CISA vừa nâng cao tiêu chuẩn đá gà casino đám mây

Việc định cấu hình sai đá gà casino đám mây vẫn là một trong những nguồn rủi ro phổ biến nhất và có thể phòng ngừa được trong các môi trường được quản lý. Động thái mới nhất của Cơ quan An ninh mạng và Cơ sở hạ tầng (CISA) với Ứng dụng kinh doanh trên nền tảng đám mây an toàn (SCuBA) và Chỉ thị hoạt động ràng buộc (BOD) 25-01 nêu rõ rằng “đặt và quên đi” không còn được chấp nhận đối với Microsoft 365 (M365) và các nền tảng đám mây khác.

Đây không chỉ là một bản ghi nhớ liên bang khác. Đây là bản thiết kế thực tế về cách quản lý, đo lường và sở hữu đá gà casino cấu hình đám mây theo thời gian.

Vấn đề cốt lõi: Cấu hình sai và trôi dạt trên đám mây

Nếu bạn làm việc trong lĩnh vực chăm sóc sức khỏe, dịch vụ tài chính, năng lượng hoặc bất kỳ ngành nào được quản lý khác thì đây là dành cho bạn.

Những gì đang xảy ra trong không gian liên bang không chỉ là câu chuyện liên bang; đó là bản xem trước về những gì tiếp theo dành cho tất cả chúng ta. Cấu hình sai trên đám mây vẫn là một trong những lỗ hổng đá gà casino phổ biến nhất và có thể phòng ngừa được trên các môi trường được quản lý. Đây không phải là do sơ suất hay thiếu đầu tư; đó là vì nền tảng đám mây không đứng yên. Các tính năng phát triển, thay đổi cấp phép, khối lượng công việc mới xuất hiện, đặc quyền của quản trị viên mở rộng và những thay đổi nhỏ về cấu hình tích lũy theo thời gian.

Đối tượng thuê M365 mà bạn bảo đảm năm ngoái không giống với đối tượng thuê mà bạn đang sử dụng hiện nay. Nhiều tổ chức vẫn coi đá gà casino đám mây như một dự án. Họ củng cố nó, xem xét nó, rồi tiếp tục. Nhưng sự trôi dạt không tự thông báo. Nó xây dựng một cách lặng lẽ. Các cơ quan quản lý liên bang vừa nói rõ rằng việc “đặt nó và quên nó đi” không còn được chấp nhận nữa.

CISA đã làm gì: SCuBA và BOD 25-01

Để giải quyết vấn đề này, CISA đã chính thức hóa một phương pháp tiếp cận có cấu trúc để đá gà casino cấu hình đám mây thông qua sáng kiến SCuBA của mình. SCuBA xác định đá gà casino sẽ trông như thế nào trong các nền tảng đám mây như M365. Nó thiết lập các kỳ vọng đá gà casino tối thiểu thông qua Đường cơ sở cấu hình an toàn (SCB) phù hợp với các ưu tiên rủi ro liên bang. Nói một cách đơn giản, nó định nghĩa thế nào là “tốt”. Tuy nhiên, việc xác định tiêu chuẩn là chưa đủ.

Đó là lúc BOD 25-01 phát huy tác dụng. Theo chỉ thị này, các cơ quan dân sự liên bang được yêu cầu triển khai các đường cơ sở đó, đo lường chúng bằng các công cụ tự động, xác định những điểm còn thiếu sót và liên tục khắc phục những lỗ hổng đó. Từ cuối cùng đó là chìa khóa: liên tục. Về mặt thực tế, đá gà casino đám mây không còn là “nỗ lực tốt nhất” nữa. Nó có thể đo lường được, có thể thực thi được và dự kiến ​​sẽ tiếp tục.

Định hướng liên bang từ lâu đã trở thành kỳ vọng của ngành.

Tại sao cấu hình sai liên tục hiển thị

Cấu hình sai trên đám mây vẫn là một trong những lỗ hổng đá gà casino phổ biến nhất. Thông thường là do những điều sau:

• Không có đường cơ sở nhất quán hoặc đường cơ sở không được thực thi nhất quán.
• Việc xác thực được thực hiện thủ công hoặc định kỳ.
• Các khoảng trống không được theo dõi cho đến khi đóng.
• Lãnh đạo điều hành thiếu tầm nhìn về rủi ro cấu hình.

đá gà casino trở nên phản ứng vì các lỗ hổng có xu hướng xuất hiện trong quá trình kiểm tra hoặc sau sự cố thay vì được phát hiện sớm thông qua quá trình xác thực liên tục.

Những gì CISA đang làm ở đây là buộc quy trình phải hoàn thiện hơn bằng cách xác định tiêu chuẩn, đo lường tiêu chuẩn đó, theo dõi độ lệch và xác định các biện pháp khắc phục. Rửa sạch, sau đó lặp lại. Sự tiến bộ trở nên rõ ràng và trách nhiệm giải trình trở thành hiện thực!

