Главная мысль
Начните с инвентаризации и владельцев, затем настройте идентификацию, шифрование, резервное копирование и восстановление с учётом чувствительности данных.
Составьте перечень данных и владельцев
Определите, в каких облачных хранилищах, SaaS-приложениях и резервных копиях находятся конфиденциальные деловые, финансовые и клиентские записи. Назначьте владельца данных и технического ответственного, зафиксируйте допустимую цель использования. Если данные трудно найти, проверьте лишние копии, заброшенные проекты и права доступа. Включите в перечень учётные записи сервисов и объекты с широкими правами общего доступа.
Управляйте доступом на основе идентификации
Ограничьте просмотр и изменение чувствительных данных ролями и группами, соответствующими рабочим задачам. Для пользователей включите MFA, используйте индивидуальные аккаунты и отзывайте доступ при увольнении. Для автономных рабочих нагрузок назначьте подходящие учётные данные с ограниченными правами и отдельно проверьте разрешения. Вместо общих паролей используйте утверждённую службу идентификации; отдельно проверяйте права администраторов и сервисных аккаунтов.
Шифрование при хранении и передаче
Проверьте шифрование объектов, дисков и баз данных при хранении, а также защиту передачи между устройством и сервисом. Выясните, кто управляет ключами, когда администраторы могут видеть открытый текст и какие обязанности возникают при выборе клиентского ключа. Настройка шифрования не исправляет ошибочные права общего доступа. Шифрование хранилища не исключает доступ авторизованного сервиса к открытому тексту; управляемый клиентом ключ сам по себе тоже этого не обеспечивает.
Резервные копии и избыточность
Проверьте охват резервных копий, срок хранения и устойчивость к удалению или компрометации аккаунта рабочей системы. Разграничьте права доступа к резервным копиям и рабочей системе, храните независимую копию критичных данных и проведите восстановление. Географическая и сервисная избыточность повышает доступность, но ошибочное удаление или компрометация могут распространиться и на копии. С владельцем данных определите допустимую потерю данных и время восстановления, затем измерьте их на испытании. Для восстановления зашифрованной копии нужны и действующие ключи.
Постоянная проверка
Облачные данные меняются вместе с приложениями, сотрудниками и правилами обмена. Регистрируйте изменения доступа и конфигурации, настройте оповещения о публичных или широко открытых объектах и регулярно просите владельцев пересматривать права. Проверьте процессы при найме, смене роли, закрытии проекта и удалении аккаунта.
Составьте перечень данных
Выберите один чувствительный набор данных, найдите копии и назначьте владельца; согласуйте критерии восстановления.
Проверьте разрешения
Отдельно проверьте права людей, рабочих нагрузок и общего доступа; владелец согласует удаление лишних разрешений.
Восстановите независимую копию
Технический ответственный выполнит пробное восстановление с действующими ключами, проверит чтение файлов и соблюдение согласованных пределов потери данных и времени восстановления.
Перепроверьте изменения
Повторите проверки после изменения ролей, приложений и обмена; назначьте ответственного за каждый обнаруженный пробел.