Maturitate Zero Trust · Strategie și securitate a mediului cloud
Traiectoria dumneavoastră Zero Trust, măsurată pe domenii și tradusă într-un plan de acțiune cuantificat.
10 domenii tematice, undefined întrebări, o scală cu 5 niveluri. Și acțiunea care face trecerea de la un nivel la următorul.
Cele 10 domenii tematice ale cadrului de referință, redactate deja de la N1 la N5. O companie, o unitate de afaceri, sau 300 deodată.
Maturitate Zero Trust · Strategie și securitate a mediului cloud
10 domenii tematice, undefined întrebări, scală cu 5 niveluri.
Nordhavn Industries
53 / 100
Își măsoară maturitatea cu Datamensio
Un exemplu
Această situație ar putea fi a dumneavoastră.
Să luăm exemplul unei companii: trei sedii, trei foi de calcul, niciun răspuns comun.
Nimeni nu știe cum să consolideze.
Nordhavn Industries, 2.400 de persoane la Hamburg, Lyon și Porto. Un client cere stadiul grupului. Fiecare sediu răspunde în propria foaie de calcul, cu propriile scale.
Trei săptămâni, o singură bază.
Un diagnostic Arhitectura Zero Trust, NIST SP 800-207, completată de principiile de securitate cloud (CSA Cloud Controls Matrix, ANSSI) lansat în cele trei sedii în același timp, pornind de la notele de interviu ale responsabililor. Cadrul de referință era deja scris, la fel și cele 10 domenii tematice și nivelurile N1 până la N5.
Două cheltuieli evitate înainte de a fi angajate.
Un scor de 53 din 100, un decalaj concentrat pe trei domenii. Asistentul IA a depistat că două acțiuni din plan se suprapuneau cu cele dintr-un alt audit. Prezentarea rezultatelor în fața comitetului s-a cerut într-o singură frază.
Ce le-a evitat
- 3sedii măsurate pe aceeași bază, în loc de trei chestionare de reprelucrat
- 2acțiuni duplicate depistate înainte de cheltuială
- 1prezentare în fața comitetului, fără reluare manuală
Aceste cifre sunt ale unui exemplu. Ar putea fi ale dumneavoastră.
Standardul impune procese. Datamensio spune unde vă aflați.
01
Cadrul de referință este deja scris
Domenii tematice, întrebări și niveluri N1 până la N5 redactate. Nu porniți de la o foaie de calcul goală.
02
Scorul apare chiar în aceeași zi
Online, prin link de autoevaluare sau în interviu. Domeniu cu domeniu, comparabil în timp.
03
Decalajul devine un plan cuantificat
Fiecare trecere de nivel are acțiunea ei. IA prioritizează în funcție de efectul așteptat, nu de ordinea standardului.
04
Progresul se demonstrează
Campanie după campanie, față de ținta dumneavoastră și față de trecutul dumneavoastră. Asta cere COMEX-ul dumneavoastră.
Scala de maturitate
Un nivel, următorul, și acțiunea care leagă pe cele două.
Acest mecanism (un nivel, un nivel superior, și acțiunea care le leagă) este cel care transformă o constatare într-o traiectorie.
Accesurile cu privilegii la mediile cloud sunt acordate conform principiului privilegiului minim și pentru o durată limitată?
- N1
Drepturi de administrare permanente sunt atribuite unor conturi nominale sau partajate, fără un inventar consolidat.
- N2
Conturile cu privilegii sunt identificate și documentate, dar drepturile rămân permanente și revizuirile sunt neregulate.
- N3
Drepturile sunt atribuite pe rol, revizuite periodic, iar escaladarea privilegiilor este solicitată și apoi trasată pentru operațiunile sensibile.
- N4
Accesul cu privilegii este acordat just-in-time, pentru o durată limitată, cu aprobare și jurnalizare sistematice pe toate mediile.
- N5
Drepturile sunt derivate automat din context și din roluri, abaterile sunt detectate și corectate, iar politica este revizuită după fiecare incident sau schimbare de arhitectură.
Acțiune pentru trecerea de la N2 la N3
Definirea rolurilor de administrare pe mediu, înlocuirea atribuirilor individuale permanente cu aceste roluri și includerea revizuirii conturilor cu privilegii în comitetul de securitate trimestrial, cu un responsabil numit pe mediu.
