Microsoft Compliance Manager

O Microsoft Compliance Manager é uma ferramenta do portal de conformidade do Microsoft Purview que ajuda as organizações a avaliar, monitorizar e melhorar o seu estado de conformidade face a estruturas regulamentares. Fornece uma pontuação de conformidade — uma medida numérica do grau de alinhamento dos controlos da sua organização com os requisitos das normas selecionadas. O Compliance Manager está disponível para organizações com subscrições do Microsoft 365 ou do Azure.

O Compliance Manager é acedido através do portal de conformidade do Microsoft Purview em compliance.microsoft.com. O painel inicial apresenta a sua pontuação geral de conformidade, uma discriminação por categoria (proteção de dados, controlo de acesso e gestão de incidentes) e uma lista de avaliações. Não precisa de ser especialista em conformidade para utilizar a ferramenta — ela orienta-o passo a passo pelos requisitos de cada norma.

Uma avaliação no Compliance Manager representa uma análise da sua organização face a uma estrutura regulamentar específica (por exemplo, ISO 27001, GDPR, HIPAA). Cada avaliação contém um conjunto de controlos provenientes do regulamento, juntamente com ações geridas pela Microsoft (controlos tratados pela Microsoft em seu nome) e ações geridas pelo cliente (controlos que tem de implementar por si próprio). Pode criar avaliações para vários regulamentos em simultâneo.

A pontuação de conformidade é uma percentagem (0–100%) que representa o grau de implementação dos controlos da sua organização relativamente às avaliações que criou. São atribuídos pontos por:

• Ações geridas pela Microsoft — creditadas automaticamente quando os controlos da Microsoft estão implementados
• Ações geridas pelo cliente — creditadas quando marca uma ação como implementada e, opcionalmente, carrega evidências

Uma pontuação mais elevada significa uma melhor cobertura dos controlos, mas não garante a conformidade regulamentar efetiva.

As ações de melhoria são passos específicos que pode realizar para melhorar a sua pontuação de conformidade. Cada ação inclui uma descrição do que deve ser implementado, o regulamento ao qual corresponde, o número de pontos que vale, orientações de implementação (frequentemente com ligações à documentação da Microsoft) e um campo para registar o estado da implementação. As ações estão agrupadas em categorias como Proteger informações, Gerir dispositivos e Controlar o acesso.

Para as ações geridas pelo cliente, o Compliance Manager permite carregar documentos de evidência — capturas de ecrã, relatórios de auditoria, documentos de políticas ou resultados de testes — que demonstram que o controlo está implementado. Isto cria um rasto de evidências de conformidade que pode ser partilhado com auditores ou inspetores. Os documentos de evidência são armazenados no portal do Compliance Manager e podem ser transferidos a qualquer momento.

O Compliance Manager inclui mais de 300 modelos de regulamentos que pode utilizar para criar avaliações. Os modelos abrangem desde normas globais (ISO 27001, NIST CSF) a regulamentos específicos de setores (PCI DSS, HIPAA) e leis regionais (GDPR, LGPD, CCPA). Os modelos premium que abrangem regulamentos além do Microsoft 365 exigem uma licença adicional (por exemplo, Microsoft 365 E5 Compliance ou o suplemento Compliance Manager).

Para cada ação de melhoria, o Compliance Manager acompanha:

• Estado da implementação — Não implementada, Implementada, Implementação alternativa, Planeada
• Estado do teste — Não testado, Aprovado, Reprovado, Sem avaliação
• Data do teste — quando foi realizado o último teste

Marcar uma ação como «Implementada» sem carregar evidências atribui pontos, mas essa indicação pode ser questionada durante uma auditoria formal — justifique sempre o seu estado com evidências reais.

O Compliance Manager suporta a delegação baseada em funções — pode atribuir ações de melhoria específicas a membros individuais da equipa ou a grupos. Isto é útil para organizações de grande dimensão, nas quais equipas diferentes são responsáveis por áreas de controlo diferentes (a equipa de segurança é responsável pelos controlos de acesso, a equipa de RH pela formação sobre políticas e a equipa de operações de TI pelos controlos da infraestrutura). Os utilizadores a quem as ações são atribuídas recebem notificações e podem atualizar diretamente o estado das suas ações.

O Compliance Manager e o Azure Policy abordam aspetos diferentes da conformidade:

• Compliance Manager — acompanha os controlos organizacionais face a estruturas regulamentares; concentra-se nos controlos relacionados com pessoas e processos, bem como nos controlos técnicos; é operado a partir do portal de conformidade do Purview
• Azure Policy — aplica e audita a configuração técnica dos recursos do Azure; automatiza a conformidade da infraestrutura; é operado a partir do portal do Azure

Ambos são necessários para um programa de conformidade completo.

O Compliance Manager permite exportar os resultados das avaliações para o Excel, para os partilhar com auditores, a gestão ou entidades reguladoras. A exportação inclui a lista completa de controlos, o respetivo estado, os resultados dos testes e ligações para as evidências. Muitas organizações utilizam esta exportação como base para a sua Declaração de Aplicabilidade (SoA) — um documento exigido pela ISO 27001 que apresenta todos os controlos e o respetivo estado de implementação.

Teste a sua compreensão dos conceitos do Microsoft Azure Fundamentals (AZ-900) abordados nesta lição.

Nesta lição, aprendeu que o Compliance Manager fornece uma pontuação de conformidade e ações de melhoria associadas a mais de 300 estruturas regulamentares; as ações geridas pela Microsoft são creditadas automaticamente, enquanto as ações geridas pelo cliente exigem que implemente e documente os controlos; e os documentos de evidência podem ser carregados para criar um rasto de auditoria. A seguir, vamos explorar os requisitos específicos do GDPR e a forma de os implementar no Azure.