Стандартное руководство по корпоративному управлению. повышение специализации в плане безопасности

В этой статье рассматривается стратегия управления путем добавления средств контроля безопасности, поддерживающих перемещение защищенных данных в облако.

Будущие описания

ИТ и бизнес-лидеры довольны результатами раннего экспериментирования ИТ, разработки приложений и групп бизнес-аналитики. Чтобы получить от них отдачу в виде реальных бизнес-преимуществ, такие команды должны иметь возможность интегрировать защищенные данные в решения. Эта интеграция активирует изменения корпоративной политики. Также требуется добавочное улучшение реализаций управления облаком перед тем, как защищенные данные могут поступать в облако.

Изменения в группе управления облаком

Учитывая воздействие измененного описания и поддержки на данный момент, команда управления облаком теперь просматривается по-разному. Два системных администратора, которые создали команду, стали опытными архитекторами облачных решений. По мере того как это повлияло на разработку, восприятие их восстановится от облачной хранителей к более роли облачного защитника.

Разница незначительна, но это важное различие при создании языка и региональных параметров, ориентированных на управление. Облачная хранитель удаляет несовершенные изменения, вносимые инновационными архитекторами облака. Две роли имеют естественные задачи трения и противоположные цели. С другой стороны, облачный защитник помогает обеспечить безопасность облака, чтобы другие облачные архитекторы могли быстрее перемещаться с меньшим числом незначительных результатов. А облачный защитник участвует в создании шаблонов, которые ускоряют развертывание и внедрение. Так что они представляют собой акселераторы инноваций в дополнение к защите от пяти дисциплин для управления облаком.

Изменения в текущем состоянии

На начальных этапах развития концепции команды по разработке приложений занимались разработкой и тестированием, а команда бизнес-аналитики все еще работала в экспериментальном режиме. Он управляет двумя средами размещения инфраструктуры, которые называются Prod и DR .

С того времени изменились некоторые факторы, влияющие на систему управления.

  • Группа разработки приложений реализовала конвейер CI/CD для развертывания собственного облачного приложения с улучшенным интерфейсом пользователя. Это приложение еще не взаимодействует с защищенными данными, поэтому оно не готово к производству.
  • Группа бизнес-аналитики внутри нее активно проведет данные в облаке из логистики, инвентаризации и сторонних источников. Эти данные используются для создания прогнозов, которые могут формировать бизнес-процессы. Эти прогнозы и аналитические сведения не являются подходящими до тех пор, пока клиент и финансовые данные не смогут быть интегрированы в платформу данных.
  • ИТ-группа продвигается по планам директоров и финансового директора для снятия центра обработки данных аварийного восстановления. Более 1000 из 2000 ресурсов в центре обработки данных аварийного восстановления были изъяты из эксплуатации или перенесены.
  • Слабо определенные политики для персональных данных и финансовых данных были современным. Новые корпоративные политики являются производными от реализации связанных политик безопасности и управления. Команды по-прежнему не могут работать в нормальном режиме.

Постепенно улучшайте будущее состояние

Ранние эксперименты в группах разработки приложений и бизнес-аналитики демонстрируют потенциальные улучшения в отношении клиентов и решений, управляемых данными. Обе команды хотят внедрить облачные решения в течение следующих 18 месяцев путем их развертывания в рабочей среде.

В течение оставшихся шести месяцев Группа управления облаком будет реализовывать требования к безопасности и управлению, чтобы позволить группам внедрения в облаке перенести защищенные данные в эти центры обработки данных.

Изменения в текущем или будущем состоянии создают новые риски, требующие новых положений политики.

Изменения в материальных рисках

Нарушение данных: При внедрении любой новой платформы данных существует некоторое увеличение задолженностей, связанных с потенциальными нарушениями данных. Специалисты, использующие облачные технологии, повысили ответственность за реализацию решений, которые могут снизить риск. Чтобы эти специалисты могли надлежащим образом выполнять свои обязанности, должна быть реализована продуманная стратегия безопасности и управления.

Риски для бизнеса связаны со следующими техническими проблемами:

  • Критически важные приложения или защищенные данные могут быть развернуты непреднамеренно.
  • Защищенные данные могут быть предоставлены во время хранения в связи с низкими решениями о шифровании.
  • Неавторизованные пользователи могут получить доступ к защищенным данным.
  • В результате внешних вторжений защищенные данные могут стать открытыми для доступа.
  • Внешнее вторжение или атаки типа "отказ в обслуживании" могут привести к прерыванию бизнеса.
  • Изменение организации или сотрудника может привести к несанкционированному доступу к защищенным данным.
  • Новые эксплойты могут создать условия для вторжения или несанкционированного доступа к данным.
  • Несогласованные процессы развертывания могут привести к возникновению брешей в системе безопасности, которые могут стать причиной утечки данных или прерываний работы.
  • Изменения конфигурации и отсутствие требуемых обновлений могут привести к возникновению брешей в системе безопасности с последующими утечками данных и прерываниями работы.