« Datorită Datamensio, ne îndeplinim obiectivele cu mult mai multă eficiență. Serviciile de inspecție ale FEDER și ale ministerului nostru de tutelă au apreciat în mod deosebit această abordare, care le oferă date fiabile. »
Directoarea CCI 94CCI Île-de-France
« Credem că aceasta este soluția cea mai potrivită pentru a duce proiectul nostru de transformare la scară și pentru a măsura impactul conform nevoilor noastre. »
Maja SucekChief Operating Officer, Interreg Danube
Rareori singur
Un cadru de referință se combină. Asociați mai multe pentru a vă acoperi activitatea, sau lăsați IA să îl scrie pe al dumneavoastră.
Faceți prima dumneavoastră măsurătoarepe ZERO TRUST.
Despre ce vorbește acest cadru de referință
Zero Trust nu este un produs, ci un model de arhitectură. Formalizat de NIST în publicația SP 800-207, acesta stabilește că încrederea nu se deduce din poziția în rețea: fiecare acces la o resursă este autentificat, autorizat și evaluat continuu, pe baza identității, a stării echipamentului și a contextului cererii. Aplicat unui mediu cloud, acest model acoperă gestionarea identităților și a privilegiilor, segmentarea sarcinilor de lucru, criptarea datelor, configurarea serviciilor gestionate și supervizarea accesurilor.
În practică, pilotarea este dificilă deoarece subiectul traversează mai multe echipe. Identitatea aparține departamentului IT, rețeaua infrastructurii, configurațiile cloud echipelor de produs, supervizarea SOC-ului. Trei întrebări revin sistematic. Autentificarea multifactor acoperă cu adevărat toate accesurile cu privilegii, inclusiv conturile de serviciu și accesurile de urgență? Segmentarea există la nivelul sarcinilor de lucru, sau se oprește la perimetrul VPC-ului? Deciziile de autorizare sunt reevaluate pe durata sesiunii, sau o singură dată la conectare?
O confuzie frecventă merită clarificată: implementarea unui acces la rețea Zero Trust în locul VPN-ului nu constituie o arhitectură Zero Trust. Înlocuirea VPN-ului tratează accesul la distanță, dar nu tratează nici fluxurile interne între servicii, nici accesurile administratorilor la consolele cloud, nici identitățile mașinilor, al căror număr depășește adesea numărul identităților umane. Să adăugăm modelul de responsabilitate partajată: furnizorul securizează infrastructura, configurarea serviciilor și gestionarea drepturilor rămân în sarcina clientului.
Diagnosticul de maturitate răspunde la o întrebare diferită de cea a auditului de conformitate. Auditul întreabă dacă o cerință este îndeplinită, da sau nu. Diagnosticul plasează fiecare domeniu pe o scală progresivă și indică acțiunea precisă care permite trecerea la nivelul superior. Acest lucru permite secvențierea unui program de transformare Zero Trust pe parcursul mai multor exerciții, mai degrabă decât constatarea unui decalaj global fără a ști de unde să începi.
În Datamensio, cadrul de referință este gata de utilizare. Îl puteți de asemenea adapta la contextul dumneavoastră: IA ajustează domeniile tematice, întrebările și nivelurile conform metodei CMMI, sau construiește o variantă pornind de la propriile dumneavoastră documente de arhitectură și politici de acces.
Standard de referință: Arhitectura Zero Trust, NIST SP 800-207, completată de principiile de securitate cloud (CSA Cloud Controls Matrix, ANSSI)
Domeniile tematice evaluate
Strategie și guvernanță Zero Trust
Existența unei arhitecturi țintă documentate, perimetrul resurselor protejate, roluri și responsabilități între securitate, infrastructură și echipele de produs, traiectorie multianuală și monitorizare.
Identități și autentificare
Cadru de referință unificat al identităților, acoperirea autentificării multifactor, rezistența la phishing a factorilor, tratarea conturilor de urgență și a identităților de mașini.
Gestionarea accesurilor și a privilegiilor
Privilegiu minim, acces just-in-time, revizuiri ale drepturilor, escaladare trasabilă, separarea rolurilor de administrare a mediilor cloud.
