Cloud Security Readiness: Rà soát những gì

Đây là gì

Sản phẩm rà soát phạm vi AWS, Azure, GCP, Kubernetes và cloud-native đã thống nhất. Phạm vi có thể bao gồm vai trò và đặc quyền IAM, mức độ phơi nhiễm của lưu trữ, cơ sở dữ liệu, tài nguyên công khai, kiểm soát mạng, lưu lượng vào và ra (ingress/egress), ghi log, giám sát, nhật ký kiểm toán (audit trail), bí mật, khóa, cách xử lý token và các chỉ báo về mức độ sẵn sàng cho production. Bằng chứng có thể được rà soát thông qua quyền truy cập đã được phê duyệt, cấu hình được cung cấp, dữ liệu xuất, sơ đồ hoặc các buổi trình bày có kiểm soát, với quyền truy cập giới hạn ở mức đợt rà soát cần đến. Các phát hiện chỉ ra những khoảng trống cấu hình có thể thấy được, các câu hỏi và thứ tự ưu tiên kèm hướng dẫn thực tế cho người phụ trách liên quan. Một buổi trình bày tùy chọn của chuyên viên phân tích có thể giúp kết nối bằng chứng với kế hoạch khắc phục. Sản phẩm sử dụng các phương pháp rà soát không xâm nhập và hỗ trợ trách nhiệm về đám mây, nhà cung cấp, pháp lý và vận hành của chính khách hàng.

Dành cho ai

Cloud Security Readiness phù hợp với các đội ngũ:

• Cần một góc nhìn có cấu trúc hơn về các câu hỏi bảo mật đám mây và mức độ sẵn sàng cho production đã thống nhất
• Đang chuẩn bị một khối lượng công việc, thay đổi nền tảng hoặc môi trường đám mây cho quyết định triển khai tiếp theo có kiểm soát
• Muốn xem xét cùng lúc các câu hỏi về IAM, lưu trữ, mạng, ghi log, bí mật, Kubernetes và cấu hình nhà cung cấp
• Cần bằng chứng và thứ tự ưu tiên khắc phục mà họ có thể tự tin hành động

Giúp làm rõ điều gì

Đợt rà soát giúp làm rõ:

• Những vai trò, quyền hạn, tài nguyên công khai, kho dữ liệu, biện pháp kiểm soát và tín hiệu kiểm toán đã thống nhất nào cần người phụ trách chú ý
• Những chỗ mà ingress, egress, ghi log, giám sát, bí mật, khóa, token hoặc thiết lập Kubernetes cho thấy khoảng trống có thể thấy được hoặc câu hỏi chưa được trả lời
• Những bằng chứng nào sẵn có trong phạm vi và phát hiện nào phụ thuộc vào nhà cung cấp, khu vực, quyền truy cập hoặc trạng thái môi trường
• Những mục nào có thể được ưu tiên khắc phục và những mục nào cần một phạm vi riêng về di chuyển, kiểm thử, xây dựng lại, tuân thủ hoặc vận hành được quản lý

Những gì được bao gồm

• Xác nhận bằng văn bản về các môi trường AWS, Azure, GCP, Kubernetes, cloud-native đã thống nhất, phương thức truy cập, bằng chứng và các ngoại lệ
• Rà soát IAM, lưu trữ, cơ sở dữ liệu, tài nguyên công khai, kiểm soát mạng, ingress/egress, ghi log, giám sát, nhật ký kiểm toán, bí mật, khóa và token trong phạm vi
• Ghi chú về khoảng trống cấu hình, bối cảnh bằng chứng và hướng dẫn khắc phục được ưu tiên
• Các quan sát về mức độ sẵn sàng cho production dựa trên môi trường đã thống nhất và bằng chứng sẵn có
• Tùy chọn buổi trình bày của chuyên viên phân tích cho người phụ trách và các quyết định tiếp theo
• Các giới hạn phạm vi rõ ràng và những câu hỏi cần thêm quyền truy cập hoặc một đợt hợp tác riêng

Những gì không được bao gồm

• Kiểm toán chính thức, chứng nhận, kết quả tuân thủ được cam kết, kiểm thử xâm nhập, phê duyệt production, di chuyển lên đám mây, xây dựng lại hạ tầng hoặc vận hành đám mây được quản lý
• Đảm bảo về việc được kiểm toán chấp thuận, chứng nhận, tuân thủ, thời gian hoạt động, phát hiện đầy đủ rủi ro, hiệu năng hoặc mức độ phù hợp cho production
• Quyền truy cập không giới hạn vào môi trường production, dữ liệu khách hàng, nhà cung cấp hoặc hệ thống bên thứ ba
• Tự động khắc phục, thiết kế lại, triển khai, giám sát hoặc ứng phó sự cố
• Tư vấn pháp lý, bảo đảm theo hợp đồng từ nhà cung cấp hoặc công việc kiến trúc không giới hạn

Khi nào nên chọn

Hãy chọn Cloud Security Readiness khi đội ngũ cần một đợt rà soát bằng chứng có phạm vi xác định trước khi quyết định cách cải thiện một môi trường đám mây đã thống nhất hoặc chuẩn bị một khối lượng công việc. Sản phẩm hữu ích trước một đợt ra mắt, một khối lượng công việc AI, một đợt bàn giao từ nhà cung cấp, một thay đổi nền tảng hoặc một chương trình bảo mật rộng hơn. Khi chỉ cần thực hiện một thay đổi cấu hình đã biết, hoặc khi yêu cầu là một chứng nhận chính thức hay một đợt kiểm thử xâm nhập đầy đủ, một đợt hợp tác chuyên biệt cho nhu cầu đó sẽ phù hợp hơn. Những nhu cầu đó cần phạm vi được xác định riêng. Đợt rà soát hiệu quả nhất khi tổ chức có thể xác nhận các môi trường, nhà cung cấp, khu vực, nguồn bằng chứng và những người phụ trách sẽ nhận các phát hiện.

Phương pháp của chúng tôi

Chúng tôi bắt đầu với ranh giới môi trường và phương pháp thu thập bằng chứng đã thống nhất. Chúng tôi rà soát các chỉ báo liên quan về danh tính, dữ liệu, mạng, khả năng quan sát, bí mật và triển khai, đồng thời giữ rõ các giới hạn về quyền truy cập. Các quan sát được ghi lại kèm bối cảnh: điều gì đã được nhìn thấy, điều đó có thể cho thấy gì, người phụ trách nào nên xem xét và bước tiếp theo nào là tương xứng. Chúng tôi phân biệt một khoảng trống cấu hình có thể thấy được với một kết luận về toàn bộ hệ thống đám mây. Các phát hiện từ đợt rà soát được trình bày như bằng chứng cho các quyết định về tuân thủ và production của chính bạn. Khi bàn giao, đội ngũ nhận được thứ tự ưu tiên, các giới hạn và một hồ sơ quyết định có thể hỗ trợ việc khắc phục, kiểm thử chuyên sâu hơn, lập kế hoạch di chuyển hoặc một đợt hợp tác vận hành riêng. Hồ sơ này giúp người phụ trách quyết định bằng chứng nào có thể hành động ngay, bằng chứng nào cần thêm quyền truy cập hoặc ý kiến từ nhà cung cấp, và bằng chứng nào nên được đánh giá lại nếu môi trường hoặc kế hoạch triển khai thay đổi.

Câu hỏi thường gặp

Bài viết liên quan