Главная мысль
Результат — не просто список пунктов: зафиксируйте охват, подтверждающие данные, возможное влияние риска, ответственного за исправление и результаты проверки закрытия замечания.
Определите охват и подтверждающие данные
До начала оценки запишите провайдеров, аккаунты, проекты, подписки, регионы, приложения и классы данных, которые входят в охват. Согласуйте цель с ответственными командами: например, найти публично доступное хранилище, проверить привилегированный доступ или провести проверку плана восстановления. Для каждого контроля укажите источник подтверждающих данных: экспорт конфигурации, политику идентификации, пример журнала, проверку кода или результат упражнения по восстановлению. Явно обозначьте ресурсы вне охвата.
Проверьте идентификацию и конфигурацию
Проверьте учётные записи пользователей и сервисов, охват MFA, разрешения ролей, оставшиеся учётные данные и предоставление общего доступа внешним пользователям и системам. Изучите публичную доступность хранилищ, firewall и группы безопасности, доступ к API, управление ключами и аудит. Для каждой выявленной проблемы укажите конкретный ресурс, наблюдаемую настройку и требуемую политику. Вместо общего вывода «облако небезопасно» опишите, например, какая политика bucket открывает какие данные, кому и было ли это разрешено.
Оцените рабочие нагрузки, мониторинг и восстановление
Оцените обновление виртуальных машин и контейнеров, происхождение образов, хранение секретов, шифрование чувствительных данных и правила связей между сервисами. Проверьте срок хранения журналов безопасности и доступ ответственных к ним. Уточните, какая команда при инциденте взаимодействует с владельцами облака, приложения и данных. Создать резервную копию недостаточно: проверьте, что уполномоченные сотрудники могут восстановить данные и что результат соответствует потребностям бизнеса.
Закрывайте замечания по плану с учётом риска
Документируйте закрытие замечания исправлением либо утверждённым решением об остаточном риске. Принятие риска не является техническим исправлением.
Зафиксируйте замечание
Укажите конкретный ресурс, выявленное состояние, подтверждающие данные и возможное влияние.
Определите приоритет и владельца
Определите приоритет по влиянию, вероятности эксплуатации, чувствительности данных и компенсирующим мерам; назначьте владельца, срок и временную защиту.
Проверьте исправление или оформите исключение
До production проверьте исправление с высоким влиянием и путь отката; при остаточном риске документируйте исключение и утвердившего его ответственного.
Повторно проверьте и сохраните результаты
После исправления подтвердите устранение исходного состояния и работу контроля; для исключения зафиксируйте утверждение и оставшееся состояние. Сохраните данные о закрытии и задайте условие повторной оценки.
Выбирайте фреймворки и повторные проверки по задаче
Фреймворк, например NIST CSF 2.0, помогает связать результаты контроля с программой управления рисками; подходящий профиль конфигурации задаёт технические проверки для выбранного провайдера и сервиса. Согласуйте их с отраслью организации, чувствительностью данных и договорными обязательствами. Повторяйте оценку не только по календарю, но и при создании аккаунта или региона, изменении политики идентификации, переносе критичного приложения или появлении замечания аудита. CSF 2.0 сам по себе не даёт сертификации или доказательства соответствия.