Dojrzałość Zero Trust · Strategia i bezpieczeństwo środowiska chmurowego
Państwa trajektoria Zero Trust, mierzona obszarami i przełożona na wyceniony plan działania.
10 obszarów tematycznych, undefined pytań, skala 5 poziomów. I działanie, które pozwala przejść z jednego poziomu na kolejny.
10 obszarów tematycznych modelu referencyjnego, już opracowanych od N1 do N5. Jedna firma, jedna jednostka biznesowa, albo 300 naraz.
Dojrzałość Zero Trust · Strategia i bezpieczeństwo środowiska chmurowego
10 obszarów tematycznych, undefined pytań, skala 5 poziomów.
Nordhavn Industries
53 / 100
Oni mierzą swoją dojrzałość z Datamensio
Przykład
Ta sytuacja mogłaby być Państwa sytuacją.
Weźmy przykład firmy: trzy oddziały, trzy arkusze kalkulacyjne, żadnej wspólnej odpowiedzi.
Nikt nie potrafi tego skonsolidować.
Nordhavn Industries, 2400 osób w Hamburgu, Lyonie i Porto. Zamawiający pyta, na jakim etapie jest grupa. Każdy oddział odpowiada we własnym arkuszu, z własnymi skalami.
Trzy tygodnie, jedna wspólna baza.
Diagnoza Architektura Zero Trust, NIST SP 800-207, uzupełniona o zasady bezpieczeństwa chmury (CSA Cloud Controls Matrix, ANSSI) uruchomiona jednocześnie na trzech oddziałach, na podstawie notatek ze spotkań z osobami odpowiedzialnymi. Model referencyjny był już gotowy, podobnie jak 10 obszarów tematycznych i poziomy od N1 do N5.
Dwa wydatki uniknięte, zanim zostały poniesione.
Wynik 53 na 100, luka skoncentrowana na trzech obszarach tematycznych. Asystent IA wykrył, że dwa działania planu pokrywają się z działaniami z innego audytu. Prezentacja wyników dla komitetu powstała w jedno zdanie.
Czego dzięki temu uniknięto
- 3oddziały zmierzone na tej samej podstawie, zamiast trzech kwestionariuszy do przetworzenia
- 2zdublowane działania wykryte przed poniesieniem wydatku
- 1prezentacja wyników dla komitetu, bez ręcznego opracowania
Te liczby pochodzą z przykładu. Mogłyby być Państwa liczbami.
Norma narzuca procesy. Datamensio mówi, na jakim etapie Państwo są.
01
Model referencyjny jest już gotowy
Obszary tematyczne, pytania i poziomy od N1 do N5 opracowane. Nie zaczynają Państwo od pustego arkusza.
02
Wynik jest gotowy tego samego dnia
Online, przez link do samooceny albo podczas spotkania. Obszar po obszarze, porównywalny w czasie.
03
Luka staje się wycenionym planem
Każde przejście na kolejny poziom niesie ze sobą działanie. IA priorytetyzuje według oczekiwanego efektu, nie według kolejności z normy.
04
Postęp da się wykazać
Kampania po kampanii, względem Państwa celu i względem Państwa przeszłości. Tego właśnie oczekuje Państwa zarząd.
Skala dojrzałości
Jeden poziom, kolejny i działanie, które je łączy.
To właśnie ten mechanizm (poziom, poziom wyższy i działanie łączące oba) zamienia stwierdzenie w trajektorię.
Czy dostępy uprzywilejowane do środowisk chmurowych są przyznawane zgodnie z zasadą minimalnych uprawnień i na czas ograniczony?
- N1
Stałe uprawnienia administracyjne są przyznawane kontom imiennym lub współdzielonym, bez skonsolidowanej inwentaryzacji.
- N2
Konta uprzywilejowane są zidentyfikowane i udokumentowane, ale uprawnienia pozostają stałe, a przeglądy odbywają się nieregularnie.
- N3
Uprawnienia są przyznawane według ról, regularnie przeglądane, a podniesienie uprawnień jest wnioskowane i śledzone w przypadku operacji wrażliwych.
- N4
Dostęp uprzywilejowany jest przyznawany na czas ograniczony, z systematycznym zatwierdzeniem i rejestrowaniem we wszystkich środowiskach.
- N5
Uprawnienia są wyprowadzane automatycznie z kontekstu i ról, odchylenia wykrywane i korygowane, a polityka aktualizowana po każdym incydencie lub zmianie architektury.
Działanie prowadzące z N2 do N3
Zdefiniowanie ról administracyjnych dla każdego środowiska, zastąpienie stałych przypisań indywidualnych tymi rolami oraz wpisanie przeglądu kont uprzywilejowanych do kwartalnego komitetu bezpieczeństwa z wyznaczonym odpowiedzialnym dla każdego środowiska.
