Descoberta e alinhamento de segurança

Ao mobilizar um projeto de migração, o primeiro domínio para o fluxo de trabalho de segurança e conformidade é a descoberta e o alinhamento da segurança. Esse domínio tem como objetivo ajudar sua organização a atingir as seguintes metas:

• Treine o fluxo de trabalho de segurança e conformidade sobre os serviços AWS de segurança, os recursos e a adesão à conformidade

• Descubra seus requisitos de segurança e conformidade e as práticas atuais. Considere esses requisitos do ponto de vista da infraestrutura e das operações, incluindo:

  • Desafios e fatores de segurança para o estado final de destino

  • Conjunto de habilidades da equipe de segurança na nuvem

  • Políticas, configurações, controles e barreiras de segurança e conformidade

  • Apetite e linha de base para riscos de segurança

  • Ferramentas de segurança existentes e futuras

Workshops de um dia de imersão

Para se alinhar a essas metas, use dias de imersão em segurança e conformidade. Os dias de imersão são workshops que abrangem uma variedade de tópicos relacionados à segurança, como:

• AWS modelo de responsabilidade compartilhada

• AWS serviços de segurança

• AWS Arquitetura de referência de segurança (AWS SRA)

• AWS conformidade

• Pilar de segurança do AWS Well-Architected Framework

Os workshops do dia de imersão ajudam a estabelecer uma base de conhecimento para sua equipe de segurança. Ele os treina sobre serviços AWS de segurança e melhores práticas de segurança e conformidade. AWS Arquitetos de soluções, serviços AWS profissionais e AWS parceiros podem ajudá-lo a realizar esses workshops interativos. Eles usam apresentações padrão, laboratórios da AWS e atividades de quadro branco para ajudar a preparar suas equipes.

Workshops de descoberta

Após os workshops do dia de imersão, você realiza vários workshops aprofundados sobre segurança e descoberta de conformidade. Isso ajuda suas equipes a descobrir os requisitos atuais de segurança, risco e conformidade (SRC) da infraestrutura, dos aplicativos e das operações. Você analisa esses requisitos por meio das seguintes perspectivas: pessoas, processos e tecnologia. A seguir estão as áreas de descoberta de cada perspectiva.

Perspectiva das pessoas

• Estrutura organizacional — entenda a estrutura e as responsabilidades atuais do fluxo de trabalho de segurança e conformidade.

• Capacidades e conjuntos de habilidades — Tenha conhecimentos práticos e conjuntos de habilidades para Serviços da AWS e para os recursos de segurança e conformidade na nuvem. Isso inclui descoberta, planejamento, implementação e operações.

• Matriz responsável, responsável, consultada, informada (RACI) — Defina as funções e responsabilidades pelas atividades atuais de segurança e conformidade dentro da organização.

• Cultura — Entenda a cultura atual de segurança e conformidade. Priorize a segurança e a conformidade como parte das fases de construção, projeto, implementação e operação. Introduza as operações de segurança de desenvolvimento (DevSecOps) na cultura de segurança e conformidade da nuvem.

Perspectiva do processo

• Práticas — defina e documente os processos atuais de segurança e conformidade para criar, projetar, implementar e operar. Os processos incluem:

  • Acesso e gerenciamento de identidade

  • Resposta e controles de detecção de incidentes

  • Infraestrutura e segurança de rede

  • Proteção de dados

  • Compliance

  • Continuidade e recuperação dos negócios

• Documentação de implementação — documente políticas de segurança e conformidade, configurações de controle, documentação de ferramentas e documentação de arquitetura. Esses documentos são necessários para cobrir a segurança e a conformidade das áreas de infraestrutura, rede, aplicativos, bancos de dados e implantação.

• Documentação de risco — Crie uma documentação de risco de segurança da informação que descreva o apetite e o limite de risco.

• Validações — Crie requisitos internos e externos de validação e auditoria de segurança.

• Runbooks — Desenvolva runbooks operacionais que cubram os processos atuais e padrão de implementação e governança para segurança e conformidade.

Perspectiva da tecnologia

• Serviços e ferramentas — Use ferramentas para validar sua postura de segurança e conformidade e para impor e governar o cenário atual de TI. Estabeleça ferramentas para as seguintes categorias:

  • Acesso e gerenciamento de identidade

  • Resposta e controles de detecção de incidentes

  • Infraestrutura e segurança de rede

  • Proteção de dados

  • Compliance

  • Continuidade e recuperação dos negócios

Durante o workshop AWS de descoberta de segurança, você usa modelos e questionários padronizados de coleta de dados para coletar dados. Em cenários em que você não consegue fornecer as informações devido à falta de clareza dos dados ou dados obsoletos, você pode usar uma ferramenta de descoberta de migração para coletar informações de segurança em nível de aplicativo e infraestrutura. Para obter uma lista das ferramentas de descoberta que você pode usar, consulte Ferramentas de migração de descoberta, planejamento e recomendação na AWS Orientação prescritiva. A lista fornece detalhes sobre os recursos de descoberta e o uso de cada ferramenta. Ele também compara ferramentas para ajudá-lo a escolher a melhor ferramenta para atender aos requisitos e restrições do seu cenário de TI.

Durante a avaliação inicial de segurança, é altamente recomendável que você comece com a modelagem de ameaças. Isso ajuda você a identificar possíveis ameaças e medidas existentes em vigor. Também pode haver requisitos predefinidos e documentados de segurança, conformidade e risco. Para obter mais informações, consulte o workshop sobre modelagem de ameaças para construtores (AWS treinamento) e consulte Como abordar a modelagem de ameaças (postagem AWS no blog). Essa abordagem ajuda você a reconsiderar suas estratégias de segurança e conformidade para implantação, implementação e governança no Nuvem AWS.