Vyspělost Zero Trust · Strategie a bezpečnost cloudového prostředí
Vaše trajektorie Zero Trust, změřená po jednotlivých oblastech a přetavená do vyčísleného akčního plánu.
10 tematických oblastí, škála o 5 úrovních. A akce, díky které postoupíte na další úroveň.
10 tematických oblastí referenčního rámce, již zpracovaných od N1 do N5. Jedna firma, jedna obchodní jednotka, nebo 300 najednou.
Vyspělost Zero Trust · Strategie a bezpečnost cloudového prostředí
10 tematických oblastí, škála o 5 úrovních.
Nordhavn Industries
53 / 100
Svou vyspělost měří s Datamensio
Příklad
Tato situace by mohla být i vaše.
Vezměme si příklad jedné firmy: tři pobočky, tři excelové tabulky, žádná společná odpověď.
Nikdo neumí konsolidovat.
Nordhavn Industries, 2 400 lidí v Hamburku, Lyonu a Portu. Zadavatel se ptá, jak na tom skupina je. Každá pobočka odpovídá ve své tabulce, s vlastními škálami.
Tři týdny, jedna jediná databáze.
Diagnostika podle Architektura Zero Trust, NIST SP 800-207, doplněná o zásady bezpečnosti cloudu (CSA Cloud Controls Matrix, ANSSI) spuštěná na všech třech pobočkách současně, na základě poznámek z rozhovorů s odpovědnými osobami. Referenční rámec už byl napsaný, stejně jako 10 tematických oblastí a úrovně N1 až N5.
Dva výdaje, kterým se předešlo dřív, než vznikly.
Skóre 53 ze 100, mezera soustředěná do tří témat. AI asistent odhalil, že dvě akce plánu se zdvojují s plánem z jiného auditu. Prezentace výsledků pro výbor se připravila jednou větou.
Čemu se tím vyhnuli
- 3pobočky měřené na stejném základě, místo tří dotazníků k přepracování
- 2zdvojené akce odhalené před vznikem výdaje
- 1prezentace výsledků pro výbor, bez ručního dopracování
Tato čísla pocházejí z příkladu. Mohla by být i vaše.
Norma ukládá procesy. Datamensio řekne, kde se nacházíte.
01
Referenční rámec je už napsaný
Tematické oblasti, otázky i úrovně N1 až N5 jsou zpracované. Nezačínáte od prázdné tabulky.
02
Skóre máte ještě tentýž den
Online, přes odkaz na sebehodnocení nebo při rozhovoru. Téma po tématu, srovnatelné v čase.
03
Mezera se stává vyčísleným plánem
Každý přechod na vyšší úroveň má svou akci. Umělá inteligence určuje priority podle očekávaného efektu, ne podle pořadí v normě.
04
Pokrok se dá doložit
Kampaň po kampani, vůči vašemu cíli i vaší minulosti. Přesně to po vás chce vaše představenstvo.
Škála vyspělosti
Jedna úroveň, další úroveň, a akce, která je spojuje.
Právě tento mechanismus (jedna úroveň, vyšší úroveň a akce, která obě spojuje) mění zjištění v trajektorii.
Jsou privilegované přístupy do cloudových prostředí udělovány podle principu nejmenšího oprávnění a na omezenou dobu?
- N1
Trvalá administrátorská oprávnění jsou přidělována jmenovaným nebo sdíleným účtům bez konsolidované evidence.
- N2
Privilegované účty jsou identifikovány a zdokumentovány, oprávnění však zůstávají trvalá a revize probíhají nepravidelně.
- N3
Oprávnění jsou přidělována podle role, pravidelně revidována a povýšení oprávnění je u citlivých operací vyžádáno a zaznamenáno.
- N4
Privilegovaný přístup je udělován just in time, na omezenou dobu, se systematickým schvalováním a protokolováním ve všech prostředích.
- N5
Oprávnění jsou automaticky odvozována z kontextu a rolí, odchylky jsou detekovány a opravovány a politika je revidována po každém incidentu nebo změně architektury.
