Zlepšení zabezpečení cílových zón

  • Článek

Když úloha nebo cílové zóny, které jsou hostiteli, vyžadují přístup k citlivým datům nebo kritickým systémům, je důležité chránit data a prostředky.

Zabezpečení

Při ukončení stavu Připraveno máte průběžnou odpovědnost za udržování zabezpečení vašeho prostředí. Zabezpečení cloudu je také přírůstkový proces místo statického cíle. Při vytváření stavu ukončení zabezpečení se zaměřte na cíle a klíčové výsledky. Mapujte koncepty, architektury a standardy na disciplíny v metodologii zabezpečení CAF spolu s mapováním na role a zodpovědnosti pro lidskou disciplínu. Zabezpečená metodologie poskytuje pokyny.

Níže poskytujeme přehled těchto pokynů s odkazy na podrobnosti.

Přehledy rizik

Obchodní operace mají bezpečnostní rizika. Bezpečnostní tým by měl informovat pracovníky s rozhodovací pravomocí a informovat o tom, jak bezpečnostní rizika odpovídají jejich architekturám, a to pochopením obchodních postupů a používáním bezpečnostních postupů k rozpoznání rizika vhodného plánování a provedení opatření.

  • Co je riziko kybernetické bezpečnosti?: Všechny potenciální škody nebo zničení firmy způsobené lidskými útočníky, kteří se pokoušejí ukrást měnu, vnitřní informace nebo technologie.
  • Sladění správy bezpečnostních rizik: Investujte do přemostění kybernetické bezpečnosti a vedení organizace, abyste vysvětlili bezpečnostní hrozby pomocí obchodní terminologie, aktivně naslouchání a komunikaci se všemi lidmi v celé firmě.
  • Porozumění riziku kybernetické bezpečnosti: Pochopení motivací a vzorců chování lidských útočníků za účelem krádeže peněz, informací nebo technologií a identifikace potenciálního dopadu různých typů útoků.

Integrace zabezpečení

Ujistěte se, že zabezpečení je problém organizace, a ne do jedné skupiny. Integrace zabezpečení poskytuje pokyny, jak integrovat zabezpečení do role všech uživatelů a současně minimalizovat tření obchodních procesů. Mezi konkrétní pokyny patří:

  • Normalizace vztahů: Zajistěte, aby všechny týmy byly integrované s bezpečnostními týmy a měly sdílené porozumění cílům zabezpečení. Dále se snažíme najít správnou úroveň kontrolních mechanismů zabezpečení a zajistit, aby kontroly nepřevažovaly nad obchodní hodnotou.
  • Integrace s IT a obchodními operacemi: Vyvážení implementace aktualizací zabezpečení a mapování toho, jak všechny procesy zabezpečení ovlivňují aktuální obchodní dopad, a potenciální bezpečnostní riziko v budoucnu.
  • Integrace bezpečnostních týmů: Vyhněte se provozu v silech tím, že reagujete na aktivní hrozby a průběžně vylepšuje stav zabezpečení organizace tím, že procvičíte zabezpečení jako dynamickou disciplínu.

Odolnost firmy

I když organizace nemohou mít nikdy dokonalé zabezpečení, stále existuje praktický přístup k odolnosti firmy při investování celého životního cyklu bezpečnostního rizika před incidentem, během a po incidentu.

  • Cíle odolnosti: Zaměřte se na to, aby vaše firma rychle inovoval, omezil dopad a vždy hledal bezpečné způsoby přijetí technologií.
  • Odolnost zabezpečení a předpoklad porušení zabezpečení: Předpokládejme porušení zabezpečení nebo ohrožení zabezpečení, abyste postupovali podle klíčového principu nulové důvěry a procvičili si praktická chování zabezpečení, aby se zabránilo útokům, omezením škod a rychlému obnovení.

Řízení přístupu

Vytvořte strategii řízení přístupu, která odpovídá uživatelskému prostředí i zárukám zabezpečení.

