Update nexus: fix conflicts and sync local changes
This commit is contained in:
Shen Wei
@@ -1,148 +1,148 @@
|
||||
# Cloud Security Maturity Model (CSMM)
|
||||
|
||||
> **Cloud Security Maturity Model (CSMM)** — 评估组织云安全计划成熟度的框架，覆盖12个安全领域的3个域。
|
||||
|
||||
## Definition
|
||||
|
||||
CSMM 是一个供应商中立的安全成熟度评估框架，帮助组织：
|
||||
|
||||
- 评估当前云安全状态
|
||||
- 识别安全差距
|
||||
- 制定安全改进路线图
|
||||
- 量化安全投资回报
|
||||
|
||||
## CSMM Structure
|
||||
|
||||
### 3 Domains
|
||||
|
||||
| 域 | 描述 |
|
||||
|----|------|
|
||||
| **Governance & Strategy** | 安全治理、战略和风险管理 |
|
||||
| **Technical Controls** | 实施的安全技术和控制 |
|
||||
| **Operational Processes** | 安全运营流程和实践 |
|
||||
|
||||
### 12 Security Domains
|
||||
|
||||
| 域 | 类别 |
|
||||
|----|------|
|
||||
| **Asset Management** | 资产发现、分类、清单 |
|
||||
| **Compliance Management** | 法规遵从、审计 |
|
||||
| **Data Security** | 数据分类、加密、生命周期 |
|
||||
| **Governance & Risk** | 安全策略、风险评估 |
|
||||
| **Identity & Access** | IAM、特权访问、MFA |
|
||||
| **Infrastructure Security** | 网络、计算、存储安全 |
|
||||
| **Application Security** | 安全开发、测试、部署 |
|
||||
| **Endpoint Security** | 终端保护、EDR |
|
||||
| **Logging & Monitoring** | SIEM、日志管理、告警 |
|
||||
| **Incident Response** | 检测、响应、恢复 |
|
||||
| **Supply Chain Security** | 第三方风险管理 |
|
||||
| **Human Factors** | 安全意识、培训、文化 |
|
||||
|
||||
## 5 Maturity Levels
|
||||
|
||||
| Level | 名称 | 描述 |
|
||||
|-------|------|------|
|
||||
| **1** | Initial | 无正式流程，响应式安全 |
|
||||
| **2** | Developing | 基础控制，有文档 |
|
||||
| **3** | Defined | 标准流程，全面覆盖 |
|
||||
| **4** | Managed | 持续监控，量化管理 |
|
||||
| **5** | Optimizing | 持续改进，主动防御 |
|
||||
|
||||
## Level Characteristics
|
||||
|
||||
### Level 1: Initial
|
||||
|
||||
- 无正式安全流程
|
||||
- 响应式问题处理
|
||||
- 依赖个人知识
|
||||
- 无安全指标
|
||||
|
||||
### Level 2: Developing
|
||||
|
||||
- 基本安全策略
|
||||
- 有限的 IAM 控制
|
||||
- 基础日志记录
|
||||
- 安全事件记录
|
||||
|
||||
### Level 3: Defined
|
||||
|
||||
- 文档化安全策略
|
||||
- 全面的 IAM/MFA
|
||||
- SIEM 部署
|
||||
- 安全培训计划
|
||||
- 事件响应流程
|
||||
|
||||
### Level 4: Managed
|
||||
|
||||
- 持续安全监控
|
||||
- 自动化安全控制
|
||||
- KPI 追踪
|
||||
- 定期渗透测试
|
||||
- 威胁情报集成
|
||||
|
||||
### Level 5: Optimizing
|
||||
|
||||
- AI/ML 驱动的安全
|
||||
- 自动化响应
|
||||
- 预测性威胁分析
|
||||
- 零信任架构
|
||||
- 安全即代码
|
||||
|
||||
## Assessment Areas
|
||||
|
||||
