Microsoft Compliance Manager

Microsoft Compliance Manager to narzędzie dostępne w portalu zgodności Microsoft Purview, które pomaga organizacjom oceniać, monitorować i poprawiać stan zgodności z ramami regulacyjnymi. Udostępnia ono wynik zgodności — liczbową miarę określającą, w jakim stopniu mechanizmy kontroli w organizacji odpowiadają wymaganiom wybranych standardów. Compliance Manager jest dostępny dla organizacji korzystających z subskrypcji Microsoft 365 lub Azure.

Dostęp do Compliance Manager można uzyskać za pośrednictwem portalu zgodności Microsoft Purview pod adresem compliance.microsoft.com. Pulpit główny pokazuje ogólny wynik zgodności, podział według kategorii (ochrona danych, kontrola dostępu, zarządzanie incydentami) oraz listę ocen. Nie muszą Państwo być ekspertami ds. zgodności, aby korzystać z tego narzędzia — prowadzi ono krok po kroku przez wymagania każdego standardu.

Ocena w Compliance Manager to ewaluacja organizacji pod kątem określonych ram regulacyjnych (np. ISO 27001, RODO, HIPAA). Każda ocena zawiera zestaw mechanizmów kontroli wynikających z danego aktu prawnego, a także działania zarządzane przez firmę Microsoft (mechanizmy kontroli obsługiwane przez firmę Microsoft w Państwa imieniu) oraz działania zarządzane przez klienta (mechanizmy kontroli, które muszą Państwo wdrożyć samodzielnie). Mogą Państwo jednocześnie tworzyć oceny dla wielu regulacji.

Wynik zgodności to wartość procentowa (0–100%) określająca, w jakim stopniu mechanizmy kontroli w organizacji zostały wdrożone w odniesieniu do utworzonych ocen. Punkty są przyznawane za:

• działania zarządzane przez firmę Microsoft — punkty są przyznawane automatycznie, gdy mechanizmy kontroli firmy Microsoft są aktywne
• działania zarządzane przez klienta — punkty są przyznawane po oznaczeniu działania jako wdrożone i opcjonalnym przesłaniu dowodów

Wyższy wynik oznacza lepsze pokrycie mechanizmami kontroli, ale nie gwarantuje faktycznej zgodności z przepisami.

Działania usprawniające to konkretne kroki, które mogą Państwo podjąć, aby poprawić wynik zgodności. Każde działanie zawiera opis tego, co należy wdrożyć, informację o regulacji, z którą jest powiązane, liczbę przyznawanych punktów, wskazówki dotyczące wdrożenia (często z odsyłaczami do dokumentacji firmy Microsoft) oraz pole do zapisania stanu wdrożenia. Działania są pogrupowane według kategorii, takich jak Protect Information, Manage Devices i Control Access.

W przypadku działań zarządzanych przez klienta Compliance Manager umożliwia przesyłanie dokumentów dowodowych — zrzutów ekranu, raportów z audytów, dokumentów dotyczących zasad lub wyników testów — potwierdzających wdrożenie mechanizmu kontroli. Tworzy to ścieżkę dowodową zgodności, którą można udostępniać audytorom lub inspektorom. Dokumenty dowodowe są przechowywane w portalu Compliance Manager i można je pobrać w dowolnym momencie.

Compliance Manager zawiera ponad 300 szablonów regulacji, których można używać do tworzenia ocen. Szablony obejmują zarówno globalne standardy (ISO 27001, NIST CSF), regulacje branżowe (PCI DSS, HIPAA), jak i przepisy regionalne (RODO, LGPD, CCPA). Szablony premium obejmujące regulacje wykraczające poza Microsoft 365 wymagają dodatkowej licencji (np. Microsoft 365 E5 Compliance lub dodatku Compliance Manager).

W przypadku każdego działania usprawniającego Compliance Manager śledzi:

• Stan wdrożenia — Nie wdrożono, Wdrożono, Wdrożenie alternatywne, Zaplanowano
• Stan testu — Nie testowano, Zakończony pomyślnie, Nieudany, Brak oceny
• Datę testu — datę przeprowadzenia ostatniego testu

Oznaczenie działania jako „Wdrożone” bez przesłania dowodów powoduje przyznanie punktów, ale może zostać zakwestionowane podczas formalnego audytu — należy zawsze potwierdzać stan za pomocą rzeczywistych dowodów.

Compliance Manager obsługuje delegowanie oparte na rolach — mogą Państwo przypisywać określone działania usprawniające poszczególnym członkom zespołu lub grupom. Jest to przydatne w dużych organizacjach, w których różne zespoły odpowiadają za różne obszary mechanizmów kontroli (zespół ds. bezpieczeństwa odpowiada za mechanizmy kontroli dostępu, zespół HR za szkolenia dotyczące zasad, a zespół operacji IT za mechanizmy kontroli infrastruktury). Przypisani użytkownicy otrzymują powiadomienia i mogą bezpośrednio aktualizować stan swoich działań.

Compliance Manager i Azure Policy dotyczą różnych aspektów zgodności:

• Compliance Manager — śledzi mechanizmy kontroli organizacyjnej w odniesieniu do ram regulacyjnych; koncentruje się zarówno na mechanizmach kontroli dotyczących osób i procesów, jak i na mechanizmach kontroli technicznej; jest obsługiwany z poziomu portalu zgodności Purview
• Azure Policy — wymusza i kontroluje konfigurację techniczną zasobów Azure; automatyzuje zapewnianie zgodności infrastruktury; jest obsługiwana z poziomu portalu Azure

Oba rozwiązania są potrzebne do stworzenia kompletnego programu zgodności.

Compliance Manager umożliwia eksportowanie wyników ocen do programu Excel w celu udostępnienia ich audytorom, kierownictwu lub organom regulacyjnym. Eksport zawiera pełną listę mechanizmów kontroli, ich stany, wyniki testów oraz odsyłacze do dowodów. Wiele organizacji wykorzystuje ten eksport jako podstawę Statement of Applicability (SoA) — dokumentu wymaganego przez ISO 27001, zawierającego listę wszystkich mechanizmów kontroli i stan ich wdrożenia.

Sprawdź swoją znajomość zagadnień Microsoft Azure Fundamentals (AZ-900) omówionych w tej lekcji.

W tej lekcji dowiedzieli się Państwo, że: Compliance Manager udostępnia wynik zgodności i działania usprawniające powiązane z ponad 300 ramami regulacyjnymi; działania zarządzane przez firmę Microsoft są uwzględniane automatycznie, natomiast działania zarządzane przez klienta wymagają samodzielnego wdrożenia i udokumentowania mechanizmów kontroli; a dokumenty dowodowe można przesyłać w celu utworzenia ścieżki audytowej. Następnie omówimy wymagania związane konkretnie z RODO oraz sposoby ich wdrażania na platformie Azure.