Nota
O acesso a esta página requer autorização. Pode tentar iniciar sessão ou alterar os diretórios.
O acesso a esta página requer autorização. Pode tentar alterar os diretórios.
Este artigo explica como identificar e proteger ativos empresariais críticos utilizando princípios Confiança Zero, como parte do modelo de adoção de segurança Microsoft.
Este cenário empresarial ajuda-o a alcançar o seguinte resultado:
Identificar e proteger ativos empresariais críticos
Como líder empresarial, deve garantir que os sistemas, dados e operações que impulsionam a sua organização estão protegidos contra ameaças direcionadas e de alto impacto. Nem todos os ativos têm a mesma importância — alguns representam risco concentrado e requerem uma proteção mais forte e focada.
Um resultado chave na proteção dos ativos empresariais críticos é garantir o acesso privilegiado que os controla. Identidades privilegiadas e vias de acesso representam risco concentrado porque proporcionam controlo administrativo sobre sistemas e dados críticos. Se comprometidos, podem permitir um impacto generalizado em toda a organização.
Este cenário foca-se em garantir que os ativos críticos estão protegidos e que o acesso a esses ativos é rigidamente governado e consistentemente controlado, de modo a que apenas acesso confiável e autorizado seja permitido.
Isto permite à sua organização reduzir o risco de ataques de alto impacto, protegendo as operações do negócio, as receitas e a reputação contra interrupções ou comprometimentos.
Como funciona esta orientação
Este artigo faz parte de um modelo estruturado de adoção que liga a estratégia de segurança à implementação:
Comece com cenários empresariais como este para definir o resultado que pretende alcançar.
Identifique as disciplinas de segurança que se aplicam a este cenário.
Use essas disciplinas para definir a estratégia, arquitetura, processos e controlos necessários para o cenário. Trabalhe em cada disciplina para compreender o que precisa de ser planeado, desenhado e implementado em toda a organização.
Utilize soluções técnicas para implementar esses requisitos utilizando tecnologias Microsoft, aplicando controlos em pilares tecnológicos como identidade e dados.
Esta abordagem assegura que os investimentos em segurança são focados nos ativos que mais importam para o negócio, enquanto o acesso a esses ativos é consistentemente governado, reduzindo o risco de compromissos de alto impacto e fortalecendo a resiliência organizacional global.
Porque a proteção de ativos críticos requer uma nova abordagem
As organizações dependem da disponibilidade, integridade e confidencialidade dos seus sistemas e dados empresariais para gerir as suas operações, aceitar receitas dos clientes, cumprir a sua missão e muito mais. Quando os agentes maliciosos (atacantes de cibersegurança) comprometem as garantias destes sistemas e ativos de dados, as organizações enfrentam custos diretos, bem como riscos para a vida, segurança, missão, receita, reputação, quota de mercado e muito mais.
Este diagrama ilustra como estes ativos críticos para o negócio devem ser garantidos a um nível superior ao de outros.
Nem todos os sistemas e dados têm o mesmo impacto empresarial. Os ativos críticos para o negócio dividem-se em duas categorias:
- Ativos de alto valor - Os ativos de alto valor são sistemas e dados cuja comprometimento pode causar danos financeiros ou operacionais graves, incluindo falência ou insolvência. Estes bens são frequentemente alvo de roubo, extorsão ou destruição.
- Acesso privilegiado - O acesso privilegiado representa risco concentrado — identidades, contas e ferramentas que controlam ativos de alto valor. O comprometimento do acesso privilegiado (através de contas administrativas de TI, estações de trabalho e outros sistemas) permite um impacto generalizado e deve ser protegido ao mesmo nível ou acima do nível dos ativos de alto valor.
