Liste de contrôle de la révision de la conception pour la sécurité
Cette liste de contrôle présente un ensemble de recommandations de sécurité pour vous aider à vous assurer que votre charge de travail est sécurisée et alignée sur le modèle Confiance nulle. Si vous n’avez pas coché les cases suivantes et que vous avez pris en compte les compromis, votre conception peut être à risque. Examinez attentivement tous les points abordés dans la liste de contrôle pour gagner en confiance dans la sécurité de votre charge de travail.
Liste de contrôle
| Code | Recommandation | |
|---|---|---|
| ☐ | SE :01 | Établissez une base de référence de sécurité alignée sur les exigences de conformité, les normes du secteur et les recommandations de plateforme. Mesurez régulièrement votre architecture et vos opérations de charge de travail par rapport à la ligne de base pour maintenir ou améliorer votre posture de sécurité au fil du temps. |
| ☐ |
SE :02 SE :02 |
Maintenez un cycle de vie de développement sécurisé à l’aide d’une chaîne d’approvisionnement logicielle renforcée, principalement automatisée et auditable. Incorporez une conception sécurisée à l’aide de la modélisation des menaces pour vous protéger contre les implémentations qui n’ont pas de sécurité. |
| ☐ | SE :03 | Classifiez et appliquez de manière cohérente les étiquettes de sensibilité et de type d’informations sur toutes les données et systèmes de charge de travail impliqués dans le traitement des données. Utilisez la classification pour influencer la conception de la charge de travail, l’implémentation et la hiérarchisation de la sécurité. |
| ☐ | SE :04 | Créez intentionnellement une segmentation et des périmètres dans la conception de votre architecture et dans l’empreinte de la charge de travail sur la plateforme. La stratégie de segmentation doit inclure les réseaux, les rôles et les responsabilités, les identités de charge de travail et les organization de ressources. |
| ☐ | SE :05 | Implémentez une gestion des identités et des accès (IAM) stricte, conditionnelle et auditable pour tous les utilisateurs de charge de travail, les membres de l’équipe et les composants système. Limitez l’accès exclusivement à si nécessaire. Utilisez les normes modernes du secteur pour toutes les implémentations d’authentification et d’autorisation. Limitez et auditez rigoureusement l’accès qui n’est pas basé sur l’identité. |
| ☐ | SE :06 | Isolez, filtrez et contrôlez le trafic réseau sur les flux d’entrée et de sortie. Appliquez les principes de défense en profondeur en utilisant des contrôles réseau localisés à toutes les limites réseau disponibles sur le trafic est-ouest et nord-sud. |
| ☐ | SE :07 | Chiffrez les données à l’aide de méthodes modernes standard pour protéger la confidentialité et l’intégrité. Alignez l’étendue de chiffrement avec les classifications de données et hiérarchisez les méthodes de chiffrement de plateforme natives. |
| ☐ | SE :08 | Renforcez tous les composants de charge de travail en réduisant la surface d’exposition superflue et en resserrant les configurations pour augmenter le coût des attaquants. |
| ☐ | SE :09 | Protégez les secrets d’application en durcissant leur stockage et en limitant l’accès et la manipulation, et en auditant ces actions. Exécutez un processus de rotation fiable et régulier qui peut improviser des rotations en cas d’urgence. |
| ☐ | SE :10 | Implémentez une stratégie de surveillance holistique qui s’appuie sur des mécanismes modernes de détection des menaces qui peuvent être intégrés à la plateforme. Les mécanismes doivent alerter de manière fiable pour le triage et envoyer des signaux dans les processus SecOps existants. |
| ☐ | SE :11 | Établissez un schéma de test complet qui combine des approches pour prévenir les problèmes de sécurité, valider les implémentations de prévention des menaces et tester les mécanismes de détection des menaces. |
| ☐ | SE :12 | Définissez et testez des procédures efficaces de réponse aux incidents qui couvrent un éventail d’incidents, des problèmes localisés à la récupération d’urgence. Définissez clairement l’équipe ou l’individu qui exécute une procédure. |
Étapes suivantes
Nous vous recommandons de passer en revue les compromis de sécurité pour explorer d’autres concepts.