best-practices
أفضل الممارسات
أفضل الممارسات لتطبيق وإدارة DuoKey لمفتاح العميل في Office 365 لضمان الأمان والموثوقية والامتثال.
أفضل الممارسات الأمنية
أمان إدارة المفاتيح
1. تطبيق الوصول بأقل الامتيازات
- امنح الحد الأدنى فقط من الأذونات المطلوبة
- استخدم كيانات أساسية للخدمة منفصلة للعمليات المختلفة
- دقّق أذونات الوصول بانتظام
- طبّق الوصول في الوقت المناسب (JIT) للمهام الإدارية
2. تمكين المصادقة متعددة العوامل (MFA)
اطلب MFA لجميع الحسابات التي لديها وصول إلى خزنة المفاتيح:
- مسؤولو Azure
- المساهمون في خزنة المفاتيح
- فريق العمليات الأمنية
- مدققو الامتثال
3. تأمين النسخ الاحتياطية للمفاتيح
تخزين النسخ الاحتياطية
خزّن النسخ الاحتياطية بتنسيق مشفّر، واستخدم مفاتيح تشفير منفصلة، واحتفظ بها في مواقع جغرافية متعددة، وخزّن النسخ الاحتياطية غير المتصلة في مواقع مادية آمنة.
التحكم في الوصول
اقصر الوصول إلى النسخ الاحتياطية على الأفراد المصرّح لهم، وطبّق التفويض متعدد الأشخاص، وسجّل جميع عمليات النسخ الاحتياطي والاستعادة، واختبر إجراءات الاستعادة بانتظام.
المراقبة والتنبيه
مكّن جميع فئات التشخيص لـ Azure Key Vault بما في ذلك AuditEvent وAllMetrics وAllLogs. كوّن تنبيهات حرجة لحالات فشل الوصول إلى المفاتيح وأنماط الوصول غير المعتادة.
أفضل الممارسات التشغيلية
تدوير المفاتيح
إرساء جدول التدوير
| البيئة | التكرار | المُطلِق |
|---|---|---|
| مفاتيح الإنتاج | سنويًا | سياسة تدوير مجدولة |
| البيئات عالية الأمان | ربع سنوي | متطلبات أمنية معزّزة |
| بعد الحوادث الأمنية | فورًا | الاستجابة للحوادث |
| عند تغييرات الموظفين | خلال 30 يومًا | إنهاء توظيف الموظف |
قائمة التحقق من إجراء التدوير
المتطلبات المسبقة
- إخطار أصحاب المصلحة بالتدوير المخطّط
- توليد مفاتيح جديدة باستخدام DuoKey MPC
- اختبار المفاتيح الجديدة في بيئة غير إنتاجية
- جدولة التدوير خلال فترة انخفاض الاستخدام
- إنشاء سياسة DEP بالمفاتيح الجديدة
- مراقبة تقدّم إعادة التشفير
- التحقق من اكتمال التشفير بنجاح
- أرشفة المفاتيح القديمة (لا تحذفها)
- تحديث الوثائق
- إجراء مراجعة بعد التدوير
إدارة التغيير
احتفظ بسجل تغيير لعمليات إنشاء وتعديل سياسات DEP، وتدوير المفاتيح، وتغييرات سياسة الوصول، وتحديثات التكوين، والاستجابات للحوادث.
اطلب الموافقة على إنشاء سياسة DEP جديدة، وتدوير المفاتيح، وتعديلات سياسة الوصول، وتغييرات تكوين خزنة المفاتيح.
أفضل ممارسات الامتثال
التدقيق وإعداد التقارير
| التكرار | الأنشطة |
|---|---|
| يوميًا | مراجعة سجلّات الوصول إلى المفاتيح، والتحقق من العمليات الفاشلة، ومراقبة حالة التشفير |
| أسبوعيًا | إنشاء تقارير استخدام المفاتيح، ومراجعة أنماط الوصول، والتحقق من سلامة النسخ الاحتياطية |
| شهريًا | تقرير امتثال شامل، ومراجعة السياسات وتحديثها، وإجراء مراجعة للوصول |
| ربع سنوي | تدقيق داخلي للإجراءات، واختبار التعافي من الكوارث، وتحديث الوثائق |
سيادة البيانات
- خزّن المفاتيح في مناطق تطابق متطلبات إقامة البيانات
- استخدم Office 365 متعدد المواقع الجغرافية مع سياسات DEP خاصة بالمنطقة
- وثّق مواقع تخزين المفاتيح لأغراض الامتثال
التوفّر العالي والتعافي من الكوارث
تصميم التوفّر العالي
خزائن متكرّرة
احتفظ بخزنتي مفاتيح في منطقتين مختلفتين من Azure.
