Guvernanta

• Utilizarea serviciilor de clound este strict pentru scopuri de afaceri și avansează misiunea și obiectivele strategice ale întreprinderii.

• Alinierea operațiunilor de cloud cu cerintele de business este asigurată prin claritate continuă și la timp în roluri și responsabilități.

• Responsabilitatea completă este stabilită pentru aplicațiile de cloud individuale și resursele lor conexe pentru a asigura că întreprinderea poate îndeplini așteptările părților interesate printr-un mediu sigur.

• Programul de securitate a informațiilor al întreprinderii și procedurile aferente (inclusiv serviciile cloud) rămân actuale și relevante în lumina schimbărilor operaționale.

• sunt dezvoltate planuri formale sau politici și proceduri pentru funcțiile de cloud critice (inclusiv, dar fără a se limita la, managementul schimbărilor și răspunsul la incidente).

• sunt furnizate niveluri consistente de servicii operaționale IT prin gestionarea adecvată a rețelei, inclusiv aplicațiile de cloud.

• sunt gestionate slăbiciunile de configurare a securității prin menținerea unui inventar complet și precis al cloudului.

• Se proiectează și se aplică protecția activelor proporțional cu clasificarea datelor.

• sunt achiziționate sau dobândite servicii de cloud adecvate care susțin obiectivele de afaceri și nevoile părților interesate.

• Angajarea furnizorilor de servicii externi nu compromite așteptările de securitate pe care le-a stabilit întreprinderea.

• Obiectivele strategice ale întreprinderii nu sunt întârziate sau perturbate de acțiuni adverse rezultate din acces neautorizat.

Managementul configuratiilor retelei

• Arhitectura de securitate a rețelei este stabilită și susține cerințele de securitate ale întreprinderii.

• Se poate identifica și lua măsuri la timp împotriva traficului de rețea inadecvat.

• Se utilizează medii de rețea izolate pentru a asigura integritatea diverselor sale operațiuni de afaceri.

• Comunicările de rețea sunt gestionate printr-un program formal de management al traficului de rețea.

• Se oferă acces privilegiat personalului în conformitate cu nevoile valide de afaceri.

• Conectivitatea între Virtual Private Clouds există exclusiv pentru a deservi nevoile corespunzătoare ale afacerii .

• Se menține disponibilitatea resurselor AWS care depind de sistemele IT gestionate de întreprindere.

• Se utilizează integrarea pentru a simplifica procesele operaționale și pentru a-și atinge obiectivele strategice.

Managementul configuratiilor Asseturilor de cloud

• Cerințele operaționale pentru securitate sau alte scopuri sunt îndeplinite se obține printr-un proces formal de implementare a aplicațiilor cloud în mediu.

• Se autorizează în mod expres modificările aduse aplicațiilor de cloud și resurselor conexe pentru a se asigura că orice modificări sunt adecvate și susțin nevoile de afaceri.

• Riscul potențial ca modificările din mediu să afecteze negativ operațiunile este atenuat prin monitorizarea activelor de cloud.

• Se menține integritatea mediului prin stabilirea unor programe de schimbare.

• Riscul potențial privind vulnerabilitățile aplicațiilor de cloud și resurselor conexe este atenuat.

• Slăbiciunile potențiale de securitate sunt identificate prin testarea de penetrare.

• Obiectivele întreprinderii legate de controlul costurilor sunt susținute prin identificarea și eliminarea activelor inutile într-un mod oportun.

• Întreprinderea a dezvoltat directive pentru păstrarea și eliminarea datelor pentru activele de cloud pentru a se asigura că datele sunt păstrate doar pentru perioada necesară prin lege sau pentru nevoile de afaceri.

Accesul logic

• Responsabilitatea și securitatea funcțiilor de afaceri bazate pe cloud sunt realizate prin acces restricționat la conturile root.

• Managementul integritatii conturilor root prin implementarea autentificării multifactor.

• Confidențialitatea datelor este asigurată prin gestionarea accesului pe baza nivelului de acces necesar utilizatorilor sau funcțiilor de rețea pentru a-și îndeplini rolurile intenționate.

• Managementul integritatii și confidențialitatii aplicațiilor de cloud prin identificarea și reducerea accesului conflictual.

• Managementul integritatii și confidențialitatii mediului prin limitarea instrumentelor administrative disponibile personalului.

