กรอบการปฏิบัติตามข้อกำหนดของ Azure

การย้ายเวิร์กโหลดไปยัง Azure ไม่ได้ทำให้ภาระหน้าที่ด้านการปฏิบัติตามข้อกำหนดหมดไป แต่เปลี่ยนแปลง วิธีการ ที่ใช้ปฏิบัติตาม องค์กรยังคงต้องปฏิบัติตามกฎระเบียบของอุตสาหกรรม กฎหมายของรัฐบาล และข้อผูกพันตามสัญญา แม้โครงสร้างพื้นฐานจะอยู่ในระบบคลาวด์ก็ตาม การทำความเข้าใจว่ากรอบการปฏิบัติตามข้อกำหนดใดใช้กับเวิร์กโหลดของคุณ และ Azure ช่วยให้คุณปฏิบัติตามกรอบเหล่านั้นได้อย่างไร เป็นหัวข้อสำคัญในการสอบ AZ-900 และการนำ Azure ไปใช้งานจริงในองค์กร

การปฏิบัติตามข้อกำหนดในระบบคลาวด์อยู่ภายใต้ รูปแบบความรับผิดชอบร่วมกัน Microsoft รับผิดชอบด้านความปลอดภัยและการปฏิบัติตามข้อกำหนดของ โครงสร้างพื้นฐานระบบคลาวด์ (ศูนย์ข้อมูลทางกายภาพ อุปกรณ์เครือข่าย ระบบปฏิบัติการของโฮสต์) ลูกค้ารับผิดชอบด้านความปลอดภัยและการปฏิบัติตามข้อกำหนดของสิ่งที่ทำงาน ในระบบคลาวด์ (แอปพลิเคชัน ข้อมูล ข้อมูลระบุตัวตน และการกำหนดค่าของลูกค้า) ขอบเขตความรับผิดชอบจะเปลี่ยนไปตามว่าคุณใช้ IaaS, PaaS หรือ SaaS

Microsoft รักษาการรับรองการปฏิบัติตามข้อกำหนดสำหรับ Azure ตาม มาตรฐานและกรอบการกำกับดูแลมากกว่า 100 รายการ ซึ่งครอบคลุมภูมิภาค อุตสาหกรรม และด้านความปลอดภัยต่าง ๆ ได้แก่:

• ระดับนานาชาติ — ISO 27001, ISO 27018, SOC 1/2/3
• สหภาพยุโรป/ระดับภูมิภาค — GDPR, ENS, UK Cyber Essentials
• ระดับอุตสาหกรรม — HIPAA (การดูแลสุขภาพ), PCI DSS (การชำระเงิน), FedRAMP (รัฐบาล US)

ISO 27001 เป็นมาตรฐานสากลสำหรับระบบการจัดการความปลอดภัยของข้อมูล (ISMS) Microsoft ได้รับการรับรอง ISO 27001 สำหรับ Azure ซึ่งหมายความว่าโครงสร้างพื้นฐานและกระบวนการปฏิบัติงานได้รับการตรวจประเมินโดยหน่วยงานอิสระ อย่างไรก็ตาม ลูกค้าต้องขอการรับรองสำหรับแอปพลิเคชันและแนวทางการจัดการข้อมูลของตนเองแยกต่างหาก การรับรองของ Microsoft ไม่ได้ครอบคลุมเวิร์กโหลดของลูกค้าโดยอัตโนมัติ

PCI DSS (มาตรฐานความปลอดภัยข้อมูลอุตสาหกรรมบัตรชำระเงิน) ใช้กับองค์กรที่จัดเก็บ ประมวลผล หรือส่งข้อมูลผู้ถือบัตร Azure เป็นผู้ให้บริการที่ได้รับการรับรอง PCI DSS ระดับ 1 ซึ่งเป็นระดับการรับรองสูงสุด ลูกค้าที่ใช้งานเวิร์กโหลดด้านการชำระเงินบน Azure สามารถต่อยอดจากพื้นฐานนี้ได้ แต่ต้องใช้มาตรการควบคุมเพิ่มเติมในชั้นแอปพลิเคชัน (การแปลงข้อมูลเป็นโทเค็น การเข้ารหัส การบันทึกการเข้าถึง) เพื่อให้เป็นไปตามภาระหน้าที่ด้าน PCI DSS ของตนเอง

HIPAA (กฎหมายว่าด้วยการโอนย้ายและความรับผิดชอบของประกันสุขภาพ) กำกับดูแลการคุ้มครองข้อมูลสุขภาพที่ได้รับการคุ้มครอง (PHI) ใน US Microsoft เสนอ ข้อตกลงผู้ร่วมธุรกิจของ HIPAA (BAA) สำหรับบริการ Azure เพื่อยืนยันว่า Microsoft จะปกป้อง PHI ที่ประมวลผลในนามของคุณ ลูกค้าด้านการดูแลสุขภาพต้องลงนามใน BAA และกำหนดค่าเวิร์กโหลด Azure ให้เป็นไปตามมาตรการป้องกันทางเทคนิคของ HIPAA

