Práctica recomendada 5.4: cree una estrategia para implementar controles de seguridad

Después de evaluar los requisitos empresariales en función de la clasificación de datos, cree una estrategia que equilibre los controles de seguridad de toda su organización con las guías de aplicación y los estándares abiertos disponibles. Tenga en cuenta el esfuerzo de implementación y reconozca el riesgo.

Sugerencia 5.4.1: identifique una matriz para evaluar el riesgo

Existen una variedad de marcos de administración de riesgos para geografías e industrias específicas. Comprenda el marco de riesgo adoptado por su organización y cómo aplica a la administración de riesgos relacionados con sus cargas de trabajo de SAP.

Sugerencia 5.4.2: evalúe los requisitos de seguridad y conformidad exigidos por su organización

Consulte con su centro de excelencia en la nube, su equipo legal, los equipos de conformidad y con su proveedor de servicios administrados para comprender su base de referencia de seguridad y cómo se aplican los controles. Evalúe si todos estos controles se pueden aplicar fácilmente a su carga de trabajo de SAP e identifique áreas que podrían requerir una excepción, por ejemplo, listas de permitidos y denegados para servicios de AWS, flujo de tráfico entrante y saliente y restricciones de acceso.

Sugerencia 5.4.3: identifique y convenga un proceso de excepciones

En algunas situaciones, los requisitos de software, empresariales y de soporte para SAP podrían requerir que se desvíe de los patrones de seguridad estándar. Identifique un proceso para acordar y documentar cualquier excepción con un foro de asesoramiento de cambios o una autoridad de diseño de seguridad, y vuelva a evaluar el proceso periódicamente.

Documentación de AWS: Change Management in the Cloud (Administración de cambios en la nube)