此篇文章发布距今已超过48天，您需要注意文章的内容或图片是否可用！
公众号回复 行业群
a）以零信任安全理念为导向:基于零信任“永不信任，持续验证”的安全理念，对数字机关系统中身份、网络、应用、数据、基础设施进行评估；b）采用静态与动态相结合:评估过程中既要收集系统的技术架构、系统部署等文档进行分析评估，又要在系统中采用模拟攻击、动态监控、日志分析等手段进行评估；c）数据客观、注重实效原则:在保证数字机关系统正常运转下，采用定量与定性相结合的方法对数字机关系统中身份、网络、应用、数据、基础设施等方面进行评估，客观、实效地反映数字机关整体安全防护水平。| 评估实施流程
a）评估发起：根据评估目标，选择评估对象和指标项，发起评估；b）预评估：被评估对象根据评估要求，进行初步预评估及准备评估资料；d）发布评估结果：评估方计算评估分数，发布评估结果；e）改进提升：被评估方根据评估结果反馈进行改进提升。数字机关应建立统一的身份认证体系，各机构应确保用户和实体因正确的目的，在正确的时间访问正确的资源，且未授予他们过多的访问权限，相关技术要求如下：a）身份认证，应持续对接入数字机关办公人员/运维人员使用MFA对身份进行验证，而不仅仅是在最初授权时进行验证）b）身份库，应在整个数字机关环境中以及合作伙伴的环境中安全地整合身份库；c）风险评估，应基于持续分析和动态规则，实时地确定办公人员/运维人员身份风险，以提供持续的保护；d）访问管理，应使用自动化来实现即时授权和恰到好处的授权，以满足办公人员/运维人员的操作和资源需求。设备是指数字机关的硬件、软件、固件等资产。为确保所有设备的安全性，管理安全风险，并阻止未授权设备访问资源，相关技术要求如下：a）策略执行和合规监控，应在设备和虚拟资产的整个生命周期中，持续检查并执行合规策略；b）应在数字机关的所有环境中对设备、软件、配置和漏洞管理进行整合，包括虚拟资产；c）资产与供应链风险管理，应提供全面的、实时或接近实时的、跨供应商和服务提供商的资产视图，在合适情况下，自动化其供应链风险管理；d）资源访问，应在资源访问时应对设备和虚拟资产进行实时风险分析；e）设备威胁保护，应部署集中式的，具有先进功能的威胁保护安全解决方案，对所有设备和虚拟资产进行保护，并在设备威胁保护、策略实施和合规监控方面采用统一的方法；f）终端安全隔离，终端设备如存在一机两用场景，应支持安全隔离，即将工作秘密区与非工作秘密区进行隔离，包括网络隔离、会话隔离和存储隔离。a）网络微隔离，数字机关内相关应用之间要建立分布式的微隔离边界，当应用之间需要交互时，微隔离平台应提供即时的、适度的联通；b）网络流量管理，应具备网络流量管理功能，依据不同应用的特性，构建动态的网络规则和配置，并持续进行评估，依据任务的关键性和风险，不断调整应用的优先级；c）流量加密，应根据需要持续加密流量，密钥的管理采用最小权限原则，以保证密钥的安全，并采取了最佳实践来方便密码的使用；d）网络弹性，应能及时感知所有工作负载的可用性变化，提供相应的弹性机制，在工作负载异常过大时，仍然能提供基本的服务，保持网络的可用性。数字机关内部署有大量的系统、计算机程序和服务，包括内部应用和公共应用。为保护这些应用和工作负载的安全，相关技术要求如下；a）应用访问控制，应对应用程序采取持续的访问授权机制，并结合实时的风险分析，以及行为或使用模式等因素的影响；b）应用威胁防护，应将高级威胁保护集成到所有应用的工作流中，提供实时可见性和内容感知保护，以应对特定于应用程序的复杂攻击；c）可访问的应用，应根据需要，把所有适用的应用通过开放的公共网络提供给授权用户和设备使用；d）安全的应用开发和发布流程，在可行的情况下充分利用不可变工作负载，只能通过重新部署来更改工作负载，支持自动化的代码部署流程，并取消管理员对部署环境的访问权限；e）应用安全测试，应将应用安全测试集成到从开发到部署的整个软件开发周期中，并实现日常、自动化测试。数据包括所有结构化和非结构化的文件和碎片，存在于系统、设备、网络、应用程序、数据库、基础设施和备份中，包括相关的元数据。基于零信任的数字机关安全防护体系，在数据防护方面的相关技术要求如下：a）应确保数字机关数据的识别和清点，能自动检测到数据环境的任何更改；b）能对数据环境进行审查，以确定与数据丢失、攻击或任何其他未经授权的更改或访问相关的潜在风险；c）应持续维护数字机关所有使用数据的清单，并采用强大的数据防泄漏策略，动态阻止可疑的数据泄露；d）能实现用细粒度、结构化格式自动对所有数字机关数据执行分类并标记；e）能根据用户和实体需求动态调整优化数字机关数据的可用性；f）能在整个数字机关范围内实现自动化数据访问控制，并持续审查权限；g）能实现必要的数据加密，执行最小授权原则以进行安全密钥管理；h）能使用最新的安全标准和密码敏捷性应用加密技术。可视化是指从数字机关的事件特征中产生的可观测指标。对与数字机关安全相关的数据进行分析有助于提供策略决策依据、促进应急响应活动，并采取有效的安全措施。基于零信任的数字机关体系，在可视化与分析方面，相关技术要求如下：a）能组织收集和处理所有日志，包括网络、数据、应用程序、设备和用户日志，日志和事件遵循标准化格式，并根据需要开发规则或分析；b）能对用户活动日志进行自动化分析，维护数字机关范围内的全面可见性和态势感知；c）能自动化采集所有设备和虚拟资产的状态，并与身份关联、执行端点监控和异常检测，为资源授权提供信息；e）能维持对整个数字机关的通信可见性，并自动对所有检测源的检测信息进行关联；f）能在所有应用程序上执行持续、动态的监控，以保持全面可见性；g）能实现全面跟踪数据生命周期，并具备强大的分析能力，支持全面的数据视图和持续的安全状况评估；h）能实现对日志和事件的集中、动态监控和高级分析，以达到数字机关范围内的全面可见性。基于零信任的数字机关安全防护体系，采用自动化工具和工作流程。在自动化与编排方面，相关技术要求如下：a）应能在整个数字机关实现完全集成的所有身份自动编排；b）应能通过全自动流程，实现连接数字机关的设备及虚拟资产的供应、注册、监控、隔离、修复和销毁；c）应能由基础设施定义网络和环境，并实现自动化的变更管理方法，包括自动的初始化和过期失效；d）应能自动处理数字机关应用程序配置，实现安全性和性能的持续优化；e）应能最大程度地自动化实施数字机关所有数据的生命周期管理和安全策略；f）应能动态响应整个数字机关范围内的需求变化和环境变化。零信任应用运营安全体系的建设是一个持续的过程，数字机关单位在建设过程中可按步骤实施，首先实现基本级，保证合法合规要求，并具备一定的对抗性；增强级是在符合基本级要求基础上，依据业务需求提升对抗能力。扫码下载文件
| -
推荐站内搜索：最好用的开发软件、免费开源系统、渗透测试工具云盘下载、最新渗透测试资料、最新黑客工具下载……
ZhouSa.com
还没有评论，来说两句吧...