkcja przyznaje zarówno bezpośredni rachunek, jak i dostawcom pośrednim dostęp do wskaźnika zabezpieczeń. Podane wymagania dotyczące zabezpieczeń to zalecenia umożliwiające podejmowanie działań, które są generowane na podstawie luk w zabezpieczeniach systemu i typowych wzorców ataków. Wdrażając te zalecenia i regularnie sprawdzając dostępność aktualizacji, można wzmocnić ochronę zabezpieczeń. Ten pulpit nawigacyjny konsoliduje stan wszystkich wymagań dotyczących zabezpieczeń w jeden kompleksowy wynik, co pozwala szybko ocenić bieżącą sytuację zabezpieczeń. Im wyższy wynik, tym niższy zidentyfikowany poziom ryzyka, co daje jasne zrozumienie gotowości zabezpieczeń.

Zarządzanie stanem zabezpieczeń

Pulpit nawigacyjny wymagań dotyczących zabezpieczeń zawiera pełne omówienie stanu zabezpieczeń. Ustawienia zabezpieczeń, zasady i procedury można monitorować i dostosowywać, rozsyłając z tego pulpitu nawigacyjnego. Pulpit nawigacyjny wymagań dotyczących zabezpieczeń umożliwia aktywne zarządzanie i zwiększanie poziomu zabezpieczeń oraz dążenie do zasad zerowego zaufania.

Kluczowe cechy i funkcje

Omówienie

Wskaźnik zabezpieczeń przedstawia migawkę stanu zabezpieczeń w Centrum partnerskim.

Wymagania dotyczące zabezpieczeń (omówienie) przedstawiają łączną liczbę wymagań dotyczących zabezpieczeń, w tym sumy dla tych, które zostały ukończone i nie zostały ukończone.

Sekcja wymagań dotyczących zabezpieczeń

W sekcji Wymagania dotyczące zabezpieczeń znajdziesz listę wyselekcjonowanych wymagań i zaleceń dotyczących zabezpieczeń. Te wymagania i zalecenia mogą pomóc zidentyfikować obszary poprawy kondycji zabezpieczeń, rozwiązać problemy, ograniczyć ryzyko i zwiększyć ogólny poziom zabezpieczeń.

Opis wymagań dotyczących zabezpieczeń:

• Wymaganie dotyczące zabezpieczeń: krótki opis wymagania.

• Opis: Szczegółowy opis wymagań dotyczących zabezpieczeń.

• Stan: wskazuje, czy wymaganie zostało ukończone, czy nie.

• Szczegółowe informacje: Dane z możliwością działania dostosowane do indywidualnych wymagań, oferując dalsze szczegółowe informacje na temat obszarów wymagających uwagi.

• Wynik: wynik skojarzony z każdym wymaganiem, przyczyniając się do ogólnego wyniku zabezpieczeń.

• Instrukcje implementacji: zawiera bezpośrednie linki do zasobów instruktażowych, które ułatwiają zrozumienie i zaimplementowanie poszczególnych rekomendacji. Te linki znajdują się również poniżej w obszarze Dodatkowe zasoby. Te przewodniki krok po kroku ułatwiają efektywne implementowanie poszczególnych rekomendacji, co pozwala zwiększyć bezpieczeństwo.

• Kroki z możliwością wykonania akcji: linki do strony, na której można rozwiązać wymaganie.

  Uwaga

  Jeśli nie masz odpowiedniej roli lub dostępu, musisz skontaktować się z odpowiednią osobą w organizacji.

Sekcja przyszłych wymagań

W sekcji Przyszłe wymagania przedstawiono podgląd wymagań, które zostaną zaimplementowane w najbliższej przyszłości. Wymagania, które nie zostaną ukończone, odejmują punkty od ogólnej oceny w przyszłości.

Jak jest obliczany współczynnik zabezpieczeń

Wskaźnik zabezpieczeń to wartość dziesiętna (liczba całkowita zmiennoprzecinkowa) z zakresu od 0 do 100. Wynik odzwierciedla stan zabezpieczeń dzierżawy.

