Azure-ramverk för efterlevnad

Att flytta arbetsbelastningar till Azure eliminerar inte kraven på efterlevnad — det förändrar hur de uppfylls. Organisationer måste fortfarande följa branschregler, lagar och avtalsförpliktelser även när infrastrukturen finns i molnet. Att förstå vilka ramverk för efterlevnad som gäller för Er arbetsbelastning och hur Azure hjälper Er att uppfylla dem är ett viktigt ämne i AZ-900-provet och vid verkliga Azure-distributioner i företag.

Efterlevnad i molnet styrs av modellen för delat ansvar. Microsoft ansvarar för säkerheten och efterlevnaden i molninfrastrukturen (fysiska datacenter, nätverksutrustning och värdoperativsystem). Kunder ansvarar för säkerheten och efterlevnaden för det som körs i molnet (deras program, data, identiteter och konfigurationer). Ansvarsgränsen varierar beroende på om Ni använder IaaS, PaaS eller SaaS.

Microsoft upprätthåller efterlevnadscertifieringar för Azure enligt mer än 100 regelverk och ramverk. Dessa omfattar regioner, branscher och säkerhetsområden, bland annat:

• Internationella — ISO 27001, ISO 27018, SOC 1/2/3
• EU/regionala — GDPR, ENS, UK Cyber Essentials
• Branschspecifika — HIPAA (hälso- och sjukvård), PCI DSS (betalningar), FedRAMP (USA:s myndigheter)

ISO 27001 är en internationell standard för ledningssystem för informationssäkerhet (ISMS). Microsoft har uppnått ISO 27001-certifiering för Azure, vilket innebär att infrastrukturen och de operativa processerna har granskats av en oberoende tredje part. Kunder måste dock certifiera sina egna program och rutiner för datahantering separat — Microsofts certifiering omfattar inte automatiskt kundernas arbetsbelastningar.

PCI DSS (Payment Card Industry Data Security Standard) gäller organisationer som lagrar, behandlar eller överför kortinnehavaruppgifter. Azure är en PCI DSS Level 1-certifierad tjänsteleverantör, vilket är den högsta certifieringsnivån. Kunder som kör betalningsarbetsbelastningar i Azure kan bygga vidare på denna grund, men måste införa ytterligare kontroller i programlagret (tokenisering, kryptering och åtkomstloggning) för att uppfylla sina egna PCI DSS-krav.

HIPAA (Health Insurance Portability and Accountability Act) reglerar skyddet av skyddade hälso- och sjukvårdsuppgifter (PHI) i USA. Microsoft erbjuder ett HIPAA Business Associate Agreement (BAA) för Azure-tjänster, vilket bekräftar att Microsoft skyddar PHI som behandlas för Er räkning. Kunder inom hälso- och sjukvården måste underteckna BAA-avtalet och konfigurera sina Azure-arbetsbelastningar så att de följer HIPAA:s tekniska skyddsåtgärder.

SOC (System and Organisation Controls)-rapporter är oberoende revisorsbedömningar av Azures kontroller:

• SOC 1 — kontroller för finansiell rapportering (relevant för SaaS-produkter som påverkar kunders finansiella rapporter)
• SOC 2 — kontroller för säkerhet, tillgänglighet, behandlingsintegritet, konfidentialitet och integritet
• SOC 3 — en offentlig sammanfattning av SOC 2-resultaten, tillgänglig för alla

SOC 2-rapporter är tillgängliga för Azure-kunder enligt sekretessavtal via Service Trust Portal.

FedRAMP (Federal Risk and Authorization Management Program) är ett amerikanskt ramverk för auktorisering av molntjänster. Azure har FedRAMP High-auktorisering för myndighetsregionerna (USGov och USDoD). Amerikanska federala myndigheter måste använda FedRAMP-auktoriserade molntjänster. Kommersiella Azure-regioner har FedRAMP Moderate-auktorisering, som omfattar en stor del av myndigheternas arbetsbelastningar.

Microsoft Service Trust Portal (STP) på servicetrust.microsoft.com är en samlad plats för efterlevnadsdokumentation, revisionsrapporter och certifieringsinformation om Microsofts molntjänster. Från STP kan Ni hämta ISO 27001-certifikat, SOC 2-rapporter, resultat från penetrationstester och konsekvensbedömningar avseende dataskydd. Åtkomst till vissa dokument kräver ett Azure- eller Microsoft 365-konto samt godkännande av ett sekretessavtal.

Krav på datalokalitet innebär att vissa data måste lagras och behandlas inom ett specifikt geografiskt område. Azure hanterar detta genom val av region — Ni väljer i vilken region resurserna ska distribueras, och som standard stannar Era data i den regionen. Azure erbjuder även suveräna molninstanser (Azure Government, Azure China 21Vianet och Azure Germany) som drivs oberoende för att uppfylla specifika nationella krav på datasuveränitet.

Att uppnå efterlevnad är inte en engångshändelse — det kräver fortlöpande övervakning och insamling av bevis. Microsoft Compliance Manager i Microsoft Purviews portal för efterlevnad hjälper organisationer att kontinuerligt följa upp sin efterlevnadsstatus, koppla kontroller till regelverk och ta fram underlag för revisorer. Regelbundna interna revisioner, automatiska policykontroller via Azure Policy och centraliserad logginsamling ingår alla i ett moget efterlevnadsprogram.

I den här lektionen har Ni lärt Er att: Azure har certifieringar enligt över 100 ramverk för efterlevnad, däribland ISO 27001, PCI DSS, HIPAA och FedRAMP; modellen för delat ansvar fördelar kraven på efterlevnad mellan Microsoft och kunden; och Service Trust Portal är källan för revisionsrapporter och certifieringsdokument. Nästa avsnitt handlar om Microsoft Purview för datastyrning och klassificering.