Microsoft Security Best Practices: Governance, Risk și Compliance

Activitățile Governance, Risk and Compliance (GRC) ajută la reducerea riscului organizațional, urmărind și validând în timp modul de aplicare a politicilor și a celor mai bune practici. Indiferent de dimensiunea unei organizații aceasta va avea constrângeri legate de disponibilitatea resurselor, a bugetelor, oamenilor și timpului, prin urmare vor fi forțate să prioritizeze consumul acestora  și să-și definească corect prioritățile de securitate, pentru a obține un Return of Investment adecvat în domeniul securității. 

Ce este GRC?

Care sunt capabilitățile GRC incluse în Microsoft Azure?

Conform documentației oficiale Azure Governance Site, componentele și serviciile dedicate din platforma Microsoft Azure sunt următoarele: 

• Microsoft Defender for Cloud – fostul Azure Security Center, dedicat Identificării și prioritizării problemele de igienă a securității (Security Score), prin validarea și aplicarea recomandărilor pentru respectarea conformității cu CIS, PCI, SOC și ISO.
• Grupurile de management – ce asigură administrarea consecventă subscripții și resurse.  
• Azure Policy – Auditează și aplică politica definită la nivelul resurselor Azure sau a unui subset al acestora.  
• Azure Blueprints – Creează medii consecvente, repetabile, inclusiv resurse, politici, atribuiri de roluri și multe altele. 

O definire corectă a mecanismelor GRC la nivelul platformei Azure trebuie să includă următoarele componente: 

• Administarea tenanților Azure AD și a susbcripțiilor 
• Definirea nivelelor de responsabilitate asociate echipelor implicate 

• Adoptarea unei strategii de segmentare eficiente care să identifice segmentele de securitate necesare organizației ce sunt supuse riscurilor 
• Asocierea și administrarea centralizată a subscripțiilor asociate tenanților prin folosirea management groupurilor din Azure (Root MG, Top Level MG și maxim 2-3 nivele în adâncime) 
• Identificarea celor mai importante riscuri ce pot fi asociate pentru a încadra resursele într-un nivel de risc corespunzător 

• Analiza și vizualizarea accesului prin Access Reviews
• Îmbunătățirea posturii de securitate prin aplicarea recomandărilor vizibile în Microsoft Defender for Cloud 
• Implementarea mecanismelor de notificare și administrarea incidentelor

• Gestionarea accesului personalului de securitate și a nivelului de vizibilitate a acestuia  
• Descoperirea și dezactivarea protocoalelor vechi de autentificare care sunt vulnerabile (SMBv1, LM/NTLMv1, wDigest, Unsigned LDAP Binds, and Weak ciphers in Kerberos) 
• Folosirea Microsoft Defender for Cloud pentru vizualizarea nivelului de compliance, automatizarea implementerilor de infrastructură folosind Azure Blueprints (conțin permisiuni RBAC, politici și resurse definite în templateuri) și rularea de benchmarkuri adaptate nevoilor definite în CIS (Center for Internet Security) 
• Implementarea politicilor Azure adaptate nevoilor (exemple de politici Azure) 
• Utilizarea capabilităților de securitate extinse: Azure Customer Lockbox, Hardware Security Module (HSMs) dedicate și Confidential Computing 
• Utilizarea testelor de penetrare și monitorizarea riscurilor Azure AD sign-in sau utilizatori 

 Care sunt capabilitățile GRC din microsoft 365?

Organizațiile care folosesc serviciile paltformei cloud Microsoft 365 pot folosi pe baza tipului de subscriptie aleasa, capabilități integrate în platformă specifice nivelului de conformitate dorit, împărțite în patru grupuri principale ce depind de licență plătită: 

• Information protection 
       – Customer key 
       – Data Loss prevention 
       – Data Loss prevention for Teams DLP 
       – Hold your own key 
       – Message encryption 
       – Advanced message encryption 
       – Multi geo (extra) 
       – Sensitive information types 
       – Sensitivity labels 
       – Sensitivity labels for automated labelling 
• Information governance 
       – Records management 
       – Retention labels 
       – Retention labels for automated labelling 
       – Retention policies 
       – Retention policies for rules based policies 
• Insider risk management 
       – Communications compliance 
       – Customer lock box 
       – Information barriers 
       – Insider risk management 
       – Privacy Management 
       – Privileged access management 
• eDiscovery and Audit 
       – Audit for Advanced Audit 
       – Cloud app discovery 
       – Compliance Manager 
       – Compliance Manager custom assessments 
       – eDiscovery for Advanced eDiscovery 
       – Litigation hold 
       – Microsoft Defender for Cloud Apps (MCAS) 
       – Search 

Este însă o realitate faptul că multe organizații nu folosesc capabilitățile Microsoft 365 integral sau eficient conform nevoilor, ceea ce a determinat Microsoft să definească Microsoft 365 Maturity Model reprezentat prin 5 nivele ale modelului de maturitate reprezentate astfel: 

Rolul acestui model este de a defini o reprezentare holistică a tehnologiilor disponibile și de a înțelege care este starea reală a organizației comparativ cu cea dorită ajutând-o astfel: 

• Să înțeleagă și să compare opțiunile pentru adresarea nevoilor de afaceri 
• Să-și concentreze timpul, energia și resursele pe prioritățile reale 
• Să identifice bugetul și resursele necesare  
• Să definească o linie de referință la care să se raporteze evoluția în timp a mecanismelor active 

Cu siguranță un subiect atât de amplu cum este gestionarea GRC necesită un nivel avansat de înțelegere și cunoaștere a tehnologiilor amintite mai sus, prin urmare vă recomand să studiați secțiunea documentației oficiale GRC  oferită de Microsoft. 

Senior Microsoft Certified Trainer
Microsoft Learning Consultant 2010-2024
Customer Learning Architect
Cloud Solution and Cybersecurity Architect