Потери данных: Кроме того, существует риск потери данных в новой платформе. Стратегия безопасности и управления должна учитывать следующие сценарии, в которых могут возникать потери данных:

  • Потерянный или удаленный критически важный ресурс.
  • Имеется критически важный ресурс, но данные теряются из-за случайного удаления.
  • Имеется критически важный ресурс, но данные теряются из-за вредоносного администрирования.

Добавочное улучшение операторов политики

Следующие изменения в политике помогут устранить новые риски и пошаговое внедрение. Список выглядит длиннее, но внедрение этих политик может быть проще, чем вы думаете.

  • Все развернутые ресурсы необходимо классифицировать по важности и типу данных. Группа управления облаком и владелец приложения должны проверить эти классификации перед развертыванием в облаке.
  • Приложения, хранящие защищенные данные или имеющие доступ к ним, должны управляться иначе, чем приложения, которые не имеют. Как минимум такие приложения должны быть сегментированы, чтобы предотвратить нежелательный доступ к защищенным данным.
  • При хранении все защищенные данные должны быть зашифрованы. Это шифрование используется по умолчанию для всех учетных записей хранения Azure. Однако могут потребоваться дополнительные стратегии шифрования, включая шифрование данных в учетной записи хранения, шифрование виртуальных машин и шифрование на уровне базы данных при использовании SQL на виртуальной машине (TDE и шифрование столбцов).
  • Критически важные данные могут быть случайно удалены. Необходимо разработать стратегию резервного копирования данных для решения этого риска и восстановления данных перед точкой удаления. Вредоносный администратор может также удалить критически важные данные и их резервные копии. Для решения этой ситуации удаление данных резервных копий должно быть обратимым удалением, которые могут быть отменены. Azure Backup может помочь в обоих сценариях.
  • Более высокие разрешения в любом сегменте, содержащем защищенные данные, должны быть исключением. Любые такие исключения будут записываться в группу управления Cloud и регулярно проводить аудит.
  • Сетевые подсети, содержащие защищенные данные, должны быть изолированы от других подсетей. Сетевой трафик между подсетями, содержащими защищенные данные, должен регулярно проверяться.
  • Ни одна подсеть, содержащая защищенные данные, должна быть напрямую доступна через общедоступный Интернет или центры обработки данных. Доступ к таким подсетям должен осуществляться через промежуточные подсети. Весь доступ к таким подсетям должен осуществляться через брандмауэр с функциями сканирования пакетов и блокировки.
  • Средства управления должны проверять требования сетевой конфигурации, определенные командой по управлению безопасностью, и обеспечивать их соблюдение.
  • Средства управления должны ограничивать развертывание виртуальной машины только утвержденными образами.
  • Процесс управления должен проверять правильную реализацию резервного копирования, восстановления и соблюдения Соглашения об уровне обслуживания для критически важных приложений и защищенных данных.
  • По возможности средства управления конфигурациями узлов должны применять требования политики к конфигурации любой гостевой операционной системы.
  • Средства управления должны обеспечивать установку автоматических обновлений во всех развернутых ресурсах. Нарушения следует рассмотреть с привлечением команд операционного управления и устранить в соответствии с операционными политиками. Активы, которые не обновляются автоматически, должны включаться в процессы, принадлежащие ИТ.
  • Для создания новых подписок или групп управления для всех критически важных приложений или защищенных данных потребуется обзор команды Cloud Management, чтобы убедиться, что назначен правильный проект.
  • Модель доступа с минимальными правами будет применена к любой группе управления или подписке, содержащей критически важные приложения или защищенные данные.
  • Тенденции и уязвимости, которые могут повлиять на облачные развертывания, должны регулярно проверяться командой по обеспечению безопасности для подготовки обновлений средств по управлению безопасностью, используемых в облаке.
  • Чтобы обеспечить текущее управление развернутыми ресурсами, группа разработчиков Cloud должна утвердить средства развертывания.
  • Сценарии развертывания должны поддерживаться в центральном репозитории, доступном группе управления облаком для периодической проверки и аудита.
  • Процессы управления предполагают проведение аудита во время развертывания и дальнейших регулярных проверок для обеспечения согласованности всех ресурсов.
  • Для развертывания любых приложений, требующих проверки подлинности клиента, необходимо использовать утвержденный поставщик удостоверений, совместимый с основным поставщиком удостоверений для внутренних пользователей.
  • Процессы управления облачными решениями должны включать ежеквартальные проверки с привлечением команд управления идентификацией. Такие проверки помогут в определении вредоносных субъектов или тенденций использования, которые не должны допускаться конфигурацией облачных ресурсов.

