Əsas fikir
Məlumatın, xidmətin və təşkilatın rolunun əhatəsini müəyyən edin; nəzarətləri faktiki xidmət konfiqurasiyasına və yoxlanıla bilən sübuta bağlayın.
Bulud uyğunluğu və təhlükəsizlik
Bulud uyğunluğu infrastrukturun, tətbiqin və məlumat emalının tətbiq olunan qayda, müqavilə və nəzarət çərçivəsinə uyğun idarə edilməsidir. Təhlükəsizlik aktivləri qoruyur; uyğunluq isə həmin nəzarətin konkret tələbə necə cavab verdiyini sübutla göstərir. Dinamik hesablar, konteynerlər və qısamüddətli resurslar üçün nəzarəti yerləşdirmə və dəyişiklik dövrünə daxil edin.
Tələbləri və məlumat axınını müəyyən edin
Şəxsi, maliyyə və digər həssas məlumatı təsnif edin. Toplanma, emal, ehtiyat nüsxə, saxlanma regionu, ötürmə və silinmə yolunu xəritələyin. Xidmətin region və köçürmə imkanlarını müqavilədən əvvəl yoxlayın. Hər tələb üçün resurs, nəzarət sahibi, sübut və baxış tezliyini müəyyən edin.
Standart və çərçivələri ayırın
GDPR Aİ-dəki təsisatın fəaliyyəti və Aİ-dəki şəxslərə müəyyən təklif və ya monitorinq ilə bağlıdır. HIPAA ABŞ rejimi kimi müəyyən əhatə olunan qurumlara və biznes tərəfdaşlarına, PCI DSS isə ödəniş kartı məlumatı mühitinə aiddir. ISO/IEC 27017 bulud nəzarətləri üçün tətbiq tövsiyələri verir; SOC 2 Type II hesabatı xidmət nəzarətlərini bir dövr ərzində qiymətləndirir; CIS Benchmarks sərtləşdirmə tövsiyələridir. FedRAMP ABŞ federal bulud istifadəsi proqramıdır; EU Cloud CoC bulud məlumat emalı kodeksidir. Qanunu, müqavilə standartını, tövsiyəni və təminat hesabatını fərqləndirib hər birinin əhatəsini müəyyən edin.
Sektor üzrə tətbiq
Maliyyə, səhiyyə, dövlət və pərakəndə satış üçün tələbləri ayrıca xəritələndirin. GLBA və SOX, HIPAA/HITECH, NIST SP 800-53 və FedRAMP, PCI DSS və CCPA adlarını fəaliyyət, emal rolu, müqavilə və yurisdiksiyaya görə araşdırılacaq nümunələr kimi istifadə edin. Sahə adı bütün şirkətlərə eyni öhdəlik yaratmır. Ödəniş kartı emalını şəxsi məlumat öhdəliklərindən ayırın və seçilmiş tələbi konkret iş yükünə bağlayın.
Təchizatçı və bölüşdürülmüş məsuliyyət
Təchizatçının hesabat və sertifikatının əhatəsini, xidmətini və dövrünü yoxlayın; Cloud Security Alliance CCM nəzarətləri ilə sualları strukturlaşdırmaq olar. IaaS, PaaS və SaaS üçün kimin əməliyyat sistemi, tətbiq, hesab, açar və məlumatı idarə etdiyini ayrıca yazın. Özəl və hibrid mühitdə də məsuliyyəti müqavilə və faktiki idarəetmə ilə dəqiqləşdirin. Provayderin təqdim etdiyi sübutları müştərinin idarə etdiyi nəzarət tədbirlərinə dair sübutlarla birləşdirin.
Giriş, şifrələmə və konfiqurasiya
Rollara yalnız iş üçün lazım olan səlahiyyətləri verin, uyğun insan girişində MFA tətbiq edin və fəaliyyətsiz hesabları bağlayın. İş yükü identifikasiyalarında uyğun etimadnamə, icazə və həyat dövrü nəzarətləri qurun. Ötürülən və saxlanan məlumatı şifrələyin; açar sahibi, rotasiya və bərpanı müəyyən edin. Açıq yaddaşı, şəbəkə icazələrini və sızmış sirləri ayrıca yoxlayın. Tətbiq boşluqları və DDoS üçün tətbiq və şəbəkə nəzarətləri lazımdır; şifrələmə bunları düzəltmir.
