Zrelost Zero Trust · Strategija in varnost oblačnega okolja
Vaša pot Zero Trust, izmerjena po področjih in prevedena v ovrednoten akcijski načrt.
10 tematskih področij, 5-stopenjska lestvica. In ukrep, ki popelje z vsake ravni na naslednjo.
10 tematskih področij referenčnega okvira, že pripravljenih od N1 do N5. Eno podjetje, ena poslovna enota, ali 300 hkrati.
Zrelost Zero Trust · Strategija in varnost oblačnega okolja
10 tematskih področij, 5-stopenjska lestvica.
Nordhavn Industries
53 / 100
Svojo zrelost merijo z Datamensio
Primer
Ta situacija bi lahko bila vaša.
Vzemimo primer podjetja: tri lokacije, tri preglednice, brez skupnega odgovora.
Nihče ne zna združiti podatkov.
Nordhavn Industries, 2.400 zaposlenih v Hamburgu, Lyonu in Portu. Naročnik vpraša, kje stoji skupina. Vsaka lokacija odgovori v svoji preglednici, s svojimi lestvicami.
Tri tedne, ena sama osnova.
Diagnostika Arhitektura Zero Trust, NIST SP 800-207, dopolnjena z načeli varnosti oblaka (CSA Cloud Controls Matrix, ANSSI) je bila hkrati sprožena na vseh treh lokacijah, na podlagi zapiskov z razgovorov z odgovornimi osebami. Referenčni okvir je bil že napisan, prav tako 10 tematskih področij in ravni od N1 do N5.
Dva izdatka, preprečena še pred odobritvijo.
Ocena 53 od 100, vrzel strnjena na treh področjih. UI spremljevalec je opazil, da se dva ukrepa iz načrta podvajata z ukrepoma iz druge presoje. Predstavitev rezultatov odboru je nastala z enim stavkom.
Kaj so s tem preprečili
- 3lokacije, merjene na isti osnovi, namesto treh vprašalnikov za ponovno obdelavo
- 2podvojena ukrepa, odkrita še pred izdatkom
- 1predstavitev rezultatov odboru, brez ročnega usklajevanja
Te številke so iz primera. Lahko bi bile vaše.
Standard nalaga procese. Datamensio pove, kje stojite.
01
Referenčni okvir je že napisan
Tematska področja, vprašanja in ravni od N1 do N5 so pripravljeni. Ne začnete s prazno preglednico.
02
Ocena je na voljo še isti dan
Prek spleta, s povezavo za samoocenjevanje ali med razgovorom. Po področjih, primerljivo skozi čas.
03
Vrzel postane ovrednoten načrt
Vsak prehod na naslednjo raven nosi svoj ukrep. UI razvršča glede na pričakovani učinek, ne glede na vrstni red standarda.
04
Napredek se da dokazati
Krog za krogom, glede na vaš cilj in glede na vašo preteklost. To zahteva vaš upravni odbor.
Lestvica zrelosti
Ena raven, naslednja, in ukrep, ki ju povezuje.
Prav ta mehanizem (nivo, višji nivo in dejanje, ki ju povezuje) spremeni ugotovitev v pot naprej.
Ali so privilegirani dostopi do oblačnih okolij dodeljeni po načelu najmanjših pravic in za omejen čas?
- N1
Trajne administratorske pravice so dodeljene poimenskim ali skupnim računom, brez skupnega popisa.
- N2
Privilegirani računi so opredeljeni in dokumentirani, vendar pravice ostajajo trajne, pregledi pa so neredni.
- N3
Pravice se dodeljujejo po vlogah, redno se pregledujejo, eskalacija privilegijev pa je za občutljive operacije zahtevana in sledljiva.
- N4
Privilegiran dostop je odobren ravno ob pravem času, za omejeno obdobje, s sistematično odobritvijo in beleženjem v vseh okoljih.
- N5
Pravice se samodejno izpeljujejo iz konteksta in vlog, odstopanja se zaznavajo in odpravljajo, politika pa se revidira po vsakem incidentu ali spremembi arhitekture.
Dejanje za prehod z N2 na N3
Opredelite administratorske vloge po posameznem okolju, nadomestite trajne individualne dodelitve s temi vlogami ter uvedite redni četrtletni pregled privilegiranih računov na varnostnem odboru, z imenovanim odgovornim za vsako okolje.
