Zabezpieczanie pracy zdalnej i hybrydowej za pomocą rozwiązania Zero Trust

W ramach wytycznych dotyczących wdrażania modelu Zero Trust w tym artykule opisano scenariusz biznesowy zabezpieczania pracy zdalnej i hybrydowej. Należy pamiętać, że zabezpieczanie danych biznesowych i infrastruktury to tematy oddzielnych scenariuszy biznesowych i nie zostały uwzględnione w tych wskazówkach.

Przejście do hybrydowego stylu pracy zmusza organizacje do szybkiego dostosowywania. Pracownicy zdalni pracują w dowolny sposób, na przykład przy użyciu urządzeń osobistych, współpracy za pośrednictwem usług w chmurze i udostępniania danych poza obwodem sieci firmowej. Pracownicy hybrydowi pracują zarówno w sieciach firmowych, jak i domowych, przełączając się między urządzeniami biznesowymi i osobistymi.

W miarę jak sieci domowe pracowników rozciągają obwód sieci firmowej, a różne urządzenia dołączają do tej sieci, zagrożenia bezpieczeństwa są zarówno mnożące się, jak i stają się bardziej zaawansowane, podczas gdy wektory ataków ewoluują.

Na poniższym diagramie przedstawiono zmianę z tradycyjnej ochrony za pomocą mechanizmów kontroli sieci po lewej stronie (z ograniczonych znanych lokalizacji) do nowoczesnej ochrony z zerowym zaufaniem po prawej stronie (do nieznanych lokalizacji), w których ochrona jest stosowana niezależnie od tego, gdzie znajdują się użytkownicy i urządzenia.

Wskazówki zawarte w tym artykule zawierają szczegółowe instrukcje dotyczące rozpoczynania pracy zdalnej i hybrydowej oraz wdrażania strategii dotyczącej zabezpieczania pracy zdalnej i hybrydowej.

Jak liderzy biznesowi myślą o zabezpieczaniu pracy zdalnej i hybrydowej

Przed rozpoczęciem pracy technicznej ważne jest zrozumienie różnych motywacji do inwestowania w zabezpieczanie pracy zdalnej i hybrydowej, ponieważ te motywacje pomagają poinformować strategię, cele i miary sukcesu.

Poniższa tabela zawiera powody, dla których liderzy biznesowi w całej organizacji powinni inwestować w zabezpieczanie pracy zdalnej i hybrydowej.

Oprócz motywacji dla liderów biznesowych wielu pracowników oczekuje elastyczności i chce pracować z dowolnego miejsca, w dowolnym czasie i z dowolnego urządzenia.

Firma Microsoft jest jedną z wielu organizacji w skali przedsiębiorstwa, które obejmowały zdalną i hybrydową pracę na początku pandemii COVID-19. Na stronie 87 Raport firmy Microsoft na temat ochrony zasobów cyfrowych 2022 r. firma Microsoft podkreśla, że ta szansa biznesowa wprowadza ryzyko i musi być sparowana ze środkami bezpieczeństwa w celu zwiększenia odporności na ataki:

• Cyberbezpieczeństwo jest kluczowym elementem sukcesu technologicznego. Innowacje i zwiększona produktywność można osiągnąć tylko poprzez wprowadzenie środków bezpieczeństwa, które sprawiają, że organizacje są tak odporne, jak to możliwe przed nowoczesnymi atakami.
• Pandemia wyzywała nas do przestawienia naszych praktyk w zakresie zabezpieczeń i technologii w celu ochrony pracowników firmy Microsoft wszędzie tam, gdzie pracują. W ubiegłym roku hakerzy nadal korzystali z luk w zabezpieczeniach ujawnionych w trakcie pandemii oraz przejścia na model pracy hybrydowej.

W sprawozdaniu podkreśla się, że zdecydowana większość udanych cyberataków może być zapobiegana przy użyciu podstawowej higieny zabezpieczeń.

Cykl wdrażania na potrzeby zabezpieczania pracy zdalnej i hybrydowej

Zabezpieczanie zdalnej i hybrydowej pracy z usługą Zero Trust obejmuje wdrażanie zabezpieczeń, które są podstawowe i jednocześnie zapewniają zaawansowaną ochronę. Technicznie ten cel obejmuje wymuszanie zasad i monitorowanie całego dostępu do zasobów organizacji przy użyciu kompleksowego podejścia do cyklu życia.