Davamlı CSPM nəzarəti
CSPM hesab və xidmət konfiqurasiyalarını nəzarət tələbləri ilə müqayisə edir, uyğunsuz dəyişiklik üçün xəbərdarlıq yaradır və tapıntını resurs sahibinə yönləndirir. Aktiv əhatəsini və istisnaları izləyin. Avtomatik düzəlişi yalnız təsiri məlum olan qayda üçün təsdiqləyin və geri qaytarma imkanını yoxlayın.
IaC və siyasətin kodla yoxlanması
İnfrastruktur şablonlarını CI/CD-də açıq saxlama, həddindən artıq icazə və tələb olunan şifrələmə üzrə yoxlayın. OPA kimi siyasət mühərriki qaydanı təkrar istifadə etməyə kömək edir. SBOM proqram komponentlərini görünən edir; zəiflik və təchizat zənciri baxışını konfiqurasiya yoxlaması ilə birlikdə aparın. İstisna üçün təsdiq və bitmə tarixi tələb edin.
Monitorinq və CIEM
SIEM-ə giriş, inzibati dəyişiklik və təhlükəsizlik hadisələrini göndərin. Naməlum IP və qeyri-adi vaxt siqnallarını istifadəçi və əməliyyat konteksti ilə araşdırın. CIEM effektiv bulud səlahiyyətlərini və artıq imtiyazları görünən edir. İnsan və xidmət hesabları üçün giriş baxışı, eskalasiya və ləğv prosesini təyin edin.
Hesabat və audit hazırlığı
Paneldə tələblər üzrə vəziyyəti, yoxlanılan hesabları, işləməyən nəzarət tədbirlərini və açıq istisnaları göstərin. İxrac edilən hesabatları konfiqurasiyalar, jurnallar, təsdiqlər və düzəliş müraciətləri ilə əlaqələndirin. Auditin əhatəsini razılaşdırın, uyğun müstəqil baxışı planlaşdırın, sübutları toplayın və tövsiyələrin yerinə yetirilməsi üçün məsul şəxsləri təyin edin. Təhlükəsizlik boşluqları ilə yanaşı resurs tutumunun israfı kimi əməliyyat problemlərini də nəzərdən keçirin; rəhbərlik tədbirlərin tamamlanmasını izləsin.
Çoxbulud mühitində çətinliklər
Hibrid və çoxbulud mühitdə müxtəlif hesab, komanda və xidmətlər inventarı parçalaya bilər. Təsdiqlənməmiş SaaS, yanlış saxlama icazəsi və əl ilə sübut toplama boşluqlarını müəyyən edin. Hesab açılmasını inventar, log və nəzarət şablonuna bağlayın; İT, təhlükəsizlik və biznes üçün vahid düzəliş prosesi yaradın.
Nəzarət altında avtomatlaşdırma
Avtomatlaşdırma qayda pozuntularını aşkarlamağa, dəyişiklikləri təhlil etməyə və sübut toplamağa kömək edə bilər. Dəyişiklik qərarı səlahiyyətli sahibdə qalsın; aşağı riskli düzəliş belə təsdiqlənmiş əhatə və geri qaytarma planı tələb edir.
Nəticəni təsdiqləyin
Xəbərdarlığı və ya AI təklifini faktiki resurs, nəzarət və qiymətləndirmə əhatəsi ilə tutuşdurun.
Dəyişikliyi təsdiqləyin
Xidmət təsirini qiymətləndirin, təsdiqləyən məsul şəxsi, geri qaytarmanı və avtomatlaşdırmanın sərhədini müəyyən edin.
Nəticəni yenidən yoxlayın
Əvvəlki və sonrakı sübutu, qalan boşluqları və təkrarlanmanı saxlayın; sübutun tamlığını da izləyin.