Implémentation, intégration et validation de la sécurité

Après avoir défini vos exigences en matière de sécurité, de risque et de conformité, le domaine suivant est celui de la mise en œuvre, de l'intégration et de la validation de la sécurité. Sur la base des exigences identifiées, choisissez les contrôles de sécurité et les mesures appropriés pour atténuer efficacement les risques. Cela peut inclure le chiffrement, les contrôles d'accès, les systèmes de détection d'intrusion ou les pare-feux. Intégrez des solutions de sécurité, telles que les systèmes de détection et de prévention des intrusions, la protection des terminaux et la gestion des identités, dans l'infrastructure informatique existante afin de fournir une couverture de sécurité complète. Réalisez régulièrement des évaluations de sécurité, notamment des analyses des vulnérabilités, des tests de pénétration et des examens du code, afin de valider l'efficacité des contrôles de sécurité et d'identifier les faiblesses ou les lacunes. En se concentrant sur la mise en œuvre, l'intégration et la validation de la sécurité, les entreprises peuvent renforcer leur posture de sécurité, réduire le risque de violations de sécurité et démontrer leur conformité aux exigences réglementaires et aux normes du secteur.

Mise en œuvre

Tout d'abord, mettez à jour la documentation en fonction de votre seuil ou de votre appétit actuels en matière de sécurité, de risque et de conformité. Cela vous permet de mettre en œuvre les exigences, les contrôles, les politiques et les outils de sécurité et de conformité prévus dans le cloud. Cette étape n'est nécessaire que si vous avez déjà défini un registre des risques et un appétit définis, qui auraient été identifiés lors des ateliers de découverte.

Ensuite, vous mettez en œuvre les exigences, les contrôles, les politiques et les outils de sécurité et de conformité prévus dans le cloud. Nous vous recommandons de les implémenter dans l'ordre suivant : infrastructure Services AWS, système d'exploitation, puis application ou base de données. Utilisez les informations du tableau suivant pour vous assurer que vous avez abordé tous les domaines requis en matière de sécurité et de conformité.

Area	Exigences en matière de sécurité et de conformité
Infrastructure	Compte AWS Zone d'atterrissage Contrôles préventifs Contrôles de détection Segmentation du réseau Contrôle d’accès Chiffrement Journalisation, surveillance et alertes
Services AWS	Service AWS configuration instances Stockage Réseau Contrôle d’accès Chiffrement Mises à jour et correctifs Journalisation, surveillance et alertes
Système d’exploitation	Antivirus Protection contre les logiciels malveillants et les vers Configuration Protection du réseau Contrôle d’accès Chiffrement Mises à jour et correctifs Journalisation, surveillance et alertes
Application ou base de données	Configuration Code et schéma Contrôle d’accès Chiffrement Mises à jour et correctifs Journalisation, surveillance et alertes

Integration

La mise en œuvre de la sécurité nécessite souvent l'intégration des éléments suivants :

• Réseautage — Réseautage à l'intérieur et à l'extérieur du AWS Cloud

• Paysage informatique hybride : environnements informatiques autres que le AWS Cloud, tels que les environnements sur site, les clouds publics, les clouds privés et les colocations

• Logiciels ou services externes : logiciels et services gérés par des fournisseurs de logiciels indépendants (ISVs) et qui ne sont pas hébergés dans votre environnement.

• Services de modèle d'exploitation AWS cloud : services de modèle d'exploitation cloud qui fournissent des DevSecOps fonctionnalités.

Au cours de la phase d'évaluation de votre projet de migration, utilisez des outils de découverte, la documentation existante ou des ateliers d'entretien avec les applications pour identifier et confirmer ces points d'intégration de sécurité. Lors de la conception et de la mise en œuvre des charges de travail dans le AWS Cloud, établissez ces intégrations conformément aux politiques et processus de sécurité et de conformité que vous avez définis lors des ateliers de cartographie.

Validation

Après la mise en œuvre et l'intégration, l'activité suivante consiste à valider l'implémentation. Vous vous assurez que la configuration est conforme aux AWS meilleures pratiques en matière de sécurité et de conformité. Nous vous recommandons de valider la sécurité à partir de deux zones de couverture :

• Évaluation des vulnérabilités et tests de pénétration spécifiques aux charges de travail : validez la sécurité du système d'exploitation, des applications, des bases de données ou du réseau des charges de travail qui s'exécutent sur. Services AWS Pour effectuer ces validations, utilisez les outils et les scripts de test existants. Il est important de respecter la politique de support client relative aux tests d'AWS intrusion lors de la réalisation de ces évaluations.

• AWSvalidation des meilleures pratiques de sécurité - Vérifiez si votre AWS implémentation est conforme au AWS Well Architected Framework et à d'autres benchmarks sélectionnés, tels que le Center for Internet Security (CIS). Pour cette validation, vous pouvez utiliser des outils et des services tels que Prowler (GitHub) AWS Trusted Advisor, AWS Service Screener (GitHub) ou AWS Self-Service Security Assessment (). GitHub

Il est important de documenter et de communiquer tous les résultats en matière de sécurité et de conformité à l'équipe de sécurité et aux responsables. Standardisez les modèles de rapports et utilisez-les pour faciliter la communication avec les acteurs de sécurité concernés. Documentez toutes les exceptions commises lors de la recherche de mesures correctives et assurez-vous que les acteurs de sécurité concernés approuvent.