W tym artykule przedstawiono ten scenariusz biznesowy, przechodzący przez te same fazy cyklu życia co Przewodnik Cloud Adoption Framework dla platformy Azure (Definiowanie strategii, Plan, Gotowość, Przyjęcie oraz Zarządzanie i kierowanie), ale dostosowane do podejścia Zero Trust.

Poniższa tabela jest dostępną wersją ilustracji.

Przeczytaj więcej na temat cyklu wdrażania zero trust w przeglądzie platformy wdrażania Zero Trust.

Definiowanie fazy strategii

Faza Definiowanie strategii ma kluczowe znaczenie dla definiowania i sformalizowania naszych wysiłków w celu rozwiązania problemu "Dlaczego?" tego scenariusza. W tej fazie rozumiemy scenariusz za pośrednictwem perspektyw biznesowych, IT, operacyjnych i strategicznych.

Definiujemy wyniki, względem których należy zmierzyć sukces w scenariuszu, rozumiejąc, że bezpieczeństwo jest procesem przyrostowym i iteracyjnym.

Ten artykuł sugeruje motywacje i wyniki, które są istotne dla wielu organizacji. Skorzystaj z tych sugestii, aby doskonalić strategię organizacji na podstawie unikatowych potrzeb.

Zabezpieczanie motywacji pracy zdalnej i hybrydowej

Motywacje do zabezpieczania pracy zdalnej i hybrydowej są proste, ale różne części organizacji będą miały różne zachęty do wykonywania tej pracy. Poniższa tabela zawiera podsumowanie niektórych z tych motywacji.

Zabezpieczanie wyników scenariusza pracy zdalnej i hybrydowej

Aby zapewnić produktywność, użytkownicy muszą mieć możliwość korzystania z:

• Poświadczenia konta użytkownika w celu zweryfikowania tożsamości.
• Ich punkt końcowy (urządzenie), taki jak komputer, tablet lub telefon.
• Aplikacje, które im zapewniłeś.
• Dane wymagane do wykonania zadania.
• Sieć, za pośrednictwem której ruch przepływa między urządzeniami i aplikacjami, niezależnie od tego, czy użytkownik i jego urządzenie są lokalne, czy w Internecie.

Każdy z tych elementów jest celem atakujących i musi być chroniony za pomocą zasady "nigdy nie ufaj, zawsze weryfikuj" zero trust.

Poniższa tabela zawiera cele i ich wyniki dla bezpiecznego scenariusza pracy zdalnej i hybrydowej.

Faza planowania

Plany wdrażania przekształcają aspiracyjne cele strategii Zero Trust na plan działania. Zespoły zbiorowe mogą użyć planu wdrożenia, aby kierować swoimi wysiłkami technicznymi i dostosowywać je do strategii biznesowej organizacji.

Motywacje i wyniki, które definiujesz, wraz z liderami i zespołami biznesowymi, wspierają odpowiedź na pytanie "Dlaczego?" dla twojej organizacji. Stają się one Gwiazdą Polarną albo celem przewodnim twojej strategii. Następnie planowane jest planowanie techniczne, aby osiągnąć motywacje i cele.

Skorzystaj z poniższych ćwiczeń, aby ułatwić zaplanowanie wdrożenia strategii technologicznej organizacji. Te ćwiczenia wspierają wysiłki na rzecz wdrażania koncepcji Zero Trust, poprzez skupienie się na priorytetowych zadaniach. Na koniec tego procesu będziesz mieć plan adopcji chmury, który jest mapowany do metryk i motywacji zdefiniowanych w strategii adopcji chmury.

Wdrożenie techniczne w celu stopniowego zabezpieczania pracy zdalnej i hybrydowej polega na zapewnieniu, że zasady zerowego zaufania są stosowane do tożsamości, urządzeń i aplikacji, wymagając tego:

• Uwierzytelnianie wieloskładnikowe (MFA) z dostępem warunkowym jest stosowane do wszystkich tożsamości użytkowników, które uzyskują dostęp do środowiska.
• Urządzenia są rejestrowane w zarządzaniu urządzeniami i monitorowane pod kątem kondycji.
• Dostęp do aplikacji i ich danych wymaga zweryfikowania tożsamości, urządzeń w dobrej kondycji i odpowiedniego dostępu do danych.