Securitatea echipamentelor și a posturilor de lucru
Inventarul echipamentelor, evaluarea stării lor de conformitate înainte de acces, gestionarea corecțiilor, luarea în considerare a echipamentelor negestionate și a prestatorilor.
Segmentare și securitatea fluxurilor
Micro-segmentarea sarcinilor de lucru, controlul fluxurilor est-vest, criptarea comunicațiilor interne, autentificarea între servicii.
Protecția datelor
Clasificare, criptare în repaus și în tranzit, gestionarea cheilor și a secretelor, controlul partajărilor și al exporturilor în afara perimetrului controlat.
Configurare și poziționare a mediilor cloud
Cadre de referință de configurare, detectarea deviațiilor, infrastructură descrisă în cod, gestionarea expunerilor publice, responsabilitate partajată cu furnizorii.
Decizie de acces și evaluare continuă
Politică de autorizare centralizată, semnale luate în considerare în decizie, reevaluare pe durata sesiunii, revocare efectivă a accesurilor.
Supervizare, jurnalizare și detectare
Acoperirea jurnalelor de acces și API, corelare în cadrul SOC, cazuri de utilizare de detectare specifice cloudului, termene de tratare a alertelor.
Îmbunătățire continuă și măsurare
Indicatori de acoperire, teste de penetrare și exerciții țintite, lecții învățate după incident, actualizarea arhitecturii țintă.
O versiune scurtă a cadrului de referință, cu undefined întrebări, este disponibilă pentru autoevaluare online. Versiunea completă are 10 domenii tematice și undefined întrebări.
Întrebări frecvente
Zero Trust poate fi certificat?
Nu. Este un model de arhitectură, descris în special de NIST în publicația SP 800-207, fără organism de certificare asociat. Certificarea vizează sisteme de management precum ISO 27001, pentru care Zero Trust poate constitui o alegere de arhitectură. Diagnosticul măsoară maturitatea practicilor dumneavoastră, nu eliberează nicio atestare.
Care este diferența dintre acest diagnostic și un audit de conformitate?
Auditul verifică prezența unei cerințe și concluzionează printr-un decalaj sau o conformitate. Diagnosticul plasează fiecare domeniu pe o scală de maturitate și indică acțiunea care permite trecerea la nivelul următor. Diagnosticul servește la construirea foii de parcurs, auditul la validarea unei stări.
Cât timp durează evaluarea?
Versiunea scurtă se completează în aproximativ treizeci de minute de către un responsabil de securitate. Versiunea completă, în mod colaborativ, se desfășoară în general pe o perioadă de una până la două săptămâni: cea mai mare parte a timpului este dedicată colectării de informații de la echipele de identitate, infrastructură și cloud.
Putem adapta cadrul de referință la arhitectura noastră?
Da. Întrebările, nivelurile și domeniile tematice pot fi modificate, iar dumneavoastră puteți adăuga propriile domenii, de exemplu un mediu industrial sau un furnizor cloud specific. IA generează o variantă pornind de la documentele dumneavoastră de arhitectură și de la politicile dumneavoastră de acces.
Este necesară o expertiză tehnică pentru a răspunde?
Întrebările privesc practicile de gestionare și control, nu parametrii unui serviciu anume. Unele necesită contribuția unui arhitect sau a unui administrator cloud: modul colaborativ permite alocarea acestor întrebări persoanei potrivite și trasarea răspunsurilor.
Cum se compară mai multe entități sau mai multe medii?
Același cadru de referință poate fi parcurs de fiecare unitate de afaceri sau de fiecare mediu, apoi comparat pe domeniu tematic. Foile de parcurs transversale consolidează planurile de acțiune ale mai multor evaluări pentru a evita finanțarea de două ori a aceluiași proiect.
Cum se articulează acest diagnostic cu NIS2 sau DORA?
Aceste texte impun cerințe privind controlul accesului, jurnalizarea și gestionarea terților care se bazează pe aceleași mecanisme. Constatările diagnosticului Zero Trust sunt reutilizabile, iar foaia de parcurs transversală permite încrucișarea cadrelor de referință fără a duplica acțiunile.
Unde sunt găzduite datele?
În Franța, la OVH, cu backup la Scaleway. Niciun transfer în afara Uniunii Europene. Modelele de IA utilizate pot fi selectate, inclusiv dintre soluții europene.