Wymagania dotyczące zabezpieczeń Centrum partnerskiego

Odpowiednie role: Agent administracyjny

Panel "Wymagania dotyczące bezpieczeństwa" pomaga w ocenie i poprawie obecnego stanu zabezpieczeń w Centrum Partnerskim. Ta funkcja zapewnia zarówno partnerom rozliczanym bezpośrednio, jak i dostawcom pośrednim dostęp do wskaźnika bezpieczeństwa.

Na pulpicie nawigacyjnym Wymagania dotyczące zabezpieczeń można monitorować i dostosowywać ustawienia zabezpieczeń, zasady i procedury. Konsola umożliwia proaktywne zarządzanie i poprawę stanu zabezpieczeń oraz wdrażanie zasad zerowego zaufania.

Pulpit nawigacyjny zawiera zalecenia umożliwiające podejmowanie działań, które są oparte na lukach w zabezpieczeniach systemu i typowych wzorcach ataków. Wdrażając te zalecenia i regularnie sprawdzając dostępność aktualizacji, można wzmocnić ochronę zabezpieczeń.

Pulpit nawigacyjny konsoliduje stan wszystkich wymagań dotyczących zabezpieczeń w jeden kompleksowy wynik, dzięki czemu można szybko ocenić aktualną gotowość zabezpieczeń. Im wyższy wynik, tym niższy zidentyfikowany poziom ryzyka.

Kluczowe cechy i funkcje

Oto przykład pulpitu nawigacyjnego Wymagania dotyczące zabezpieczeń.

Zrzut ekranu przedstawiający pulpit nawigacyjny wymagań dotyczących zabezpieczeń.

Omówienie

W górnej części pulpitu nawigacyjnego są wyświetlane dwa pola przeglądu:

• Ocena bezpieczeństwa przedstawia migawkę stanu bezpieczeństwa w Centrum partnerskim.
• Wymagania dotyczące zabezpieczeń pokazują łączną liczbę wymagań bezpieczeństwa, w tym ilość ukończonych i nieukończonych wymagań.

Sekcja wymagań dotyczących zabezpieczeń

Sekcja Wymagania dotyczące zabezpieczeń zawiera wyselekcjonowaną tabelę wymagań i zaleceń dotyczących zabezpieczeń. Te wymagania i zalecenia mogą pomóc zidentyfikować obszary poprawy kondycji zabezpieczeń, rozwiązać problemy, ograniczyć ryzyko i zwiększyć ogólny poziom zabezpieczeń.

Tabela zawiera następujące kolumny:

• Wymagania dotyczące zabezpieczeń: krótki opis wymagań dotyczących zabezpieczeń.

• Opis: Szczegółowe wyjaśnienie wymagań dotyczących zabezpieczeń.

• Stan: wskazanie, czy wymaganie zostało ukończone, czy nie.

• Analizy: Dane umożliwiające działanie, dostosowane do indywidualnych wymagań, oferujące dodatkowe informacje na temat obszarów wymagających uwagi.

• Wynik: wynik dla każdego wymagania, który wpływa na twój ogólny wynik bezpieczeństwa.

• Instrukcje: bezpośrednie linki do przewodników krok po kroku, które pomagają zrozumieć i wdrożyć każde zalecenie, aby można było podnieść poziom zabezpieczeń. Te łącza są również wyświetlane w sekcji Dodatkowe zasoby.

• Akcja: linki do strony, na której można rozwiązać to wymaganie.

  Uwaga

  Jeśli nie masz odpowiedniej roli lub dostępu, skontaktuj się z odpowiednią osobą w organizacji.

Sekcja przyszłych wymagań

W sekcji Przyszłe wymagania przedstawiono podgląd wymagań, które zostaną wkrótce zaimplementowane. Wymagania, które nie zostaną ukończone, odejmują punkty od ogólnej oceny w przyszłości.

Obliczanie wyniku zabezpieczeń

Wynik zabezpieczeń to wartość dziesiętna (liczba całkowita zmiennoprzecinkowa) z zakresu od 0 do 100. Wynik odzwierciedla stan zabezpieczeń najemcy.

Zrzut ekranu przedstawiający przegląd oceny zabezpieczeń.

Centrum Partnerów oblicza ocenę bezpieczeństwa, wykorzystując oceny bezpieczeństwa poszczególnych wymagań dotyczących zabezpieczeń. Każde wymaganie dotyczące zabezpieczeń otrzymuje maksymalną ocenę z zakresu od 0 do 20. Maksymalna ocena wymagań dotyczących zabezpieczeń jest oparta na względnej wadze tego wymagania w porównaniu z innymi wymaganiami. Maksymalny wynik może ulec zmianie w oparciu o zmiany priorytetów biznesowych.