• Odată identificat, accesul inadecvat (de exemplu, accesul care nu mai servește o nevoie de afaceri) este complet eliminat într-un mod oportun.

• Managementul confidențialitatea și securitatea datelor prin protecția cu parolă a conturilor utilizatorilor care accesează aplicațiile de cloud.

• Se menține caracterul adecvat al rolurilor de acces și al politicilor de permisiuni conexe prin revizuiri continue și monitorizare în timp real.

• Se impune confidențialitatea și integritatea aplicațiilor cloud prin solicitarea autentificării multifactor.

• Se gestioneaza accesului extern la aplicațiile de cloud prin autorizare si se asigură că acțiunile întreprinse sunt limitate la acțiunile care au fost aprobate pentru acel rol specific.

• Se menține confidențialitatea și integritatea informațiilor criptografice prin restricționarea accesului la persoanele adecvate.

• Se asigură integritatea sesiunilor aplicațiilor cloud prin aplicarea timpilor de expirare a sesiunilor.

• Se asigură securitatea și utilizarea adecvată a rețelei sale prin definirea și comunicarea comportamentului așteptat utilizatorilor înainte de a acorda acces utilizatorilor.

Critografia

• Se aplică criptare adecvată pentru depozitele de date individuale, care este proporțională cu cerințele de afaceri.

• Se menține confidențialitatea datelor prin aplicarea criptării, așa cum este definită de cerințele de clasificare a datelor.

• Se menține confidențialitatea și integritatea datelor pentru sursele și destinațiile externe ale rețelei.

• Se menține integritatea statutului de criptare prin utilizarea monitorizării.

Raspunsul la incidente de securitate

• Există o înțelegere clară în cadrul organizației cu privire la strategie și plan de acțiune în cazul unui eveniment de securitate.

• Se ia în considerare în mod expres și încorporează relațiile publice în postura și documentația sa de securitate.

• Se verifica eficacitatea programului său de răspuns la incidente de securitate prin comunicare strategică.

• Se menține integritatea evenimentelor de securitate prin utilizarea unei aplicații sigure de gestionare a incidentelor.

• întreprinderea este conștientă de evenimentele de securitate de interes, întreprinderea colaborează cu parteneri de afaceri externi (forțe de ordine, furnizori etc.).

• Întreprinderea asigură că există un plan de acțiune specific pentru fiecare rol în cazul unui eveniment de securitate.

Security Logging & Monitoring

• Prin programul său formal de monitorizare a securității, întreprinderea atenuează riscul ca accesul la datele și sistemele sale să fie refuzat din cauza actelor malițioase.

• Practicile de păstrare a jurnalelor respectă cerințele de conformitate, precum și nevoile de afaceri.

• Se menține integritatea jurnalelor prin limitarea accesului la persoane cu o nevoie validă de afaceri.

• Se menține integritatea jurnalelor prin monitorizarea și investigarea tentativelor de modificare a datelor jurnalelor.

• Practicile de păstrare a jurnalelor respectă cerințele de conformitate, precum și nevoile de afaceri.

• Se îmbunătățește în mod constant postura de securitate și capacitățile de jurnalizare prin revizuiri formalizate.

• Se identifică și abordează evenimentele de eșec de jurnalizare într-un mod oportun.

• Se menține integritatea jurnalelor prin utilizarea unei surse de timp autoritare și sincronizate.

• Se evaluează în mod constant completitudinea și acuratețea jurnalizării pe măsură ce își extinde sau își reduce amprenta IT.

• Se menține integritatea conturilor de rețea privilegiate prin monitorizarea abuzurilor de conturi cloud sau a drepturilor de acces și răspunde într-un mod oportun.

Disaster Recovery

• Întreprinderea atenuează riscul de a nu putea relua operațiunile atunci când apare un dezastru.

• Operațiunile de afaceri pot continua în cazul unei perturbări semnificative a afacerii sau pot recupera după un dezastru.

• Întreprinderea atenuează riscul de întrerupere a operațiunilor atunci când apare un dezastru.

• Responsabilitățile de recuperare în caz de dezastru sunt partajate și rotite în mod regulat pentru a maximiza potențialul de disponibilitate al aplicațiilor cloud .

• Obiectivele strategice ale întreprinderii în jurul disponibilității și integrității datelor sunt îndeplinite prin planificarea formală a protecției și restaurării datelor.

• Întreprinderea asigură continuitatea operațiunilor prin contractarea cu furnizori suplimentari de cloud.