Microsoft Compliance Manager

Microsoft Compliance Manager — это средство на портале соответствия требованиям Microsoft Purview, которое помогает организациям оценивать, отслеживать и улучшать состояние соответствия требованиям нормативных стандартов. Оно предоставляет оценку соответствия — числовой показатель того, насколько хорошо средства контроля Вашей организации соответствуют требованиям выбранных стандартов. Compliance Manager доступен организациям с подписками Microsoft 365 или Azure.

Доступ к Compliance Manager осуществляется через портал соответствия требованиям Microsoft Purview по адресу compliance.microsoft.com. На главной панели отображаются общая оценка соответствия, разбивка по категориям (защита данных, управление доступом, управление инцидентами) и список оценок. Чтобы пользоваться этим средством, не нужно быть специалистом по соответствию требованиям — оно пошагово проводит Вас по требованиям каждого стандарта.

Оценка в Compliance Manager представляет собой проверку Вашей организации на соответствие определенной нормативной базе (например, ISO 27001, GDPR, HIPAA). Каждая оценка содержит набор средств контроля, взятых из соответствующего нормативного документа, а также действия, выполняемые Microsoft (средства контроля, за которые отвечает Microsoft) и действия, выполняемые клиентом (средства контроля, которые Вы должны внедрить самостоятельно). Вы можете одновременно создавать оценки для нескольких нормативных документов.

Оценка соответствия — это процентное значение (от 0 до 100%), показывающее, насколько хорошо внедрены средства контроля Вашей организации с учетом созданных Вами оценок. Баллы начисляются за:

• действия, выполняемые Microsoft — автоматически засчитываются, если средства контроля Microsoft действуют
• действия, выполняемые клиентом — засчитываются, когда Вы отмечаете действие как выполненное и при необходимости загружаете подтверждающие материалы

Более высокая оценка означает более полный охват средствами контроля, но не гарантирует фактического соответствия нормативным требованиям.

Действия по улучшению — это конкретные шаги, которые Вы можете предпринять для повышения оценки соответствия. Каждое действие содержит описание того, что необходимо внедрить, указание нормативного документа, которому оно соответствует, количество начисляемых баллов, рекомендации по внедрению (часто со ссылками на документацию Microsoft) и поле для указания состояния внедрения. Действия сгруппированы по категориям, например Защита информации, Управление устройствами и Контроль доступа.

Для действий, выполняемых клиентом, Compliance Manager позволяет загружать документы, подтверждающие соответствие — снимки экрана, аудиторские отчеты, документы политик или результаты тестирования, демонстрирующие внедрение средства контроля. Так формируется цепочка подтверждений соответствия, которой можно поделиться с аудиторами или инспекторами. Документы хранятся на портале Compliance Manager и могут быть скачаны в любое время.

Compliance Manager содержит более 300 шаблонов нормативных документов, которые можно использовать для создания оценок. Шаблоны охватывают международные стандарты (ISO 27001, NIST CSF), отраслевые нормативные документы (PCI DSS, HIPAA) и региональные законы (GDPR, LGPD, CCPA). Для премиум-шаблонов, охватывающих нормативные документы за пределами Microsoft 365, требуется дополнительная лицензия (например, Microsoft 365 E5 Compliance или надстройка Compliance Manager).

Для каждого действия по улучшению Compliance Manager отслеживает:

• состояние внедрения — не внедрено, внедрено, альтернативное внедрение, запланировано
• состояние тестирования — не тестировалось, пройдено, не пройдено, оценка не проводилась
• дата тестирования — дата проведения последнего тестирования

Если отметить действие как «Внедрено», не загрузив подтверждающие материалы, баллы будут начислены, но во время официального аудита это может вызвать вопросы — всегда подтверждайте указанное состояние фактическими материалами.

Compliance Manager поддерживает делегирование на основе ролей — Вы можете назначать конкретные действия по улучшению отдельным участникам команды или группам. Это особенно полезно для крупных организаций, где разные команды отвечают за разные области контроля (команда безопасности — за контроль доступа, команда HR — за обучение политикам, а ИТ-операции — за контроль инфраструктуры). Назначенные пользователи получают уведомления и могут напрямую обновлять состояние своих действий.

Compliance Manager и Azure Policy решают разные задачи, связанные с соответствием требованиям:

• Compliance Manager — отслеживает соответствие организационных средств контроля нормативным базам; охватывает средства контроля, связанные с людьми и процессами, а также технические средства контроля; работает на портале соответствия требованиям Purview
• Azure Policy — применяет политики и проверяет техническую конфигурацию ресурсов Azure; автоматизирует обеспечение соответствия инфраструктуры; работает на портале Azure

Для полноценной программы обеспечения соответствия требуются оба средства.

Compliance Manager позволяет экспортировать результаты оценок в Excel, чтобы поделиться ими с аудиторами, руководством или регулирующими органами. Экспорт содержит полный список средств контроля, их состояние, результаты тестирования и ссылки на подтверждающие материалы. Многие организации используют этот экспорт как основу для декларации применимости (SoA) — документа, требуемого стандартом ISO 27001 и содержащего список всех средств контроля и сведения об их внедрении.

Проверьте, насколько хорошо Вы поняли концепции Microsoft Azure Fundamentals (AZ-900) из этого урока.

В этом уроке Вы узнали, что Compliance Manager предоставляет оценку соответствия и действия по улучшению, сопоставленные с более чем 300 нормативными базами; действия, выполняемые Microsoft, засчитываются автоматически, а для действий, выполняемых клиентом требуется самостоятельно внедрить и задокументировать средства контроля; а документы, подтверждающие соответствие, можно загружать для формирования аудиторского следа. Далее мы рассмотрим требования GDPR и способы их реализации в Azure.