Planeje uma adoção segura da nuvem
Desenvolver um plano de adoção de nuvem pode ser difícil e, muitas vezes, tem muitos desafios técnicos. Você deve planejar cuidadosamente cada etapa do seu processo de adoção de nuvem, especificamente quando atualiza cargas de trabalho herdadas para infraestrutura de nuvem. Para criar uma propriedade de nuvem segura desde o início, você precisa integrar considerações de segurança em cada fase do seu plano de adoção. Essa abordagem ajuda a garantir que seu novo ambiente de nuvem esteja seguro desde o início.
Ao tomar decisões sobre sua migração ou implementação, projete para a mais alta estratégia de segurança que seja viável para sua empresa. Priorize a segurança sobre o desempenho e a eficiência de custos ao iniciar seus projetos. Essa abordagem garante que você não introduza riscos que possam exigir que você redesenhe cargas de trabalho mais tarde. As orientações fornecidas neste artigo podem ajudá-lo a desenvolver um plano de adoção da nuvem que tenha a segurança como princípio fundamental.
Este artigo é um guia de suporte para a metodologia Plano . Ele fornece áreas de otimização de segurança para você considerar ao passar por essa fase em sua jornada.
Plano de adoção da zona de desembarque
Para criar seus elementos fundamentais de propriedade na nuvem, use a abordagem de zona de aterrissagem. Esta recomendação aplica-se especificamente a empresas e grandes organizações. Organizações menores e start-ups podem não se beneficiar da adoção dessa abordagem no início de sua jornada na nuvem. No entanto, é importante entender as áreas de design porque você precisa incluir essas áreas em seu plano de adoção de nuvem, mesmo que não crie uma zona de pouso completa.
Você pode usar a abordagem de zona de aterrissagem do Azure para estabelecer uma base sólida para sua propriedade na nuvem. Essa base ajuda a garantir um ambiente gerenciável que você pode proteger de forma mais eficiente de acordo com as práticas recomendadas.
Zonas de aterrissagem: uma zona de pouso é um ambiente pré-configurado, de segurança aprimorada e escalável na nuvem que serve como base para suas cargas de trabalho. Ele inclui topologia de rede, gerenciamento de identidade, segurança e componentes de governança.
Benefícios: As zonas de aterrissagem podem ajudá-lo a padronizar ambientes de nuvem. Essa abordagem ajuda a garantir a consistência e a conformidade com as políticas de segurança. Além disso, facilitam o gerenciamento e a escalabilidade.
Modernização da postura de segurança
Ao desenvolver um plano de modernização de segurança, é essencial se concentrar na adoção de novas tecnologias e práticas operacionais. É igualmente importante que você alinhe essas medidas de segurança com seus objetivos de negócios.
Planejar a adoção do Zero Trust
Ao desenvolver seu plano de adoção, incorpore os princípios do Zero Trust em todo o seu plano para ajudar a estruturar as fases e etapas pelas quais as equipes de toda a organização são responsáveis e como elas podem realizar suas atividades.
A abordagem Microsoft Zero Trust fornece orientação para sete pilares tecnológicos, incluindo recomendações de implantação e configuração. Ao construir seu plano, explore cada pilar para ajudar a garantir uma cobertura abrangente dessas áreas.
Pilares da tecnologia Zero Trust
Identidade: Orientação para verificar identidades com autenticação forte e controlar o acesso sob o princípio do menor privilégio.
Pontos de extremidade: orientação para proteger todos os pontos de extremidade, incluindo dispositivos e aplicações, que interagem com os seus dados. Esta orientação aplica-se independentemente de onde os pontos de extremidade se conectam e como eles se conectam.
Dados: orientação para proteger todos os dados usando uma abordagem de defesa profunda.
Aplicações: orientações para proteger as aplicações e os serviços na nuvem que consome.
Infraestrutura: Orientação para proteger a infraestrutura de nuvem por meio de políticas rígidas e estratégias de aplicação.
Rede: Orientação para proteger sua rede na nuvem por meio de segmentação, inspeção de tráfego e criptografia de ponta a ponta.
Visibilidade, automação e orquestração: orientação para políticas e práticas operacionais que ajudam a aplicar os princípios do Zero Trust.
Alinhamento comercial
O alinhamento entre as partes interessadas da tecnologia e do negócio é fundamental para o sucesso do seu plano de modernização da segurança. Você deve abordar o desenvolvimento do plano como um processo colaborativo e negociar com as partes interessadas para encontrar a melhor maneira de adaptar processos e políticas. As partes interessadas do negócio devem entender como o plano de modernização afeta as funções do negócio. As partes interessadas em tecnologia devem saber onde fazer concessões para manter as funções críticas de negócios seguras e intactas.