Zrzut ekranu przedstawiający przykładowe wymaganie zabezpieczeń z informacją, że odpowiedź na alerty wynosi średnio 24 godziny lub mniej.

Bieżący algorytm obliczania przyznaje maksymalny wynik dla zgodnego wymagania. W przeciwnym razie wynik wynosi 0.

Obliczenie ogólnego wyniku zabezpieczeń używa następującej formuły: (Suma indywidualnych wyników wymagań dotyczących zabezpieczeń) / (suma indywidualnych ocen maksymalnego wymagania zabezpieczeń) * 100.

Wymagania dotyczące zabezpieczeń i instrukcje implementacji

Wymaganie: Włącz uwierzytelnianie wieloskładnikowe

Punkty oceny zabezpieczeń: 20

Wymaganie uwierzytelniania wieloskładnikowego dla ról administracyjnych utrudnia atakującym dostęp do kont. Role administracyjne mają wyższe uprawnienia niż typowi użytkownicy. Jeśli którekolwiek z tych kont zostanie naruszone, cała organizacja zostanie uwidoczniona.

Co najmniej chroń następujące role:

• Globalny administrator
• Administrator uwierzytelniania
• Administrator rozliczeń
• Administrator dostępu warunkowego
• Administrator programu Exchange
• Administrator pomocy technicznej
• Administrator zabezpieczeń
• Administrator programu SharePoint
• Administrator użytkowników

Kroki implementacji

• Firma Microsoft udostępnia szczegółowe wskazówki dotyczące wybierania i włączania odpowiedniej metody uwierzytelniania wieloskładnikowego dla organizacji w Centrum administracyjne platformy Microsoft 365. Przejdź do asystenta konfiguracji Microsoft 365 MFA.
• Jeśli chcesz wykonać implementację samodzielnie i korzystasz z usługi Microsoft Entra ID Free, włącz ustawienia domyślne zabezpieczeń. Należy pamiętać, że wartości domyślne zabezpieczeń i dostęp warunkowy nie mogą być używane obok siebie. Aby dowiedzieć się więcej, zobacz Ustawienia domyślne zabezpieczeń w Microsoft Entra ID.
• Jeśli zainwestowano w licencje microsoft Entra ID P1 lub P2, możesz utworzyć zasady dostępu warunkowego od podstaw lub przy użyciu szablonu. Wykonaj kroki, aby stworzyć politykę dostępu warunkowego.
• Śledź postęp twojego administratora w rejestrowaniu metod uwierzytelniania, przechodząc do Microsoft Entra ID Security Metody uwierzytelniania Szczegóły rejestracji użytkowników (wymaga licencji Microsoft Entra ID P1 lub P2). Przejdź do Szczegóły rejestracji użytkownika.

Zasoby

• Jak działa MFA
• Planowanie wdrożenia uwierzytelniania wieloskładnikowego Microsoft Entra.
• Wartości domyślne zabezpieczeń w usłudze Microsoft Entra ID
• Zarządzaj kontami dostępu awaryjnego w Microsoft Entra ID

Wymaganie: Odpowiedź na alerty wynosi średnio 24 godziny lub mniej

Punkty oceny zabezpieczeń: 10

Musisz sklasyfikować alerty i reagować na nie w ciągu 24 godzin od ich pojawienia się w Partner Center, dążąc do reakcji w ciągu jednej godziny. To wymaganie pomaga zapewnić natychmiastową ochronę dzierżawców klientów i zminimalizować straty finansowe. Czas odpowiedzi jest mierzony od momentu pojawienia się alertu w Centrum partnerskim do czasu wprowadzenia zmiany alertu przez użytkownika partnera, takiego jak aktualizowanie jego stanu lub kodu przyczyny. Średni czas odpowiedzi jest obliczany na podstawie ostatnich 30 dni działania.

Kroki implementacji

• Upewnij się, że masz skonfigurowany kontakt ds. zabezpieczeń w centrum partnerów. Domyślnie ten adres e-mail odbiera powiadomienia o alertach. Możesz użyć udostępnionej skrzynki pocztowej lub skrzynki pocztowej, która udostępnia system obsługi biletów.
• Zachowaj podręcznik reagowania na zdarzenia, który definiuje role, obowiązki, plany reagowania i informacje kontaktowe.
• Określ kod przyczyny dla każdego alertu. Firma Microsoft używa opinii do mierzenia skuteczności wygenerowanych alertów.