Wynik zabezpieczeń jest obliczany przy użyciu ocen zabezpieczeń poszczególnych wymagań dotyczących zabezpieczeń. Każde wymaganie dotyczące zabezpieczeń ma przyznawaną maksymalną ocenę z zakresu od zera do 20. Maksymalna ocena wymagań dotyczących zabezpieczeń jest ustalana na podstawie względnej wagi tego wymagania w porównaniu z innymi wymaganiami. Maksymalny wynik może ulec zmianie na podstawie zmieniających się priorytetów biznesowych.

Bieżący algorytm obliczania przyznaje maksymalny wynik dla zgodnego wymagania, zero w przeciwnym razie.

Ogólny wynik zabezpieczeń jest obliczany przy użyciu następującej formuły: (suma indywidualnych wyników wymagań dotyczących zabezpieczeń) / (suma indywidualnych ocen maksymalnego wymagania zabezpieczeń) * 100.

Wymagania dotyczące zabezpieczeń i instrukcje implementacji

Jak mogę zaimplementować wymagania dotyczące zabezpieczeń?

Uwaga

Rozwiązania uwierzytelniania wieloskładnikowego innych firm, takie jak Okta, Ping, Duo i inne, nie są obsługiwane w ramach zaleceń dotyczących uwierzytelniania wieloskładnikowego tożsamości. Rozwiązania uwierzytelniania wieloskładnikowego innych firm nie są uwzględniane w obliczeniach oceny wymagań.

Wymaganie: Włączanie uwierzytelniania wieloskładnikowego

Punkty oceny zabezpieczeń: 20

Wymaganie uwierzytelniania wieloskładnikowego (MFA) dla ról administracyjnych utrudnia atakującym dostęp do kont. role Administracja istracyjne mają wyższe uprawnienia niż typowi użytkownicy. Jeśli którekolwiek z tych kont zostanie naruszone, cała organizacja zostanie uwidoczniona.

Co najmniej chroń następujące role:

• Globalny administrator
• Administrator uwierzytelniania
• Administrator rozliczeń
• Administrator dostępu warunkowego
• Administrator programu Exchange
• Administrator pomocy technicznej
• Administrator zabezpieczeń
• Administrator programu SharePoint
• Administrator użytkowników

Kroki implementacji

Uwaga

Aby spełnić to wymaganie, należy upewnić się, że każdy użytkownik administratora został objęty wymaganiem uwierzytelniania wieloskładnikowego za pośrednictwem ustawień domyślnych zabezpieczeń / dostępu warunkowego / uwierzytelniania wieloskładnikowego dla poszczególnych użytkowników i że każdy z nich rzeczywiście skonfigurował dodatkowe czynniki weryfikacji (np. urządzenie wybrane do monitów weryfikacji).

Obejmuje to konta z szklenia. Aby dowiedzieć się więcej, zobacz Zarządzanie kontami administratora dostępu awaryjnego — Microsoft Entra ID.

1. Firma Microsoft udostępnia szczegółowe wskazówki dotyczące wybierania i włączania odpowiedniej metody uwierzytelniania wieloskładnikowego dla organizacji w Centrum administracyjne platformy Microsoft 365. Przejdź do kreatora usługi Microsoft 365 MFA.
2. Jeśli chcesz wykonać implementację samodzielnie i używasz usługi Microsoft Entra ID Free, włącz wartości domyślne zabezpieczeń. Uwaga: wartości domyślne zabezpieczeń i dostęp warunkowy nie mogą być używane obok siebie. Aby dowiedzieć się więcej, zobacz Włączanie ustawień domyślnych zabezpieczeń
3. Jeśli zainwestowano w licencje microsoft Entra ID P1 lub P2, możesz utworzyć zasady dostępu warunkowego od podstaw lub przy użyciu szablonu. Wykonaj następujące kroki, aby utworzyć zasady dostępu warunkowego od podstaw lub przy użyciu szablonu.
4. Śledź postęp rejestrowania metod uwierzytelniania przez administratora, przechodząc do pozycji Microsoft Entra ID Security > Authentication methods > User registration details (wymaga licencji Microsoft Entra ID > P1 lub P2). Przejdź do obszaru Szczegóły rejestracji użytkownika.

