Data Security Center:Pemeriksaan baseline keamanan

Prasyarat

• Anda telah mengaktifkan instans Data Security Center Free Edition atau membeli instans DSC berbayar.

  Edisi Gratis Data Security Center mendukung sebagian item pemeriksaan, sedangkan edisi berbayar mendukung semua fitur. Untuk informasi lebih lanjut, lihat Aktifkan Data Security Center Free Edition dan Beli Data Security Center.

• Anda telah menyelesaikan otorisasi aset. Untuk informasi lebih lanjut, lihat Otorisasi aset.

Pemeriksaan baseline keamanan

Berdasarkan GB/T 37988-2019, Information Security Technology - Data Security Capability Maturity Model, Data Security Center menyediakan pemeriksaan terhadap baseline PIPL-based Security Baseline Check dan baseline Alibaba Cloud Data Security Best Practices. Untuk lingkungan database yang kompleks dan berbagai tipe data, seperti data terstruktur dan data tidak terstruktur, DSC menawarkan tujuh kategori kebijakan pemeriksaan beserta item pemeriksaan yang sesuai. Tab Policies pada halaman Risk Governance > Configuration Risks mencantumkan semua item pemeriksaan. DSC menyediakan ringkasan dan daftar rinci risiko yang dikategorikan berdasarkan tipe dan tingkat, serta saran perbaikan. Kami menyarankan Anda segera menangani risiko konfigurasi yang terdeteksi guna memperkuat keamanan aset data dan mencegah eksploitasi oleh penyerang.

Baseline

• PIPL-based Security Baseline Check: Berdasarkan regulasi perlindungan informasi pribadi, baseline ini menyediakan deteksi risiko keamanan siklus hidup penuh untuk aset data yang berisi informasi pribadi.

  Pemeriksaan baseline ini dilakukan pada instans database dan bucket OSS yang ditemukan oleh tugas data discovery sebagai berisi informasi pribadi atau informasi pribadi sensitif.

• Alibaba Cloud Data Security Best Practices: Baseline deteksi yang diturunkan dari praktik terbaik keamanan data Alibaba Cloud. Baseline ini menyediakan deteksi risiko keamanan siklus hidup penuh untuk aset data.

  Pemeriksaan baseline ini dilakukan pada semua instans database dan bucket OSS yang telah diotorisasi.

Kebijakan yang didukung

Database yang didukung

Pemeriksaan baseline keamanan mendeteksi risiko konfigurasi pada database Alibaba Cloud berikut yang terhubung ke Data Security Center:

Aktifkan atau nonaktifkan item pemeriksaan

Secara default, Data Security Center (DSC) mengaktifkan semua item pemeriksaan dalam kebijakan pemeriksaan untuk deteksi risiko. Anda dapat mengaktifkan atau menonaktifkan item pemeriksaan tertentu sesuai kebutuhan bisnis Anda.

1. Login ke Konsol DSC.

2. Di panel navigasi kiri, pilih Risk Governance > Configuration Risks.

3. Pada tab Policies, klik tab Alibaba Cloud Data Security Best Practices atau PIPL-based Security Baseline Check untuk melihat kebijakan pemeriksaan baseline.

4. Dalam daftar kebijakan, alihkan sakelar di kolom Status untuk mengaktifkan atau menonaktifkan item pemeriksaan tertentu.

   Anda juga dapat mengaktifkan atau menonaktifkan seluruh kebijakan pemeriksaan untuk mengelola semua item pemeriksaannya secara massal.

Jalankan pemeriksaan

Waktu pemeriksaan terakhir

Pada tab Policies, klik tab Alibaba Cloud Data Security Best Practices atau PIPL-based Security Baseline Check untuk melihat Last Checked Time.

Pemeriksaan otomatis

Data Security Center (DSC) secara otomatis melakukan pemeriksaan baseline keamanan pada aset data terhubung Anda sekitar pukul 01.00 (UTC+8) setiap hari.

Pemeriksaan manual

Jika Anda telah menghubungkan aset baru atau mengubah konfigurasi database, Anda dapat segera memindai semua aset menggunakan fitur Re-check. Pemeriksaan ulang biasanya memerlukan waktu sekitar 10 menit untuk diselesaikan.