Zasoby

• Alerty Partner Center
• Wykrywanie oszustw i powiadamianie na platformie Azure
• Kontakt ds. bezpieczeństwa dostawcy rozwiązań chmurowych

Wymaganie: Podaj kontakt zabezpieczeń

Punkty oceny zabezpieczeń: 20

W przypadku wystąpienia jakiegokolwiek problemu związanego z zabezpieczeniami w dzierżawie partnera oferującego rozwiązania w chmurze (CSP), firma Microsoft powinna mieć możliwość przekazywania informacji o problemie i zalecania odpowiednich działań wyznaczonej osobie kontaktowej ds. zabezpieczeń w organizacji partnerskiej. Kontakt ten powinien działać w celu jak najszybszego wyeliminowania i skorygowania problemów dotyczących bezpieczeństwa.

Niektóre role w Partner Center mogą nie mieć niezbędnej wiedzy lub zasięgu, aby reagować na ważne incydenty związane z bezpieczeństwem. Wszyscy partnerzy powinni zaktualizować kontakt ds. zabezpieczeń dla najemcy partnera.

Kontakt ds. zabezpieczeń jest osobą lub grupą osób, odpowiedzialne za problemy związane z zabezpieczeniami w organizacji partnerskiej.

Kroki implementacji

Wypełnij adres e-mail, numer telefonu i nazwę osoby fizycznej lub grupy odpowiedzialnej za reagowanie na zdarzenia zabezpieczeń w firmie.

Zasoby

• Kontakt ds. bezpieczeństwa dostawcy usług chmurowych

Wymaganie: Wszystkie subskrypcje platformy Azure mają budżet wydatków

Punkty oceny zabezpieczeń: 10

Śledzenie użycia subskrypcji platformy Azure klientów pomaga klientom zarządzać użyciem platformy Azure i unikać opłat, które są wyższe niż oczekiwano. Należy omówić z klientami swoje miesięczne oczekiwania dotyczące wydatków i ustawić budżet wydatków na ich subskrypcje.

Możesz skonfigurować powiadomienia, które mają być wysyłane do Ciebie, gdy klient używa co najmniej 80% skonfigurowanego budżetu wydatków. Budżet wydatków nie umieszcza limitu wydatków. Ważne jest, aby powiadomić klientów o osiągnięciu 80% użycia, aby mogli zaplanować zamknięcie zasobów lub spodziewać się wyższego rachunku.

Kroki implementacji

Zobacz Ustaw budżet wydatków na platformę Azure dla swoich klientów.

Wymaganie: Użytkownicy pełniący role administracyjne w dzierżawach klientów muszą stosować uwierzytelnianie wieloskładnikowe.

Punkty oceny zabezpieczeń: 20

Wymaganie uwierzytelniania wieloskładnikowego dla ról administracyjnych w dzierżawie klienta utrudnia osobom atakującym uzyskiwanie dostępu do kont. Role administracyjne mają wyższe uprawnienia niż typowi użytkownicy. Jeśli którekolwiek z tych kont zostanie naruszone, cała organizacja zostanie uwidoczniona.

Co najmniej chroń następujące role:

• Globalny administrator
• Administrator uwierzytelniania
• Administrator rozliczeń
• Administrator dostępu warunkowego
• Administrator programu Exchange
• Administrator pomocy technicznej
• Administrator zabezpieczeń
• Administrator programu SharePoint
• Administrator użytkowników

Kroki implementacji

Przejdź do Statystyk MFA klienta. Ta strona zawiera kluczowe informacje o stanie zabezpieczeń MFA każdego klienta:

• Klient: Imię i nazwisko klienta.
• Administratorzy, którzy włączyli MFA: liczba administratorów w dzierżawie klienta, którzy mają włączone MFA.
• Użytkownicy niebędący administratorami z włączoną usługą MFA: liczba użytkowników niebędących administratorami w dzierżawie klienta, którzy mają włączoną usługę MFA.
• Łączna liczba użytkowników: liczba wszystkich użytkowników w środowisku klienta.

Możesz wyszukać statystyki określonego klienta na tej samej stronie przy użyciu pola Wyszukiwania .

Aby uzyskać szczegółowe instrukcje, zobacz Zarządzanie stanem zabezpieczeń MFA klienta.