« Dzięki Datamensio realizujemy nasze cele ze znacznie większą skutecznością. Służby inspekcyjne EFRR oraz naszego ministerstwa nadzorującego szczególnie doceniły to podejście, które dostarcza im wiarygodnych danych. »
Dyrektorka CCI 94CCI Île-de-France
« Uważamy, że to rozwiązanie najlepiej odpowiada potrzebie skalowania naszego projektu transformacji i mierzenia jego wpływu zgodnie z naszymi wymaganiami. »
Maja SucekChief Operating Officer, Interreg Danube
Rzadko sam
Model referencyjny da się łączyć z innymi. Niech Państwo połączą kilka, by objąć całą działalność, albo pozwolą IA napisać własny.
Wykonajcie swój pierwszy pomiarna ZERO TRUST.
O czym jest ten model referencyjny
Zero Trust nie jest produktem, lecz modelem architektury. Sformalizowany przez NIST w publikacji SP 800-207, zakłada, że zaufania nie wywodzi się z pozycji w sieci: każdy dostęp do zasobu jest uwierzytelniany, autoryzowany i oceniany w sposób ciągły, na podstawie tożsamości, stanu urządzenia i kontekstu żądania. Zastosowany do środowiska chmurowego, model ten obejmuje zarządzanie tożsamościami i uprawnieniami, segmentację obciążeń roboczych, szyfrowanie danych, konfigurację usług zarządzanych oraz nadzór nad dostępami.
W praktyce zarządzanie tym zagadnieniem jest trudne, ponieważ temat przechodzi przez kilka zespołów. Tożsamość należy do działu IT, sieć do infrastruktury, konfiguracje chmurowe do zespołów produktowych, nadzór do SOC. Systematycznie pojawiają się trzy pytania. Czy uwierzytelnianie wieloskładnikowe rzeczywiście obejmuje wszystkie dostępy uprzywilejowane, w tym konta usługowe i dostępy awaryjne? Czy segmentacja istnieje na poziomie obciążeń roboczych, czy zatrzymuje się na granicy VPC? Czy decyzje autoryzacyjne są ponownie oceniane w trakcie sesji, czy tylko raz, przy logowaniu?
Warto rozwiać częste nieporozumienie: wdrożenie sieciowego dostępu Zero Trust w zastępstwie VPN nie stanowi architektury Zero Trust. Zastąpienie VPN dotyczy dostępu zdalnego, nie obejmuje ani wewnętrznych przepływów między usługami, ani dostępów administratorów do konsol chmurowych, ani tożsamości maszynowych, których liczba często przewyższa liczbę tożsamości ludzkich. Dochodzi do tego model odpowiedzialności współdzielonej: dostawca zabezpiecza infrastrukturę, natomiast konfiguracja usług i zarządzanie uprawnieniami pozostają po stronie klienta.
Diagnoza dojrzałości odpowiada na inne pytanie niż audyt zgodności. Audyt pyta, czy wymaganie jest spełnione, tak albo nie. Diagnoza umiejscawia każdy obszar na skali progresywnej i wskazuje konkretne działanie prowadzące do wyższego poziomu. To właśnie pozwala rozłożyć program transformacji Zero Trust na kilka okresów, zamiast stwierdzać ogólną lukę bez wiedzy, od czego zacząć.
W Datamensio model referencyjny jest gotowy do użycia. Mogą Państwo również dostosować go do własnego kontekstu: sztuczna inteligencja dopasowuje obszary tematyczne, pytania i poziomy według metody CMMI, albo tworzy wariant na podstawie Państwa własnych dokumentów architektonicznych i polityk dostępu.
Norma referencyjna: Architektura Zero Trust, NIST SP 800-207, uzupełniona o zasady bezpieczeństwa chmury (CSA Cloud Controls Matrix, ANSSI)
Oceniane obszary tematyczne
Strategia i zarządzanie Zero Trust
Istnienie udokumentowanej architektury docelowej, zakres chronionych zasobów, role i odpowiedzialności między bezpieczeństwem, infrastrukturą i zespołami produktowymi, wieloletnia trajektoria i jej monitorowanie.
Tożsamości i uwierzytelnianie
Ujednolicony model referencyjny tożsamości, pokrycie uwierzytelniania wieloskładnikowego, odporność składników na phishing, obsługa kont awaryjnych i tożsamości maszynowych.
Zarządzanie dostępem i uprawnieniami
Zasada minimalnych uprawnień, dostęp na czas, przeglądy uprawnień, śledzone podniesienie uprawnień, rozdzielenie ról administracyjnych środowisk chmurowych.