### Governance & Strategy
|
||||
|
||||
| 评估项 | 成熟度等级 |
|
||||
|--------|-----------|
|
||||
| 安全策略文档 | L1-L5 |
|
||||
| 风险评估流程 | L1-L5 |
|
||||
| 安全指标和报告 | L3-L5 |
|
||||
| 董事会参与 | L4-L5 |
|
||||
|
||||
### Technical Controls
|
||||
|
||||
| 评估项 | 成熟度等级 |
|
||||
|--------|-----------|
|
||||
| IAM/MFA | L2-L5 |
|
||||
| 网络分段 | L2-L5 |
|
||||
| 数据加密 | L3-L5 |
|
||||
| 容器安全 | L3-L5 |
|
||||
| 云安全态势管理 | L4-L5 |
|
||||
|
||||
### Operational Processes
|
||||
|
||||
| 评估项 | 成熟度等级 |
|
||||
|--------|-----------|
|
||||
| 漏洞管理 | L2-L5 |
|
||||
| 事件响应 | L3-L5 |
|
||||
| 安全运营 | L4-L5 |
|
||||
| 合规监控 | L3-L5 |
|
||||
|
||||
## Implementation
|
||||
|
||||
### Step 1: Assessment
|
||||
- 自我评估或第三方评估
|
||||
- 问卷调查
|
||||
- 技术验证
|
||||
|
||||
### Step 2: Gap Analysis
|
||||
- 对标 CSMM 成熟度等级
|
||||
- 识别优先改进项
|
||||
|
||||
### Step 3: Roadmap
|
||||
- 制定改进计划
|
||||
- 分配资源和责任
|
||||
- 设定时间线
|
||||
|
||||
### Step 4: Execution
|
||||
- 实施安全改进
|
||||
- 持续监控进度
|
||||
- 定期复盘
|
||||
|
||||
## See Also
|
||||
|
||||
- [[Cloud Security]] — 云安全
|
||||
- [[Cloud Governance]] — 云治理
|
||||
- [[Cloud Maturity Model]] — 云成熟度模型
|
||||
- [[Zero Trust]] — 零信任
|
||||
- [[CSPM]] — 云安全态势管理
|
||||
# Cloud Security Maturity Model (CSMM)
|
||||
|
||||
> **Cloud Security Maturity Model (CSMM)** — 评估组织云安全计划成熟度的框架，覆盖12个安全领域的3个域。
|
||||
|
||||
## Definition
|
||||
|
||||
CSMM 是一个供应商中立的安全成熟度评估框架，帮助组织：
|
||||
|
||||
- 评估当前云安全状态
|
||||
- 识别安全差距
|
||||
- 制定安全改进路线图
|
||||
- 量化安全投资回报
|
||||
|
||||
## CSMM Structure
|
||||
|
||||
### 3 Domains
|
||||
|
||||
| 域 | 描述 |
|
||||
|----|------|
|
||||
| **Governance & Strategy** | 安全治理、战略和风险管理 |
|
||||
| **Technical Controls** | 实施的安全技术和控制 |
|
||||
| **Operational Processes** | 安全运营流程和实践 |
|
||||
|
||||
### 12 Security Domains
|
||||
|
||||
| 域 | 类别 |
|
||||
|----|------|
|
||||
| **Asset Management** | 资产发现、分类、清单 |
|
||||
| **Compliance Management** | 法规遵从、审计 |
|
||||
| **Data Security** | 数据分类、加密、生命周期 |
|
||||
| **Governance & Risk** | 安全策略、风险评估 |
|
||||
| **Identity & Access** | IAM、特权访问、MFA |
|
||||
| **Infrastructure Security** | 网络、计算、存储安全 |
|
||||
| **Application Security** | 安全开发、测试、部署 |
|
||||
| **Endpoint Security** | 终端保护、EDR |
|
||||
| **Logging & Monitoring** | SIEM、日志管理、告警 |
|
||||
| **Incident Response** | 检测、响应、恢复 |
|
||||