Wiele organizacji może przyjąć czteroetapowe podejście do tych celów wdrażania, podsumowane na poniższym wykresie.

Jeśli to podejście etapowe działa w twojej organizacji, możesz użyć następujących funkcji:

• Ten dostępny do pobrania zestaw slajdów programu PowerPoint jest używany do prezentowania i raportowania postępu w tych etapach i celach liderom biznesowym i innym interesariuszom. Oto slajd dla tego scenariusza biznesowego.

  

• Ten skoroszyt programu Excel służy do przypisania właścicieli i śledzenia postępów dla tych etapów, celów oraz przypisanych do nich zadań. Oto arkusz dla tego scenariusza biznesowego.

  

Jeśli Organizacja subskrybuje określoną strategię zarządzania ryzykiem i zgodnością (GRC) lub Security Operations Center (SOC), ważne jest, aby praca techniczna uwzględniała konfiguracje spełniające te wymagania.

Omówienie organizacji

Potrzeby i kompozycja każdej organizacji różnią się. Międzynarodowe przedsiębiorstwo z wieloma aplikacjami i wysoce ustandaryzowanymi zabezpieczeniami zaimplementuje zabezpieczenia inaczej niż elastyczny startup lub średniej wielkości organizacja.

Niezależnie od rozmiaru i złożoności organizacji mają zastosowanie następujące działania:

• Spis użytkowników, punktów końcowych, aplikacji, danych i sieci w celu zrozumienia stanu zabezpieczeń i oszacowania poziomu nakładu pracy wymaganego do przekształcenia majątku.
• Dokumentuj cele oraz zaplanuj przyrostowe wdrożenie według priorytetów. Przykładem jest zabezpieczenie tożsamości i usług Platformy Microsoft 365, a następnie punktów końcowych. Następnie zabezpiecz aplikacje i usługi SaaS przy użyciu nowoczesnych metod uwierzytelniania i możliwości segmentacji udostępnianych przez dostęp warunkowy.
• W przypadku zasady korzystania z najmniej uprzywilejowanego dostępu należy utworzyć spis liczby kont z uprzywilejowanym dostępem i zmniejszyć liczbę kont do najmniejszej możliwej liczby kont. Konta, które wymagają uprzywilejowanego dostępu, powinny używać dostępu just-in-time i just-enough-access (JIT/JEA) w celu ograniczenia stałych uprawnień administracyjnych. W przypadku wystąpienia naruszenia zabezpieczeń konta, które zostały naruszone, są ograniczone, co minimalizuje promień wybuchu. Z wyjątkiem konta "break glass" żaden stały dostęp administratora nie powinien być dozwolony dla wysoce uprzywilejowanych ról, które obejmują role administracji aplikacji dla usług produktywności, takich jak SharePoint, Exchange i Teams.

Planowanie i dopasowanie organizacyjne

Implementacja i zarządzanie metodologią bezpiecznego dostępu ma wpływ na kilka nakładających się obszarów i jest zwykle implementowana w kolejności:

1. Tożsamości
2. Punkty końcowe (urządzenia)
3. Aplikacje
4. Sieć

Ochrona danych jest również ważna w przypadku zabezpieczania pracy zdalnej i hybrydowej. Ten temat został dokładniej omówiony w temacie Identyfikowanie i ochrona poufnych danych biznesowych.

W tej tabeli przedstawiono podsumowanie ról, które są zalecane podczas tworzenia programu sponsorowanego i hierarchii zarządzania projektami w celu określenia i podsycania wyników.

Pokaz slajdów programu PowerPoint dla tej zawartości wdrożenia zawiera poniższy slajd z widokiem uczestników projektu, który można dostosować dla własnej organizacji.

Planowanie techniczne i gotowość umiejętności

Firma Microsoft udostępnia zasoby, które pomagają w ustalaniu priorytetów tej pracy, rozpoczęciu wdrażania i dojrzewaniu wdrożenia. Na tym etapie wykorzystujemy te zasoby jako działania planowania, aby zrozumieć wpływ proponowanych zmian i utworzyć plan implementacji.