Lớp đánh giá: Biến đường cơ sở thành hành động

Nhưng đường cơ sở không được xác thực chỉ là tài liệu. Đó là lúc lớp đánh giá xuất hiện. Các công cụ như ScubaGear đo lường môi trường thực tế của bạn dựa trên đường cơ sở SCuBA. Đây là lớp xác nhận. Nó xác định các lỗ hổng và hiển thị nơi xảy ra sự cố cấu hình. Cùng nhau, SCuBA và ScubaGear tạo ra cấu trúc, đo lường và trách nhiệm giải trình.

Tại sao tất cả những điều này lại quan trọng? Mặc dù về mặt kỹ thuật, BOD 25-01 áp dụng cho các cơ quan dân sự liên bang nhưng nó thường đặt ra tiêu chuẩn cho các ngành được quản lý. Nếu bạn hoạt động trong lĩnh vực chăm sóc sức khỏe, tài chính, năng lượng hoặc cơ sở hạ tầng quan trọng thì đây không phải là nhiệm vụ của người khác. Đó là một tín hiệu rõ ràng về nơi mà các kỳ vọng pháp lý đang hướng tới.

Bất kể lĩnh vực nào, lãnh đạo đều có thể trả lời một số câu hỏi đơn giản:

• Chúng ta có nắm rõ tình hình đá gà casino M365 hiện tại không?
• Khi thứ gì đó không còn phù hợp, ai sẽ sở hữu nó?
• Việc khắc phục có được theo dõi và đo lường không?
• Lãnh đạo điều hành có hiểu được rủi ro gắn liền với việc thay đổi cấu hình theo thời gian không?
• Chúng ta đang dựa vào quá trình xác thực chặt chẽ tại một thời điểm hay liên tục?

Nếu những câu trả lời đó không rõ ràng thì rủi ro là có thật. Drift không tự thông báo; nó tích lũy một cách lặng lẽ.

Đối với các cơ quan dân sự liên bang, con đường phía trước là trực tiếp. Triển khai phiên bản cập nhật, xác thực dựa trên các đường cơ sở hiện tại, xem xét kết quả đầu ra và chính thức hóa cách theo dõi và khắc phục các sai lệch.

Đối với các ngành được quản lý ngoài không gian liên bang, lệnh này có thể không bắt buộc nhưng chế độ này cần được chú ý:

• Xác định đường cơ sở.
• Tự động xác thực.
• Theo dõi cách khắc phục.
• Báo cáo trở lên.

Bài học lớn: Kỷ luật vận hành, không chỉ là công cụ

Bài học lớn—bản cập nhật này củng cố một điều gì đó thường bị bỏ qua trong các cuộc thảo luận về công cụ. đá gà casino không phải là cài đặt công cụ. Đó là về việc xây dựng kỷ luật hoạt động. SCuBA xác định tiêu chuẩn. ScubaGear là một cơ chế. BOD 25-01 là một nhiệm vụ. Nhưng mục tiêu thực sự là sự trưởng thành trong hoạt động.

đá gà casino đám mây ngày nay cần được chuẩn hóa, tự động hóa, xác thực liên tục, sở hữu rõ ràng và hiển thị ở cấp điều hành. Quản trị bền vững trông như thế đó. Môi trường đám mây sẽ tiếp tục thay đổi, các tính năng sẽ tiếp tục phát triển và các nhóm sẽ tiếp tục thực hiện các điều chỉnh. Trôi dạt sẽ xảy ra. Cách duy nhất để theo kịp là coi đá gà casino là một nguyên tắc liên tục bằng cách liên tục đo lường, sửa chữa và xác thực theo thời gian.

Biến Hướng dẫn của CISA thành Kế hoạch đá gà casino đám mây

Biến những kỳ vọng của liên bang thành một chương trình đá gà casino đám mây liên tục, thiết thực cho môi trường M365 của bạn. Alchemy Technology Group, LLC, (“Alchemy”), cung cấp một Mastermind về đá gà casino đám mây giúp nhóm của bạn có một cách thức có cấu trúc để điều chỉnh các đường cơ sở, xác thực và khắc phục với kiến trúc hiện tại của bạn, giúp hiển thị, sở hữu và quản lý rủi ro cấu hình theo thời gian.

Lên lịch cho buổi học chủ mưu.

Tài liệu tham khảo

• Dự án SCuBA:
• BOD 25-01: Triển khai các biện pháp đá gà casino cho dịch vụ đám mây:
• BOD 25-01: Triển khai các biện pháp đá gà casino cho cấu hình bắt buộc của dịch vụ đám mây: