Implementação, integração e validação de segurança

Depois de mapear seus requisitos de segurança, risco e conformidade, o próximo domínio é a implementação, integração e validação da segurança. Com base nos requisitos identificados, escolha os controles e medidas de segurança apropriados para mitigar os riscos de forma eficaz. Isso pode incluir criptografia, controles de acesso, sistemas de detecção de intrusões ou firewalls. Integre soluções de segurança, como sistemas de detecção e prevenção de intrusões, proteção de terminais e gerenciamento de identidade, à infraestrutura de TI existente para fornecer cobertura de segurança abrangente. Realize avaliações de segurança regulares, incluindo verificação de vulnerabilidades, testes de penetração e análises de código, para validar a eficácia dos controles de segurança e identificar pontos fracos ou lacunas. Ao se concentrar na implementação, integração e validação da segurança, as organizações podem fortalecer sua postura de segurança, reduzir a probabilidade de violações de segurança e demonstrar conformidade com os requisitos regulamentares e os padrões do setor.

Implementação

Primeiro, atualize a documentação de acordo com seu limite ou apetite atual de segurança, risco e conformidade. Isso permite que você implemente os requisitos, controles, políticas e ferramentas planejados de segurança e conformidade na nuvem. Essa etapa é necessária somente se você tiver um registro de risco existente e um apetite definido, o que teria sido identificado durante os workshops de descoberta.

Em seguida, você implementa os requisitos, controles, políticas e ferramentas planejados de segurança e conformidade na nuvem. Recomendamos que você os implemente na seguinte ordem: infraestrutura, sistema operacional e Serviços da AWS, em seguida, aplicativo ou banco de dados. Use as informações na tabela a seguir para garantir que você tenha abordado todas as áreas necessárias de segurança e conformidade.

Área	Requisitos de segurança e conformidade
Infraestrutura	Conta da AWS Zona de pouso Controles preventivos Controles de detecção Segmentação de rede Controle de acesso Criptografia Registro, monitoramento e alertas
Serviços da AWS	AWS service (Serviço da AWS) configuração Instâncias Armazenamento Rede Controle de acesso Criptografia Atualizações e patches Registro, monitoramento e alertas
Sistema operacional	Antivírus Proteção contra malware e worm Configuração Proteção de rede Controle de acesso Criptografia Atualizações e patches Registro, monitoramento e alertas
Aplicativo ou banco de dados	Configuração Código e esquema Controle de acesso Criptografia Atualizações e patches Registro, monitoramento e alertas

Integração

A implementação da segurança geralmente requer integração com o seguinte:

• Rede — Rede interna e externa à Nuvem AWS

• Cenário de TI híbrida — ambientes de TI diferentes do Nuvem AWS, como locais, nuvens públicas, nuvens privadas e colocations

• Software ou serviços externos — Software e serviços que são gerenciados por fornecedores independentes de software (ISVs) e não estão hospedados em seu ambiente.

• Serviços de modelo operacional em AWS nuvem — serviços de modelo operacional em nuvem que fornecem DevSecOps recursos.

Durante a fase de avaliação do seu projeto de migração, use ferramentas de descoberta, documentação existente ou workshops de entrevistas com aplicativos para identificar e confirmar esses pontos de integração de segurança. Ao projetar e implementar as cargas de trabalho no Nuvem AWS, estabeleça essas integrações de acordo com as políticas e processos de segurança e conformidade que você definiu durante os workshops de mapeamento.

Validação

Após a implementação e a integração, a próxima atividade é validar a implementação. Você garante que a configuração esteja alinhada às AWS melhores práticas de segurança e conformidade. Recomendamos que você valide a segurança de duas áreas de cobertura:

• Avaliação de vulnerabilidade e teste de penetração específicos da carga de trabalho - Valide a segurança do sistema operacional, do aplicativo, do banco de dados ou da rede das cargas de trabalho executadas. Serviços da AWS Para realizar essas validações, use ferramentas e scripts de teste existentes. É importante cumprir a política de suporte ao cliente do teste de AWS penetração ao realizar essas avaliações.

• AWSvalidação de melhores práticas de segurança - Valide se sua AWS implementação está em conformidade com o AWS Well Architected Framework e outros benchmarks selecionados, como o Center for Internet Security (CIS). Para essa validação, você pode usar ferramentas e serviços como Prowler (GitHub) AWS Trusted Advisor, AWS Service Screener () ou AWS Self-Service Security Assessment (GitHub). GitHub

É importante documentar e comunicar todas as descobertas de segurança e conformidade à equipe de segurança e aos líderes. Padronize os modelos de relatórios e use-os para facilitar a comunicação com a respectiva parte interessada em segurança. Documente todas as exceções feitas durante a busca de remediação e certifique-se de que as respectivas partes interessadas em segurança concordem.