Te zasoby obejmują normatywne wskazówki, których można użyć jako zalecanych punktów początkowych dla własnej organizacji. Dostosuj zalecenia na podstawie priorytetów i wymagań.

Zasób	opis
Lista kontrolna planu szybkiej modernizacji (RaMP): Jawna weryfikacja zaufania dla wszystkich żądań dostępu	Ta seria list kontrolnych wylicza cele techniczne każdego obszaru wdrażania zabezpieczeń w kolejności priorytetów i dokumentuje kroki, które należy wykonać, aby je osiągnąć. Zawiera również listę członków projektu, którzy muszą być zaangażowani w każdy obszar. Użycie tego zasobu ułatwia identyfikowanie szybkich zwycięstw.
Konfiguracje dostępu tożsamości i urządzeń Zero Trust	Ten przewodnik po rozwiązaniu zaleca zestaw zasad dostępu do tożsamości i urządzeń, które zostały przetestowane razem. Obejmuje następujące elementy: Podstawowe zasady, które umożliwiają rozpoczęcie pracy i nie wymagają zarządzania urządzeniami. Zasady na poziomie przedsiębiorstwa są zalecane w przypadku zera zaufania. Wymaga to zarejestrowania urządzeń na potrzeby zarządzania punktami końcowymi. Użyj tych zaleceń jako punktu wyjścia i, w razie potrzeby, dostosuj zasady dla unikatowego środowiska i celów.
Zarządzanie urządzeniami za pomocą usługi Intune	Ten przewodnik po rozwiązaniu przeprowadzi cię przez etapy zarządzania urządzeniami, od działań, które nie wymagają rejestrowania urządzeń w celu ich zarządzania, aż do pełnego zarządzania urządzeniami. Te zalecenia są koordynowane z powyższymi zasobami.
Opcje rejestracji w usłudze Intune Pdf | Visio Zaktualizowano: czerwiec 2022	Zestaw plakatów oferuje łatwe do skanowania porównanie opcji rejestracji urządzeń dla każdej platformy.
Plan wdrożenia MFA	W tym przewodniku wdrażania pokazano, jak zaplanować i wdrożyć wdrożenie uwierzytelniania wieloskładnikowego firmy Microsoft.

Oprócz tych zasobów w poniższych sekcjach wyróżniono zasoby dla określonych zadań we wcześniej zdefiniowanych czterech etapach.

Etap 1

Etap 2

Etap 3

Etap 4

Plan wdrożenia chmury

Plan wdrożenia jest niezbędnym wymaganiem dla pomyślnego wdrożenia rozwiązania Zero Trust. Plan wdrożenia zero trust to iteracyjny plan projektu, który pomaga firmie przejść z tradycyjnych podejść zabezpieczeń do bardziej dojrzałej i wyrafinowanej strategii, która obejmuje zarządzanie zmianami i ład.

Tożsamości, punkty końcowe, aplikacje i sieci znajdują się w zakresie tej fazy planowania. Każdy z nich ma wymóg zabezpieczenia istniejącego zasobu, a także planuje rozszerzenie zabezpieczeń na nowe jednostki w miarę ich włączania w ramach większego procesu integracji.

Planowanie bezpiecznego rozwiązania do pracy zdalnej i hybrydowej uwzględnia, że organizacje mają istniejące tożsamości, które muszą być zabezpieczone, a nowe tożsamości muszą być tworzone zgodnie ze standardami zabezpieczeń.

Plan wdrożenia obejmuje również szkolenie pracowników do pracy w nowy sposób, aby zrozumieć, co jest wymagane do obsługi organizacji, co może obejmować:

• Trenowanie administratorów na nowe sposoby pracy. Metody dostępu uprzywilejowanego różnią się od stałego dostępu administratora i mogą początkowo zwiększać problemy do czasu osiągnięcia uniwersalnej akceptacji.
• Wyposażenie działu pomocy technicznej i personelu IT na wszystkich poziomach przy użyciu tego samego komunikatu realizacji korzyści. Zwiększenie bezpieczeństwa zwiększa tarcie atakującego, równoważąc korzyści wynikające z bezpiecznej pracy. Upewnij się, że ten komunikat jest zrozumiały i komunikatowalny na wszystkich poziomach.
• Tworzenie materiałów szkoleniowych i wdrażania użytkowników. Bezpieczeństwo jest przyjęte wszechobecnie jako wspólna odpowiedzialność, a korzyści z bezpieczeństwa dostosowane do celów biznesowych muszą być przekazywane użytkownikom. Upewnij się, że wdrożenie użytkowników na potrzeby zabezpieczeń jest osiągane na tym samym poziomie co wdrażanie użytkowników w przypadku nowej technologii.

