पाठ 1नेटवर्क तथा इंफ्रास्ट्रक्चर सुरक्षा: विभाजन, फायरवॉल, IDS/IPS, क्लाउड सुरक्षा समूह सर्वोत्तम प्रथाएँSaaS के लिए क्लाउड नेटवर्क तथा इंफ्रास्ट्रक्चर को सुरक्षित करने का समझाता है। विभाजन, फायरवॉल, सुरक्षा समूह, IDS/IPS, बास्टियन पहुँच तथा प्रबंधन प्लेन्स के हार्डनिंग को कवर करता है जो साझा जिम्मेदारी मॉडलों से संरेखित हो।
Network zoning and tenant segmentationFirewall and security group rule designSecure remote admin and bastion patternsIDS/IPS deployment and tuning basicsCloud provider network security featuresपाठ 2पहुँच नियंत्रण तथा पहचान प्रबंधन: मजबूत प्रमाणीकरण, न्यूनतम विशेषाधिकार, भूमिका आधारित पहुँच नियंत्रणमजबूत प्रमाणीकरण तथा न्यूनतम विशेषाधिकार का उपयोग कर SaaS प्लेटफॉर्म्स के लिए पहुँच नियंत्रण डिजाइन करने का वर्णन। RBAC, ABAC, जोइनर-मूवर-लीवर प्रक्रियाओं तथा ISO 27001 Annex A नियंत्रणों से संरेखित आवर्ती पहुँच समीक्षाओं का समझाता है।
Identity lifecycle and JML process designStrong authentication and MFA enforcementRole-based and attribute-based access modelsLeast privilege and privileged access controlPeriodic access reviews and recertificationsपाठ 3घटना प्रबंधन तथा प्रतिक्रिया: पहचान, ट्रायेज, नियंत्रण, मूल कारण विश्लेषण, संचारSaaS वातावरणों के लिए घटना प्रतिक्रिया जीवनचक्र का वर्णन। पहचान, ट्रायेज, नियंत्रण, उन्मूलन, पुनर्बहाली, मूल कारण विश्लेषण, संचार तथा ISO 27035 से संरेखित घटना-उत्तर सुधारों का समझाता है।
Incident classification and severity levelsTriage, containment, and evidence handlingEradication, recovery, and service restorationRoot cause analysis and lessons learnedInternal and external incident communicationपाठ 4क्रिप्टोग्राफी तथा कुंजी प्रबंधन: आराम तथा गति में डेटा एन्क्रिप्शन, कुंजी जीवनचक्र प्रबंधनSaaS डेटा के लिए आराम तथा गति में क्रिप्टोग्राफिक नियंत्रणों को कवर। एल्गोरिदम चयनों, TLS कॉन्फ़िगरेशन, कुंजी उत्पन्न, भंडारण, रोटेशन तथा HSMs या क्लाउड कुंजी प्रबंधन सेवाओं का उपयोग कर कर्तव्यों का पृथक्करण का समझाता है।
Data at rest encryption for SaaS storageTLS configuration and data in transit securityKey generation, storage, and rotation rulesUse of HSMs and cloud KMS servicesKey access control, logging, and escrowपाठ 5सुरक्षित विकास तथा परिवर्तन प्रबंधन: सुरक्षित SDLC, कोड समीक्षाएँ, निर्भरता प्रबंधन, CI/CD सुरक्षा गेट्सSaaS उत्पादों के लिए सुरक्षित SDLC प्रथाओं पर केंद्रित। सुरक्षा आवश्यकताएँ, खतरा मॉडलिंग, कोड समीक्षा, निर्भरता प्रबंधन, CI/CD सुरक्षा गेट्स तथा उचित अनुमोदनों तथा रोलबैक योजनाओं के साथ नियंत्रित परिवर्तन प्रबंधन का समझाता है।
