Güvenlik tasarımı ilkeleri
Bu ilkeler, bu üç temel stratejiyi destekler ve bulutta veya şirket içi veri merkezlerinde (veya her ikisinin bir birleşiminde) barındırılan güvenli bir şekilde mimarisinin mimarisini ortaya konur. Bu ilkelerin uygulamaya alınması, güvenlik mimarinizin gizlilik, bütünlük ve kullanılabilirlik güvencelerini koruma olasılığını önemli ölçüde artıracaktır.
Bu belgede yer alan her öneri, önerinin neden önerildiklerine ilişkin bir açıklama içerir ve bu da şu ilkelerden biri ile eşlenmiş olur:
Güvenlik önceliklerini göreve uygun olarak belirleme: Güvenlik kaynakları neredeyse her zaman sınırlıdır, bu nedenle veri ve sistemlerin sınıflandırması kullanılarak güvenlik stratejisi ve teknik denetimleri işletmeyle uyumlu bir şekilde çalışma ve güvencelere önceliklerini belirleme. Güvenlik kaynakları önce iç iş değerine sahip kişiler ve varlıklara (sistemler, veriler ve hesaplar gibi) ve iş açısından kritik varlıklar üzerinde yönetim ayrıcalıklarına sahip olan varlıklara odaklanabilir.
Kapsamlı bir strateji oluşturma: Bir güvenlik stratejisi, tüm sistem bileşenlerinde kültüre, işlemlere ve güvenlik denetimlerine yapılan yatırımları göz önünde bulundurarak değerlendirmeli. Strateji ayrıca yazılım, donanım ve hizmet tedarik zinciri dahil olmak üzere sistem bileşenlerinin tam yaşam döngüsü için güvenliği de göz önünde bulunduracak.
Basitliği sağlamak: Sistemlerde karmaşıklık, insan karışıklığının, hataların, otomasyon hatalarının ve bir sorundan kurtarmanın zorluğuna yol açabilir. Basit ve tutarlı mimarileri ve uygulamaları tercih etmek.
Saldırganlar için tasarlama: Güvenlik tasarımınız ve önceliklendirmeniz, saldırganların ortamınızı görme yollarına odaklanmalıdır; bu genellikle, IT ve uygulama ekiplerinin bu şekilde değil. Tek seferlik saldırıların benzetimini yapmak için güvenlik tasarımınızı bilgilendirin ve sızma testiyle test etme. Uzun süreli kalıcı saldırı gruplarının benzetimini yapmak için kırmızı ekipleri kullanın. Kurumsal segmentasyon stratejinizi ve diğer güvenlik denetimlerini ortamınız içinde saldırgan yanal hareketlerini içermesi için tasarlarsınız. Saldırganların ortam içindeki kaynakların açıklarından yararlanmasını hedef alan olası saldırı yüzeyini etkin bir şekilde ölçün ve azaltın.
Yerel denetimleri kullanma: Üçüncü tarafların dış denetimlerine göre bulut hizmetlerinde yerleşik olarak yer alan yerel güvenlik denetimlerini tercih edin. Yerel güvenlik denetimleri hizmet sağlayıcısı tarafından korunarak ve destekleyerek dış güvenlik araçlarını tümleştirerek ve bu tümleştirmeleri zaman içinde güncelleştirmek için gereken çabayı ortadan kaldırarak veya azaltarak.
Birincil erişim denetimi olarak kimliği kullanın: Bulut mimarileri içinde kaynaklara erişim öncelikli olarak erişim denetimleri için kimlik tabanlı kimlik doğrulaması ve yetkilendirme ile yönetilir. Hesap denetimi stratejiniz, ağ denetimlerine veya doğrudan şifreleme anahtarlarının kullanımına güvenmek yerine erişimi denetlemek için kimlik sistemlerine bağlı olmalıdır.
Sorumluluk: Varlıkların ve güvenlik sorumluluklarının net bir şekilde sahipliğini ifade eder ve eylemlerin geridizleme için izlenebilir olduğundan emin olur. Ayrıca varlıklara gereken en az ayrıcalığa (yönetilebilir ayrıntı düzeyine) sahip olduğundan da emin olmak gerekir.
Otomasyonu benimseme: Görevlerin otomasyonu, insan hatası riskini oluşturama ihtimalini azaltır, bu nedenle insan hatalarını azaltmak için (nitelikli insanların otomasyonu idare etme ve denetlemesini sağlarken) hem IT işlemleri hem de güvenlik için en iyi yöntemler mümkün olduğunca otomatikleştirılmalıdır.
