Marcos de cumplimiento de Azure

Mover cargas de trabajo a Azure no elimina las obligaciones de cumplimiento; cambia cómo se cumplen. Las organizaciones deben seguir cumpliendo las normativas del sector, las leyes gubernamentales y las obligaciones contractuales, incluso cuando su infraestructura se encuentra en la nube. Comprender qué marcos de cumplimiento se aplican a su carga de trabajo y cómo Azure le ayuda a cumplirlos es un tema clave del examen AZ-900 y de las implementaciones empresariales reales de Azure.

El cumplimiento en la nube se rige por el modelo de responsabilidad compartida. Microsoft es responsable de la seguridad y el cumplimiento de la infraestructura de la nube (centros de datos físicos, hardware de red y sistema operativo del host). Los clientes son responsables de la seguridad y el cumplimiento de lo que se ejecuta en la nube (sus aplicaciones, datos, identidades y configuraciones). El límite cambia en función de si utiliza IaaS, PaaS o SaaS.

Microsoft mantiene certificaciones de cumplimiento para Azure en más de 100 estándares y marcos normativos. Estos abarcan regiones, sectores y disciplinas de seguridad, entre ellos:

• Internacionales — ISO 27001, ISO 27018, SOC 1/2/3
• De la UE y regionales — RGPD, ENS, UK Cyber Essentials
• Del sector — HIPAA (sanidad), PCI DSS (pagos), FedRAMP (gobierno de EE. UU.)

ISO 27001 es un estándar internacional para los sistemas de gestión de la seguridad de la información (ISMS). Microsoft ha obtenido la certificación ISO 27001 para Azure, lo que significa que un tercero independiente ha auditado la infraestructura y los procesos operativos. Sin embargo, los clientes deben certificar por separado sus propias aplicaciones y prácticas de gestión de datos; la certificación de Microsoft no se extiende automáticamente a las cargas de trabajo de los clientes.

PCI DSS (Payment Card Industry Data Security Standard) se aplica a las organizaciones que almacenan, procesan o transmiten datos de titulares de tarjetas. Azure es un proveedor de servicios certificado con el nivel más alto, PCI DSS de nivel 1. Los clientes que ejecutan cargas de trabajo de pago en Azure pueden basarse en esta infraestructura, pero deben implementar controles adicionales en la capa de aplicación (tokenización, cifrado y registro de acceso) para cumplir sus propias obligaciones de PCI DSS.

HIPAA (Health Insurance Portability and Accountability Act) regula la protección de la información sanitaria protegida (PHI) en Estados Unidos. Microsoft ofrece un HIPAA Business Associate Agreement (BAA) para los servicios de Azure, mediante el cual confirma que protegerá la PHI que procese en su nombre. Los clientes del sector sanitario deben firmar el BAA y configurar sus cargas de trabajo de Azure para cumplir las salvaguardas técnicas de HIPAA.

Los informes SOC (System and Organisation Controls) son evaluaciones independientes, realizadas por auditores, de los controles de Azure:

• SOC 1 — controles de información financiera (relevantes para productos SaaS que afectan a los estados financieros de los clientes)
• SOC 2 — controles de seguridad, disponibilidad, integridad del procesamiento, confidencialidad y privacidad
• SOC 3 — resumen público de los resultados de SOC 2, disponible para cualquier persona

Los informes SOC 2 están disponibles para los clientes de Azure, previa aceptación de un acuerdo de confidencialidad, a través del Service Trust Portal.

FedRAMP (Federal Risk and Authorization Management Program) es un marco del Gobierno de EE. UU. para la autorización de servicios en la nube. Azure cuenta con la autorización FedRAMP High para las regiones gubernamentales (USGov y USDoD). Las agencias federales estadounidenses deben usar servicios en la nube autorizados por FedRAMP. Las regiones comerciales de Azure cuentan con la autorización FedRAMP Moderate, que cubre una gran proporción de las cargas de trabajo gubernamentales.

El Microsoft Service Trust Portal (STP), disponible en servicetrust.microsoft.com, es un sitio centralizado para consultar documentación de cumplimiento, informes de auditoría e información sobre certificaciones de los servicios en la nube de Microsoft. Desde el STP puede descargar certificados ISO 27001, informes SOC 2, resultados de pruebas de penetración y evaluaciones de impacto relativas a la protección de datos. Para acceder a algunos documentos se necesita una cuenta de Azure o Microsoft 365 y aceptar un acuerdo de confidencialidad.

Los requisitos de residencia de datos exigen que determinados datos se almacenen y procesen dentro de un límite geográfico específico. Azure lo aborda mediante la selección de regiones: usted elige en qué región implementar los recursos y, de forma predeterminada, los datos permanecen en esa región. Azure también ofrece instancias de nube soberana (Azure Government, Azure China 21Vianet y Azure Germany) que funcionan de forma independiente para cumplir requisitos nacionales específicos de soberanía de los datos.

Lograr el cumplimiento no es un evento puntual; requiere supervisión continua y recopilación de evidencias. Microsoft Compliance Manager, disponible en el portal de cumplimiento de Microsoft Purview, ayuda a las organizaciones a realizar un seguimiento continuo de su nivel de cumplimiento, asignar controles a normativas y generar evidencias para los auditores. Las auditorías internas periódicas, las comprobaciones automatizadas de directivas mediante Azure Policy y la recopilación centralizada de registros forman parte de un programa de cumplimiento maduro.

Compruebe sus conocimientos sobre los conceptos de Microsoft Azure Fundamentals (AZ-900) de esta lección.

En esta lección ha aprendido que Azure cuenta con certificaciones para más de 100 marcos de cumplimiento, incluidos ISO 27001, PCI DSS, HIPAA y FedRAMP; el modelo de responsabilidad compartida distribuye las obligaciones de cumplimiento entre Microsoft y el cliente; y el Service Trust Portal es la fuente de los informes de auditoría y los documentos de certificación. A continuación, exploraremos Microsoft Purview para la gobernanza y clasificación de datos.