SOC (การควบคุมระบบและองค์กร) เป็นรายงานการประเมินการควบคุมของ Azure โดยผู้ตรวจสอบอิสระ:

• SOC 1 — การควบคุมการรายงานทางการเงิน (เกี่ยวข้องกับผลิตภัณฑ์ SaaS ที่ส่งผลต่องบการเงินของลูกค้า)
• SOC 2 — การควบคุมด้านความปลอดภัย ความพร้อมใช้งาน ความถูกต้องครบถ้วนของการประมวลผล การรักษาความลับ และความเป็นส่วนตัว
• SOC 3 — สรุปผลการตรวจพบจาก SOC 2 สำหรับสาธารณะ ซึ่งทุกคนเข้าถึงได้

ลูกค้า Azure สามารถเข้าถึงรายงาน SOC 2 ได้ภายใต้ NDA ผ่าน Service Trust Portal

FedRAMP (โครงการจัดการความเสี่ยงและการอนุญาตของรัฐบาลกลาง) เป็นกรอบการอนุมัติบริการคลาวด์ของรัฐบาล US Azure ได้รับการอนุมัติ FedRAMP ระดับสูงสำหรับภูมิภาครัฐบาล (USGov และ USDoD) หน่วยงานรัฐบาลกลาง US ต้องใช้บริการคลาวด์ที่ได้รับอนุมัติจาก FedRAMP ภูมิภาค Azure เชิงพาณิชย์ได้รับการอนุมัติ FedRAMP ระดับปานกลาง ซึ่งครอบคลุมเวิร์กโหลดของรัฐบาลเป็นสัดส่วนมาก

Microsoft Service Trust Portal (STP) ที่ servicetrust.microsoft.com เป็นศูนย์รวมเอกสารการปฏิบัติตามข้อกำหนด รายงานการตรวจสอบ และข้อมูลการรับรองเกี่ยวกับบริการคลาวด์ของ Microsoft จาก STP คุณสามารถดาวน์โหลดใบรับรอง ISO 27001 รายงาน SOC 2 ผลการทดสอบการเจาะระบบ และการประเมินผลกระทบด้านการคุ้มครองข้อมูล เอกสารบางรายการต้องใช้บัญชี Azure หรือ Microsoft 365 และต้องยอมรับ NDA จึงจะเข้าถึงได้

ข้อกำหนดด้าน ถิ่นที่อยู่ของข้อมูล กำหนดให้ต้องจัดเก็บและประมวลผลข้อมูลบางประเภทภายในขอบเขตทางภูมิศาสตร์ที่ระบุ Azure รองรับข้อกำหนดนี้ผ่าน การเลือกภูมิภาค โดยคุณเลือกภูมิภาคที่จะปรับใช้ทรัพยากร และข้อมูลของคุณจะอยู่ในภูมิภาคนั้นตามค่าเริ่มต้น Azure ยังมี อินสแตนซ์ระบบคลาวด์อธิปไตย (Azure Government, Azure China 21Vianet, Azure Germany) ซึ่งดำเนินงานอย่างเป็นอิสระเพื่อให้เป็นไปตามข้อกำหนดด้านอธิปไตยของข้อมูลระดับประเทศโดยเฉพาะ

การบรรลุการปฏิบัติตามข้อกำหนดไม่ใช่เหตุการณ์ที่เกิดขึ้นเพียงครั้งเดียว แต่ต้องอาศัย การตรวจติดตามและการรวบรวมหลักฐานอย่างต่อเนื่อง Microsoft Compliance Manager ภายในพอร์ทัลการปฏิบัติตามข้อกำหนด Microsoft Purview ช่วยให้องค์กรติดตามสถานะการปฏิบัติตามข้อกำหนดอย่างต่อเนื่อง เชื่อมโยงมาตรการควบคุมกับกฎระเบียบ และสร้างหลักฐานสำหรับผู้ตรวจสอบ การตรวจสอบภายในเป็นประจำ การตรวจสอบนโยบายอัตโนมัติผ่าน Azure Policy และการรวบรวมบันทึกจากส่วนกลาง ล้วนเป็นส่วนหนึ่งของโปรแกรมการปฏิบัติตามข้อกำหนดที่มีวุฒิภาวะ

ทดสอบความเข้าใจแนวคิด Microsoft Azure Fundamentals (AZ-900) จากบทเรียนนี้

ในบทเรียนนี้ คุณได้เรียนรู้ว่า Azure มีการรับรองสำหรับ กรอบการปฏิบัติตามข้อกำหนดมากกว่า 100 รายการ รวมถึง ISO 27001, PCI DSS, HIPAA และ FedRAMP, รูปแบบความรับผิดชอบร่วมกัน แบ่งภาระหน้าที่ด้านการปฏิบัติตามข้อกำหนดระหว่าง Microsoft กับลูกค้า และ Service Trust Portal เป็นแหล่งรวมรายงานการตรวจสอบและเอกสารการรับรอง บทถัดไป เราจะสำรวจ Microsoft Purview สำหรับการกำกับดูแลและการจัดประเภทข้อมูล