« Zahvaljujoč Datamensiu veliko učinkoviteje izpolnjujemo svoje cilje. Inšpekcijske službe sklada FEDER in našega pristojnega ministrstva so ta pristop še posebej cenile, saj jim prinaša zanesljive podatke. »
Direktorica CCI 94CCI Île-de-France
« Menimo, da gre za najprimernejšo rešitev za razširitev našega projekta preobrazbe in merjenje učinka skladno z našimi potrebami. »
Maja Sucekvodja poslovanja, Interreg Danube
Redko sam
Referenčni okvir se da kombinirati. Povežite več okvirov za pokritje svoje dejavnosti, ali pa svojega napišite z UI.
Opravite svojo prvo meritevna ZERO TRUST.
O čem govori ta referenčni okvir
Zero Trust ni izdelek, temveč arhitekturni model. Formaliziral ga je NIST v publikaciji SP 800-207, ki določa, da se zaupanje ne izpeljuje iz položaja v omrežju: vsak dostop do vira se avtenticira, avtorizira in nenehno ocenjuje na podlagi identitete, stanja naprave in konteksta zahteve. Uporabljen v oblačnem okolju ta model zajema upravljanje identitet in pravic, segmentacijo delovnih obremenitev, šifriranje podatkov, konfiguracijo upravljanih storitev in nadzor dostopov.
V praksi je upravljanje tega področja težavno, ker zadeva prehaja med več ekipami. Identiteta spada pod IT oddelek, omrežje pod infrastrukturo, oblačne konfiguracije pod produktne ekipe, nadzor pa pod SOC. Sistematično se pojavljajo tri vprašanja. Ali večfaktorska avtentikacija dejansko pokriva vse privilegirane dostope, vključno s servisnimi računi in nujnimi dostopi? Ali segmentacija obstaja na ravni delovnih obremenitev ali se ustavi na meji VPC? Ali se odločitve o avtorizaciji ponovno ocenjujejo med sejo ali samo enkrat ob prijavi?
Velja razjasniti pogosto zmedo: uvedba omrežnega dostopa Zero Trust kot nadomestilo za VPN ne pomeni arhitekture Zero Trust. Zamenjava VPN obravnava oddaljeni dostop, ne obravnava pa ne notranjih tokov med storitvami, ne dostopov administratorjev do oblačnih konzol, ne strojnih identitet, katerih število pogosto presega število človeških identitet. Dodajmo še model deljene odgovornosti: ponudnik zagotavlja varnost infrastrukture, konfiguracija storitev in upravljanje pravic pa ostajata v pristojnosti naročnika.
Diagnostika zrelosti odgovarja na drugačno vprašanje kot presoja skladnosti. Presoja sprašuje, ali je zahteva izpolnjena, da ali ne. Diagnostika postavi vsako področje na progresivno lestvico in opredeli natančno dejanje, ki omogoči prehod na višji nivo. To omogoča, da se program preobrazbe Zero Trust razdeli na več obdobij, namesto da se ugotovi splošna vrzel brez jasnega izhodišča.
V Datamensiu je referenčni okvir pripravljen za takojšnjo uporabo. Lahko pa ga tudi prilagodite svojemu kontekstu: umetna inteligenca prilagodi tematska področja, vprašanja in nivoje po metodi CMMI ali pripravi različico na podlagi vaših lastnih arhitekturnih dokumentov in politik dostopa.
Referenčni standard: Arhitektura Zero Trust, NIST SP 800-207, dopolnjena z načeli varnosti oblaka (CSA Cloud Controls Matrix, ANSSI)
Ocenjevana tematska področja
Strategija in upravljanje Zero Trust
Obstoj dokumentirane ciljne arhitekture, obseg zaščitenih virov, vloge in odgovornosti med varnostjo, infrastrukturo in produktnimi ekipami, večletna pot in spremljanje.
Identitete in avtentikacija
Enoten register identitet, pokritost večfaktorske avtentikacije, odpornost faktorjev na lažno predstavljanje, obravnava nujnih računov in strojnih identitet.
Upravljanje dostopov in privilegijev
Načelo najmanjših pravic, dostop ravno ob pravem času, pregledi pravic, sledljiva eskalacija, ločitev administratorskih vlog v oblačnih okoljih.