  • Od hranice zabezpečení po nulovou důvěru: Přijměte přístup nulové důvěry pro řízení přístupu pro vytváření a zlepšování bezpečnostních záruk při práci v cloudu a používání nových technologií.
  • Moderní řízení přístupu: Vytvořte strategii řízení přístupu, která je komplexní, konzistentní a flexibilní. Pro více úloh, cloudů a různých úrovní citlivosti firmy můžete jít nad rámec jedné taktiky nebo technologie.
  • Známé, důvěryhodné, povolené: Postupujte podle dynamického třístupňového procesu, abyste zajistili známé ověřování, důvěřovali uživateli nebo zařízení a povolili příslušná práva a oprávnění pro aplikaci, službu nebo data.
  • Rozhodnutí o přístupu řízená daty: Informovaná rozhodnutí z různorodých dat na uživatelích a zařízeních za účelem splnění explicitního ověření.
  • Segmentace: Oddělení pro ochranu: Vytvoření hranic jako samostatných segmentů interního prostředí, které bude obsahovat poškození úspěšných útoků.
  • Izolace: Vyhněte se bráně firewall a nezapomeňte: Navrhněte extrémní formu segmentace pro důležité obchodní prostředky, které se skládají z: lidí, procesů a technologií.

Operace zabezpečení

Zajistěte operace zabezpečení snížením rizika, rychlou reakcí a obnovením, abyste ochránili vaši organizaci a sledovali disciplínu zabezpečení procesu DevOps.

  • Lidé a proces: Vytvořte kulturu, která lidem umožní používat nástroje, které jim umožní jako váš nejcennější prostředek a rozšířit své myšlení, a to tím, že zahrnete a trénuje netechnické lidi se silnými pozadími v rolích forenzního vyšetřování.
  • Model operací zabezpečení: Zaměřte se na výsledky řízení incidentů, přípravy incidentů a analýzy hrozeb. Delegujte výsledky mezi dílčími týmy na třídění, zkoumání a vyhledávání na velkých a složitých incidentech.
  • Obchodní body SecOps: Komunikujte s obchodním vedením, abyste mohli informovat hlavní incidenty a určit dopad kritických systémů. Průběžná společná reakce na snížení organizačního rizika.
  • Modernizace SecOps: Vývoj operací zabezpečení pomocí následujících trendů zahrnujících pokrytí platformy, zabezpečení zaměřeného na identitu, zařízení IoT a OT a relevantní telemetrii z cloudu.

Ochrana prostředků

Zabezpečte důležité obchodní prostředky, které zahrnují všechny fyzické a virtuální položky implementací kontrolních mechanismů zabezpečení, které jsou jedinečné pro každý typ prostředku. Konzistentně spouštět preventivní a detektivovou ochranu, aby splňovaly zásady, standardy a architekturu.

  • Zabezpečení: Zajištění zabezpečení prostředků v nejnovějších standardech a zásadách vaší organizace pomocí aktuálních ovládacích prvků na prostředky brownfieldu a zajištění, aby prostředky zeleně byly nastaveny na nejnovější standardy.
  • Zůstaňte v bezpečí: Procvičte si průběžné zlepšování cloudu a naplánujte upgrade nebo vyřazení softwaru na konci životnosti jako obchodní, technologické a bezpečnostní požadavky se rychle mění.
  • Začínáme: Začněte chránit prostředky tím, že se nejprve zaměříte na dobře známé cloudové prostředky a pro konfiguraci zabezpečení použijete dobře známé a osvědčené standardní hodnoty dodavatelů a odvětví.
  • Klíčové informace: Používejte klíčové prvky zodpovědného a zodpovědného týmu ke správě podnikových prostředků, jako jsou potřeby úloh elasticity cloudu, a ovládací prvky návrhu k identifikaci osvědčených postupů. Změřte obchodní hodnotu ochrany prostředků a upřednostňování automatizovaných zásad, abyste se vyhnuli nákladům a ručnímu opakování.

