Gostaria de informações sobre Security by Design
Security By Design

A Security by Design (SbD, segurança por projeto) é uma abordagem de garantia de segurança que formaliza a conta da AWS, automatiza os controles de segurança e acelera a auditoria. Em vez de depender da segurança de auditoria retroativamente, a SbD oferece controle integrado a todo o processo de gerenciamento de TI da AWS. Usando modelos de Security by Design CloudFormation, a segurança e a conformidade na nuvem podem se tornar mais eficientes e abrangentes.

A SbD abrange uma abordagem de quatro fases para segurança e conformidade em escala, em vários setores, normas e critérios de segurança. A SbD da AWS pode ser usada ao desenvolver recursos de conformidade para todas as fases de segurança, permitindo que o cliente desenvolva tudo dentro do próprio ambiente de cliente da AWS: permissões, registros, relações de confiança, aplicação de criptografia, imagens de máquinas aprovadas por autorização e muito mais. A SbD permite aos clientes automatizar a estrutura de front-end da conta da AWS, codificando com segurança e conformidade em contas da AWS, tornando a falta de conformidade com controles de TI uma coisa do passado.


A SbD destaca as responsabilidades de controle, a automação das linhas bases de segurança, a configuração de segurança e a auditoria de controles do cliente para uma infraestrutura de cliente da AWS, sistemas operacionais, serviços e aplicativos executando na AWS. Este projeto padronizado, automatizado, prescritivo e repetível pode ser implantado para casos de uso comuns, normas de segurança e requisitos de auditoria em vários setores e cargas de trabalho.

A AWS recomenda a incorporação de segurança e conformidade na sua conta da AWS seguindo uma abordagem de quatro fases:

Fase 1 – Entender seus requisitos. Destaque suas políticas e, em seguida, documente os controles que herdar da AWS. Em seguida, documente os controles que você possui e opera no seu ambiente da AWS e decida quais regras de segurança você deseja aplicar no seu ambiente de TI da AWS.

Fase 2 – Criar um "ambiente seguro" que se ajuste aos seus requisitos e implementação. Defina a configuração que precisa na forma de valores de configuração da AWS, como requisitos de criptografia (forçando a criptografia do lado do servidor para objetos do S3), permissões para recursos (que funções aplicam-se a determinados ambientes), que imagens de computação são autorizadas (com base em imagens solidificadas de servidores que você autorizou) e que tipos de necessidades de registros ativar (como a aplicação do uso do CloudTrail em recursos aplicáveis). Como a AWS fornece um conjunto maduro de opções de configuração (com novos serviços sendo liberados todo o tempo), os modelos estarão disponíveis para alinhar seu ambiente com controles de segurança. Esses modelos de segurança (na forma de modelos do AWS CloudFormation) oferecem um conjunto de regras mais abrangente que pode ser aplicado sistematicamente. A AWS desenvolveu modelos que oferecem regras de segurança conforme as várias estruturas de segurança. Para obter mais informações, consulte o whitepaper "Introduction to Security by Design".

Você obtém mais ajuda para criar este "ambiente seguro" com arquitetos experientes da AWS, serviços profissionais da AWS e líderes de transformação de TI parceiros. Essas equipes podem trabalhar em conjunto com sua equipe e as equipes de auditoria para ajudar a implementar ambientes seguros de alta qualidade como suporte a auditorias de terceiros.

Fase 3 – Aplicar o uso de modelos. Ative o catálogo de serviços e aplique o uso do seu modelo no catálogo. Esta é a etapa que aplica o uso do seu "ambiente seguro" em novos ambientes que estão sendo criados e impede que alguém crie um ambiente que não obedeça às regras de segurança do seu "ambiente seguro". Isso efetivamente operacionaliza as configurações de segurança de conta remanescentes dos controles em preparação para a prontidão da auditoria.

Fase 4 – Executar atividades válidas. A implantação da AWS através do catálogo de serviços e de modelos de "ambiente seguro" ajuda a criar um ambiente pronto para auditoria. As regras que você definiu no seu modelo podem ser usadas como um guia de auditoria. O AWS Config permite que você capture o estado atual de qualquer ambiente, que pode então ser comparado com as regras do seu "ambiente seguro". Isso oferece comprovação de auditoria, coletando recursos através de permissões de "acesso de leitura" seguro, junto com roteiros exclusivos, que permitem a automação da auditoria para coleta de provas. Os clientes conseguirão converter controles administrativos manuais tradicionais em controles tecnicamente impostos com a garantia de que, se o projeto e o escopo forem corretos, os controles operam a 100% em qualquer ponto no tempo, em comparação com métodos de amostragem de auditoria ou revisões de ponto no tempo.

Esta auditoria técnica pode ser expandida com orientação pré-auditoria, como suporte e treinamento para auditores do cliente, para garantir que a equipe de auditora entenda os recursos de automação da auditoria exclusivos que a Nuvem AWS oferece.

Segurança da AWS
Security By Design da Nuvem AWS

Impacto na AWS de SbD

A abordagem SbD tem a intenção de obter o seguinte:

• Criação de funções obrigatórias que não podem ser ignoradas pelos usuários que não têm permissão para alterar essas funções.
• Estabelecimento de operações de controles confiáveis.
• Ativação de auditoria contínua e em tempo real.
• Criação de roteiros técnicos da sua política de governança.

O resultado é um ambiente automatizado, possibilitando a garantia de segurança, governança e recursos de segurança e conformidade do seu ambiente. Os clientes podem agora executar a implementação confiável do que foi escrito previamente em políticas, normas e regulamentos. Adicionalmente, os clientes podem criar segurança e conformidade aplicáveis, que, por sua vez, cria um modelo de governança confiável para ambientes do cliente da AWS.


Whitepapers

Fique familiarizado com os conceitos no whitepaper de Security by Design.

Faça o treinamento individualizado sobre "Como auditar a arquitetura da AWS". Isso oferece exposição aos recursos e interfaces da AWS, especialmente em termos de opções de configuração que estão disponíveis para auditores e proprietários de controle de segurança.

Esteja familiarizado com recursos relevantes adicionais disponíveis para você:
a. Amazon Web Services: visão geral dos processos de segurança
b. Introdução à auditoria do uso do whitepaper da AWS
c. Federal Financial Institutions Examination Council (FFIEC) – Guia de auditoria
d. SEC – Cybersecurity Initiative Audit Guide
e. CJIS Security Policy Audit Guide

 

Recursos de Security By Design

 

Entre em contato conosco