Əsas fikir
Hər xidmət üçün məsuliyyəti müəyyən edin, kimlik və məlumat nəzarətlərini tətbiq edin, görünürlük yaradın və insidentdən bərpanı məşq edin.
Bulud təhlükəsizliyi nəyi əhatə edir
Bulud təhlükəsizliyi hesabların, identifikasiyanın, şəbəkələrin, tətbiqlərin, məlumatın və iş yüklərinin qorunmasını əhatə edir. Provayder infrastrukturu və xidmətin müəyyən hissələrini idarə edə bilər, amma məlumatın təsnifatı, istifadəçi və iş yükü icazələri, konfiqurasiya seçimi və tətbiq təhlükəsizliyi çox vaxt müştərinin məsuliyyətində qalır. Bu bölgü IaaS, PaaS, SaaS və konkret xidmətə görə dəyişir. Əvvəlcə hansı xidmətlərin və məlumatların istifadə olunduğunu tapın, sonra faktiki məsuliyyət matrisini hazırlayın.
Kimliyi, məlumatı və əlaqələri qoruyun
İnsanlar üçün mərkəzləşdirilmiş identifikasiya və uyğun MFA qurun; xidmət və tətbiqlər üçün ayrıca kimlik yaradın və icazələri minimum həddə saxlayın. Məlumatı həssaslığa görə təsnif edin, saxlanma və ötürülmə zamanı şifrələməni, açar idarəsini və ehtiyat nüsxələrin qorunmasını yoxlayın. Şəbəkədə yalnız tələb olunan giriş və çıxış yollarını açın. API və üçüncü tərəf inteqrasiyalarına sahib təyin edin, etimadnamələri kodda və ya ictimai anbarlarda saxlamayın.
Görünürlük və idarəetmə yaradın
Aktiv inventarını, konfiqurasiya bazasını və dəyişiklik tarixçəsini saxlayın. İdentifikasiya hadisələrini, API çağırışlarını, resurs dəyişikliklərini və iş yükü siqnallarını əlaqələndirmək üçün jurnalların toplanmasını, saxlanmasını və xəbərdarlıqlara çevrilməsini planlaşdırın. NIST CSF 2.0-ın Govern, Identify, Protect, Detect, Respond və Recover funksiyaları proqramın əhatəsini qurmağa kömək edə bilər. İdarəetmə çərçivəsini uyğunluq sertifikatı kimi təqdim etməyin; hüquqi tələbləri məlumatın yeri, emalı və təşkilatın roluna görə ayrıca müəyyən edin.
| Nəzarət məqsədi | Sübut nümunəsi | Cavabdehin növbəti addımı |
|---|---|---|
| İmtiyazlı girişi məhdudlaşdırmaq | Rol və MFA yoxlaması | Kimlik sahibi |
| Həssas məlumatı qorumaq | Giriş, şifrələmə və açar parametrləri | Məlumat və xidmət sahibi |
| Dəyişiklikləri araşdırmaq | Araşdırmada istifadə edilə bilən audit hadisəsi | Əməliyyat analitiki və eskalasiya |
| Xidməti bərpa etmək | Bərpa məşqinin nəticəsi | Tətbiq və bərpa sahibi |
Hadisələrə və xidmət kəsintisinə hazırlaşın
Bulud insidentində hansı komandanın hesabı məhdudlaşdıracağı, qeydləri qoruyacağı, provayderlə əlaqə saxlayacağı və biznes sahibinə məlumat verəcəyi əvvəlcədən müəyyən olmalıdır. Təsirə məruz qalan açarları və sessiyaları ləğv etməyi, resursu təcrid etməyi və sübutu qorumağı sınaqdan keçirin. Ehtiyat nüsxə, alternativ əlçatanlıq zonası və provayderin davamlılıq imkanlarını öz ehtiyat planınızdan fərqləndirin. Bərpa vaxtı və məlumat itkisi üzrə hədəfləri təşkilatın ehtiyacına uyğun yazın və məşq edin.
Nəzarətləri məlumat və komanda kontekstinə uyğunlaşdırın
Eyni konfiqurasiya hər məlumat və xidmət üçün uyğun olmaya bilər. Məlumatın həssaslığını, kimlərin istifadə etdiyini, provayderin yerləşmə regionunu və emal şərtlərini nəzərə alın; tətbiq, məlumat və hesab sahibi arasında təsdiq yolunu müəyyən edin. Tənzimlənən və ya müqavilə ilə məhdudlaşdırılan məlumat üçün hüquqi və məxfilik üzrə məsul şəxslə konkret öhdəliyi yoxlayın. Təhlükəsizlik nəzarəti bu qərarı dəstəkləyir, lakin öz-özlüyündə qanuna uyğunluq qərarı vermir.