Varnost naprav in delovnih postaj
Popis naprav, ocena njihove skladnosti pred odobritvijo dostopa, upravljanje popravkov, upoštevanje neupravljanih naprav in zunanjih izvajalcev.
Segmentacija in varnost prometa
Mikro segmentacija delovnih obremenitev, nadzor prometa med storitvami, šifriranje notranje komunikacije, avtentikacija med storitvami.
Zaščita podatkov
Klasifikacija, šifriranje v mirovanju in med prenosom, upravljanje ključev in skrivnosti, nadzor nad souporabo in izvozom podatkov izven nadzorovanega okolja.
Konfiguracija in stanje oblačnih okolij
Referenčni okviri konfiguracije, zaznavanje odstopanj, infrastruktura, opisana s kodo, upravljanje javnih izpostavljenosti, deljena odgovornost s ponudniki.
Odločanje o dostopu in neprekinjeno ocenjevanje
Centralizirana politika avtorizacije, signali, upoštevani pri odločanju, ponovna ocena med sejo, dejanski preklic dostopov.
Nadzor, beleženje in zaznavanje
Pokritost dnevnikov dostopov in API, korelacija v SOC, primeri zaznavanja, specifični za oblak, čas odzivanja na opozorila.
Nenehno izboljševanje in merjenje
Kazalniki pokritosti, penetracijski testi in ciljne vaje, izkušnje po incidentih, posodabljanje ciljne arhitekture.
Krajša različica referenčnega okvira je na voljo za spletno samoocenjevanje.
Pogosta vprašanja
Ali je Zero Trust mogoče certificirati?
Ne. Gre za arhitekturni model, med drugim opisan v publikaciji NIST SP 800-207, za katerega ne obstaja certifikacijski organ. Certifikacija se nanaša na sisteme upravljanja, kot je ISO 27001, znotraj katerega je Zero Trust lahko ena od arhitekturnih odločitev. Diagnostika meri zrelost vaših praks, ne izdaja pa nobenega potrdila.
Kakšna je razlika med to diagnostiko in presojo skladnosti?
Presoja preveri, ali je zahteva izpolnjena, in se zaključi z ugotovitvijo vrzeli ali skladnosti. Diagnostika postavi vsako področje na lestvico zrelosti in opredeli dejanje, ki omogoči prehod na naslednji nivo. Diagnostika služi oblikovanju načrta poti, presoja pa potrditvi stanja.
Koliko časa traja ocenjevanje?
Kratka različica jo odgovorni za varnost izpolni v približno pol ure. Celovita različica, v skupinskem načinu, običajno poteka od enega do dveh tednov: največ časa je namenjenega zbiranju podatkov pri ekipah za identitete, infrastrukturo in oblak.
Ali je referenčni okvir mogoče prilagoditi naši arhitekturi?
Da. Vprašanja, nivoje in tematska področja je mogoče spreminjati, dodate pa lahko tudi lastna področja, na primer industrijsko okolje ali posameznega ponudnika oblaka. Umetna inteligenca pripravi različico na podlagi vaših arhitekturnih dokumentov in politik dostopa.
Ali je za odgovarjanje potrebno tehnično znanje?
Vprašanja se nanašajo na prakse upravljanja in nadzora, ne na nastavitve posamezne storitve. Nekatera zahtevajo sodelovanje arhitekta ali oblačnega administratorja: skupinski način omogoča, da se taka vprašanja dodelijo pravi osebi in se odgovori sledijo.
Kako primerjati več enot ali več okolij?
Isti referenčni okvir lahko izpolni vsaka poslovna enota ali vsako okolje posebej, nato pa se rezultati primerjajo po tematskih področjih. Presečni načrti poti združujejo akcijske načrte več ocenjevanj, da se izognete dvojnemu financiranju istega ukrepa.
Kako se ta diagnostika povezuje z NIS2 ali DORA?
Ta besedila nalagajo zahteve glede nadzora dostopa, beleženja in upravljanja tretjih strani, ki temeljijo na istih mehanizmih. Ugotovitve diagnostike Zero Trust je mogoče ponovno uporabiti, presečni načrt poti pa omogoča povezovanje referenčnih okvirov brez podvajanja ukrepov.
Kje so gostovani podatki?
V Franciji, pri OVH, z varnostno kopijo pri Scaleway. Brez prenosa podatkov izven Evropske unije. Uporabljene modele umetne inteligence je mogoče izbrati, tudi med evropskimi rešitvami.