Bezpieczeństwo urządzeń i stacji roboczych
Inwentaryzacja urządzeń, ocena ich stanu zgodności przed przyznaniem dostępu, zarządzanie poprawkami, uwzględnienie urządzeń niezarządzanych i dostawców zewnętrznych.
Segmentacja i bezpieczeństwo przepływów
Mikrosegmentacja obciążeń roboczych, kontrola przepływów wschód zachód, szyfrowanie komunikacji wewnętrznej, uwierzytelnianie między usługami.
Ochrona danych
Klasyfikacja, szyfrowanie danych w spoczynku i w tranzycie, zarządzanie kluczami i sekretami, kontrola udostępniania i eksportu poza kontrolowany zakres.
Konfiguracja i postawa bezpieczeństwa środowisk chmurowych
Modele referencyjne konfiguracji, wykrywanie odchyleń, infrastruktura opisana jako kod, zarządzanie publiczną ekspozycją, odpowiedzialność współdzielona z dostawcami.
Decyzja o dostępie i ocena ciągła
Scentralizowana polityka autoryzacji, sygnały uwzględniane w decyzji, ponowna ocena w trakcie sesji, skuteczne odwołanie dostępu.
Nadzór, rejestrowanie zdarzeń i wykrywanie
Pokrycie dzienników dostępu i API, korelacja w SOC, przypadki wykrywania właściwe dla chmury, czas reakcji na alerty.
Ciągłe doskonalenie i pomiar
Wskaźniki pokrycia, testy penetracyjne i ćwiczenia ukierunkowane, wnioski po incydentach, aktualizacja architektury docelowej.
Krótsza wersja modelu referencyjnego, licząca undefined pytań, jest dostępna do samooceny online. Pełna wersja obejmuje 10 obszarów tematycznych i undefined pytań.
Najczęściej zadawane pytania
Czy Zero Trust podlega certyfikacji?
Nie. To model architektury, opisany między innymi przez NIST w publikacji SP 800-207, bez powiązanej jednostki certyfikującej. Certyfikacja dotyczy systemów zarządzania, takich jak ISO 27001, w ramach których Zero Trust może stanowić wybór architektoniczny. Diagnoza mierzy dojrzałość Państwa praktyk, nie wydaje żadnego zaświadczenia.
Jaka jest różnica między tą diagnozą a audytem zgodności?
Audyt sprawdza obecność wymagania i kończy się stwierdzeniem luki lub zgodności. Diagnoza umiejscawia każdy obszar na skali dojrzałości i wskazuje działanie prowadzące do wyższego poziomu. Diagnoza służy do budowy mapy drogowej, audyt do potwierdzenia stanu.
Ile czasu zajmuje ocena?
Wersja skrócona zajmuje około trzydziestu minut jednej osobie odpowiedzialnej za bezpieczeństwo. Wersja pełna, w trybie zespołowym, trwa zazwyczaj od jednego do dwóch tygodni: większość czasu pochłania zbieranie informacji od zespołów tożsamości, infrastruktury i chmury.
Czy można dostosować model referencyjny do naszej architektury?
Tak. Pytania, poziomy i obszary tematyczne są modyfikowalne, a Państwo mogą dodać własne obszary, na przykład środowisko przemysłowe lub konkretnego dostawcę chmury. Sztuczna inteligencja generuje wariant na podstawie Państwa dokumentów architektonicznych i polityk dostępu.
Czy odpowiadanie wymaga wiedzy technicznej?
Pytania dotyczą praktyk zarządzania i kontroli, a nie parametrów konkretnej usługi. Niektóre wymagają wkładu architekta lub administratora chmury: tryb zespołowy pozwala przypisać te pytania właściwej osobie i śledzić odpowiedzi.
Jak porównać kilka podmiotów lub środowisk?
Ten sam model referencyjny może zostać zastosowany przez każdą jednostkę biznesową lub każde środowisko, a następnie porównany obszar po obszarze. Przekrojowe mapy drogowe konsolidują plany działania z kilku ocen, aby uniknąć podwójnego finansowania tego samego projektu.
Jak ta diagnoza wpisuje się w NIS2 lub DORA?
Te przepisy nakładają wymagania dotyczące kontroli dostępu, rejestrowania zdarzeń i zarządzania dostawcami zewnętrznymi, które opierają się na tych samych mechanizmach. Ustalenia diagnozy Zero Trust są wielokrotnego użytku, a przekrojowa mapa drogowa pozwala zestawić modele referencyjne bez powielania działań.
Gdzie przechowywane są dane?
We Francji, u OVH, z kopią zapasową u Scaleway. Brak transferu poza Unię Europejską. Wykorzystywane modele sztucznej inteligencji mogą być wybierane, w tym spośród rozwiązań europejskich.