Preparação e resposta a incidentes
Plano de preparação: Planeje a preparação de incidentes avaliando soluções de gerenciamento de vulnerabilidades, sistemas de deteção de ameaças e incidentes e soluções robustas de monitoramento de infraestrutura. Planeje o fortalecimento da infraestrutura para reduzir as superfícies de ataque.
Planejar a resposta a incidentes: crie um plano robusto de resposta a incidentes para ajudar a garantir a segurança na nuvem. Na fase Plano, comece a elaborar seu plano de resposta a incidentes identificando as funções e as principais fases, como investigação, mitigação e comunicações. Você adicionará detalhes sobre essas funções e fases ao criar seu patrimônio na nuvem.
Plano de confidencialidade
Proteção contra perda de dados: Para estabelecer a confidencialidade dos dados organizacionais em toda a empresa, planeje meticulosamente políticas e procedimentos específicos de prevenção de perda de dados. Esse processo inclui a identificação de dados confidenciais, a determinação de como proteger os dados e o planejamento da implantação de tecnologias de criptografia e controles de acesso seguro.
Inclua requisitos de proteção de dados em seus planos de migração ou desenvolvimento para a nuvem:
Classificação de dados: identifique e classifique os dados com base na sensibilidade e nos requisitos regulamentares. Este processo ajuda-o a aplicar medidas de segurança adequadas.
Encriptação: Certifique-se de que os dados estão encriptados em repouso e em trânsito. Use padrões de criptografia fortes para proteger informações confidenciais.
Controles de acesso: implemente controles de acesso rigorosos para ajudar a garantir que apenas usuários autorizados possam acessar dados confidenciais. Use autenticação multifator e controle de acesso baseado em função. Siga o princípio do Zero Trust e verifique explicitamente, sempre autenticando e autorizando com base em todos os pontos de dados disponíveis. Esses pontos de dados incluem identidade do usuário, localização, integridade do dispositivo, serviço ou carga de trabalho, classificação de dados e anomalias.
Planejar a integridade
Além das medidas recomendadas para a confidencialidade, considere a implementação de dados específicos e medidas de integridade do sistema.
Planeje a observabilidade e a governança da integridade dos dados e do sistema: em seus planos de adoção ou desenvolvimento de nuvem, inclua planos para monitorar dados e sistemas em busca de alterações não autorizadas e políticas de higiene de dados.
Planejar incidentes de integridade: em seu plano de resposta a incidentes, inclua considerações sobre integridade. Essas considerações devem abordar alterações não autorizadas em dados ou sistemas e como corrigir dados inválidos ou corrompidos descobertos por meio de suas práticas de monitoramento e higiene de dados.
Planejar a disponibilidade
Seu plano de adoção de nuvem deve abordar a disponibilidade adotando padrões para projeto de arquitetura e operações. Esses padrões orientam a implementação e as fases futuras e fornecem um plano de como você pode atingir os requisitos de disponibilidade. Considere as seguintes recomendações ao desenvolver seu plano de adoção de nuvem:
Padronize padrões de design de infraestrutura e aplicativos: padronize padrões de design de infraestrutura e aplicativos para ajudar a garantir que suas cargas de trabalho sejam confiáveis. Evite a complexidade desnecessária para tornar os projetos repetíveis e desencorajar comportamentos de TI paralelos. Siga as práticas recomendadas para infraestrutura altamente disponível e aplicativos resilientes ao definir seus padrões de projeto.
Padronize ferramentas e práticas de desenvolvimento: desenvolva padrões bem definidos e aplicáveis para suas ferramentas e práticas de desenvolvimento. Essa abordagem ajuda a garantir que suas implantações sigam os princípios da Tríade da CIA e incorpora as práticas recomendadas para implantações seguras.
Padronizar ferramentas e práticas operacionais: dependa de padrões bem definidos e rigorosamente aplicados pelos operadores a serem seguidos para manter a confidencialidade, integridade e disponibilidade. Siga os padrões de forma consistente e treine-os rotineiramente para que seus sistemas sejam resilientes a ataques e possam responder de forma eficiente a incidentes.
Plano de apoio à segurança
Para a sustentação a longo prazo da sua postura de segurança, adote uma mentalidade de melhoria contínua em toda a organização. Esta abordagem inclui não só a adesão a padrões operacionais nas práticas diárias, mas também a busca ativa de oportunidades de melhoria. Reveja regularmente os seus padrões e políticas e implemente um programa de formação que promova uma mentalidade de melhoria contínua.
Para planejar sua linha de base de segurança, você deve primeiro entender sua postura de segurança atual para estabelecer sua linha de base. Use uma ferramenta automatizada como o Microsoft Secure Score para estabelecer sua linha de base rapidamente e obter informações sobre áreas para melhoria.