Home > Modelo de Maturidade em Segurança

Modelo de Maturidade em Segurança

CAF Níveis →	Start		Advance	Excel
CAF Capacidades ↓	Fase 1: Quick Wins	Fase 2: Fundação	Fase 3: Eficiência	Fase 4: Otimização
Security governance	Adicionar contatos de segurança Selecionar a(s) regiões	Identificar requerimentos regulatórios Plano de treinamento sobre segurança na nuvem	Projete sua arquitetura segura Uso de infraestrutura como código Tagging strategy	Compartilhar o trabalho e responsabilidade de segurança
Security assurance	Automatizar o alinhamento com melhores práticas com o AWS Security Hub	Inventario e Monitoramento das configurações	Crie seus relatórios para conformidade (como PCI-DSS)	Automatize a coleta de evidências
Identity and access management	Autenticação Multi-Fator Proteção da conta Root Repositório central de usuários com Federação do Identidades Limpar acessos não intencionais	GuardRails: Políticas Organizacionais - SCPs Use credenciais temporárias Instance Metadata Service (IMDS) v2	Revisão de privilégio mínimo Customer IAM: segurança de seus clientes	Perímetro de dados Pipeline de geração de políticas de IAM Acesso Elevado Temporário
Threat detection	Detecção de ameaças com o Amazon GuardDuty e revisão das descobertas Auditoria das chamadas de API com o AWS CloudTrail Alarmes de Billing	Detecção avançada de ameaças	detecção de ameaças personalizadas (SecLake / SIEM)	Inteligência de ameaças Análise de fluxos de rede (VPC Flow Logs)
Vulnerability management		Gerenciar vulnerabilidades na sua infraestrutura e execução de pentesting Gerenciar as vulnerabilidades nas suas aplicações	Security Champions DevSecOps: segurança no pipeline	Equipe de gerenciamento de vulnerabilidades
Infrastructure protection	Cleanup risky open ports	limitar o acesso da rede Gestão segura de instâncias Segmentação de redes (VPCs) - Redes Públicas/Privadas Gestão multiconta	Pipeline de geração de imagens Anti-Malware / EDR / Runtime Protection Controle de tráfego de saída	Acceso Zero Trust Uso de serviços abstratos (Serverless)
Data protection	Block Public Access Analizar a postura de segurança de dados	Criptografia de Dados em repouso Backups Descoberta de dados sensíveis	Criptografia em trânsito	GenAI Data protection
Application security	WAF com regras gerenciadas	Envolver os times de segurança no desenvolvimento Sem segredos no Código	Criar uma modelagem de ameaças WAF com regras customizadas Mitigação avançada de DDoS (L7)	Formar um Red Team (Ponto de vista do atacante)
Incident response	Act on Critical Security Findings	Definir playbooks de respostas frente aos incidentes	Exercícios TableTop - Simulações Automatizar Playbooks críticos Investigações de Segurança - Análise de causa raiz	Formar um Blue Team (Resposta a incidentes) de segurança avançadas Orquestração de segurança & tickets Automatizar configuraÇões com correção de desvios
Resiliency	Avalie a resiliência	Redundância em múltiplas zonas de disponibilidade	Plan de Disaster Recovery	Automação do Disaster Recovery multi-região Formar uma time de Engenharia do Caos