Zásady správného řízení zabezpečení

Dohled a monitorování s využitím zásad správného řízení zabezpečení pro udržení a zlepšení stavu zabezpečení v průběhu času s využitím obchodních cílů a rizik k určení nejlepšího směru zabezpečení.

  • Dodržování předpisů a vytváření sestav: Zásady externího i interního zabezpečení splňují povinné požadavky v daném odvětví.
  • Architektura a standardy: Vytvořte jednotný pohled na podniková aktiva, protože většina podniků je hybridní prostředí, které zahrnuje místní i cloudové prostředky.
  • Správa stavu zabezpečení: Plánování zásad správného řízení pro monitorování standardů zabezpečení, poskytování pokynů a zlepšování procesů. Udržujte flexibilitu řízenou zásadami správného řízení prostřednictvím zásad a průběžného zlepšování.
  • Disciplíny zásad správného řízení a ochrany: Použijte kontrolní mechanismy zabezpečení a poskytněte zpětnou vazbu k identifikaci nejlepších řešení.
  • Operace správného řízení a zabezpečení: Ujistěte se, že poznatky získané z incidentů jsou integrované do operací zabezpečení a zásad správného řízení.

Zabezpečení inovací

Chraňte procesy a data inovací před kybernetickými útoky, protože nové aplikace jsou vyvíjeny s ohledem na zabezpečení inovací.

  • Co je DevSecOps?: Integrované zabezpečení do již kombinovaného procesu vývoje a provozu v DevOps za účelem zmírnění rizik v procesu inovací.
  • Zabezpečení návrhem a posunem doleva: Zapojte zabezpečení do všech fází životního cyklu DevOps a mají týmy v souladu s rychlostí inovací, spolehlivostí a odolností.
  • Proč DevSecOps?: Pokud chcete zabezpečit proces DevOps, který chrání před útočníky, kteří zneužívají slabá místa ve všech IT infrastruktuře ve vaší organizaci, která zase chrání vaše zákazníky.
  • Cesta DevSecOps: Využijte inkubační proces idea a DevOps jako dvoufázový proces, jako je většina organizací. Identifikujte požadavky MVP (minimální realizovatelný produkt), pomocí technik vedení vyřešte konflikty týmů a integrujte zabezpečení do stávajících procesů a nástrojů.
  • Tipy na cestě: Při transformaci zabezpečení budou na celé cestě běžné výzvy, které budou zahrnovat vzdělávání, čas, resurcing a celkovou posunutou povahu IT operací.

Ovládací prvky DevSecOps

Při vytváření ovládacích prvků DevSecOps přidejte zabezpečení do každé fáze kontinuální integrace a průběžného doručování (CI/CD).

  • Zabezpečení návrhu: Zajištění zabezpečení do fáze plánování v moderních vývojových metodologiích pro implementaci modelování hrozeb, modulů plug-in zabezpečení IDE/ předběžné potvrzení a peer review.
  • Zabezpečte kód: Vyhodnoťte a implementujte do centralizovaných úložišť možnost kontroly ohrožení zabezpečení, abyste zjistili rizika a provedli nápravu.
  • Zabezpečte kanál: Použijte kanály buildu a verze pro automatizaci a standardizaci pro procesy sestavování a nasazování zabezpečeného kódu, aniž byste museli trávit velké množství času při opětovném nasazení nebo upgradu stávajících prostředí.
  • Zabezpečené operace: Dohlížejte na stav zabezpečení a spravujte ho, když se řešení přenese do produkčního prostředí. Použijte nástroje pro kontrolu infrastruktury a postupy penetračního testování, abyste týmům umožnili najít rizika a ohrožení zabezpečení, které by bylo možné řešit.

Vývojový cyklus řízený testy

Před zahájením jakýchkoli vylepšení zabezpečení je důležité pochopit "definici hotovo" a všechna "kritéria přijetí". Další informace najdete v článcích o vývoji cílových zón založených na testech a vývoji řízeném testy v Azure.

Další kroky

Zjistěte, jak zlepšit operace cílové zóny pro podporu důležitých aplikací.

Vylepšení operací cílové zóny