Valor comercial
O valor de garantir ativos críticos beneficia toda a organização, mas varia consoante o papel.
| Roles | Value |
|---|---|
| Liderança empresarial | Proteger os ativos organizacionais mais valiosos que geram receitas, sucesso da missão e vantagem competitiva. Minimizar o impacto empresarial de ataques que visam sistemas e dados de alto valor. Garantir que o acesso privilegiado está protegido para evitar o controlo não autorizado de ativos críticos. |
| Funções tecnológicas | Concentre os investimentos em segurança nos ativos que mais importam para o negócio. Reduza o raio de explosão das violações protegendo vias de acesso privilegiadas. Implementar proteções padronizadas para ativos críticos identificados em todo o património técnico. |
| Direitos de acesso | Priorize os esforços de segurança com base no impacto no negócio em vez da complexidade técnica. Estabelecer uma visibilidade clara sobre ativos críticos e vias de acesso privilegiadas. Implementar controlos de defesa em profundidade para alvos de alto valor mais propensos a serem atacados. |
Alinhar as disciplinas de segurança
As disciplinas de segurança representam as áreas estruturadas de responsabilização necessárias para concretizar este cenário de negócio.
- As disciplinas de planeamento e supervisão definem a estratégia, governação e coordenação interorganizacional necessárias.
- As disciplinas de estratégia técnica definem as capacidades arquitetónicas, operacionais e de controlo necessárias.
- As disciplinas operacionais garantem que os controlos de segurança permanecem eficazes ao longo do tempo através da monitorização, resposta e melhoria contínua. Eles detetam o uso indevido, respondem a ameaças e promovem melhorias contínuas na postura de segurança.
Disciplinas de planeamento e supervisão
| Discipline | Action |
|---|---|
| Estratégia, integração e governação | Estabelecer uma estratégia, governação, políticas e processos claros para orientar as equipas na identificação e prioridade de ativos críticos para o negócio e acessos privilegiados. Promova uma abordagem de aprendizagem contínua para melhorar continuamente a sua capacidade de identificar, proteger, detetar, responder, recuperar e governar ativos críticos para o negócio e acessos privilegiados. Garantir que a governação impulsiona e monitoriza processos inter-equipas para garantir uma abordagem coordenada entre as equipas de segurança, tecnologia e negócio. |
| Arquitetura de segurança de ponta a ponta | Garantir que as arquiteturas de segurança exigem explicitamente, incluem e priorizam a segurança do acesso privilegiado e dos ativos críticos de alto valor para o negócio. Garantir que os controlos técnicos e as capacidades são suficientes para mitigar riscos ao longo de todo o ciclo de vida da segurança (identificar, proteger, detetar, responder, recuperar e governar). Promova uma abordagem integrada entre as equipas tecnológicas para priorizar ativos críticos para o negócio e aplicar rapidamente as aprendizagens para acompanhar a evolução dos atacantes. |
Disciplinas de estratégia técnica
| Discipline | Action |
|---|---|
| Acesso e identidades | Implemente a gestão de acesso privilegiado com os princípios de just-in-time e just-enough-access. Contas administrativas seguras com credenciais resistentes a phishing e monitorização reforçada Garantir que os sistemas críticos requerem autenticação forte e impor o acesso com privilégios mínimos. Estabelecer uma visibilidade clara sobre quem tem acesso privilegiado a ativos críticos. |
| Segurança da infraestrutura | Reforçar e monitorizar de perto a infraestrutura que aloja aplicações e dados empresariais críticos. Implementar segmentação de rede para isolar ativos de alto valor. Implementar registos e deteção de anomalias melhorados para acesso privilegiado a infraestruturas críticas. Estabelecer linhas de base seguras e gestão de configuração para sistemas críticos. |
| Segurança do desenvolvimento | Priorize os testes de segurança e a modelação de ameaças para aplicações que processam ou acedam a dados críticos de negócio. Implementar práticas de desenvolvimento seguras e segurança na cadeia de abastecimento para aplicações críticas para o negócio. Estabelecer controlos ao nível da aplicação para proteger dados sensíveis e prevenir acessos não autorizados. |
