أطر الامتثال في Azure

لا يؤدي نقل أعباء العمل إلى Azure إلى إلغاء التزامات الامتثال، بل يغيّر كيفية الوفاء بها. ولا يزال يتعين على المؤسسات الامتثال للوائح القطاع وقوانين الحكومات والالتزامات التعاقدية، حتى عندما تكون بنيتها الأساسية في السحابة. ويُعد فهم أطر الامتثال المنطبقة على أعباء العمل وكيف تساعد Azure على الوفاء بها موضوعًا أساسيًا في اختبار AZ-900 وفي عمليات نشر Azure الفعلية في المؤسسات.

يخضع الامتثال في السحابة لـ نموذج المسؤولية المشتركة. تتحمل Microsoft مسؤولية أمان وامتثال البنية الأساسية للسحابة (مراكز البيانات الفعلية، وأجهزة الشبكات، ونظام تشغيل المضيف). بينما يتحمل العملاء مسؤولية أمان وامتثال ما يعمل في السحابة (تطبيقاتهم وبياناتهم وهوياتهم وتكويناتهم). وتتغير حدود المسؤولية بحسب استخدامك لـ IaaS أو PaaS أو SaaS.

تحافظ Microsoft على شهادات امتثال لـ Azure تغطي أكثر من 100 معيار وإطار تنظيمي. وتشمل هذه الشهادات مناطق وقطاعات وتخصصات أمنية مختلفة، ومنها:

• دولية — ISO 27001 وISO 27018 وSOC 1/2/3
• الاتحاد الأوروبي/إقليمية — GDPR وENS وUK Cyber Essentials
• قطاعية — HIPAA (الرعاية الصحية) وPCI DSS (المدفوعات) وFedRAMP (الحكومة الأمريكية)

ISO 27001 معيار دولي لنظم إدارة أمن المعلومات (ISMS). حصلت Microsoft على شهادة ISO 27001 لـ Azure، ما يعني أن البنية الأساسية والعمليات التشغيلية خضعت للتدقيق من جهة مستقلة خارجية. ومع ذلك، يجب على العملاء الحصول على شهادات منفصلة لتطبيقاتهم وممارسات إدارة بياناتهم؛ إذ لا تمتد شهادة Microsoft تلقائيًا إلى أعباء عمل العملاء.

ينطبق PCI DSS (معيار أمان بيانات صناعة بطاقات الدفع) على المؤسسات التي تخزن بيانات حاملي البطاقات أو تعالجها أو تنقلها. وتُعد Azure مزود خدمة معتمدًا وفق PCI DSS Level 1، وهو أعلى مستويات الاعتماد. ويمكن للعملاء الذين يشغّلون أعباء عمل المدفوعات على Azure الاستفادة من هذه القاعدة، لكن يجب عليهم تطبيق ضوابط إضافية في طبقة التطبيق لديهم (مثل الترميز والتشفير وتسجيل الوصول) للوفاء بالتزاماتهم الخاصة بموجب PCI DSS.

ينظم HIPAA (قانون قابلية نقل التأمين الصحي والمساءلة عنه) حماية المعلومات الصحية المحمية (PHI) في الولايات المتحدة. وتوفر Microsoft اتفاقية شريك الأعمال وفق HIPAA (BAA) لخدمات Azure، مؤكدةً أن Microsoft ستحمي المعلومات الصحية المحمية التي تعالجها نيابةً عنك. ويجب على عملاء قطاع الرعاية الصحية توقيع اتفاقية BAA وتكوين أعباء عمل Azure لديهم بما يتوافق مع الضوابط التقنية لـ HIPAA.

تمثل تقارير SOC (ضوابط الأنظمة والمؤسسات) تقييمات يجريها مدققون مستقلون لضوابط Azure:

• SOC 1 — ضوابط التقارير المالية (وهي مهمة لمنتجات SaaS التي تؤثر في البيانات المالية للعملاء)
• SOC 2 — ضوابط الأمان والتوافر وسلامة المعالجة والسرية والخصوصية
• SOC 3 — ملخص عام لنتائج SOC 2، ومتاح للجميع

تتوفر تقارير SOC 2 لعملاء Azure بموجب اتفاقية عدم إفصاح عبر Service Trust Portal.

يُعد FedRAMP (البرنامج الفيدرالي لإدارة المخاطر والتفويض) إطارًا حكوميًا أمريكيًا لترخيص الخدمات السحابية. حصلت Azure على ترخيص FedRAMP High للمناطق الحكومية (USGov وUSDoD). ويجب على الوكالات الفيدرالية الأمريكية استخدام خدمات سحابية حاصلة على ترخيص FedRAMP. أما مناطق Azure التجارية فلديها ترخيص FedRAMP Moderate، الذي يغطي نسبة كبيرة من أعباء العمل الحكومية.

تُعد Microsoft Service Trust Portal (STP) على العنوان servicetrust.microsoft.com وجهةً موحدة لوثائق الامتثال وتقارير التدقيق ومعلومات الشهادات المتعلقة بخدمات السحابة من Microsoft. ويمكنك من خلال STP تنزيل شهادات ISO 27001 وتقارير SOC 2 ونتائج اختبارات الاختراق وتقييمات أثر حماية البيانات. ويتطلب الوصول إلى بعض المستندات حساب Azure أو Microsoft 365 والموافقة على اتفاقية عدم الإفصاح.

تفرض متطلبات إقامة البيانات تخزين بيانات معينة ومعالجتها داخل نطاق جغرافي محدد. وتعالج Azure ذلك من خلال اختيار المنطقة؛ إذ تختار المنطقة التي تريد نشر الموارد فيها، وتبقى بياناتك في تلك المنطقة افتراضيًا. كما توفر Azure مثيلات سحابية سيادية (Azure Government وAzure China 21Vianet وAzure Germany) تُدار بشكل مستقل لتلبية متطلبات سيادة البيانات الوطنية المحددة.

لا يتحقق الامتثال مرة واحدة، بل يتطلب المراقبة المستمرة وجمع الأدلة. ويساعد Microsoft Compliance Manager داخل بوابة امتثال Microsoft Purview المؤسسات على تتبع حالة امتثالها باستمرار، وربط الضوابط باللوائح، وإنشاء الأدلة للمدققين. وتُعد عمليات التدقيق الداخلية المنتظمة، وفحوصات السياسات التلقائية عبر Azure Policy، وجمع السجلات مركزيًا، جميعها جزءًا من برنامج امتثال ناضج.

اختبر مدى فهمك لمفاهيم Microsoft Azure Fundamentals (AZ-900) الواردة في هذا الدرس.

تعلمت في هذا الدرس أن: Azure حاصلة على شهادات لأكثر من 100 إطار امتثال، بما في ذلك ISO 27001 وPCI DSS وHIPAA وFedRAMP؛ وأن نموذج المسؤولية المشتركة يقسم التزامات الامتثال بين Microsoft والعميل؛ وأن Service Trust Portal هي المصدر لتقارير التدقيق ووثائق الشهادات. بعد ذلك سنستكشف Microsoft Purview لحوكمة البيانات وتصنيفها.