Zasoby

• Jak działa uwierzytelnianie wieloskładnikowe
• Planowanie wdrożenia uwierzytelniania wieloskładnikowego firmy Microsoft
• Co to są wartości domyślne zabezpieczeń?
• Zarządzanie kontami dostępu awaryjnego w usłudze Microsoft Entra ID

Wymaganie: Odpowiedź na alerty wynosi średnio 24 godziny lub mniej

Punkty oceny zabezpieczeń: 20

Alerty muszą być klasyfikowane i odpowiadać na nie w ciągu 24 godzin od pojawienia się w Centrum partnerskim, co ma na celu reagowanie w ciągu 1 godziny. Zapewnia to natychmiastową ochronę dzierżawców klientów i minimalizuje straty finansowe. Czas odpowiedzi jest mierzony od momentu pojawienia się alertu w Centrum partnerskim do momentu wprowadzenia zmiany alertu przez użytkownika partnera, takiego jak zaktualizowanie jego stanu lub kodu przyczyny. Średni czas odpowiedzi jest obliczany na podstawie ostatnich 30 dni działania.

Kroki implementacji

1. Upewnij się, że masz skonfigurowany kontakt zabezpieczeń Centrum partnerskiego, ponieważ ten adres e-mail będzie domyślnie otrzymywać powiadomienia o alertach. Możesz użyć udostępnionej skrzynki pocztowej lub skrzynki pocztowej, która udostępnia system obsługi biletów.
2. Zachowaj udokumentowany podręcznik reagowania na zdarzenia, który definiuje role, obowiązki, plany reagowania i informacje kontaktowe.
3. Określ kod przyczyny dla każdego alertu. Firma Microsoft używa opinii do mierzenia skuteczności wygenerowanych alertów.

Zasoby

• Alerty Centrum partnerskiego
• Wykrywanie i powiadamianie o oszustwach na platformie Azure
• Kontakt zabezpieczeń CSP

Wymaganie: Podaj kontakt zabezpieczeń

Punkty oceny zabezpieczeń: 10

Gdy jakikolwiek problem związany z zabezpieczeniami występuje w dzierżawie partnera Dostawca rozwiązań w chmurze (CSP), firma Microsoft powinna mieć możliwość komunikowania się z tym problemem i zaleca odpowiednie kroki wyznaczonemu kontaktowi zabezpieczeń w organizacji partnerskiej, który będzie działać w trybie pilnym, aby jak najszybciej rozwiązać i rozwiązać problemy z zabezpieczeniami.

Administratorzy globalni lub inne role w Centrum partnerskim nie mają niezbędnej wiedzy ani nie mają doświadczenia w zakresie wykonywania ważnych zdarzeń związanych z zabezpieczeniami. Wszyscy partnerzy powinni zaktualizować kontakt zabezpieczeń dla dzierżawy partnera.

Kontakt zabezpieczeń jest osobą lub grupą osób, które są odpowiedzialnymi za problemy związane z zabezpieczeniami w organizacji partnerskiej.

Kroki implementacji

Wypełnij adres e-mail, numer telefonu i nazwę pojedynczej lub udostępnionej skrzynki pocztowej odpowiedzialnej za reagowanie na zdarzenia zabezpieczeń w firmie.

Zasoby

• Dostawca rozwiązań w chmurze kontakt zabezpieczeń

Wymaganie: Wszystkie subskrypcje platformy Azure mają budżet wydatków

Punkty oceny zabezpieczeń: 10

Śledzenie użycia subskrypcji platformy Azure klienta pomaga klientowi zarządzać użyciem platformy Azure i unikać wyższych niż przewidywane opłaty. Należy omówić z klientami swoje miesięczne oczekiwania dotyczące wydatków i ustawić budżet wydatków na subskrypcję. Powiadomienia można również skonfigurować do wysyłania do Ciebie, gdy klient używa ponad 80% lub więcej skonfigurowanego budżetu wydatków. Budżet wydatków nie umieszcza limitu wydatków, dlatego ważne jest, aby powiadomić klienta o osiągnięciu 80% użycia, aby mogli zaplanować zamknięcie zasobów lub spodziewać się wyższego rachunku.

Uwaga

Partnerzy, którzy są w usłudze NCE (New Commerce Experience) i mają skonfigurowany budżet wydatków, otrzymają punkty oceny w stosunku do tego wymagania. Jednak partnerzy w starszej wersji nie otrzymają żadnych punktów.

Kroki implementacji

Zobacz Ustawianie budżetu wydatków na platformę Azure dla klientów