Microsoft Compliance Manager

Microsoft Compliance Manager è uno strumento incluso nel portale di conformità Microsoft Purview che aiuta le organizzazioni a valutare, monitorare e migliorare il proprio livello di conformità rispetto ai framework normativi. Fornisce un compliance score — una misura numerica di quanto i controlli dell'organizzazione siano allineati ai requisiti degli standard selezionati. Compliance Manager è disponibile per le organizzazioni con sottoscrizioni Microsoft 365 o Azure.

È possibile accedere a Compliance Manager tramite il Microsoft Purview compliance portal all'indirizzo compliance.microsoft.com. Il dashboard iniziale mostra il compliance score complessivo, una suddivisione per categoria (protezione dei dati, controllo degli accessi, gestione degli incidenti) e un elenco di assessment. Non è necessario essere esperti di conformità per utilizzare lo strumento: la guida accompagna passo dopo passo attraverso i requisiti di ogni standard.

Un assessment in Compliance Manager rappresenta una valutazione dell'organizzazione rispetto a uno specifico framework normativo (ad esempio ISO 27001, GDPR, HIPAA). Ogni assessment contiene una serie di controls tratti dalla normativa, insieme a Microsoft-managed actions (controlli gestiti da Microsoft per Lei) e customer-managed actions (controlli che deve implementare autonomamente). È possibile creare assessment per più normative contemporaneamente.

Il compliance score è una percentuale (0-100%) che rappresenta il livello di implementazione dei controlli dell'organizzazione rispetto agli assessment creati. I punti vengono assegnati per:

• Microsoft-managed actions — accreditate automaticamente quando i controlli di Microsoft sono attivi
• Customer-managed actions — accreditate quando contrassegna un'azione come implementata e, facoltativamente, carica le prove

Un punteggio più alto indica una migliore copertura dei controlli, ma non garantisce l'effettiva conformità normativa.

Le improvement actions sono passi specifici che può intraprendere per migliorare il compliance score. Ogni azione include una descrizione di ciò che deve essere implementato, la normativa a cui è associata, il numero di punti assegnati, indicazioni per l'implementazione (spesso con collegamenti alla documentazione Microsoft) e un campo per registrare lo stato dell'implementazione. Le azioni sono raggruppate in categorie come Protect Information, Manage Devices e Control Access.

Per le azioni gestite dal cliente, Compliance Manager consente di caricare documenti di prova — screenshot, report di audit, documenti di policy o risultati di test — che dimostrano l'implementazione del controllo. In questo modo si crea una catena di evidenze della conformità che può essere condivisa con auditor o ispettori. I documenti di prova vengono archiviati nel portale Compliance Manager e possono essere scaricati in qualsiasi momento.

Compliance Manager include più di 300 modelli normativi che può utilizzare per creare assessment. I modelli spaziano dagli standard globali (ISO 27001, NIST CSF) alle normative specifiche di settore (PCI DSS, HIPAA), fino alle leggi regionali (GDPR, LGPD, CCPA). I modelli premium relativi a normative non incluse in Microsoft 365 richiedono una licenza aggiuntiva (ad esempio Microsoft 365 E5 Compliance o il componente aggiuntivo Compliance Manager).

Per ogni improvement action, Compliance Manager tiene traccia di:

• Implementation status — Not implemented, Implemented, Alternative implementation, Planned
• Test status — Not tested, Passed, Failed, No assessment
• Test date — la data in cui è stato eseguito l'ultimo test

Contrassegnare un'azione come 'Implemented' senza caricare prove assegna i punti, ma può essere messo in discussione durante un audit formale: supporti sempre lo stato indicato con prove effettive.

Compliance Manager supporta la delega basata sui ruoli: può assegnare specifiche improvement actions a singoli membri del team o a gruppi. Questa funzione è utile per le organizzazioni di grandi dimensioni, in cui team diversi sono responsabili di aree di controllo differenti (il team di sicurezza gestisce i controlli degli accessi, il team HR gestisce la formazione sulle policy, il team delle operazioni IT gestisce i controlli dell'infrastruttura). Gli utenti assegnatari ricevono notifiche e possono aggiornare direttamente lo stato delle proprie azioni.

Compliance Manager e Azure Policy affrontano aspetti diversi della conformità:

• Compliance Manager — monitora i controlli dell'organizzazione rispetto ai framework normativi; si concentra sui controlli relativi a persone e processi, oltre che su quelli tecnici; viene gestito dal portale di conformità Purview
• Azure Policy — applica e verifica la configurazione tecnica delle risorse Azure; automatizza la conformità dell'infrastruttura; viene gestito dal portale Azure

Entrambi sono necessari per un programma di conformità completo.

Compliance Manager consente di esportare i risultati degli assessment in Excel per condividerli con auditor, dirigenti o autorità di regolamentazione. L'esportazione include l'elenco completo dei controlli, il relativo stato, i risultati dei test e i collegamenti alle prove. Molte organizzazioni utilizzano questa esportazione come base per la propria Statement of Applicability (SoA), un documento richiesto da ISO 27001 che elenca tutti i controlli e il relativo stato di implementazione.

Verifichi la Sua comprensione dei concetti di Microsoft Azure Fundamentals (AZ-900) illustrati in questa lezione.

In questa lezione ha appreso che: Compliance Manager fornisce un compliance score e improvement actions associate a oltre 300 framework normativi; le Microsoft-managed actions vengono accreditate automaticamente, mentre le customer-managed actions richiedono l'implementazione e la documentazione dei controlli da parte Sua; inoltre, è possibile caricare documenti di prova per creare una catena di evidenze per gli audit. Nella prossima lezione analizzeremo i requisiti specifici del GDPR e come implementarli in Azure.