best-practices
Best Practices
Best Practices für die Implementierung und Verwaltung von DuoKey für Office 365 Customer Key, um Sicherheit, Zuverlässigkeit und Compliance zu gewährleisten.
Best Practices für die Sicherheit
Sicherheit der Schlüsselverwaltung
1. Least-Privilege-Zugriff implementieren
- Gewähren Sie nur die minimal erforderlichen Berechtigungen
- Verwenden Sie separate Dienstprinzipale für unterschiedliche Vorgänge
- Prüfen Sie die Zugriffsberechtigungen regelmäßig
- Implementieren Sie Just-in-Time-Zugriff (JIT) für administrative Aufgaben
2. Multi-Faktor-Authentifizierung (MFA) aktivieren
Fordern Sie MFA für alle Konten mit Zugriff auf den Key Vault:
- Azure-Administratoren
- Key Vault-Mitwirkende
- Team für Security Operations
- Compliance-Auditoren
3. Schlüssel-Backups sichern
Backup-Speicherung
Speichern Sie Backups in verschlüsseltem Format, verwenden Sie separate Verschlüsselungsschlüssel, bewahren Sie sie an mehreren geografischen Standorten auf und lagern Sie Offline-Backups an sicheren physischen Orten.
Zugriffssteuerung
Beschränken Sie den Backup-Zugriff auf autorisiertes Personal, implementieren Sie eine Autorisierung durch mehrere Personen, protokollieren Sie alle Backup- und Wiederherstellungsvorgänge und testen Sie die Wiederherstellungsverfahren regelmäßig.
Monitoring und Alarmierung
Aktivieren Sie alle Diagnosekategorien für den Azure Key Vault, einschließlich AuditEvent, AllMetrics und AllLogs. Konfigurieren Sie kritische Alarme für Fehler beim Schlüsselzugriff und ungewöhnliche Zugriffsmuster.
Betriebliche Best Practices
Schlüsselrotation
Rotationszeitplan festlegen
| Umgebung | Häufigkeit | Auslöser |
|---|---|---|
| Produktionsschlüssel | Jährlich | Geplante Rotationsrichtlinie |
| Hochsicherheitsumgebungen | Vierteljährlich | Erhöhte Sicherheitsanforderungen |
| Nach Sicherheitsvorfällen | Sofort | Incident Response |
| Bei Personaländerungen | Innerhalb von 30 Tagen | Mitarbeiter-Offboarding |
Checkliste des Rotationsverfahrens
Voraussetzungen
- Stakeholder über die geplante Rotation informieren
- Neue Schlüssel mit DuoKey MPC generieren
- Neue Schlüssel in einer Nicht-Produktionsumgebung testen
- Rotation in einem Zeitraum mit geringer Auslastung planen
- DEP mit neuen Schlüsseln erstellen
- Fortschritt der erneuten Verschlüsselung überwachen
- Erfolgreichen Abschluss der Verschlüsselung überprüfen
- Alte Schlüssel archivieren (nicht löschen)
- Dokumentation aktualisieren
- Überprüfung nach der Rotation durchführen
Change Management
Führen Sie ein Änderungsprotokoll für DEP-Erstellungen und -Änderungen, Schlüsselrotationen, Änderungen an Zugriffsrichtlinien, Konfigurationsaktualisierungen und Incident Responses.
Fordern Sie eine Genehmigung für die Erstellung neuer DEPs, die Schlüsselrotation, Änderungen an Zugriffsrichtlinien und Änderungen an der Key Vault-Konfiguration.
Best Practices für Compliance
Audit und Berichterstattung
| Häufigkeit | Aktivitäten |
|---|---|
| Täglich | Schlüsselzugriffsprotokolle prüfen, auf fehlgeschlagene Vorgänge prüfen, Verschlüsselungsstatus überwachen |
| Wöchentlich | Berichte zur Schlüsselnutzung erstellen, Zugriffsmuster prüfen, Backup-Integrität validieren |
| Monatlich | Umfassenden Compliance-Bericht erstellen, Richtlinien prüfen und aktualisieren, Zugriffsüberprüfung durchführen |
| Vierteljährlich | Internes Audit der Verfahren, Disaster Recovery testen, Dokumentation aktualisieren |
Datensouveränität
- Speichern Sie Schlüssel in Regionen, die den Anforderungen an die Datenresidenz entsprechen
- Verwenden Sie Multi-Geo-Office-365 mit regionsspezifischen DEPs
- Dokumentieren Sie die Speicherorte der Schlüssel für die Compliance
Hochverfügbarkeit und Disaster Recovery
Design für Hochverfügbarkeit
Redundante Vaults
Betreiben Sie zwei Key Vaults in verschiedenen Azure-Regionen.
