Microsoft Compliance Manager

Microsoft Compliance Manager, kuruluşların düzenleyici çerçevelere göre uyumluluk durumlarını değerlendirmesine, izlemesine ve iyileştirmesine yardımcı olan Microsoft Purview uyumluluk portalı içindeki bir araçtır. Seçilen standartların gereksinimleriyle kuruluşunuzun denetimlerinin ne ölçüde örtüştüğünü gösteren sayısal bir ölçü olan uyumluluk puanı sağlar. Compliance Manager, Microsoft 365 veya Azure aboneliği bulunan kuruluşların kullanımına sunulur.

Compliance Manager'a Microsoft Purview uyumluluk portalı üzerinden compliance.microsoft.com adresinden erişilir. Giriş panosu genel uyumluluk puanınızı, kategoriye göre dağılımı (veri koruma, erişim denetimi, olay yönetimi) ve değerlendirmelerin listesini gösterir. Bu aracı kullanmak için uyumluluk uzmanı olmanız gerekmez — araç, her standardın gereksinimlerinde size adım adım rehberlik eder.

Compliance Manager'daki bir değerlendirme, kuruluşunuzun belirli bir düzenleyici çerçeveye (ör. ISO 27001, GDPR, HIPAA) göre değerlendirilmesini ifade eder. Her değerlendirme, düzenlemeden alınan bir dizi denetim ile birlikte Microsoft tarafından yönetilen eylemleri (Microsoft'un sizin adınıza yönettiği denetimler) ve müşteri tarafından yönetilen eylemleri (sizin kendiniz uygulamanız gereken denetimler) içerir. Aynı anda birden çok düzenleme için değerlendirme oluşturabilirsiniz.

Uyumluluk puanı, oluşturduğunuz değerlendirmelere göre kuruluşunuzun denetimlerinin ne ölçüde uygulandığını gösteren bir yüzdedir (%0-100). Aşağıdaki durumlarda puan verilir:

• Microsoft tarafından yönetilen eylemler — Microsoft'un denetimleri yürürlükte olduğunda puan otomatik olarak verilir
• Müşteri tarafından yönetilen eylemler — bir eylemi uygulandı olarak işaretlediğinizde ve isteğe bağlı olarak kanıt yüklediğinizde puan verilir

Daha yüksek puan, denetim kapsamının daha iyi olduğu anlamına gelir; ancak gerçek düzenleyici uyumluluğu garanti etmez.

İyileştirme eylemleri, uyumluluk puanınızı artırmak için atabileceğiniz belirli adımlardır. Her eylemde uygulanacakları açıklayan bir açıklama, eşleştirildiği düzenleme, değerindeki puan sayısı, uygulama rehberliği (çoğunlukla Microsoft belgelerine bağlantılarla birlikte) ve uygulama durumunuzu kaydetmeye yarayan bir alan bulunur. Eylemler Bilgileri Koruma, Cihazları Yönetme ve Erişimi Denetleme gibi kategoriler altında gruplanır.

Müşteri tarafından yönetilen eylemler için Compliance Manager, denetimin uygulandığını gösteren kanıt belgelerini — ekran görüntüleri, denetim raporları, ilke belgeleri veya sınama sonuçları — yüklemenize olanak tanır. Bu işlem, denetçilerle veya müfettişlerle paylaşılabilen bir uyumluluk kanıtı izi oluşturur. Kanıt belgeleri Compliance Manager portalında depolanır ve istediğiniz zaman indirilebilir.

Compliance Manager, değerlendirme oluşturmak için kullanabileceğiniz 300'den fazla düzenleme şablonu içerir. Şablonlar küresel standartlardan (ISO 27001, NIST CSF), sektöre özgü düzenlemelere (PCI DSS, HIPAA) ve bölgesel yasalara (GDPR, LGPD, CCPA) kadar uzanır. Microsoft 365'in ötesindeki düzenlemeleri kapsayan premium şablonlar için ek lisans gerekir (ör. Microsoft 365 E5 Compliance veya Compliance Manager eklentisi).

Compliance Manager her iyileştirme eylemi için şunları izler:

• Uygulama durumu — Uygulanmadı, Uygulandı, Alternatif uygulama, Planlandı
• Sınama durumu — Sınanmadı, Başarılı, Başarısız, Değerlendirme yok
• Sınama tarihi — son sınamanın gerçekleştirildiği tarih

Bir eylemi kanıt yüklemeden 'Uygulandı' olarak işaretlemek puan kazandırır; ancak resmî denetim sırasında sorgulanabilir — durumunuzu her zaman gerçek kanıtlarla destekleyin.

Compliance Manager, role dayalı yetki devrini destekler — belirli iyileştirme eylemlerini bireysel ekip üyelerine veya gruplara atayabilirsiniz. Bu özellik, farklı ekiplerin farklı denetim alanlarının sorumluluğunu üstlendiği büyük kuruluşlarda kullanışlıdır (güvenlik ekibi erişim denetimlerinden, İK ekibi ilke eğitiminden, BT operasyonları ise altyapı denetimlerinden sorumludur). Atanan kullanıcılar bildirim alır ve eylem durumlarını doğrudan güncelleyebilir.

Compliance Manager ve Azure Policy, uyumluluğun farklı yönlerini ele alır:

• Compliance Manager — kuruluş denetimlerini düzenleyici çerçevelere göre izler; teknik denetimlerin yanı sıra insan ve süreç denetimlerine odaklanır; Purview uyumluluk portalından işletilir
• Azure Policy — Azure kaynaklarının teknik yapılandırmasını zorunlu kılar ve denetler; altyapı uyumluluğunu otomatikleştirir; Azure portalından işletilir

Kapsamlı bir uyumluluk programı için her ikisi de gereklidir.

Compliance Manager, değerlendirme sonuçlarını denetçilerle, yönetimle veya düzenleyici kurumlarla paylaşmak üzere Excel biçiminde dışa aktarmanıza olanak tanır. Dışa aktarma işlemi denetimlerin tam listesini, durumlarını, sınama sonuçlarını ve kanıtlara bağlantıları içerir. Birçok kuruluş bu dışa aktarma çıktısını, tüm denetimleri ve bunların uygulama durumunu listeleyen ve ISO 27001 kapsamında gerekli olan Uygulanabilirlik Beyanı (SoA) için temel olarak kullanır.

Bu derste ele alınan Microsoft Azure Fundamentals (AZ-900) kavramlarını anlayıp anlamadığınızı sınayın.

Bu derste şunları öğrendiniz: Compliance Manager, 300'den fazla düzenleyici çerçeveyle eşleştirilmiş bir uyumluluk puanı ve iyileştirme eylemleri sağlar; Microsoft tarafından yönetilen eylemler için puan otomatik olarak verilirken müşteri tarafından yönetilen eylemler, denetimleri sizin uygulamanızı ve belgelemenizi gerektirir; ayrıca bir denetim izi oluşturmak için kanıt belgeleri yüklenebilir. Sırada, GDPR'ye özgü gereksinimleri ve bunların Azure üzerinde nasıl uygulanacağını inceleyeceğiz.