Microsoft Compliance Manager

Microsoft Compliance Manager er et værktøj i Microsoft Purview-portalen til overholdelse af regler, som hjælper organisationer med at vurdere, overvåge og forbedre deres status for overholdelse af regler i forhold til lovgivningsmæssige rammeværk. Det leverer en compliance score — et tal, der måler, hvor godt organisationens kontroller stemmer overens med kravene i udvalgte standarder. Compliance Manager er tilgængelig for organisationer med Microsoft 365- eller Azure-abonnementer.

Du får adgang til Compliance Manager via Microsoft Purview compliance portal på compliance.microsoft.com. Startdashboardet viser din samlede compliance score, en opdeling efter kategori (databeskyttelse, adgangskontrol og hændelseshåndtering) samt en liste over vurderinger. Du behøver ikke at være ekspert i overholdelse af regler for at bruge værktøjet — det fører dig trin for trin gennem kravene i hver standard.

En assessment i Compliance Manager repræsenterer en evaluering af din organisation i forhold til et bestemt lovgivningsmæssigt rammeværk (f.eks. ISO 27001, GDPR eller HIPAA). Hver vurdering indeholder et sæt controls fra lovgivningen samt Microsoft-managed actions (kontroller, som Microsoft håndterer for dig) og customer-managed actions (kontroller, som du selv skal implementere). Du kan oprette vurderinger for flere regelsæt samtidigt.

En compliance score er en procentværdi (0-100 %), der viser, hvor godt din organisations kontroller er implementeret i forhold til de vurderinger, du har oprettet. Du får point for:

• Microsoft-managed actions — krediteres automatisk, når Microsofts kontroller er på plads
• Customer-managed actions — krediteres, når du markerer en handling som implementeret og eventuelt uploader dokumentation

En højere score betyder bedre dækning af kontroller, men den garanterer ikke, at de lovgivningsmæssige krav faktisk overholdes.

Improvement actions er konkrete trin, du kan tage for at forbedre din compliance score. Hver handling indeholder en beskrivelse af, hvad der skal implementeres, hvilket regelsæt den knytter sig til, hvor mange point den giver, vejledning i implementeringen (ofte med links til Microsoft-dokumentation) samt et felt til registrering af implementeringsstatus. Handlingerne er grupperet efter kategorier som Protect Information, Manage Devices og Control Access.

For kundeadministrerede handlinger giver Compliance Manager dig mulighed for at uploade evidence documents — skærmbilleder, revisionsrapporter, politikdokumenter eller testresultater — som viser, at kontrollen er implementeret. Det opretter et compliance evidence trail, der kan deles med revisorer eller inspektører. Dokumentationen gemmes i Compliance Manager-portalen og kan downloades når som helst.

Compliance Manager indeholder over 300 regulation templates, som du kan bruge til at oprette vurderinger. Skabelonerne spænder fra globale standarder (ISO 27001, NIST CSF) over branchespecifikke regelsæt (PCI DSS, HIPAA) til regionale love (GDPR, LGPD, CCPA). Premiumskabeloner, der dækker regelsæt ud over Microsoft 365, kræver en ekstra licens (f.eks. Microsoft 365 E5 Compliance eller Compliance Manager-tilføjelsen).

For hver forbedringshandling holder Compliance Manager styr på:

• Implementeringsstatus — Ikke implementeret, Implementeret, Alternativ implementering, Planlagt
• Teststatus — Ikke testet, Bestået, Mislykket, Ingen vurdering
• Testdato — hvornår den seneste test blev udført

Hvis du markerer en handling som 'Implementeret' uden at uploade dokumentation, får du point, men det kan blive betvivlet under en formel revision — understøt altid din status med faktisk dokumentation.

Compliance Manager understøtter role-based delegation — du kan tildele bestemte forbedringshandlinger til individuelle teammedlemmer eller grupper. Det er nyttigt i store organisationer, hvor forskellige teams ejer forskellige kontrolområder (sikkerhedsteamet ejer adgangskontroller, HR-teamet ejer politiktræning, og IT-driften ejer infrastrukturkontroller). Tildelte brugere modtager meddelelser og kan opdatere status for deres handlinger direkte.

Compliance Manager og Azure Policy håndterer forskellige aspekter af overholdelse af regler:

• Compliance Manager — sporer organisatoriske kontroller i forhold til lovgivningsmæssige rammeværk; fokuserer på kontroller for personer og processer samt tekniske kontroller; bruges fra Purview-portalen til overholdelse af regler
• Azure Policy — håndhæver og reviderer den tekniske konfiguration af Azure-ressourcer; automatiserer overholdelse af regler for infrastruktur; bruges fra Azure-portalen

Du har brug for begge for at få et komplet program til overholdelse af regler.

Compliance Manager giver dig mulighed for at eksportere resultaterne af vurderinger til Excel, så de kan deles med revisorer, ledelsen eller tilsynsmyndigheder. Eksporten indeholder den komplette liste over kontroller, deres status, testresultater og links til dokumentation. Mange organisationer bruger denne eksport som grundlag for deres Statement of Applicability (SoA) — et dokument, der kræves af ISO 27001, og som viser alle kontroller samt deres implementeringsstatus.

I denne lektion har du lært, at Compliance Manager leverer en compliance score og forbedringshandlinger, der er knyttet til over 300 lovgivningsmæssige rammeværk; at Microsoft-managed actions krediteres automatisk, mens customer-managed actions kræver, at du implementerer og dokumenterer kontroller; og at evidence documents kan uploades for at opbygge et revisionsspor. Nu ser vi nærmere på GDPR-specifikke krav, og hvordan du implementerer dem på Azure.