Главная мысль
Определите, какие требования применимы к данным и сервису с учётом роли организации; подтверждайте работу мер контроля сведениями о фактической конфигурации и результатами проверок.
Выполнение требований и безопасность в облаке
Выполнение требований в облаке означает, что инфраструктура, приложения и обработка данных отвечают применимым правилам, договорам и системам мер контроля. Защитные меры обеспечивают безопасность активов, а проверка соответствия подтверждает, как эти меры выполняют конкретное требование. Для меняющихся аккаунтов, контейнеров и временных ресурсов включайте проверки в процессы развёртывания и внесения изменений.
Определите требования и потоки данных
Классифицируйте персональные, финансовые и другие чувствительные данные. Составьте карту их сбора, обработки, резервного копирования, регионов хранения, передачи и удаления. До заключения договора проверьте доступные регионы и возможность переноса приложений и данных. Для каждого требования укажите ресурс, ответственного за защитную меру, подтверждающие материалы и частоту проверки.
Различайте законы, стандарты и рекомендации
GDPR связан с деятельностью учреждения в ЕС и определёнными случаями предложения товаров или услуг людям в ЕС либо наблюдения за ними. HIPAA — законодательство США, применимое к определённым организациям и их деловым партнёрам (business associates); PCI DSS относится к среде платёжных карт. ISO/IEC 27017 даёт рекомендации по мерам защиты в облаке; отчёт SOC 2 Type II оценивает работу мер контроля у поставщика услуг за определённый период; CIS Benchmarks — рекомендации по безопасной настройке систем. FedRAMP — программа США для использования облачных сервисов федеральными ведомствами; EU Cloud CoC — кодекс обработки данных в облаке. Различайте закон, договорный стандарт, рекомендации и независимый отчёт о проверке мер контроля, определяя область применения каждого.
Применимость по отрасли
Для финансов, здравоохранения, госсектора и розницы составляйте отдельные карты требований. GLBA и SOX, HIPAA/HITECH, NIST SP 800-53 и FedRAMP, PCI DSS и CCPA используйте как примеры: проверяйте их применимость с учётом деятельности, роли в обработке данных, договоров и юрисдикции. Название отрасли не создаёт одинаковых обязанностей для всех компаний. Разделяйте требования к обработке платёжных карт и персональных данных и определяйте, к каким конкретным приложениям и процессам относится выбранное требование.
Поставщик и разделение ответственности
Проверьте охват, сервис и период отчётов и сертификатов поставщика; вопросы можно структурировать по Cloud Security Alliance CCM. Для IaaS, PaaS и SaaS отдельно определите ответственность за ОС, приложения, аккаунты, ключи и данные. В частных и гибридных средах уточняйте обязанности по договору и фактическому управлению.
Доступ, шифрование и конфигурация
Предоставляйте ролям только необходимые для работы разрешения, применяйте MFA при входе пользователей там, где это предусмотрено выбранными мерами защиты, и закрывайте неактивные аккаунты. Для учётных записей приложений и сервисов определите способы аутентификации, разрешения и порядок создания, изменения и удаления. Шифруйте передаваемые и хранимые данные; назначьте ответственного за ключи и определите порядок их ротации и восстановления. Отдельно проверяйте публичный доступ к хранилищам, сетевые разрешения и возможное раскрытие секретов. Для устранения уязвимостей приложений и защиты от DDoS нужны меры на уровне приложений и сети; шифрования для этого недостаточно.
Непрерывная проверка конфигураций с CSPM
CSPM сопоставляет конфигурации аккаунтов и сервисов с требованиями, сообщает об отклонениях и направляет сведения о выявленных проблемах владельцам ресурсов. Отслеживайте, какие ресурсы проверяются и какие исключения действуют. Автоматическое исправление разрешайте для правил с понятным воздействием и проверенным откатом.
IaC и проверка политики в коде
Проверяйте шаблоны инфраструктуры в CI/CD: не открывают ли они хранилища публично, не дают ли избыточный доступ и включают ли требуемое шифрование. Система проверки политик, например OPA, помогает повторно применять правила. SBOM даёт перечень компонентов ПО; дополняйте проверку конфигурации оценкой уязвимостей и безопасности цепочки поставок. Для исключений требуйте согласование и срок действия.
Мониторинг и CIEM
Передавайте в SIEM сведения о входах в систему, административных изменениях и событиях безопасности. Анализируйте необычный IP-адрес или время входа с учётом пользователя и выполняемой операции. CIEM показывает фактически действующие разрешения в облаке и избыточные привилегии. Для пользовательских и сервисных аккаунтов определите порядок пересмотра и отзыва доступа, а также передачи спорных вопросов уполномоченным лицам.
Отчётность и подготовка аудита
Показывайте, какие требования выполнены, какие аккаунты проверены, какие защитные меры не работают и какие исключения действуют. Для выводов в выгружаемом отчёте указывайте соответствующие конфигурации, журналы, согласования и задачи по исправлению. Для аудита согласуйте область проверки, организуйте подходящую независимую оценку, соберите подтверждающие материалы и назначьте ответственных за выполнение рекомендаций. Проверяйте также проблемы эксплуатации, например избыточно выделенные ресурсы; руководство должно отслеживать выполнение мер.
Проблемы нескольких облаков
В гибридной и многооблачной среде сведения о ресурсах распределены между аккаунтами, командами и сервисами. Выявляйте неутверждённые SaaS-сервисы, ошибочные разрешения хранилищ и недостающие материалы, которые собирают вручную для подтверждения выполнения требований. При создании аккаунта включайте его в реестр, настраивайте журналирование и применяйте шаблон защитных мер; используйте общий процесс исправления для ИТ, службы безопасности и бизнеса.
Автоматизация под контролем
Автоматизация может выявлять нарушения правил, анализировать изменения и собирать материалы для проверки выполнения требований. Решение об изменении принимает уполномоченный ответственный; даже для исправления с низким риском нужно согласовать, какие ресурсы и действия оно затронет, и предусмотреть откат.
Подтвердите выявленную проблему
Проверьте, относится ли оповещение или предложение ИИ к указанному ресурсу и защитной мере и входит ли ресурс в область проверки.
Согласуйте изменение
Оцените влияние на сервис, назначьте лицо с полномочиями согласовать изменение, определите план отката и границы автоматизации.
Проверьте результат повторно
Сохраняйте результаты проверок до и после изменения, фиксируйте неустранённые и повторяющиеся проблемы. Проверяйте, достаточно ли собранных материалов для подтверждения результата.