Aby uzyskać więcej informacji z przewodnika Cloud Adoption Framework, zobacz Plan adopcji chmury.

Faza gotowości

Ten scenariusz (zabezpieczanie pracy zdalnej i hybrydowej) ocenia i zabezpiecza tożsamości, urządzenia i dane za pośrednictwem sieci, które ich używają. Ponieważ technologie mogą być potencjalnie destrukcyjne, zalecane jest przygotowanie podejścia, począwszy od małych projektów oferujących szybkie zwycięstwa, które korzystają z istniejących licencji i mają minimalny wpływ na użytkowników.

Zacznij od utworzenia planu, a następnie przetestowania planu. Następnie stopniowo wdrażaj nowe konfiguracje i możliwości. Zapewnia to możliwość poprawy planu podczas lekcji. Pamiętaj, aby opracować plan komunikacji i ogłosić zmiany w miarę rozszerzania zakresu wdrażania.

Na poniższym diagramie przedstawiono zalecenie dotyczące rozpoczęcia projektu z małą grupą w celu oceny zmian. Ta mała grupa może składać się z członków zespołu IT lub zespołu partnerskiego, który jest zaangażowany w wynik. Następnie przeprowadzić test zmian w większej grupie. Chociaż ilustracja obejmuje trzeci etap pełnego wdrożenia, jest to często realizowane przez stopniowe zwiększanie zakresu wdrożenia do momentu objęcia całej organizacji.

Podczas rejestrowania urządzeń zaleca się na przykład następujące wskazówki.

Zabezpieczanie tożsamości rozpoczyna się od wdrożenia uwierzytelniania wieloskładnikowego i segmentowania dostępu przy użyciu dostępu warunkowego firmy Microsoft Entra. Te funkcje obsługują zasadę jawnego weryfikowania, ale wymagają procesu wdrażania przyrostowego. W zależności od podejścia, konieczne może być wdrożenie metodologii uwierzytelniania wieloskładnikowego i poinformowanie użytkowników przed datą włączenia, zwłaszcza w przypadku już zatrudnionych pracowników przyzwyczajonych do korzystania wyłącznie z haseł.

Podczas planowania tego scenariusza rozważ następujące elementy:

• W zależności od metodologii uwierzytelniania wieloskładnikowego, może być konieczne uzyskanie akceptacji użytkowników na korzystanie z uwierzytelniania opartego na aplikacji mobilnej, w przeciwieństwie do podejścia FIDO2 lub innego podejścia opartego na tokenach. Dotyczy to również Windows Hello dla firm.
• Zasady dostępu warunkowego mogą być złożone w odniesieniu do ich kryteriów oceny i podejmowania decyzji. Wymaga to, aby dostęp warunkowy był pilotowany i wdrażany przyrostowo w aplikacji i środowisku użytkownika.
• Dostęp warunkowy może uwzględniać względną kondycję i stan poprawek punktu końcowego oraz lokalizacje użytkownika jako parametry warunkowe. Jeśli punkty końcowe muszą być zarządzane, aby kwalifikować je do uzyskiwania dostępu do aplikacji lub usługi jako warunku dostępu, punkty końcowe muszą zostać zarejestrowane w usłudze zarządzania.
• Nowoczesne aplikacje, które obsługują nowoczesne metody uwierzytelniania, łatwo integrują się z uwierzytelnianiem opartym na uwierzytelnianiu wieloskładnikowym i zasadami dostępu warunkowego. Zrozumienie liczby aplikacji i ich metod uwierzytelniania ma kluczowe znaczenie.

