Microsoft Compliance Manager

Microsoft Compliance Manager ialah alat dalam portal pematuhan Microsoft Purview yang membantu organisasi menilai, memantau dan meningkatkan kedudukan pematuhan mereka terhadap rangka kerja kawal selia. Alat ini menyediakan skor pematuhan — ukuran berangka tentang sejauh mana kawalan organisasi anda selaras dengan keperluan piawaian yang dipilih. Compliance Manager tersedia untuk organisasi yang mempunyai langganan Microsoft 365 atau Azure.

Compliance Manager diakses melalui portal pematuhan Microsoft Purview di compliance.microsoft.com. Papan pemuka utama memaparkan skor pematuhan keseluruhan anda, pecahan mengikut kategori (perlindungan data, kawalan akses, pengurusan insiden) dan senarai penilaian. Anda tidak perlu menjadi pakar pematuhan untuk menggunakan alat ini — alat ini membimbing anda langkah demi langkah melalui keperluan setiap piawaian.

Satu penilaian dalam Compliance Manager mewakili penilaian organisasi anda berdasarkan rangka kerja kawal selia tertentu (contohnya, ISO 27001, GDPR, HIPAA). Setiap penilaian mengandungi sekumpulan kawalan yang diambil daripada peraturan tersebut, bersama-sama tindakan yang diurus Microsoft (kawalan yang dikendalikan oleh Microsoft untuk anda) dan tindakan yang diurus pelanggan (kawalan yang mesti anda laksanakan sendiri). Anda boleh mencipta penilaian untuk beberapa peraturan pada masa yang sama.

Skor pematuhan ialah peratusan (0-100%) yang menunjukkan sejauh mana kawalan organisasi anda dilaksanakan berbanding dengan penilaian yang telah anda cipta. Mata diberikan untuk:

• Tindakan yang diurus Microsoft — dikreditkan secara automatik apabila kawalan Microsoft tersedia
• Tindakan yang diurus pelanggan — dikreditkan apabila anda menandakan sesuatu tindakan sebagai dilaksanakan dan, secara pilihan, memuat naik bukti

Skor yang lebih tinggi bermaksud liputan kawalan yang lebih baik, tetapi tidak menjamin pematuhan kawal selia sebenar.

Tindakan penambahbaikan ialah langkah khusus yang boleh anda ambil untuk meningkatkan skor pematuhan. Setiap tindakan merangkumi penerangan tentang perkara yang perlu dilaksanakan, peraturan yang berkaitan dengannya, jumlah mata yang diberikan, panduan pelaksanaan (selalunya dengan pautan ke dokumentasi Microsoft) dan medan untuk merekod status pelaksanaan anda. Tindakan dikumpulkan mengikut kategori seperti Lindungi Maklumat, Urus Peranti dan Kawal Akses.

Bagi tindakan yang diurus pelanggan, Compliance Manager membolehkan anda memuat naik dokumen bukti — tangkapan skrin, laporan audit, dokumen polisi atau hasil ujian — yang menunjukkan bahawa kawalan telah dilaksanakan. Ini menghasilkan jejak bukti pematuhan yang boleh dikongsi dengan juruaudit atau pemeriksa. Dokumen bukti disimpan dalam portal Compliance Manager dan boleh dimuat turun pada bila-bila masa.

Compliance Manager merangkumi lebih daripada 300 templat peraturan yang boleh anda gunakan untuk mencipta penilaian. Templat ini terdiri daripada piawaian global (ISO 27001, NIST CSF), peraturan khusus industri (PCI DSS, HIPAA) dan undang-undang serantau (GDPR, LGPD, CCPA). Templat premium yang meliputi peraturan di luar Microsoft 365 memerlukan lesen tambahan (contohnya, Microsoft 365 E5 Compliance atau tambahan Compliance Manager).

Bagi setiap tindakan penambahbaikan, Compliance Manager menjejaki:

• Status pelaksanaan — Belum dilaksanakan, Dilaksanakan, Pelaksanaan alternatif, Dirancang
• Status ujian — Belum diuji, Lulus, Gagal, Tiada penilaian
• Tarikh ujian — masa ujian terakhir dijalankan

Menandakan sesuatu tindakan sebagai 'Dilaksanakan' tanpa memuat naik bukti akan memberikan mata, tetapi perkara ini mungkin dipersoalkan semasa audit rasmi — sentiasa sokong status anda dengan bukti sebenar.

Compliance Manager menyokong pewakilan berasaskan peranan — anda boleh menetapkan tindakan penambahbaikan tertentu kepada ahli pasukan atau kumpulan individu. Ini berguna untuk organisasi besar yang mempunyai pasukan berbeza bagi bidang kawalan yang berbeza (pasukan keselamatan mengurus kawalan akses, pasukan HR mengurus latihan polisi dan operasi IT mengurus kawalan infrastruktur). Pengguna yang ditetapkan menerima pemberitahuan dan boleh mengemas kini status tindakan mereka secara terus.

Compliance Manager dan Azure Policy menangani aspek pematuhan yang berbeza:

• Compliance Manager — menjejaki kawalan organisasi berdasarkan rangka kerja kawal selia; memberi tumpuan kepada kawalan manusia dan proses serta kawalan teknikal; dikendalikan melalui portal pematuhan Purview
• Azure Policy — menguatkuasakan dan mengaudit konfigurasi teknikal sumber Azure; mengautomatikkan pematuhan infrastruktur; dikendalikan melalui portal Azure

Kedua-duanya diperlukan untuk program pematuhan yang lengkap.

Compliance Manager membolehkan anda mengeksport hasil penilaian ke Excel untuk dikongsi dengan juruaudit, pihak pengurusan atau pengawal selia. Eksport tersebut merangkumi senarai lengkap kawalan, statusnya, hasil ujian dan pautan kepada bukti. Banyak organisasi menggunakan eksport ini sebagai asas untuk Pernyataan Kebolehgunaan (SoA) — dokumen yang diperlukan oleh ISO 27001 yang menyenaraikan semua kawalan dan status pelaksanaannya.

Dalam pelajaran ini, anda telah mempelajari bahawa Compliance Manager menyediakan skor pematuhan dan tindakan penambahbaikan yang dipetakan kepada lebih daripada 300 rangka kerja kawal selia; tindakan yang diurus Microsoft dikreditkan secara automatik manakala tindakan yang diurus pelanggan memerlukan anda melaksanakan dan mendokumenkan kawalan; dan dokumen bukti boleh dimuat naik untuk membina jejak audit. Seterusnya, kita akan meneroka keperluan khusus GDPR dan cara melaksanakannya pada Azure.