1. Di panel navigasi kiri, pilih Risk Governance > Configuration Risks.

2. Pada halaman Risk Trends, klik tab Alerts. Temukan kebijakan target dan klik Details di kolom Actions.

3. Pada tab Risk Situation atau Assets, klik Re-check untuk memindai ulang risiko pada aset tertentu atau untuk item pemeriksaan tertentu.

   Tab Risk Situation mencantumkan setiap item pemeriksaan dengan kolom Check item, Number of Risky Assets, Associated Assets, Status, dan Actions. Anda dapat mengklik Check di kolom Actions untuk menjalankan pemindaian untuk satu item pemeriksaan.

Tren risiko aset

Data Security Center menggabungkan hasil dari pemeriksaan baseline keamanan dan deteksi data sensitif untuk menyediakan grafik dan statistik, termasuk postur keamanan aset data berdasarkan tingkat sensitivitas, postur keamanan data pribadi, progres tata kelola risiko, dan hasil deteksi data sensitif, guna memberikan gambaran jelas mengenai postur keamanan aset Anda.

1. Di panel navigasi kiri, pilih Risk Governance > Configuration Risks.

2. Pada tab Risk Trends, pilih tipe baseline keamanan dari daftar drop-down di sebelah kanan.

3. Pada tab Asset Risks, tinjau informasi berikut untuk memahami postur risiko aset bisnis Anda:

   • Postur keamanan aset data berdasarkan tingkat sensitivitas

     Grafik batang yang menunjukkan jumlah aset dengan risiko tinggi, menengah, dan rendah, dikategorikan berdasarkan tingkat sensitivitas data.

   • Postur keamanan data pribadi

     Grafik batang yang menunjukkan jumlah aset dengan risiko tinggi, menengah, dan rendah, dikategorikan berdasarkan apakah aset tersebut berisi informasi pribadi sensitif, informasi pribadi, atau data umum.

   • Progres tata kelola risiko

     • Angka di kolom Progress menunjukkan rasio item pemeriksaan yang lolos terhadap total item pemeriksaan yang berlaku untuk suatu aset. Misalnya, 2/3 menunjukkan bahwa suatu aset lolos 2 dari 3 item pemeriksaan yang berlaku. Jika ditampilkan Completed, artinya aset tersebut telah lolos semua pemeriksaan terkait.

     • Risk Level menunjukkan tingkat risiko tertinggi di antara item pemeriksaan yang gagal untuk suatu aset. Jika item pemeriksaan yang gagal bersesuaian dengan beberapa tingkat risiko, Data Security Center hanya menampilkan tingkat risiko tertinggi.

Menangani risiko konfigurasi

Data Security Center (DSC) menyediakan beberapa cara untuk melihat dan menangani risiko konfigurasi. Data risiko konsisten di semua tampilan, sehingga Anda dapat memilih metode yang paling sesuai.

Berdasarkan aset

Untuk meninjau hasil pemeriksaan aset tertentu, buka tab Asset Risks, yang terletak di tab Risk Trends pada halaman Risk Governance > Configuration Risks. Tampilan ini mencantumkan semua aset database yang didukung, hasil pemeriksaan rincinya, serta opsi perbaikan.

1. Di panel navigasi kiri, pilih Risk Governance > Configuration Risks.

2. Pada tab Risk Trends, klik tab Asset Risks untuk menangani risiko konfigurasi.

   • Menangani risiko

     Data Security Center hanya menyediakan panduan perbaikan. Anda harus menangani risikonya sendiri. Klik Handle di kolom Actions untuk instans aset data target guna melihat item pemeriksaan yang gagal dan langkah perbaikannya.

     Di area Risk Details, Anda dapat mengklik Handle untuk menuju halaman yang sesuai guna menyelesaikan risiko tersebut.