Podczas planowania i wdrażania warstw ochrony, aby zbudować system Zero Trust, skorzystaj z zasobów udostępnianych przez firmę Microsoft. Aby zabezpieczyć pracę zdalną i hybrydową, firma Microsoft udostępnia zestaw wspólnych zasad Zero Trust i zasad dostępu do urządzeń. Jest to zestaw zasad, które są testowane i znane z tego, że dobrze współdziałają.

Poniżej przedstawiono zasady dotyczące trzech poziomów ochrony.

Ten zestaw zasad zawiera poziom ochrony punktu początkowego z minimalnym wpływem na użytkownika. Ten zestaw zasad nie wymaga rejestrowania urządzeń do zarządzania. Gdy wszystko będzie gotowe i masz zarejestrowane urządzenia, możesz wdrożyć poziom Enterprise , który jest zalecany dla modelu Zero Trust.

Oprócz tych poziomów ochrony można przyrostowo zwiększyć zakres zasad w następujący sposób:

• Zastosuj zakres zasad najpierw do małej grupy użytkowników, a następnie stopniowo zwiększaj grupę uwzględnionych użytkowników. Segmentacja użytkowników umożliwia ograniczenie ryzyka związanego z przerwą w działaniu usługi lub zakłóceniami użytkowników, ponieważ dotyczy to tylko docelowych użytkowników lub urządzeń.
• Zacznij od dodania aplikacji i usług platformy Microsoft 365 do zakresu zasad. Następnie przejdź do innych aplikacji SaaS używanych przez organizację. Gdy wszystko będzie gotowe, uwzględnij aplikacje utworzone na platformie Azure lub innych dostawców usług w chmurze w zakresie zasad.

Na koniec nie zapomnij o swoich użytkownikach. Wdrażanie i komunikacja użytkowników ma kluczowe znaczenie podczas implementowania zabezpieczeń tożsamości, podobnie jak w przypadku początkowego wdrożenia użytkownika w rozwiązaniu Microsoft 365 z usług opartych na centrum danych. Podejścia jednofazowe rzadko kończą się powodzeniem podczas implementowania usług zabezpieczeń. Inicjatywy zabezpieczeń często kończą się niepowodzeniem z powodu zwiększonego tarć dla użytkowników, jeśli zmiany są zakłócające i słabo komunikowane i testowane. Jest to miejsce, w którym sponsoring wykonawczy inicjatyw zabezpieczeń działa najlepiej. Gdy kierownictwo demonstruje wsparcie poprzez wdrożenie na wczesnym etapie wdrażania, łatwiej jest obserwować użytkowników.

Aby pomóc w edukacji i wdrożeniu użytkowników, firma Microsoft udostępnia szablony i materiały do pobrania przez użytkowników końcowych. Obejmują one instrukcje dotyczące zmieniania nazwy tych elementów i rekomendacji dotyczących udostępniania tych elementów użytkownikom. Zobacz: https://aka.ms/entratemplates.

Kompilowanie i testowanie

Po zebraniu zespołu, przejrzeniu zalecanych zasobów technicznych i opracowaniu planu przygotowania projektów i wdrożenia będziesz mieć nadzieję, że masz dobrze udokumentowany plan. Przed formalnym wdrożeniem planu należy skompilować i przetestować konfiguracje w środowisku testowym.

Każdy obszar techniczny, taki jak zestaw zasad dostępu warunkowego, można zabezpieczyć poprzez włączenie funkcji w całym teńancie. Jednak nieprawidłowo skonfigurowane zasady mogą mieć daleko idące konsekwencje. Na przykład źle napisane zasady dostępu warunkowego mogą wyłączyć dostęp wszystkim administratorom w obrębie dzierżawy.

Aby ograniczyć ryzyko, rozważ wdrożenie dzierżawy testowej lub zapewnienia jakości, aby wdrożyć każdą funkcję w miarę jak się z nią zapoznajesz, lub wdrożyć ją po raz pierwszy. Dzierżawa testowa lub QA powinna być w miarę reprezentatywna dla obecnego środowiska użytkownika i wystarczająco dokładna, aby umożliwić wykonanie funkcji QA w celu przetestowania, czy włączona funkcjonalność jest zrozumiała i wspiera funkcję, którą zabezpiecza.

Lista kontrolna RAMP może służyć do śledzenia postępu. Zawiera listę zarówno kroków planowania, jak i implementacji. Instancja QA to środowisko testowe dla działań implementacyjnych, które są wykonywane po raz pierwszy.