Akce pro přechod z úrovně 2 na úroveň 3
Definujte administrátorské role pro každé prostředí, nahraďte jimi trvalé individuální přidělování a zařaďte revizi privilegovaných účtů do čtvrtletního bezpečnostního výboru s jmenovaným odpovědným pracovníkem za každé prostředí.
« Díky Datamensio plníme naše cíle mnohem efektivněji. Inspekční služby fondu FEDER i našeho nadřízeného ministerstva tento přístup zvlášť ocenily, protože jim poskytuje spolehlivá data. »
Ředitelka CCI 94CCI Île-de-France
« Považujeme toto řešení za nejvhodnější pro rozšíření našeho transformačního projektu a měření dopadu podle našich potřeb. »
Maja SucekChief Operating Officer, Interreg Danube
Zřídka sám
Referenční rámec se dá kombinovat. Spojte jich víc a pokryjte celou svou činnost, nebo nechte svůj vlastní napsat umělou inteligencí.
Získejte své první měřenína ZERO TRUST.
O čem tento referenční rámec je
Zero Trust není produkt, ale model architektury. Formalizoval jej NIST v publikaci SP 800-207 a stojí na tom, že důvěru nelze odvozovat z pozice v síti: každý přístup ke zdroji je ověřen, autorizován a průběžně vyhodnocován na základě identity, stavu zařízení a kontextu požadavku. Aplikován na cloudové prostředí tento model zahrnuje správu identit a oprávnění, segmentaci pracovních zátěží, šifrování dat, konfiguraci spravovaných služeb a dohled nad přístupy.
V praxi je řízení tohoto tématu obtížné, protože prochází napříč několika týmy. Identity patří IT oddělení, síť infrastruktuře, konfigurace cloudu produktovým týmům, dohled bezpečnostnímu operačnímu centru (SOC). Opakovaně se vracejí tři otázky. Pokrývá vícefaktorové ověřování skutečně všechny privilegované přístupy, včetně servisních účtů a nouzových přístupů? Existuje segmentace na úrovni pracovních zátěží, nebo končí na hranici VPC? Jsou autorizační rozhodnutí přehodnocována v průběhu relace, nebo pouze jednou při přihlášení?
Je třeba vyjasnit jeden častý omyl: nasazení řešení Zero Trust Network Access jako náhrady za VPN nepředstavuje architekturu Zero Trust. Náhrada VPN řeší vzdálený přístup, neřeší ale ani interní toky mezi službami, ani přístupy administrátorů do cloudových konzolí, ani strojové identity, jejichž počet často převyšuje počet lidských identit. K tomu se přidává model sdílené odpovědnosti: poskytovatel zajišťuje bezpečnost infrastruktury, konfigurace služeb a správa oprávnění zůstávají na straně zákazníka.
Diagnostika vyspělosti odpovídá na jinou otázku než audit souladu. Audit se ptá, zda je požadavek splněn, ano nebo ne. Diagnostika umísťuje každou oblast na postupnou škálu a určuje konkrétní akci, která umožní přejít na vyšší úroveň. Právě to umožňuje rozložit transformační program Zero Trust do více období, místo konstatování celkové mezery bez vědomí, kde začít.
V platformě Datamensio je referenční rámec připraven k okamžitému použití. Můžete jej také přizpůsobit svému kontextu: umělá inteligence upraví tematické oblasti, otázky a úrovně podle metody CMMI, nebo vytvoří vlastní variantu na základě vašich architektonických dokumentů a přístupových politik.
Referenční norma: Architektura Zero Trust, NIST SP 800-207, doplněná o zásady bezpečnosti cloudu (CSA Cloud Controls Matrix, ANSSI)
Hodnocené tematické oblasti
Strategie a řízení Zero Trust
Existence zdokumentované cílové architektury, rozsah chráněných zdrojů, role a odpovědnosti mezi bezpečností, infrastrukturou a produktovými týmy, víceletá trajektorie a její sledování.
Identity a ověřování
Jednotný referenční rámec identit, pokrytí vícefaktorového ověřování, odolnost faktorů vůči phishingu, řešení nouzových účtů a strojových identit.
Správa přístupů a oprávnění
Princip nejmenšího oprávnění, přístup just in time, revize oprávnění, zaznamenané povýšení oprávnění, oddělení administrátorských rolí cloudových prostředí.