| Segurança dos dados | Classifique e rotule dados empresariais críticos para permitir controlos de proteção adequados. Implementar prevenção de perda de dados, encriptação e controlos de acesso alinhados com a criticidade dos dados. 3. Monitorizar padrões invulgares de acesso a dados e possível exfiltração de informação de alto valor. |
| Segurança OT e IoT | Identifique sistemas IoT e OT que sejam críticos para o negócio ou que possam afetar a segurança física. Implementar segmentação de rede e monitorização reforçada para estes sistemas. Acesso privilegiado seguro a plataformas operacionais de gestão tecnológica. |
Disciplinas operacionais
| Discipline | Action |
|---|---|
| SecOps | Priorize a monitorização e a resposta para ativos críticos e acessos privilegiados. Implementar uma caça e deteção melhorada de ameaças para ataques que visem sistemas de alto valor. Estabelecer procedimentos acelerados de resposta a incidentes para violações envolvendo ativos críticos. Use inteligência de ameaças para antecipar ataques a alvos valiosos. |
| Gestão da postura de segurança | Avalie continuamente a postura de segurança dos ativos críticos e das vias de acesso privilegiadas. Priorize a remediação de vulnerabilidades com base na criticidade dos ativos e no impacto no negócio. Monitorizar a conformidade com as linhas de base de segurança para sistemas de alto valor. Acompanhar e reportar o estado de segurança dos ativos críticos para o negócio à liderança. |
Pilares tecnológicos obrigatórios
Os pilares tecnológicos representam as principais capacidades de segurança da Microsoft que suportam este cenário empresarial.
| Pilar | Âmbito | Entra |
|---|---|---|
| Identidade | O Microsoft Purview integra-se com o Acesso Condicional para impor controlos de acesso baseados em identidade em dados sensíveis através de rótulos de sensibilidade e políticas de prevenção de perda de dados. | A Microsoft Entra fornece Acesso Condicional e governação de identidade para garantir que apenas utilizadores e serviços autorizados possam aceder a dados sensíveis. |
| Pontos Finais | O Microsoft Purview Endpoint DLP estende as políticas de proteção de dados aos endpoints, prevenindo transferências não autorizadas de dados e garantindo que informações sensíveis permaneçam protegidas nos dispositivos. | A Microsoft Entra aplica controlos de acesso baseados em dispositivos, garantindo que apenas dispositivos compatíveis e de confiança possam aceder a dados protegidos. |
| Networks | O Microsoft Purview monitoriza o movimento de dados através dos limites da rede e integra-se com ferramentas de segurança de rede para detetar e prevenir a exfiltração de dados. | A Microsoft Entra aplica condições de acesso baseadas em localização e rede através de políticas de Acesso Condicional. |
| Aplicativos | A Microsoft Purview aplica etiquetas de sensibilidade e políticas DLP em aplicações Microsoft 365, aplicações SaaS e partilhas de ficheiros on-premises para garantir uma proteção consistente dos dados. | A Microsoft Entra controla o acesso às aplicações utilizando single log-on (SSO), registo de aplicações e políticas de acesso. |
| Dados | A Microsoft Purview fornece as capacidades essenciais de segurança de dados, incluindo rotulagem de sensibilidade, classificação de dados, prevenção de perda de dados, barreiras de informação e gestão de registos. | A Microsoft Entra aplica decisões de acesso usando RBAC, Privileged Identity Management (PIM) e acesso just-in-time para operações sensíveis. |
| Infraestruturas | A Microsoft Purview estende a governação e proteção de dados à infraestrutura cloud através da integração com serviços Azure, ambientes multicloud e armazenamentos de dados locais. | A Microsoft Entra regula o acesso administrativo a recursos na cloud através de atribuições de funções, revisões de acesso e proteções privilegiadas de papéis. |
| AI | A Microsoft Purview fornece capacidades de segurança e governação da IA, incluindo o AI Hub para visibilidade do uso da IA, etiquetas de sensibilidade para conteúdos gerados por IA e controlos de conformidade para o Copilot e outros serviços de IA. | A Microsoft Entra garante o acesso a serviços de IA ao impor verificação de identidade, políticas de acesso e governação sobre quem pode aceder e configurar cargas de trabalho de IA. |