მთავარი დასკვნა
განსაზღვრეთ თითო სერვისზე პასუხისმგებლობა, აკონტროლეთ ვინაობები და მონაცემები, შექმენით ხილვადობა და ივარჯიშეთ ინციდენტიდან აღდგენაში.
რას მოიცავს ღრუბლოვანი უსაფრთხოება
ღრუბლოვანი უსაფრთხოება ანგარიშებს, ვინაობებს, ქსელებს, აპლიკაციებს, მონაცემებსა და დატვირთვებს მოიცავს. პროვაიდერი შეიძლება ინფრასტრუქტურასა და სერვისის ნაწილებს მართავდეს, მონაცემთა კლასიფიკაცია, მომხმარებელთა და დატვირთვათა ნებართვები, კონფიგურაციის არჩევანი და აპლიკაციის უსაფრთხოება კი ხშირად მომხმარებლის პასუხისმგებლობად რჩება. განაწილება IaaS, PaaS, SaaS და ცალკეული სერვისების მიხედვით იცვლება. ჯერ გამოყენებული სერვისები და მონაცემები განსაზღვრეთ, შემდეგ კი რეალური პასუხისმგებლობის მატრიცა აღწერეთ.
დაიცავით ვინაობები, მონაცემები და კავშირები
ადამიანებისთვის ცენტრალიზებული ვინაობა და შესაბამისი MFA გამოიყენეთ; სერვისებსა და აპლიკაციებს ცალკე ვინაობები შეუქმენით და ნებართვები აუცილებელი მინიმუმით შეზღუდეთ. მონაცემები სენსიტიურობით დაახარისხეთ, შემდეგ შენახვისა და გადაცემისას დაშიფვრა, გასაღებების მართვა და სარეზერვო ასლების დაცვა განიხილეთ. დაუშვით მხოლოდ საჭირო შემომავალი და გამავალი ქსელური წვდომა. API‑ებსა და მესამე მხარის ინტეგრაციებს მფლობელები დაუნიშნეთ და ავტორიზაციის მონაცემები წყაროს კოდსა და საჯარო საცავებში არ შეინახოთ.
შექმენით ხილვადობა და მმართველობა
შეინარჩუნეთ აქტივების ინვენტარი, საბაზისო კონფიგურაცია და ცვლილებების ისტორია. დაგეგმეთ ჟურნალების შეგროვება და შენახვა, ხოლო ვინაობის მოვლენები, API გამოძახებები, რესურსის ცვლილებები და დატვირთვის სიგნალები მოქმედებისთვის გამოსადეგ გაფრთხილებებად აქციეთ. NIST CSF 2.0-ის ექვსი ფუნქცია — მართვა, იდენტიფიკაცია, დაცვა, აღმოჩენა, რეაგირება და აღდგენა — პროგრამის სტრუქტურირებაში დაგეხმარებათ. ჩარჩოს შესაბამისობის სერტიფიკატად ნუ წარმოადგენთ; იურიდიული ვალდებულებები მონაცემთა მდებარეობის, დამუშავებისა და ორგანიზაციის როლიდან ცალკე განსაზღვრეთ.
| კონტროლის მიზანი | მტკიცებულების მაგალითი | პასუხისმგებელი შემდგომ ნაბიჯზე |
|---|---|---|
| პრივილეგირებული წვდომის შეზღუდვა | როლებისა და MFA‑ს განხილვა | ვინაობის მფლობელი |
| სენსიტიური მონაცემების დაცვა | წვდომის, დაშიფვრისა და გასაღებების კონფიგურაცია | მონაცემთა და სერვისის მფლობელი |
| ცვლილებების გამოძიება | გამოსაყენებელი აუდიტის მოვლენა | ოპერაციების ანალიტიკოსი და ესკალაცია |
| სერვისის აღდგენა | აღდგენის სავარჯიშოს შედეგი | აპლიკაციისა და აღდგენის მფლობელი |
მოემზადეთ ინციდენტებისა და გათიშვებისთვის
წინასწარ გადაწყვიტეთ, რომელი გუნდი შეზღუდავს ანგარიშს, შეინახავს ჟურნალებს, დაუკავშირდება პროვაიდერს და შეატყობინებს ბიზნესმფლობელს ღრუბლოვანი ინციდენტისას. ივარჯიშეთ დაზარალებული გასაღებებისა და სესიების გაუქმებაში, რესურსის იზოლაციასა და მტკიცებულებების შენახვაში. სარეზერვო ასლები, სხვა ზონის ხელმისაწვდომობა და პროვაიდერის უწყვეტობის შესაძლებლობები საკუთარი აღდგენის გეგმისგან განასხვავეთ. აღდგენის დროისა და მონაცემთა დანაკარგის მიზნები ბიზნესის საჭიროებებზე ააგეთ და სავარჯიშოებში გადაამოწმეთ.
კონტროლი მონაცემებისა და გუნდის კონტექსტს მოარგეთ
ერთი კონფიგურაცია ყველა მონაცემთა კლასსა და სერვისს შეიძლება არ მოერგოს. გაითვალისწინეთ მონაცემთა სენსიტიურობა, მომხმარებლები, პროვაიდერის რეგიონი და დამუშავების პირობები; განსაზღვრეთ დამტკიცების გზა აპლიკაციის, მონაცემებისა და ანგარიშის მფლობელებს შორის. რეგულირებული ან ხელშეკრულებით შეზღუდული მონაცემებისთვის კონკრეტული ვალდებულებები იურიდიულ და კონფიდენციალურობის პასუხისმგებლებთან დაადასტურეთ. უსაფრთხოების კონტროლი გადაწყვეტილებას ეხმარება; სამართლებრივ შესაბამისობას თავისთავად არ ადგენს.