Synchronisierung
Synchronisieren Sie Schlüssel über die Vaults hinweg.
Automatisches Failover
Konfigurieren Sie ein automatisches Failover, wo immer möglich.
Disaster Recovery
| Metrik | Zielwert | Testhäufigkeit |
|---|---|---|
| RTO (Recovery Time Objective) | 4 Stunden | Vierteljährlich |
| RPO (Recovery Point Objective) | 1 Stunde | Vierteljährlich |
Checkliste für DR-Tests
Voraussetzungen
- Schlüsselwiederherstellung aus dem Backup testen
- Failover zum sekundären Key Vault überprüfen
- DEP-Neuerstellung üben
- Verfahren für den Notfallzugriff testen
- Monitoring und Alarmierung validieren
- Gewonnene Erkenntnisse dokumentieren
- DR-Verfahren aktualisieren
Leistungsoptimierung
Weisen Sie DEPs außerhalb der Spitzenzeiten zu. Planen Sie Massenzuweisungen für Abende oder Wochenenden und vermeiden Sie die Hauptgeschäftszeiten. Überwachen Sie die Systemleistung während der Zuweisungen.
Neueste API-Versionen
Verwenden Sie die neuesten API-Versionen für bessere Leistung und Funktionen.
Wiederholungslogik
Implementieren Sie eine Wiederholungslogik mit exponentiellem Backoff für Resilienz.
Caching
Cachen Sie nach Möglichkeit Schlüsselmetadaten, um API-Aufrufe zu reduzieren.
Lastverteilung
Verteilen Sie die Last über die Key Vaults für optimalen Durchsatz.
Best Practices für DuoKey MPC
MPC-Konfiguration
| Umgebung | Threshold | Prozentsatz |
|---|---|---|
| Produktion | 3-von-5 | 60 % |
| Hohe Sicherheit | 4-von-7 | 57 % |
| Standard | 2-von-3 | 67 % |
Verteilen Sie MPC-Knoten über verschiedene Cloud-Regionen, Rechenzentren, physische Standorte und Verwaltungsdomänen.
Knotenwartung
Aktualisieren Sie die MPC-Knotensoftware regelmäßig, überwachen Sie Zustand und Verfügbarkeit der Knoten, testen Sie die Knoten-Failover-Verfahren und halten Sie Ersatzknoten bereit.
Verwaltung der Schlüssel-Shares
Speichern Sie Shares an separaten sicheren Orten, implementieren Sie eine Kontrolle durch mehrere Personen, überprüfen Sie die Integrität der Shares regelmäßig und testen Sie die Rekonstruktionsverfahren.
Kostenoptimierung
Überlegungen zur Lizenzierung
| Komponente | Anforderung |
|---|---|
| Office 365 | E5 für Customer Key erforderlich |
| Azure | Abonnementkosten für Key Vaults |
| DuoKey | Lizenzierung auf Basis der Nutzung |
| Wachstum | Wachstum bei der Benutzerzahl einplanen |
- Entfernen Sie ungenutzte Schlüssel nach Ablauf des Aufbewahrungszeitraums
- Konsolidieren Sie Key Vaults, wo es sinnvoll ist
- Verwenden Sie die passende SKU (Premium für HSM-gestützte Schlüssel)
- Überwachen Sie die Transaktionsraten, um unnötige Vorgänge zu vermeiden
Schulung und Sensibilisierung
Mitarbeiterschulung
Voraussetzungen
- Customer Key-Konzepte
- Verfahren zur Schlüsselverwaltung
- Best Practices für die Sicherheit
- Incident Response
- Compliance-Anforderungen
- Werkzeugnutzung (PowerShell, Azure-Portal, DuoKey)
Schulungsplan
| Schulungsart | Häufigkeit |
|---|---|
| Erstschulung | Vor der Implementierung |
| Auffrischungsschulung | Vierteljährlich |
| Notfallverfahren | Halbjährlich |
| Neue Funktionen | Bei Veröffentlichung |
| Compliance-Aktualisierungen | Nach Bedarf |
Compliance-Rahmenwerke
- Verzeichnis von Verarbeitungstätigkeiten führen
- Datenschutz durch Technikgestaltung (by Design) umsetzen
- Datenübertragbarkeit ermöglichen
- Recht auf Löschung unterstützen
- Grenzüberschreitende Übermittlungen dokumentieren