     Sebagai contoh, area Risk Details menunjukkan bahwa item risiko menengah OSS-Enable hotlink protection for the bucket dan item risiko rendah OSS-Enable server-side encryption for the bucket gagal. Tindakan Re-check, Add to Whitelist, dan Handle tersedia untuk setiap item. Panduan perbaikannya adalah masuk ke Konsol OSS, pilih bucket target, lalu klik Data Security > Hotlink Protection untuk mengaktifkan perlindungan hotlink. Atau, klik Data Security > Server-Side Encryption, klik Settings, lalu pilih metode enkripsi yang sesuai.

• Tambahkan seluruh aset ke daftar putih

  Jika insinyur keamanan menentukan bahwa aset database tidak memerlukan pemeriksaan baseline keamanan, Anda dapat mengklik Add to Whitelist di kolom Actions untuk instans database tersebut. Tindakan ini akan menambahkan semua item pemeriksaan untuk aset tersebut ke daftar putih. Setelah aset ditambahkan ke daftar putih, progres tata kelolanya diperbarui menjadi Completed.

• Tambahkan item pemeriksaan tertentu untuk instans aset ke daftar putih

  Jika insinyur keamanan menentukan bahwa item pemeriksaan tertentu dapat dikecualikan untuk suatu aset, klik Handle di kolom Actions untuk instans database target. Di panel Risk Remediation, klik Add to Whitelist di samping item pemeriksaan target. Status item pemeriksaan tersebut berubah menjadi Added to Whitelist.

Berdasarkan kebijakan

Untuk meninjau hasil pemeriksaan berbagai kebijakan, buka tab Alerts, yang terletak di tab Risk Trends pada halaman Risk Governance > Configuration Risks. Tampilan ini mencantumkan semua kebijakan. Di halaman detail kebijakan, Anda dapat melihat item pemeriksaannya dan daftar aset terkait.

1. Di panel navigasi kiri, pilih Risk Governance > Configuration Risks.

2. Pada tab Risk Trends, klik tab Alerts untuk melihat daftar kebijakan.

   • Number of alarms menunjukkan jumlah aset yang memiliki item pemeriksaan gagal.

   • Associate Asset mengacu pada total jumlah aset yang dipindai oleh item pemeriksaan. Satu aset dihitung sekali untuk setiap item pemeriksaan yang memindainya.

3. Klik Details di kolom Actions untuk kebijakan target.

4. Di halaman Details, lihat tab Risk Situation dan Assets.

   • Tab Risk Situation menampilkan semua item pemeriksaan dalam kebijakan dan rinciannya, termasuk jumlah aset berisiko, jumlah aset terkait, serta status setiap item pemeriksaan. Untuk memindai ulang item pemeriksaan tertentu, klik Check di kolom Actions.

   • Tab Assets menampilkan semua aset yang dicakup oleh item pemeriksaan dalam kebijakan tersebut. Anda dapat memindai ulang aset untuk item pemeriksaan tertentu, menambahkan atau menghapusnya dari daftar putih, atau mengklik Handle untuk menuju konsol yang sesuai guna menyelesaikan risiko saat ini.

Berdasarkan item pemeriksaan

Untuk melihat risiko yang terdeteksi oleh item pemeriksaan tertentu, buka tab Policies di bawah Risk Governance > Configuration Risks dan lakukan langkah-langkah berikut.

1. Dalam daftar kebijakan, klik ikon expand () di samping nama kebijakan target untuk melihat item pemeriksaan di bawahnya.

2. Klik Details atau Configure Whitelist di kolom Actions untuk item pemeriksaan target guna menuju halaman detailnya. Di halaman ini, Anda dapat melihat aset yang terkait dengan item pemeriksaan tersebut dan melakukan tindakan yang sesuai.

   Tindakan berikut didukung:

   • Jika Anda memastikan bahwa hasil pemeriksaan dapat diabaikan untuk suatu aset, klik Add to Whitelist di kolom Actions untuk aset target. Hal ini akan menambahkan aset tersebut ke daftar putih untuk item pemeriksaan tersebut.

   • Klik Handle di kolom Actions untuk aset target guna menuju konsol yang sesuai untuk menyelesaikan risiko saat ini.

   • Setelah Anda menyelesaikan risiko tersebut, Anda dapat mengklik Verification di kolom Actions untuk aset target guna memverifikasi perbaikannya.