Dane wyjściowe tego etapu powinny być udokumentowaną konfiguracją, która jest początkowo przygotowywana i testowana w środowisku QA, z planami przejścia do wdrożenia w środowisku produkcyjnym, gdzie zmiany są wdrażane stopniowo, a nowe wnioski są na bieżąco wprowadzane do planu.

Podczas wdrażania nowych konfiguracji w środowisku produkcyjnym zachowaj spójne komunikaty użytkowników i bądź na bieżąco ze sposobem, w jaki te zmiany wpływają na użytkowników. Implementowanie funkcji zabezpieczeń może mieć niewielki wpływ na technologię, na przykład włączenie dostępu just in time, ale jednocześnie ma duży wpływ na proces, na przykład administratorzy muszą zażądać dostępu do usług za pośrednictwem przepływu zatwierdzeń, aby móc wykonywać swoje obowiązki.

Podobnie rejestracja urządzeń ma niewielki wpływ na środowisko użytkownika, podczas gdy wdrażanie dostępu warunkowego na podstawie zgodności urządzeń i wymagań dotyczących kondycji może mieć znaczący wpływ na bazę użytkowników, ponieważ użytkownicy nie mogą uzyskać dostępu do usług.

Testowanie każdej usługi w celu zrozumienia wpływu usługi i planowanej zmiany ma kluczowe znaczenie dla sukcesu. Należy pamiętać, że niektóre skutki mogą nie być w pełni widoczne do momentu rozpoczęcia pilotażu w środowisku produkcyjnym.

Śledzenie zmian ładu i zarządzania

Celem zerowego zaufania jest przyrostowe zwiększenie zabezpieczeń i zaimplementowanie zmian w środowisku, które osiąga ten cel. Zmiany te wymagają modyfikacji w modelach zarządzania i nadzoru środowiska. W miarę testowania i wdrażania należy udokumentować zmiany i wpływ na model zarządzania i ładu.

Faza wdrażania

W fazie wdrażania stopniowo wdrażasz strategię i plany wdrażania w różnych obszarach funkcjonalnych. Faza wdrażania to większa implementacja weryfikacji koncepcji. Plan wdrożenia jest wykonywany, a wdrożenie odbywa się w kolejnych falach w oparciu o segmentację użytkowników i obszary docelowe w obrębie majątku cyfrowego.

Zgodnie z zaleceniami, wdróż każdą nową konfigurację w środowisku produkcyjnym w formie ograniczonego proof of concept (oznaczonego etykietą "Oceń" na poniższym diagramie).

Mimo że masz już przetestowane nowe konfiguracje w środowisku kontroli jakości, upewnij się, że plany wdrażania produkcyjnego również udokumentują, co testujesz i oceniasz oraz kryteria akceptacji do mierzenia sukcesu na każdym etapie. Najlepiej wybrać podzbiór użytkowników o niskim wpływie, punktów końcowych i aplikacji do testowania przed rozszerzeniem wdrożenia. Zgodnie z tą samą metodologią, uczysz się od powodzenia i niepowodzeń implementacji i aktualizowania planów.

Należy pamiętać, że niektóre wdrożone funkcje, mimo że są przeznaczone dla ograniczonej grupy odbiorców, mogą mieć wpływ na całą usługę. Ten wpływ można ograniczyć, identyfikując zagrożenia podczas testowania kontroli jakości i zapewniając, że istnieje plan wycofania.

Pomyślny plan wdrożenia obejmuje następujące elementy:

• Plan wprowadzania i wdrażania z uwzględnieniem strategii komunikacji z użytkownikami
• Plan wdrażania i adaptacji dla kadry kierowniczej w celu zapewnienia poparcia wykonawczego
• Plan adopcji i wdrażania użytkowników
• Artefakty zarządzania projektami i zarządzania ładem
• Segmentacja użytkowników według jednostki biznesowej lub wpływu użytkownika
• Segmentacja urządzeń według wpływu jednostki biznesowej lub użytkownika
• Aplikacje sklasyfikowane według krytyczności i złożoności wdrożenia
• Wersje robocze aktualizacji zmian w codziennym zarządzaniu i ładie

Zarządzanie i kontrola fazami

Nadzór nad zabezpieczeniami jest procesem iteracyjnym. W przypadku organizacji z istniejącymi zasadami, które zarządzają zabezpieczeniami w obrębie majątku cyfrowego, wdrożenie strategii Zero Trust stanowi zachętę do rozwoju tych zasad. W miarę jak strategie bezpieczeństwa i zasady dojrzewają wraz z upływem czasu, dojrzewają też procesy i zasady zarządzania w chmurze.