| **Supply Chain Security** | 第三方风险管理 |
|
||||
| **Human Factors** | 安全意识、培训、文化 |
|
||||
|
||||
## 5 Maturity Levels
|
||||
|
||||
| Level | 名称 | 描述 |
|
||||
|-------|------|------|
|
||||
| **1** | Initial | 无正式流程，响应式安全 |
|
||||
| **2** | Developing | 基础控制，有文档 |
|
||||
| **3** | Defined | 标准流程，全面覆盖 |
|
||||
| **4** | Managed | 持续监控，量化管理 |
|
||||
| **5** | Optimizing | 持续改进，主动防御 |
|
||||
|
||||
## Level Characteristics
|
||||
|
||||
### Level 1: Initial
|
||||
|
||||
- 无正式安全流程
|
||||
- 响应式问题处理
|
||||
- 依赖个人知识
|
||||
- 无安全指标
|
||||
|
||||
### Level 2: Developing
|
||||
|
||||
- 基本安全策略
|
||||
- 有限的 IAM 控制
|
||||
- 基础日志记录
|
||||
- 安全事件记录
|
||||
|
||||
### Level 3: Defined
|
||||
|
||||
- 文档化安全策略
|
||||
- 全面的 IAM/MFA
|
||||
- SIEM 部署
|
||||
- 安全培训计划
|
||||
- 事件响应流程
|
||||
|
||||
### Level 4: Managed
|
||||
|
||||
- 持续安全监控
|
||||
- 自动化安全控制
|
||||
- KPI 追踪
|
||||
- 定期渗透测试
|
||||
- 威胁情报集成
|
||||
|
||||
### Level 5: Optimizing
|
||||
|
||||
- AI/ML 驱动的安全
|
||||
- 自动化响应
|
||||
- 预测性威胁分析
|
||||
- 零信任架构
|
||||
- 安全即代码
|
||||
|
||||
## Assessment Areas
|
||||
|
||||
### Governance & Strategy
|
||||
|
||||
| 评估项 | 成熟度等级 |
|
||||
|--------|-----------|
|
||||
| 安全策略文档 | L1-L5 |
|
||||
| 风险评估流程 | L1-L5 |
|
||||
| 安全指标和报告 | L3-L5 |
|
||||
| 董事会参与 | L4-L5 |
|
||||
|
||||
### Technical Controls
|
||||
|
||||
| 评估项 | 成熟度等级 |
|
||||
|--------|-----------|
|
||||
| IAM/MFA | L2-L5 |
|
||||
| 网络分段 | L2-L5 |
|
||||
| 数据加密 | L3-L5 |
|
||||
| 容器安全 | L3-L5 |
|
||||
| 云安全态势管理 | L4-L5 |
|
||||
|
||||
### Operational Processes
|
||||
|
||||
| 评估项 | 成熟度等级 |
|
||||
|--------|-----------|
|
||||
| 漏洞管理 | L2-L5 |
|
||||
| 事件响应 | L3-L5 |
|
||||
| 安全运营 | L4-L5 |
|
||||
| 合规监控 | L3-L5 |
|
||||
|
||||
## Implementation
|
||||
|
||||
### Step 1: Assessment
|
||||
- 自我评估或第三方评估
|
||||
- 问卷调查
|
||||
- 技术验证
|
||||
|
||||
### Step 2: Gap Analysis
|
||||
- 对标 CSMM 成熟度等级
|
||||
- 识别优先改进项
|
||||
|
||||
### Step 3: Roadmap
|
||||
- 制定改进计划
|
||||
- 分配资源和责任
|
||||
- 设定时间线
|
||||
|
||||
### Step 4: Execution
|
||||
- 实施安全改进
|
||||
- 持续监控进度
|
||||
- 定期复盘
|
||||
|
||||
## See Also
|
||||
|
||||
- [[Cloud Security]] — 云安全
|
||||
- [[Cloud Governance]] — 云治理
|
||||
- [[Cloud Maturity Model]] — 云成熟度模型
|
||||
- [[Zero Trust]] — 零信任
|
||||
- [[CSPM]] — 云安全态势管理
|
||||
|
||||
Reference in New Issue
Block a user