Azure-complianceframeworks

Het verplaatsen van werkbelastingen naar Azure neemt verplichtingen op het gebied van naleving niet weg — het verandert hoe je eraan voldoet. Organisaties moeten nog steeds voldoen aan sectorvoorschriften, overheidswetten en contractuele verplichtingen, ook wanneer hun infrastructuur zich in de cloud bevindt. Begrijpen welke nalevingskaders op je werkbelasting van toepassing zijn en hoe Azure je helpt eraan te voldoen, is een belangrijk onderwerp in het AZ-900-examen en bij echte Azure-implementaties in ondernemingen.

Naleving in de cloud wordt geregeld door het model van gedeelde verantwoordelijkheid. Microsoft is verantwoordelijk voor de beveiliging en naleving van de cloudinfrastructuur (fysieke datacenters, netwerkhardware en het besturingssysteem van de host). Klanten zijn verantwoordelijk voor de beveiliging en naleving van wat er in de cloud draait (hun toepassingen, gegevens, identiteiten en configuraties). De grens verschuift afhankelijk van het feit of je IaaS, PaaS of SaaS gebruikt.

Microsoft onderhoudt nalevingscertificeringen voor Azure voor meer dan 100 wettelijke normen en kaders. Deze omvatten regio's, sectoren en beveiligingsdisciplines, waaronder:

• Internationaal — ISO 27001, ISO 27018, SOC 1/2/3
• EU/regionaal — GDPR, ENS, UK Cyber Essentials
• Sectoren — HIPAA (gezondheidszorg), PCI DSS (betalingen), FedRAMP (Amerikaanse overheid)

ISO 27001 is een internationale norm voor managementsystemen voor informatiebeveiliging (ISMS). Microsoft heeft voor Azure de ISO 27001-certificering behaald. Dat betekent dat de infrastructuur en operationele processen door een onafhankelijke derde partij zijn gecontroleerd. Klanten moeten hun eigen toepassingen en praktijken voor gegevensbeheer echter afzonderlijk certificeren — de certificering van Microsoft geldt niet automatisch voor werkbelastingen van klanten.

PCI DSS (Payment Card Industry Data Security Standard) geldt voor organisaties die kaarthoudergegevens opslaan, verwerken of verzenden. Azure is een PCI DSS Level 1-gecertificeerde serviceprovider, het hoogste certificeringsniveau. Klanten die betalingswerkbelastingen op Azure uitvoeren, kunnen hierop voortbouwen, maar moeten aanvullende maatregelen implementeren in hun toepassingslaag (tokenisatie, versleuteling en toegangsregistratie) om aan hun eigen PCI DSS-verplichtingen te voldoen.

HIPAA (Health Insurance Portability and Accountability Act) regelt de bescherming van beschermde gezondheidsinformatie (PHI) in de Verenigde Staten. Microsoft biedt voor Azure-services een HIPAA Business Associate Agreement (BAA) aan, waarin Microsoft bevestigt dat het de PHI beschermt die het namens jou verwerkt. Klanten in de gezondheidszorg moeten de BAA ondertekenen en hun Azure-werklast configureren om aan de technische beveiligingsmaatregelen van HIPAA te voldoen.

SOC (System and Organisation Controls)-rapporten zijn beoordelingen door onafhankelijke auditors van de maatregelen van Azure:

• SOC 1 — maatregelen voor financiële verslaglegging (relevant voor SaaS-producten die van invloed zijn op financiële overzichten van klanten)
• SOC 2 — maatregelen voor beveiliging, beschikbaarheid, integriteit van verwerking, vertrouwelijkheid en privacy
• SOC 3 — een openbare samenvatting van de bevindingen van SOC 2, beschikbaar voor iedereen

SOC 2-rapporten zijn voor Azure-klanten beschikbaar onder een geheimhoudingsovereenkomst via de Service Trust Portal.

FedRAMP (Federal Risk and Authorization Management Program) is een kader van de Amerikaanse overheid voor de autorisatie van cloudservices. Azure heeft FedRAMP High-autorisatie voor overheidsregio's (USGov en USDoD). Amerikaanse federale instanties moeten cloudservices gebruiken die door FedRAMP zijn geautoriseerd. Commerciële Azure-regio's hebben FedRAMP Moderate-autorisatie, die een groot deel van de werkbelastingen van overheidsinstanties dekt.

De Microsoft Service Trust Portal (STP) op servicetrust.microsoft.com is een centrale plek voor nalevingsdocumentatie, auditrapporten en certificeringsinformatie over cloudservices van Microsoft. Vanuit de STP kun je ISO 27001-certificaten, SOC 2-rapporten, resultaten van penetratietests en gegevensbeschermingseffectbeoordelingen downloaden. Voor toegang tot sommige documenten heb je een Azure- of Microsoft 365-account nodig en moet je een geheimhoudingsovereenkomst accepteren.

Vereisten voor gegevensresidentie schrijven voor dat bepaalde gegevens binnen een specifieke geografische grens moeten worden opgeslagen en verwerkt. Azure ondersteunt dit via regioselectie — je kiest in welke regio je resources implementeert en je gegevens blijven standaard in die regio. Azure biedt ook soevereine cloudinstanties (Azure Government, Azure China 21Vianet en Azure Germany) die onafhankelijk worden beheerd om aan specifieke nationale vereisten voor datasoevereiniteit te voldoen.

Naleving bereiken is geen eenmalige gebeurtenis — het vereist doorlopende monitoring en het verzamelen van bewijsmateriaal. Microsoft Compliance Manager in de nalevingsportal van Microsoft Purview helpt organisaties hun nalevingsstatus continu te volgen, maatregelen aan regelgeving te koppelen en bewijsmateriaal voor auditors te genereren. Regelmatige interne audits, geautomatiseerde beleidscontroles via Azure Policy en gecentraliseerde logverzameling maken allemaal deel uit van een volwassen nalevingsprogramma.

In deze les heb je geleerd dat Azure certificeringen heeft voor meer dan 100 nalevingskaders, waaronder ISO 27001, PCI DSS, HIPAA en FedRAMP; dat het model van gedeelde verantwoordelijkheid de verplichtingen voor naleving verdeelt tussen Microsoft en de klant; en dat de Service Trust Portal de bron is voor auditrapporten en certificeringsdocumenten. Hierna bekijken we Microsoft Purview voor gegevensbeheer en classificatie.