المزامنة
زامن المفاتيح عبر الخزائن.
التحوّل التلقائي عند الفشل
كوّن التحوّل التلقائي عند الفشل حيثما أمكن.
التعافي من الكوارث
| المقياس | الهدف | تكرار الاختبار |
|---|---|---|
| RTO (هدف وقت الاسترداد) | 4 ساعات | ربع سنوي |
| RPO (هدف نقطة الاسترداد) | ساعة واحدة | ربع سنوي |
قائمة التحقق من اختبار التعافي من الكوارث
المتطلبات المسبقة
- اختبار استعادة المفاتيح من النسخة الاحتياطية
- التحقق من التحوّل عند الفشل إلى خزنة المفاتيح الثانوية
- التدرّب على إعادة إنشاء سياسة DEP
- اختبار إجراءات الوصول الطارئ
- التحقق من المراقبة والتنبيه
- توثيق الدروس المستفادة
- تحديث إجراءات التعافي من الكوارث
تحسين الأداء
عيّن سياسات DEP خلال ساعات عدم الذروة. جدوِل التعيينات المجمّعة للأمسيات أو عطلات نهاية الأسبوع وتجنّب ساعات العمل في أوقات الذروة. راقب أداء النظام أثناء التعيينات.
أحدث إصدارات واجهة برمجة التطبيقات
استخدم أحدث إصدارات واجهة برمجة التطبيقات لتحسين الأداء والميزات.
منطق إعادة المحاولة
طبّق منطق إعادة المحاولة مع التراجع الأسّي لتحقيق المرونة.
التخزين المؤقت
خزّن بيانات المفاتيح الوصفية مؤقتًا عند الإمكان لتقليل استدعاءات واجهة برمجة التطبيقات.
توزيع الحمل
وزّع الحمل عبر خزائن المفاتيح لتحقيق إنتاجية مثلى.
أفضل ممارسات DuoKey MPC
تكوين MPC
| البيئة | العتبة | النسبة المئوية |
|---|---|---|
| الإنتاج | 3 من 5 | 60% |
| أمان عالٍ | 4 من 7 | 57% |
| قياسي | 2 من 3 | 67% |
وزّع عقد MPC عبر مناطق سحابية مختلفة، ومراكز بيانات، ومواقع مادية، ونطاقات إدارية.
صيانة العقد
حدّث برنامج عقد MPC بانتظام، وراقب سلامة العقد وتوفّرها، واختبر إجراءات التحوّل عند فشل العقد، واحتفظ بعقد احتياطية.
إدارة حصص المفاتيح
خزّن الحصص في مواقع آمنة منفصلة، وطبّق التحكم متعدد الأشخاص، وتحقّق من سلامة الحصص بانتظام، واختبر إجراءات إعادة البناء.
تحسين التكلفة
اعتبارات الترخيص
| المكوّن | المتطلب |
|---|---|
| Office 365 | يتطلب E5 لمفتاح العميل |
| Azure | تكاليف الاشتراك لخزائن المفاتيح |
| DuoKey | الترخيص بناءً على الاستخدام |
| النمو | التخطيط للنمو في عدد المستخدمين |
- أزِل المفاتيح غير المستخدمة بعد فترة الاحتفاظ
- ادمج خزائن المفاتيح حيثما كان ذلك مناسبًا
- استخدم وحدة SKU المناسبة (Premium للمفاتيح المدعومة بوحدة HSM)
- راقب معدلات المعاملات لتجنّب العمليات غير الضرورية
التدريب والتوعية
تدريب الموظفين
المتطلبات المسبقة
- مفاهيم مفتاح العميل
- إجراءات إدارة المفاتيح
- أفضل الممارسات الأمنية
- الاستجابة للحوادث
- متطلبات الامتثال
- استخدام الأدوات (PowerShell وAzure Portal وDuoKey)
جدول التدريب
| نوع التدريب | التكرار |
|---|---|
| التدريب الأولي | قبل التطبيق |
| التدريب التنشيطي | ربع سنوي |
| الإجراءات الطارئة | نصف سنوي |
| الميزات الجديدة | عند الإصدار |
| تحديثات الامتثال | حسب الحاجة |
أطر الامتثال
- الاحتفاظ بسجلّات معالجة البيانات
- تطبيق حماية البيانات بالتصميم
- تمكين قابلية نقل البيانات
- دعم الحق في المحو
- توثيق عمليات النقل عبر الحدود