Bezpečnost zařízení a koncových stanic
Evidence zařízení, hodnocení jejich souladu před udělením přístupu, správa oprav, zohlednění nespravovaných zařízení a externích dodavatelů.
Segmentace a bezpečnost datových toků
Mikrosegmentace pracovních zátěží, kontrola toků mezi službami (east west), šifrování interní komunikace, vzájemné ověřování mezi službami.
Ochrana dat
Klasifikace, šifrování dat v klidu i při přenosu, správa klíčů a tajemství, kontrola sdílení a exportů mimo kontrolovaný rozsah.
Konfigurace a stav zabezpečení cloudových prostředí
Referenční rámce konfigurace, detekce odchylek, infrastruktura popsaná jako kód, správa veřejných expozic, sdílená odpovědnost s poskytovateli.
Rozhodování o přístupu a průběžné vyhodnocování
Centralizovaná autorizační politika, signály zohledněné při rozhodování, přehodnocení v průběhu relace, účinné odebírání přístupů.
Dohled, protokolování a detekce
Pokrytí protokolů přístupů a API, korelace v SOC, případy užití detekce specifické pro cloud, doba zpracování výstrah.
Neustálé zlepšování a měření
Ukazatele pokrytí, penetrační testy a cílená cvičení, poučení po incidentech, aktualizace cílové architektury.
Zkrácená verze referenčního rámce je k dispozici pro online sebehodnocení.
Často kladené otázky
Lze Zero Trust certifikovat?
Ne. Jedná se o model architektury, popsaný mimo jiné publikací NIST SP 800-207, bez přidruženého certifikačního orgánu. Certifikace se týká systémů řízení, jako je ISO 27001, jehož součástí může být Zero Trust jako architektonická volba. Diagnostika měří vyspělost vaší praxe, nevydává žádné potvrzení.
Jaký je rozdíl mezi touto diagnostikou a auditem souladu?
Audit ověřuje přítomnost požadavku a končí zjištěním mezery nebo souladu. Diagnostika umísťuje každou oblast na škálu vyspělosti a určuje akci, která umožní přejít na vyšší úroveň. Diagnostika slouží k sestavení roadmapy, audit k ověření stavu.
Jak dlouho hodnocení trvá?
Zkrácenou verzi vyplní odpovědný pracovník za bezpečnost přibližně za třicet minut. Úplná verze v kolaborativním režimu obvykle trvá jeden až dva týdny: většinu času zabere sběr podkladů od týmů pro identity, infrastrukturu a cloud.
Lze referenční rámec přizpůsobit naší architektuře?
Ano. Otázky, úrovně i tematické oblasti lze upravovat a můžete přidat vlastní oblasti, například průmyslové prostředí nebo konkrétního poskytovatele cloudu. Umělá inteligence vygeneruje variantu na základě vašich architektonických dokumentů a přístupových politik.
Je k odpovědím potřebná technická odbornost?
Otázky se týkají praxe řízení a kontroly, nikoli nastavení konkrétní služby. Některé vyžadují zapojení architekta nebo cloudového administrátora: kolaborativní režim umožňuje přiřadit tyto otázky správné osobě a zaznamenat odpovědi.
Jak porovnat více entit nebo více prostředí?
Stejný referenční rámec může vyplnit každá obchodní jednotka nebo každé prostředí a výsledky lze následně porovnat podle tematické oblasti. Průřezové roadmapy konsolidují akční plány z více hodnocení, aby se předešlo dvojímu financování stejného projektu.
Jak tato diagnostika souvisí s NIS2 nebo DORA?
Tyto předpisy ukládají požadavky na kontrolu přístupu, protokolování a správu třetích stran, které stojí na stejných mechanismech. Zjištění z diagnostiky Zero Trust jsou znovu využitelná a průřezová roadmapa umožňuje propojit jednotlivé referenční rámce bez duplikace akcí.
Kde jsou data uložena?
Ve Francii, u poskytovatele OVH, se zálohou u Scaleway. Žádný přenos mimo Evropskou unii. Použité modely umělé inteligence lze vybrat, včetně evropských řešení.