Sie sichern eine mehrschichtige Webanwendung, die PII von Kunden verarbeitet. In Phase eins müssen Sie den Blast Radius minimieren, privilegierte Zugriffe einschränken und von einer Kompromittierung ausgehen. Eine formelle Einführung der Datenklassifizierung beginnt im nächsten Quartal. Welche zwei Designentscheidungen sollten Sie jetzt treffen?

Die Implementierung von Defense in Depth durch die Nutzung von Azure Application Gateway WAF, Azure Firewall Premium, NSGs/ASGs und Private Endpoints minimiert den Blast Radius, indem sie mehrere Schutzebenen schafft und die öffentliche Exposition von Datendiensten entfernt. Dies ist entscheidend, wenn man von einer Kompromittierung ausgeht. Die Implementierung des Prinzips der geringsten Privilegien (Least Privilege) mit Azure AD RBAC, PIM für Just-in-Time-Erhöhung, Managed Identities und Azure Key Vault mit RBAC-aktiviertem Zugriff schränkt privilegierte Zugriffe ein und reduziert das Risiko bei einer Kompromittierung. Die Gewährung der Rolle „Owner“ auf Abonnementebene für alle Ingenieure verletzt das Prinzip der geringsten Privilegien und erhöht den Blast Radius erheblich. Ein einziges generisches Datenlabel und die ausschließliche Abhängigkeit von Verschlüsselung im Ruhezustand erfüllen die Anforderungen an die Datenklassifizierung nicht ausreichend und bieten keinen umfassenden Schutz. Die sofortige Durchsetzung von DLP ohne Stakeholder-Input oder Discovery ist verfrüht und kann zu Fehlklassifizierungen oder Betriebsunterbrechungen führen, bevor eine formelle Datenklassifizierung etabliert ist.