Modelo de Maturidade em Segurança

CAF Níveis → Start Advance Excel
CAF Capacidades ↓ Fase 1: Quick Wins Fase 2: Fundação Fase 3: Eficiência Fase 4: Otimização
Security governance Adicionar contatos de segurança Selecionar a(s) regiões Identificar requerimentos regulatórios Plano de treinamento sobre segurança na nuvem Projete sua arquitetura segura Uso de infraestrutura como código Tagging strategy Compartilhar o trabalho e responsabilidade de segurança
Security assurance Automatizar o alinhamento com melhores práticas com o AWS Security Hub Monitoramento das configurações Crie seus relatórios para conformidade (como PCI-DSS) Automatize a coleta de evidências
Identity and access management Autenticação Multi-Fator Proteção da conta Root Repositório central de usuários com Federação do Identidades Limpar acessos não intencionais GuardRails: Políticas Organizacionais - SCPs Use credenciais temporárias Instance Metadata Service (IMDS) v2 Revisão de privilégio mínimo Customer IAM: segurança de seus clientes Perímetro de dados Pipeline de geração de políticas de IAM
Threat detection Detecção de ameaças com o Amazon GuardDuty e revisão das descobertas Auditoria das chamadas de API com o AWS CloudTrail Alarmes de Billing Detecção avançada de ameaças detecção de ameaças personalizadas (SecLake / SIEM) Inteligência de ameaças Análise de fluxos de rede (VPC Flow Logs)
Vulnerability management Gerenciar vulnerabilidades na sua infraestrutura e execução de pentesting Gerenciar as vulnerabilidades nas suas aplicações Security Champions DevSecOps: segurança no pipeline Equipe de gerenciamento de vulnerabilidades
Infrastructure protection Cleanup risky open ports limitar o acesso da rede Gestão segura de instâncias Segmentação de redes (VPCs) - Redes Públicas/Privadas Gestão multiconta Pipeline de geração de imagens Anti-Malware / EDR / Runtime Protection Controle de tráfego de saída Acceso Zero Trust Uso de serviços abstratos (Serverless)
Data protection Block Public Access Analizar a postura de segurança de dados Criptografia de Dados em repouso Backups Descoberta de dados sensíveis Criptografia em trânsito GenAI Data protection
Application security WAF com regras gerenciadas Envolver os times de segurança no desenvolvimento Sem segredos no Código Criar uma modelagem de ameaças WAF com regras customizadas Mitigação avançada de DDoS (L7) Formar um Red Team (Ponto de vista do atacante)
Incident response Act on Critical Security Findings Definir playbooks de respostas frente aos incidentes Exercícios TableTop - Simulações Automatizar Playbooks críticos Investigações de Segurança - Análise de causa raiz Formar um Blue Team (Resposta a incidentes) de segurança avançadas Orquestração de segurança & tickets Automatizar configuraÇões com correção de desvios
Resiliency Avalie a resiliência Redundância em múltiplas zonas de disponibilidade Plan de Disaster Recovery Formar uma time de Engenharia do Caos Automação do Disaster Recovery multi-região