Condividi tramite

Elenco di controllo per la revisione della progettazione per la sicurezza

Questo elenco di controllo presenta un set di raccomandazioni sulla sicurezza che consentono di garantire che il carico di lavoro sia sicuro e allineato al modello Zero Trust. Se non hai selezionato le caselle seguenti e considerato i compromessi, il tuo design potrebbe essere a rischio. Considerare attentamente tutti i punti trattati nell'elenco di controllo per ottenere fiducia nella sicurezza del carico di lavoro.

Checklist

  Codice Raccomandazione
☐ SE:01 Stabilire una base di sicurezza allineata ai requisiti di conformità, agli standard di settore e alle raccomandazioni della piattaforma. Misura regolarmente l'architettura e le operazioni del carico di lavoro rispetto alla linea di base per sostenere o migliorare il tuo livello di sicurezza nel tempo.
☐ SE:02
SE:02		 Mantenere un ciclo di sviluppo sicuro utilizzando una catena di fornitura software rafforzata, per lo più automatizzata e verificabile. Incorpora una progettazione sicura utilizzando la modellazione delle minacce per proteggerti da implementazioni che compromettono la sicurezza.
☐ SE:03 Classificare e applicare in modo coerente etichette di sensibilità e tipo di informazione su tutti i dati del carico di lavoro e sui sistemi coinvolti nell'elaborazione dei dati. Usare la classificazione per influenzare la progettazione, l'implementazione e la definizione delle priorità del carico di lavoro.
☐ SE:04 Crea segmentazioni e perimetri intenzionali nella progettazione dell'architettura e nell'ingombro del carico di lavoro sulla piattaforma. La strategia di segmentazione deve includere reti, ruoli e responsabilità, identità del carico di lavoro e organizzazione delle risorse.
☐ SE:05 Implementare una gestione dell'identità e degli accessi (IAM) rigorosa, condizionale e verificabile per tutti gli utenti del carico di lavoro, i membri del team e i componenti di sistema. Limita l'accesso esclusivamente a se necessario. Utilizza i moderni standard di settore per tutte le implementazioni di autenticazione e autorizzazione. Limita e controlla rigorosamente l'accesso non basato sull'identità.
☐ SE:06 Isolare, filtrare e controllare il traffico di rete tra flussi in ingresso e in uscita. Applicare principi di difesa avanzata usando i controlli di rete localizzati in tutti i limiti di rete disponibili sia attraverso il traffico est-ovest che nord-sud.
☐ SE:07 Crittografare i dati utilizzando metodi moderni e standard del settore per salvaguardare la riservatezza e l'integrità. Allinea l'ambito di crittografia con le classificazioni dei dati e dai priorità ai metodi di crittografia della piattaforma nativa.
☐ SE:08 Rafforzare tutti i componenti del carico di lavoro riducendo la superficie superflua e restringendo le configurazioni per incrementare i costi per gli attaccanti.
☐ SE:09 Proteggere i segreti delle applicazioni rafforzandone l'archiviazione, limitandone l'accesso e la manipolazione e verificando tali azioni. Esegui un processo di rotazione affidabile e regolare in grado di improvvisare rotazioni per le emergenze.
☐ SE:10 Implementare una strategia di monitoraggio olistica che si basi su moderni meccanismi di rilevamento delle minacce integrabili con la piattaforma. I meccanismi dovrebbero avvisare in modo affidabile per il triage e inviare segnali ai processi SecOps esistenti.
☐ SE:11 Stabilire un regime di test completo che combini approcci per prevenire problemi di sicurezza, convalidare implementazioni di prevenzione delle minacce e testare meccanismi di rilevamento delle minacce.
☐ SE:12 Definire e testare procedure efficaci di risposta agli incidenti che coprano un ampio spettro di incidenti, dai problemi localizzati al ripristino in caso di disastro. Definisci chiaramente quale team o individuo esegue una procedura.

Passaggi successivi

È consigliabile esaminare i compromessi di sicurezza per esplorare altri concetti.

Compromessi sulla sicurezza

  • Last updated on