Defining security requirements in the SDLCThreat modeling for cloud SaaS featuresSecure code review and pair review practicesDependency and open source risk managementCI/CD security gates and change approvalsपाठ 6बैकअप, पुनर्स्थापना तथा व्यावसायिक निरंतरता: बैकअप रणनीति, पुनर्बहाली समय/उद्देश्य, परीक्षणSaaS वर्कलोड्स के लिए बैकअप तथा पुनर्बहाली नियंत्रण डिजाइन, लागू तथा परीक्षण करने का समझाता है। RPO/RTO, अपरिवर्तनीय बैकअप, ऑफसाइट भंडारण तथा व्यावसायिक निरंतरता तथा आपदा पुनर्बहाली उद्देश्यों से संरेखण पर केंद्रित।
Defining RPO and RTO for SaaS servicesBackup scope, frequency, and retention rulesImmutable, offsite, and geo-redundant backupsBackup encryption, access control, and loggingBackup restore drills and BC/DR test planningपाठ 7लॉगिंग, निगरानी तथा अलर्टिंग: केंद्रीकृत लॉगिंग, SIEM मूल बातें, रखरखाव, लॉग अखंडताSaaS के लिए केंद्रीकृत लॉगिंग तथा निगरानी डिजाइन करने का वर्णन। लॉग स्रोत, रखरखाव, अखंडता, SIEM ऑनबोर्डिंग, अलर्ट ट्यूनिंग तथा डैशबोर्ड को कवर करता है जो पहचान, फॉरेंसिक तथा अनुपालन रिपोर्टिंग आवश्यकताओं का समर्थन करते हैं।
Selecting and onboarding log sourcesLog normalization, parsing, and enrichmentLog retention, protection, and integritySIEM use cases and alert rule designMonitoring dashboards and KPIs for ISBsपाठ 8तृतीय-पक्ष/विक्रेता जोखिम प्रबंधन: आपूर्तिकर्ता मूल्यांकन, संविदाएँ, SLA/सुरक्षा आवश्यकताएँSaaS सेवा का समर्थन करने वाले आपूर्तिकर्ताओं के जीवनचक्र प्रबंधन को कवर। उचित परिश्रम, जोखिम मूल्यांकनों, संविदात्मक खंडों, SLAs तथा ISO 27001 तथा क्लाउड सुरक्षा अपेक्षाओं को पूरा करने के लिए तृतीय पक्षों की निरंतर निगरानी का विवरण।
Supplier classification and criticality levelsSecurity due diligence and risk assessmentsContractual security, privacy, and audit clausesDefining and monitoring security SLAsOngoing vendor monitoring and reassessmentपाठ 9एंडपॉइंट तथा होस्ट सुरक्षा: EDR, हार्डनिंग बेसलाइन्स, कॉन्फ़िगरेशन प्रबंधनसर्वर, कंटेनर तथा एडमिन उपकरणों के लिए एंडपॉइंट तथा होस्ट सुरक्षा का समझाता है। हार्डनिंग बेसलाइन्स, EDR, कॉन्फ़िगरेशन प्रबंधन, सुरक्षित इमेज तथा क्लाउड तथा ऑन-प्रिमाइस संपत्तियों के लिए अनुपालन निगरानी को कवर।
Hardening baselines for servers and VMsEDR deployment and alert triage basicsSecure golden images and template controlConfiguration management and drift detectionAdmin workstation and jump host securityपाठ 10कमजोरी प्रबंधन तथा पैचिंग: संपत्ति इन्वेंटरी, कमजोरी स्कैनिंग, प्राथमिकता, उपचार SLAsसंरचित कमजोरी प्रबंधन कार्यक्रम चलाने का विवरण। संपत्ति इन्वेंटरी, स्कैनिंग, जोखिम आधारित प्राथमिकता, उपचार SLAs, अपवाद हैंडलिंग तथा प्रबंधन तथा ऑडिटरों को रिपोर्टिंग को कवर।
Building and maintaining asset inventoriesVulnerability scanning for cloud workloadsRisk-based prioritization and scoringPatch deployment windows and SLAsException handling and risk acceptance