Penemuan dan penyelarasan keamanan

Saat memobilisasi proyek migrasi, domain pertama untuk alur kerja keamanan dan kepatuhan adalah penemuan dan penyelarasan keamanan. Domain ini dimaksudkan untuk membantu organisasi Anda mencapai tujuan berikut:

• Melatih alur kerja keamanan dan kepatuhan tentang layanan AWS keamanan, kemampuan, dan kepatuhan kepatuhan

• Temukan persyaratan keamanan dan kepatuhan Anda serta praktik terkini. Pertimbangkan persyaratan ini dari sudut pandang infrastruktur dan operasi, termasuk:

  • Tantangan keamanan dan driver untuk status akhir target

  • Keterampilan tim keamanan cloud

  • Kebijakan, konfigurasi, kontrol, dan pagar pembatas risiko keamanan dan kepatuhan

  • Nafsu dan baseline risiko keamanan

  • Perkakas keamanan yang ada dan prospektif

Lokakarya hari perendaman

Untuk menyelaraskan tujuan ini, gunakan hari pencelupan keamanan dan kepatuhan. Immersion days adalah lokakarya yang mencakup berbagai topik terkait keamanan, seperti:

• AWS model tanggung jawab bersama

• AWS layanan keamanan

• AWS Arsitektur Referensi Keamanan (AWS SRA)

• AWS kepatuhan

• Pilar Keamanan Kerangka AWS Well-Architected

Lokakarya hari imersi membantu menetapkan dasar pengetahuan untuk tim keamanan Anda. Ini melatih mereka tentang layanan AWS keamanan dan praktik terbaik keamanan dan kepatuhan. AWS Arsitek Solusi, Layanan AWS Profesional, dan AWS Mitra dapat membantu Anda melakukan lokakarya interaktif ini. Mereka menggunakan dek presentasi standar, laboratorium AWS, dan aktivitas papan tulis untuk membantu mempersiapkan tim Anda.

Lokakarya penemuan

Setelah lokakarya hari imersi, Anda melakukan beberapa lokakarya penemuan keamanan dan kepatuhan mendalam. Ini membantu tim Anda menemukan persyaratan keamanan, risiko, dan kepatuhan (SRC) saat ini dari infrastruktur, aplikasi, dan operasi. Anda menganalisis persyaratan ini melalui perspektif berikut: orang, proses, dan teknologi. Berikut ini adalah bidang penemuan untuk setiap perspektif.

Perspektif orang

• Struktur organisasi - Memahami struktur dan tanggung jawab arus kerja keamanan dan kepatuhan saat ini.

• Kemampuan dan keahlian — Memiliki pengetahuan dan keahlian praktis untuk dan untuk keamanan cloud Layanan AWS dan kemampuan kepatuhan. Ini termasuk penemuan, perencanaan, implementasi, dan operasi.

• Matriks yang bertanggung jawab, akuntabel, konsultasi, informasi (RACI) - Tentukan peran dan tanggung jawab untuk kegiatan keamanan dan kepatuhan saat ini dalam organisasi.

• Budaya — Memahami budaya keamanan dan kepatuhan saat ini. Prioritaskan keamanan dan kepatuhan sebagai bagian dari fase pembangunan, desain, implementasi, dan operasi. Memperkenalkan Operasi Keamanan Pengembangan (DevSecOps) ke dalam budaya keamanan dan kepatuhan cloud.

Perspektif proses

• Praktik — Menentukan dan mendokumentasikan proses keamanan dan kepatuhan saat ini untuk membangun, merancang, mengimplementasikan, dan mengoperasikan. Proses meliputi:

  • Akses dan manajemen identitas

  • Kontrol dan respons deteksi insiden

  • Infrastruktur dan keamanan jaringan

  • Perlindungan data

  • Kepatuhan

  • Kelangsungan dan pemulihan bisnis

• Dokumentasi implementasi — Kebijakan keamanan dan kepatuhan dokumen, konfigurasi kontrol, dokumentasi perkakas, dan dokumentasi arsitektur. Dokumen-dokumen ini diperlukan untuk mencakup keamanan dan kepatuhan dari infrastruktur, jaringan, aplikasi, database, dan area penyebaran.

• Dokumentasi risiko — Buat dokumentasi risiko keamanan informasi yang menguraikan selera risiko dan ambang batas.

• Validasi — Membuat validasi keamanan internal dan eksternal dan persyaratan audit.

• Runbook — Mengembangkan runbook operasional yang mencakup implementasi standar dan proses tata kelola saat ini untuk keamanan dan kepatuhan.

Perspektif teknologi

• Layanan dan alat — Gunakan alat untuk memvalidasi postur keamanan dan kepatuhan Anda serta untuk menegakkan dan mengatur lanskap TI saat ini. Tetapkan perkakas untuk kategori berikut:

  • Akses dan manajemen identitas

  • Kontrol dan respons deteksi insiden

  • Infrastruktur dan keamanan jaringan

  • Perlindungan data

  • Kepatuhan

  • Kelangsungan dan pemulihan bisnis

Selama lokakarya penemuan AWS keamanan, Anda menggunakan templat pengumpulan data standar dan kuesioner untuk mengumpulkan data. Dalam skenario di mana Anda tidak dapat memberikan informasi karena kurangnya kejelasan data atau data usang, Anda dapat menggunakan alat penemuan migrasi untuk mengumpulkan informasi keamanan tingkat aplikasi dan infrastruktur. Untuk daftar alat penemuan yang dapat Anda gunakan, lihat Alat migrasi penemuan, perencanaan, dan rekomendasi di Panduan AWS Preskriptif. Daftar ini memberikan rincian tentang kemampuan dan penggunaan penemuan setiap alat. Ini juga membandingkan alat untuk membantu Anda memilih alat terbaik untuk memenuhi persyaratan dan kendala lanskap TI Anda.

Selama penilaian keamanan awal, kami sangat menyarankan Anda memulai dengan pemodelan ancaman. Ini membantu Anda mengidentifikasi kemungkinan ancaman dan tindakan yang ada yang ada. Mungkin juga ada persyaratan yang telah ditentukan dan didokumentasikan untuk keamanan, kepatuhan, dan risiko. Untuk informasi lebih lanjut, lihat lokakarya Pemodelan ancaman untuk pembangun (AWS pelatihan) dan lihat Cara mendekati pemodelan ancaman (posting AWS blog). Pendekatan ini membantu Anda mempertimbangkan kembali strategi keamanan dan kepatuhan Anda untuk penerapan, implementasi, dan tata kelola di. AWS Cloud