Поэтапное улучшение методик управления

Проект MVP по управлению будет изменен для включения новых политик Azure и реализации службы управления затратами Azure + выставления счетов. Совокупно эти изменения проекта позволят внедрить новые правила корпоративной политики.

  • Группы управления сетью и ИТ определяют требования к сети. Команда по управлению облаком будет поддерживать диалог.
  • Группы безопасности удостоверений и ИТ будут определять требования к удостоверениям и вносить необходимые изменения в локальную Active Directory реализацию. Специалисты по управлению облаком увидят изменения.
  • Создайте репозиторий в Azure DevOps для хранения и отслеживания версий всех актуальных шаблонов Azure Resource Manager и конфигураций на основе скриптов.
  • Реализация хранилища служб восстановления Azure:
    • Определение и развертывание хранилища служб восстановления Azure для процессов резервного копирования и восстановления.
    • Создайте шаблон Resource Manager для создания хранилища в каждой подписке.
  • Реализация Центра безопасности Azure.
    • Настройте Центр безопасности Azure для всех групп управления, которые содержат классификации защищенных данных.
    • Настройте автоматическую подготовку по умолчанию для выполнения требований к установке исправлений.
    • Внедрите конфигурации безопасности операционной системы. Группа безопасности ИТ определит конфигурацию.
    • Поддержка группы ИТ Security в первоначальном использовании центра безопасности. Переход на использование центра безопасности для группы ИТ – безопасности, а также поддержание доступа в целях непрерывного управления.
    • Создайте шаблон Resource Manager, в котором отражены изменения, требующиеся для конфигурации Центра безопасности в подписке.
  • Обновление политик Azure для всех подписок.
    • Аудит и обеспечение важности данных и классификации данных во всех группах управления и подписках для обнаружения подписок с защищенными классификациями данных.
    • Выполните аудит использования только утвержденных изображений и примените такую политику.
  • Обновите политики Azure для всех подписок, которые содержат защищенные классификации данных:
    • Аудит и принудительное использование только стандартных ролей Azure.
    • Выполните аудит шифрования для всех учетных записей хранения и файлов, хранимых на отдельных узлах, и примените такое шифрование.
    • Выполните аудит использования группы безопасности сети для всех сетевых адаптеров и подсетей и примените такую политику. Специалисты по работе с сетью и ИТ могут определить NSG.
    • Аудит и принудительное использование утвержденной сетевой подсети и виртуальной сети для каждого сетевого интерфейса.
    • Выполните аудит и примените ограничения определяемых пользователем таблиц маршрутизации.
    • Примените встроенные политики для гостевой настройки следующим образом:
      • Убедитесь, что веб-серверы Windows используют безопасные протоколы обмена данными.
      • Убедитесь, что заданы правильные параметры безопасности на компьютерах Linux и Windows.
    • Аудит и обеспечение того, что хранилища служб восстановления Azure существуют в подписке.
  • Настройка брандмауэра:
  • Проекты Azure:
    • Создайте схему с именем protected-data.
    • Добавьте шаблоны брандмауэра Azure, шаблоны центра безопасности Azure и шаблоны хранилища служб восстановления Azure в проект.
    • Добавьте новые политики для подписок, содержащих защищенные данные.
    • Опубликуйте проект в любой группе управления, которая в настоящее время планирует размещение защищенных данных.
    • Примените новый проект к каждой затронутой подписке и к существующим проектам.

Заключение

Добавление описанных выше процессов и изменений в MVP по управлению поможет устранить многие риски, связанные с системой управления безопасностью. В совокупности они предоставляют инструменты для мониторинга сетей, идентификации и безопасности, необходимые для защиты данных.

Дальнейшие действия

По мере того как внедрение в облако продолжится и доставляет дополнительную ценность для бизнеса, риски и потребности в управлении облаком также меняются. Для вымышленной компании в этом пошаговом окне необходимо поддерживать критически важные рабочие нагрузки. На этом этапе требуются элементы управления согласованностью ресурсов.