Describir los marcos

  • 5 minutos

Microsoft proporciona varios marcos de procedimientos recomendados que los arquitectos de ciberseguridad usan para diseñar y evaluar la seguridad en toda la organización. Cada marco sirve un propósito y una audiencia diferentes. Comprender el ámbito y la intención de cada marco le ayuda a elegir las instrucciones adecuadas para una situación determinada.

Microsoft Cloud Adoption Framework (Marco de Adopción de la Nube de Microsoft)

Microsoft Cloud Adoption Framework (CAF) es una hoja de ruta estructurada que ayuda a las organizaciones a adoptar Azure correctamente e integrarla en sus entornos de TI existentes. CAF proporciona procedimientos recomendados e instrucciones a lo largo de todo el ciclo de vida de adopción de la nube.

CAF organiza instrucciones en siete metodologías principales: Estrategia, Plan, Listo, Adopción, Gobernanza, Seguro y Administración. Las metodologías fundamentales (Estrategia, Plan, Listo y Adopción) son secuenciales y ayudan a definir resultados empresariales, preparar su organización y entorno e implementar cargas de trabajo. Las metodologías operativas (gobernanza, protección y administración) ayudan a garantizar que el entorno de Azure siga siendo compatible, protegido y optimizado con el tiempo.

CAF incluye instrucciones de seguridad relacionadas con roles y responsabilidades de la organización, procedimientos recomendados de seguridad e implementaciones de referencia. Sirve a las organizaciones en todos los sectores y escalas que persiguen la adopción de la nube.

Diagrama que muestra las metodologías de Cloud Adoption Framework, como estrategia, plan, listo, adopción, gobernanza, protección y administración.

Marco de buena arquitectura de Azure

Azure Well-Architected Framework (WAF) es un marco de diseño que mejora la calidad de una carga de trabajo. WAF le ayuda a diseñar cargas de trabajo resistentes, seguras, optimizadas para costos, excelentes y eficientes de forma operativa.

WAF se basa en cinco pilares de excelencia arquitectónica:

  • Confiabilidad: Garantiza que las cargas de trabajo sean resistentes, disponibles y recuperables.
  • Seguridad: Protege las cargas de trabajo contra amenazas.
  • Optimización de costos: Garantiza que las cargas de trabajo ofrecen una rentabilidad suficiente sobre la inversión.
  • Excelencia operativa: Apoya el desarrollo y las operaciones responsables.
  • Eficiencia del rendimiento: Garantiza que las cargas de trabajo logren su propósito en períodos de tiempo aceptables.

WAF está centrado en la carga de trabajo. Se aplica a los equipos responsables de mejorar las cargas de trabajo individuales y abordar los problemas de diseño transversales. Si busca instrucciones para mejorar una cartera de cargas de trabajo a través de controles centralizados, CAF es el marco más adecuado.

Diagrama que muestra los pilares de Azure Well-Architected Framework, como confiabilidad, seguridad, optimización de costos, excelencia operativa y eficiencia del rendimiento.

Arquitecturas de referencia de ciberseguridad de Microsoft

Las arquitecturas de referencia de ciberseguridad de Microsoft (MCRA) son arquitecturas técnicas que permiten adoptar la seguridad de un extremo a otro mediante principios de confianza cero. MCRA describe la seguridad de un extremo a otro para el patrimonio tecnológico "híbrido de todo", que abarca TI heredada, multinube, Internet de las cosas (IoT), Tecnología operativa (OT), Inteligencia artificial (IA) y mucho más.

MCRA es un componente del Marco de adopción de seguridad (SAF) de Microsoft e incluye:

  • Antipatrones (errores comunes) y procedimientos recomendados.
  • Guía para adoptar correctamente un enfoque de seguridad de un extremo a otro mediante principios de confianza cero.
  • Diagramas detallados para las funcionalidades de ciberseguridad de Microsoft, acceso de usuario de Confianza cero, operaciones de seguridad, tecnología operativa, funcionalidades multinube, etc.
  • Asignación de funcionalidades de Microsoft a los estándares de confianza cero y a los roles de la organización.

Las organizaciones suelen usar MCRA como plantilla de inicio para una arquitectura de seguridad, una referencia de comparación para las funcionalidades de seguridad, una herramienta de aprendizaje para las funcionalidades de Microsoft e inversiones de integración, o una manera de comprender los conceptos de ciberseguridad.

Prueba comparativa de seguridad en la nube de Microsoft

La prueba comparativa de seguridad en la nube de Microsoft versión 2 (MCSBv2) proporciona procedimientos recomendados prescriptivos y recomendaciones para ayudar a mejorar la seguridad de las cargas de trabajo, los datos y los servicios en entornos de Azure y multinube. MCSBv2 se basa en las aportaciones de Microsoft y en las directrices de seguridad del sector, como Cloud Adoption Framework, Marco de buena arquitectura de Azure y estándares del sector como CIS Controls, NIST SP 800-53, PCI-DSS e ISO 27001.

MCSBv2 organiza los controles de seguridad en 12 dominios de seguridad: agrupaciones de alto nivel de controles relacionados que abordan un área específica de preocupación de seguridad. Estos dominios incluyen Seguridad de red (NS), Administración de identidades (IM), Acceso con privilegios (PA), Protección de datos (DP), Administración de activos (AM), Registro y detección de amenazas (LT), Respuesta a incidentes (IR), Administración de posturas y vulnerabilidades (PV), Seguridad de puntos de conexión (ES), Copia de seguridad y recuperación (BR), Seguridad de DevOps (DS) y un nuevo dominio introducido en la versión 2: Seguridad de inteligencia artificial (AI).

Cada dominio contiene controles numerados y subcontroles. Por ejemplo, el dominio seguridad de red incluye el control NS-1: Establecer límites de segmentación de red, que proporciona un principio de seguridad, análisis de riesgos, asignación de MITRE ATT&CK e instrucciones de implementación a través de subcontroles como NS-1.1 y NS-1.2.

MCSBv2 asigna cada control a varios marcos de cumplimiento, incluidos NIST, PCI-DSS v4, CIS Controls v8.1 y otros. Las organizaciones usan MCSBv2 para planear y supervisar su posición de seguridad, asignar controles a los requisitos normativos y establecer límites de protección para automatizar configuraciones seguras a través de más de 420 definiciones integradas de Azure Policy. Puede supervisar el cumplimiento de MCSBv2 mediante el panel de cumplimiento normativo de Microsoft Defender for Cloud.