Главная мысль
Определите ответственность для каждого сервиса, внедрите контроль идентификации и данных, обеспечьте видимость и отработайте восстановление после инцидента.
Что входит в облачную безопасность
Облачная безопасность охватывает аккаунты, идентификацию, сети, приложения, данные и рабочие нагрузки. Провайдер может управлять инфраструктурой и отдельными частями сервиса, но классификация данных, разрешения пользователей и рабочих нагрузок, выбор конфигурации и безопасность приложения часто остаются ответственностью клиента. Распределение меняется для IaaS, PaaS, SaaS и конкретных сервисов. Сначала выясните, какие сервисы и данные используются, затем составьте фактическую матрицу ответственности.
Защитите идентификацию, данные и соединения
Настройте централизованную идентификацию и подходящую MFA для людей; создавайте отдельные идентификаторы для сервисов и приложений и ограничивайте права необходимым минимумом. Классифицируйте данные по чувствительности, проверяйте шифрование при хранении и передаче, управление ключами и защиту резервных копий. Открывайте в сети только необходимые входящие и исходящие маршруты. Назначайте владельцев API и интеграциям третьих сторон; не храните учётные данные в коде или публичных репозиториях.
Обеспечьте видимость и управление
Поддерживайте инвентарь активов, базовую конфигурацию и историю изменений. Планируйте сбор и хранение журналов, а также преобразование событий идентификации, вызовов API, изменений ресурсов и сигналов рабочих нагрузок в оповещения. Шесть функций NIST CSF 2.0 — Govern, Identify, Protect, Detect, Respond и Recover — могут помочь определить охват программы. Не представляйте рамочную модель как сертификат соответствия; юридические требования определяйте отдельно с учётом местонахождения и обработки данных, а также роли организации.
| Цель контроля | Пример подтверждающих данных | Ответственный за дальнейшие действия |
|---|---|---|
| Ограничить привилегированный доступ | Проверка ролей и MFA | Владелец системы идентификации |
| Защитить чувствительные данные | Настройки доступа, шифрования и ключей | Владельцы данных и сервиса |
| Расследовать изменения | Пригодное для расследования событие аудита | Операционный аналитик и эскалация |
| Восстановить сервис | Результат учений по восстановлению | Владелец приложения и восстановления |
Подготовьтесь к инцидентам и перебоям
Заранее определите, какая команда при облачном инциденте ограничивает аккаунт, сохраняет журналы, связывается с провайдером и информирует владельца бизнеса. Отработайте отзыв затронутых ключей и сеансов, изоляцию ресурса и сохранение свидетельств. Различайте защиту резервных копий, высокую доступность в разных зонах и возможности провайдера по обеспечению непрерывности; отдельно составьте собственный план восстановления. Зафиксируйте цели по времени восстановления и допустимой потере данных в соответствии с потребностями организации и проверьте их на учениях.
Учитывайте контекст данных и команд
Одна настройка подходит не для всех данных и сервисов. Учитывайте чувствительность данных, круг пользователей, регион размещения провайдера и условия обработки; определите путь согласования между владельцами приложения, данных и аккаунта. Для регулируемых или ограниченных договором данных уточняйте конкретные обязательства с ответственными за право и конфиденциальность. Средства безопасности помогают выполнить решение, но сами по себе не определяют соответствие закону.