W fazie planowania nowe funkcje zostały przetestowane na testowym tenancie, w którym odbywały się działania zarządcze. Należy pamiętać, że zaimplementowanie funkcji obsługujących zasady Zero Trust wymaga innego sposobu zarządzania wynikowym stanem końcowym.

Oto kilka przykładów nowych wymagań dla tego scenariusza:

• Ustanów proces zatwierdzania dostępu administracyjnego, jeśli jest to wymagane, w przeciwieństwie do stałego dostępu administratora.
• Aktualizowanie zarządzania cyklem życia użytkowników podczas wprowadzania, używania i zamykania organizacji.
• Aktualizowanie zarządzania cyklem życia urządzeń.
• Zaktualizuj kryteria wydania dla nowych aplikacji, aby upewnić się, że zostały one uwzględnione w zakresie zasad dostępu warunkowego.

W miarę postępu planu wdrażania, zarządzanie powstałym środowiskiem wymusza zmiany w metodologii zarządzania i ładu. Sposób monitorowania środowiska w wyniku zmian zerowego zaufania.

Ponieważ zero zaufania rozwiązuje ryzyko zabezpieczeń w środowisku, zarządzanie cyklem życia obiektu tożsamości nie jest już opcjonalne. Atestacja obiektów jest wyrazem cyklu życia obiektu i przenosi odpowiedzialność do firmy, odbierając ją działowi IT, który dotychczas był jedynym opiekunem cyklu życia obiektu.

Zero Trust wymaga zwiększenia dojrzałości w zarządzaniu zasobami IT, w tym w zakresie interakcji użytkowników i administratorów z wdrożonym końcowym stanem. Zobacz poniższą tabelę jako przykład potencjalnych zmian.

Dodatkowe zasoby dotyczące codziennego ładu i operacji obejmują:

• Dokumentacja dotycząca raportów i monitorowania Microsoft Entra

• dokumentacja Zarządzania tożsamościami Microsoft Entra

  Omówiono inne obszary ładu i narzędzia, które obejmują kilka dziedzin. Ze względu na różne potrzeby organizacyjne, nie wszystkie funkcje ładu wymienione w tym dokumencie mają zastosowanie do wszystkich organizacji.

Następne kroki

• Omówienie platformy wdrażania zero trust
• Szybka modernizacja stanu zabezpieczeń
• Identyfikowanie i ochrona poufnych danych biznesowych
• Zapobieganie naruszeniom lub zmniejszanie szkód biznesowych
• Spełnianie wymagań prawnych i zgodności

Zasoby śledzenia postępu

W przypadku dowolnego scenariusza biznesowego Zero Trust można użyć następujących zasobów śledzenia postępu.

Zasób śledzenia postępu	To pomaga...	Zaprojektowany dla…
Plik Visio lub PDF z możliwością pobrania siatki faz planu wdrożenia.	Łatwo zrozumieć ulepszenia zabezpieczeń dla każdego scenariusza biznesowego i poziom nakładu pracy dla etapów i celów fazy planu.	Kierownicy projektów scenariuszy biznesowych, liderzy biznesowi i inni interesariusze.
Śledzenie wdrażania Zero Trust do pobrania prezentacja PowerPoint	Śledź postęp na etapach i zamierzeniach fazy Planu.	Liderzy projektów scenariusza biznesowego, liderzy biznesowi i inni interesariusze.
Cele scenariusza biznesowego i zadania do pobrania skoroszyt programu Excel	Przypisz odpowiedzialność i śledź postęp na etapach, celach i zadaniach fazy planowania.	Liderzy projektów, liderzy IT i implementatorzy IT w scenariuszach biznesowych.

Aby uzyskać dodatkowe zasoby, zobacz zasoby związane z oceną Zero Trust i śledzeniem postępu.