Bilgi korumasına odaklanın: Fikri mülkiyet genellikle en büyük kurumsal değer depolarındandır ve bu veriler bulut hizmetleri, mobil cihazlar, iş istasyonları veya işbirliği platformları (iş değeri oluşturulmasına olanak sağlayan işbirliğine izin vermeden) dahil her yerde korunmalıdır. Güvenlik stratejiniz, güvenlik önceliklerini belirlemeye olanak sağlamak, güçlü erişim denetimi ve şifreleme teknolojisi kullanmak ve üretkenlik, kullanılabilirlik ve esneklik gibi iş ihtiyaçlarını karşılamak için bilgileri ve varlıkları sınıflama üzerine kurulur.
Tasarım: Güvenlik stratejiniz denetimlerin başarısız olduğunu ve uygun şekilde tasarlaycazı varsaymalı. Güvenlik duruşlarınızı daha iyi bir şekilde ifade etmeye yönelik olarak birlikte çalışan birkaç yaklaşıma ihtiyaç vardır:
Dengeli yatırım: Önleyici denetimleri başarıyla atlatan saldırganların algılama, yanıt ve kurtarma özelliklerine erişimi kaybetmesini sağlamak için niST Siber Güvenlik Çerçevesi'nin tam yaşam döngüsünü (tanımlama, koruma, algılama, yanıtlama ve kurtarma) kapsayan temel işlevler arasında yatırım yapma.
Devam eden bakım: Ortamda yapılan değişiklikler veya ihmallerle zaman içinde bozulmamalarını sağlamak için güvenlik denetimlerini ve güvencelerini sürdürün.
Sürekli olarak dikkat: Kuruluşlara risk oluşturacak anomalilerin ve olası tehditlerin zamanında giderildiklerden emin olmak.
Derinlemesine savunma: Birincil güvenlik denetimi başarısız olduğunda kuruluş riskini azaltmak için tasarımda ek denetimleri göz önünde bulundurabilirsiniz. Bu tasarım, birincil denetimin başarısız olma ihtimalini, varsa olası kurumsal riski ve ek denetimin etkililiğini (özellikle birincil denetimin başarısız olma olasılığına neden olacak durumlarda) göz önünde bulunduracak.
En az ayrıcalık: Bu, herhangi bir hesap tarafından yaplanabilecek zararları sınırlamak için derinlemesine bir savunma biçimidir. Hesaplara, atanan görevlerini gerçekleştirmek için gereken en az miktarda ayrıcalık ver gerekir. Erişimi izin düzeyine ve zamana göre kısıtlar. Bu, hesaba erişim elde eden bir dış saldırganın ve/veya yanlışlıkla ya da kasıtlı olarak (örneğin, içeriden saldırı) güvenlik güvencelerini tehlikeye atmış bir iç çalışanın zararını hafifletmeye yardımcı olur.
Temel ve karşılaştırma: Kuruma dış kaynaklardan gelen geçerli düşünceyi göz önünde bulundurarak stratejinizi ve yapılandırmanızı dış başvurulara (uyumluluk gereksinimleri dahil) göre değerlendirin. Bu yaklaşımlarınızı doğrulamanıza, yanlışlıkla gözetim riskini ve yetersizlik için cezai para cezası riskini en aza indirmenize yardımcı olur.
Sürekli geliştirmeyi geliştirme: Sistemlerin ve mevcut uygulamaların düzenli olarak değerlendirilip iyileştirilmesi, bu uygulamaların sürekli olarak geliştirilen saldırganlara ve işletmenin sürekli dijital dönüşümüne karşı etkili olmaya devam etmek için iyileştirilmesi gerekir. Buna gerçek dünya saldırılarından gelen öğrenmeleri proaktif olarak tümleştiren süreçler, gerçekçi sızma testi ve kırmızı takım etkinlikleri ve kullanılabilir durumdaki diğer kaynaklar dahildir.
Sıfır güven varsayın: Erişim isteklerini değerlendirirken, tüm istekte olan kullanıcılar, cihazlar ve uygulamalar, bütünlüğü yeterince doğrulanıncaya kadar güvenilmeyen olarak kabul edilir. Erişim istekleri, istekte bulunduracak kaynağın güven düzeyine ve hedef kaynağın duyarlılığına göre koşullu olarak ver gerekir. Üretkenlik hedeflerini desteklemek için güven doğrulamasını artırmak (örneğin, çok faktörlü kimlik doğrulaması isteği) ve bilinen riskleri (bilinen sızdırılan parolayı değiştirme, kötü amaçlı yazılım bulumalarını düzeltme) için makul denemeler yapmak gerekir.
Güvenliği eğitin ve hareketeın: Bulut iş yüklerini tasar ve çalıştıran insanlar sistemin tamamın bir parçası. Bu kişilerin sistemin güvenlik güvencesi hedeflerini desteklemek için eğitilmiş, bilinçli ve bilinçli olduğundan emin olmak kritik öneme sahiptir. Bu, özellikle geniş yönetim ayrıcalıkları verilen hesaplara sahip kişiler için önemlidir.