Kerangka Kerja Kepatuhan Azure

Memindahkan beban kerja ke Azure tidak menghapus kewajiban kepatuhan — hal itu mengubah cara kewajiban tersebut dipenuhi. Organisasi tetap harus mematuhi peraturan industri, undang-undang pemerintah, dan kewajiban kontraktual meskipun infrastrukturnya berada di cloud. Memahami kerangka kerja kepatuhan yang berlaku untuk beban kerja Anda, serta cara Azure membantu Anda memenuhinya, merupakan topik penting dalam ujian AZ-900 dan penerapan Azure perusahaan di dunia nyata.

Kepatuhan di cloud diatur oleh model tanggung jawab bersama. Microsoft bertanggung jawab atas keamanan dan kepatuhan infrastruktur cloud (pusat data fisik, perangkat keras jaringan, OS host). Pelanggan bertanggung jawab atas keamanan dan kepatuhan terhadap segala sesuatu yang berjalan di cloud (aplikasi, data, identitas, dan konfigurasi mereka). Batas tanggung jawab tersebut berubah bergantung pada apakah Anda menggunakan IaaS, PaaS, atau SaaS.

Microsoft mempertahankan sertifikasi kepatuhan untuk Azure berdasarkan lebih dari 100 standar dan kerangka kerja regulasi. Sertifikasi ini mencakup wilayah, industri, dan disiplin keamanan, termasuk:

• International — ISO 27001, ISO 27018, SOC 1/2/3
• EU/Regional — GDPR, ENS, UK Cyber Essentials
• Industri — HIPAA (layanan kesehatan), PCI DSS (pembayaran), FedRAMP (pemerintah US)

ISO 27001 adalah standar internasional untuk sistem manajemen keamanan informasi (ISMS). Microsoft telah memperoleh sertifikasi ISO 27001 untuk Azure, yang berarti infrastruktur dan proses operasionalnya telah diaudit oleh pihak ketiga independen. Namun, pelanggan harus memperoleh sertifikasi secara terpisah untuk aplikasi dan praktik pengelolaan data mereka sendiri — sertifikasi Microsoft tidak otomatis berlaku untuk beban kerja pelanggan.

PCI DSS (Payment Card Industry Data Security Standard) berlaku bagi organisasi yang menyimpan, memproses, atau mengirimkan data pemegang kartu. Azure adalah penyedia layanan bersertifikasi PCI DSS Level 1, tingkat sertifikasi tertinggi. Pelanggan yang menjalankan beban kerja pembayaran di Azure dapat memanfaatkan fondasi ini, tetapi harus menerapkan kontrol tambahan pada lapisan aplikasi mereka (tokenisasi, enkripsi, pencatatan akses) untuk memenuhi kewajiban PCI DSS mereka sendiri.

HIPAA (Health Insurance Portability and Accountability Act) mengatur perlindungan Protected Health Information (PHI) di US. Microsoft menawarkan HIPAA Business Associate Agreement (BAA) untuk layanan Azure, yang menegaskan bahwa Microsoft akan melindungi PHI yang diprosesnya atas nama Anda. Pelanggan layanan kesehatan harus menandatangani BAA dan mengonfigurasi beban kerja Azure mereka agar mematuhi perlindungan teknis HIPAA.

SOC (System and Organisation Controls) adalah laporan penilaian auditor independen terhadap kontrol Azure:

• SOC 1 — kontrol pelaporan keuangan (relevan untuk produk SaaS yang memengaruhi laporan keuangan pelanggan)
• SOC 2 — kontrol keamanan, ketersediaan, integritas pemrosesan, kerahasiaan, dan privasi
• SOC 3 — ringkasan publik temuan SOC 2 yang tersedia bagi siapa saja

Laporan SOC 2 tersedia bagi pelanggan Azure berdasarkan NDA melalui Service Trust Portal.

FedRAMP (Federal Risk and Authorization Management Program) adalah kerangka kerja pemerintah US untuk otorisasi layanan cloud. Azure memiliki otorisasi FedRAMP High untuk wilayah pemerintah (USGov dan USDoD). Lembaga federal US harus menggunakan layanan cloud yang memiliki otorisasi FedRAMP. Wilayah Azure komersial memiliki otorisasi FedRAMP Moderate, yang mencakup sebagian besar beban kerja pemerintah.

Microsoft Service Trust Portal (STP) di servicetrust.microsoft.com adalah pusat terpadu untuk dokumentasi kepatuhan, laporan audit, dan informasi sertifikasi tentang layanan cloud Microsoft. Dari STP, Anda dapat mengunduh sertifikat ISO 27001, laporan SOC 2, hasil pengujian penetrasi, dan penilaian dampak perlindungan data. Akses ke beberapa dokumen memerlukan akun Azure atau Microsoft 365 serta persetujuan NDA.

Persyaratan residensi data mengharuskan data tertentu disimpan dan diproses dalam batas geografis tertentu. Azure memenuhinya melalui pemilihan wilayah — Anda memilih wilayah tempat sumber daya akan diterapkan, dan secara default data Anda tetap berada di wilayah tersebut. Azure juga menawarkan instans cloud berdaulat (Azure Government, Azure China 21Vianet, Azure Germany) yang dioperasikan secara independen untuk memenuhi persyaratan kedaulatan data nasional tertentu.

Mencapai kepatuhan bukanlah peristiwa sekali jadi — hal itu memerlukan pemantauan dan pengumpulan bukti secara berkelanjutan. Microsoft Compliance Manager dalam portal kepatuhan Microsoft Purview membantu organisasi melacak kondisi kepatuhan secara terus-menerus, memetakan kontrol ke peraturan, dan menghasilkan bukti untuk auditor. Audit internal rutin, pemeriksaan kebijakan otomatis melalui Azure Policy, dan pengumpulan log terpusat semuanya merupakan bagian dari program kepatuhan yang matang.

Uji pemahaman Anda tentang konsep Microsoft Azure Fundamentals (AZ-900) dari pelajaran ini.

Dalam pelajaran ini Anda mempelajari: Azure memiliki sertifikasi untuk lebih dari 100 kerangka kerja kepatuhan, termasuk ISO 27001, PCI DSS, HIPAA, dan FedRAMP; model tanggung jawab bersama membagi kewajiban kepatuhan antara Microsoft dan pelanggan; dan Service Trust Portal merupakan sumber laporan audit serta dokumen sertifikasi. Selanjutnya kita akan membahas Microsoft Purview untuk tata kelola dan klasifikasi data.