Нормативные платформы соответствия Azure

Перенос рабочих нагрузок в Azure не отменяет обязательств по соблюдению требований — он меняет то, как эти требования выполняются. Организации по-прежнему должны соблюдать отраслевые нормативы, государственные законы и договорные обязательства, даже если их инфраструктура находится в облаке. Понимание того, какие нормативные стандарты применимы к Вашей рабочей нагрузке и как Azure помогает им соответствовать, — важная тема экзамена AZ-900 и реальных корпоративных развертываний Azure.

Соблюдение требований в облаке регулируется моделью разделения ответственности. Microsoft отвечает за безопасность и соответствие требованиям облачной инфраструктуры (физических центров обработки данных, сетевого оборудования, узловой ОС). Клиенты отвечают за безопасность и соответствие требованиям того, что работает в облаке (их приложений, данных, удостоверений и конфигураций). Граница ответственности меняется в зависимости от того, используете ли Вы IaaS, PaaS или SaaS.

Microsoft поддерживает сертификацию Azure на соответствие более чем 100 нормативным стандартам и системам. Они охватывают регионы, отрасли и направления безопасности, включая:

• International — ISO 27001, ISO 27018, SOC 1/2/3
• EU/Regional — GDPR, ENS, UK Cyber Essentials
• Отраслевые — HIPAA (здравоохранение), PCI DSS (платежи), FedRAMP (государственные органы US)

ISO 27001 — это международный стандарт для систем управления информационной безопасностью (ISMS). Microsoft получила сертификацию Azure по ISO 27001, то есть инфраструктура и операционные процессы были проверены независимой третьей стороной. Однако клиенты должны отдельно сертифицировать собственные приложения и методы управления данными — сертификация Microsoft автоматически не распространяется на рабочие нагрузки клиентов.

PCI DSS (стандарт безопасности данных индустрии платёжных карт) применяется к организациям, которые хранят, обрабатывают или передают данные держателей карт. Azure — поставщик услуг с сертификацией PCI DSS Level 1, то есть с самым высоким уровнем сертификации. Клиенты, запускающие платёжные рабочие нагрузки в Azure, могут опираться на эту основу, но должны внедрить дополнительные меры контроля на уровне приложения (токенизация, шифрование, ведение журналов доступа), чтобы выполнить собственные обязательства по PCI DSS.

HIPAA (закон о переносимости и подотчётности медицинского страхования) регулирует защиту Protected Health Information (PHI) в Соединённых Штатах. Microsoft предлагает HIPAA Business Associate Agreement (BAA) для служб Azure, подтверждая, что Microsoft будет защищать PHI, обрабатываемую от Вашего имени. Клиенты из сферы здравоохранения должны подписать BAA и настроить свои рабочие нагрузки Azure в соответствии с техническими мерами защиты HIPAA.

SOC (системные и организационные меры контроля) — это отчёты независимых аудиторов о мерах контроля Azure:

• SOC 1 — меры контроля финансовой отчётности (актуальны для продуктов SaaS, влияющих на финансовую отчётность клиентов)
• SOC 2 — меры контроля безопасности, доступности, целостности обработки, конфиденциальности и приватности
• SOC 3 — общедоступное краткое изложение результатов SOC 2, доступное всем

Отчёты SOC 2 доступны клиентам Azure по NDA через Service Trust Portal.

FedRAMP (Федеральная программа управления рисками и авторизацией) — это система US для авторизации облачных служб. Azure имеет авторизацию FedRAMP High для государственных регионов (USGov и USDoD). Федеральные органы US должны использовать облачные службы, авторизованные FedRAMP. Коммерческие регионы Azure имеют авторизацию FedRAMP Moderate, которая охватывает значительную часть государственных рабочих нагрузок.

Microsoft Service Trust Portal (STP) по адресу servicetrust.microsoft.com — это единое место для документации о соответствии требованиям, аудиторских отчётов и сведений о сертификации облачных служб Microsoft. В STP можно скачать сертификаты ISO 27001, отчёты SOC 2, результаты тестов на проникновение и оценки воздействия на защиту данных. Для доступа к некоторым документам требуются учётная запись Azure или Microsoft 365 и принятие NDA.

Требования к расположению данных предписывают хранить и обрабатывать определённые данные в пределах конкретной географической границы. Azure обеспечивает это с помощью выбора региона — Вы выбираете регион для развертывания ресурсов, и по умолчанию данные остаются в этом регионе. Azure также предлагает суверенные экземпляры облака (Azure Government, Azure China 21Vianet, Azure Germany), работающие независимо для выполнения конкретных национальных требований к суверенитету данных.

Достижение соответствия требованиям — не разовое событие: оно требует непрерывного мониторинга и сбора свидетельств. Microsoft Compliance Manager на портале соответствия Microsoft Purview помогает организациям постоянно отслеживать состояние соответствия, сопоставлять меры контроля с нормативами и формировать свидетельства для аудиторов. Регулярные внутренние аудиты, автоматические проверки политик с помощью Azure Policy и централизованный сбор журналов — всё это составляющие зрелой программы соответствия требованиям.

Проверьте своё понимание концепций Microsoft Azure Fundamentals (AZ-900) из этого урока.

В этом уроке Вы узнали, что Azure имеет сертификаты соответствия более чем 100 нормативным системам, включая ISO 27001, PCI DSS, HIPAA и FedRAMP; модель разделения ответственности распределяет обязанности по соблюдению требований между Microsoft и клиентом; а Service Trust Portal является источником аудиторских отчётов и сертификационных документов. Далее мы рассмотрим Microsoft Purview для управления данными и их классификации.