O Microsoft Defender for cloud ajuda a simplificar o processo para atender aos requisitos de conformidade regulatória, usando o painel de conformidade regulatória.
Defender for cloud avalia continuamente seu ambiente de nuvem híbrida para analisar os fatores de risco de acordo com os controles e as melhores práticas nos padrões aplicados às suas assinaturas. O painel reflete o status de sua conformidade com esses padrões.
Quando você habilita a Defender for cloud em uma assinatura do Azure, o Azure Security Benchmark é automaticamente atribuído a ela. Esse parâmetro de comparação amplamente respeitado se baseia nos controles do CIS (Center for Internet Security) e do NIST (National Institute of Standards and Technology) com foco na segurança centrada na nuvem.
O painel de conformidade regulatória mostra o status de todas as avaliações no seu ambiente para os seus padrões e regulamentos escolhidos. Conforme você tomar decisões com base nas recomendações e reduzir os fatores de risco em seu ambiente, sua postura de conformidade melhorará.
Como as normas de conformidade regulatória são representadas no Defender for Cloud?
Padrões do setor, padrões regulatórios e benchmarks estão representados no painel de conformidade regulatória do Defender for Cloud. Cada padrão é uma iniciativa definida na Política Azure.
Para ver os dados de conformidade mapeados como avaliações em seu painel, adicione um padrão de conformidade ao seu grupo de gerenciamento ou assinatura dentro da página da política de segurança. Para saber mais sobre política e iniciativas do Azure, consulte Trabalhando com políticas de segurança.
Quando você atribui um padrão ou benchmark ao seu escopo selecionado, o padrão aparece em seu painel de conformidade normativa com todos os dados de conformidade associados mapeados como avaliações. Você também pode baixar relatórios de resumo para qualquer um dos padrões que foram atribuídos.
A Microsoft rastreia os próprios padrões regulatórios e melhora automaticamente sua cobertura em alguns dos pacotes ao longo do tempo. Quando a Microsoft lançar novos conteúdos para a iniciativa, ele aparecerá automaticamente em seu painel à medida que novas políticas mapeadas para controles no padrão.
Quais normas de conformidade regulatória estão disponíveis no Defender for Cloud?
Por padrão, cada assinatura tem o Azure Security Benchmark atribuído. Esta é a autoria da Microsoft, diretrizes específicas do Azure para práticas recomendadas de segurança e conformidade baseadas em frameworks de conformidade comuns. Saiba mais sobre o Azure Security Benchmark.
Normas regulatórias disponíveis:
- PCI-DSS v3.2.1:2018
- SOC TSP
- NIST SP 800-53 R4
- NIST SP 800 171 R2
- UK OFFICIAL and UK NHS
- Canada Federal PBMM
- Azure CIS 1.1.0
- HIPAA/HITRUST
- SWIFT CSP CSCF v2020
- ISO 27001:2013
- New Zealand ISM Restricted
- CMMC Level 3
- Azure CIS 1.3.0
- NIST SP 800-53 R5
- FedRAMP H
- FedRAMP M
Adicione políticas de segurança
01 – Faça login no portal do Azure.
02 – No portal pesquise por Microsoft Defender for Cloud.
03 – Na tela Microsoft Defender for Cloud | Overview clique em Environmet settings.
04 – Na tela Microsoft Defender for Cloud | Environment settings selecione a assinatura que deseja.
05 – Na tela Settings | Defender plans em Policy settings clique em Security policy.
Observação: O plano Standard do Microsoft Defender for Cloud deve está habilitado para poder utilizar Regulatory compliance dashboard and reports.
06 – Na tela Settings | Security policy clique em Add more standards para visualizar todos os padrões de conformidade regulatória disponiveis.
Observação: Por padrão apenas o Azure Security Benchmark é habilitado.
07 – A tela Add regulatory compliance standards será aberta com todos os padrões de conformidade regulatória disponiveis, selecione o padrão que deseja.
08 – Após selecionar a norma podemos ver a iniciativa com as políticas.
09 – De volta a tela Settings | Security policy, habilite o PCI DSS 3.2.1 e SOC TSP.
10 – Como podemos observar habilitamos o PCI DSS 3.2.1 e SOC TSP.
Observação: Aguarde alguns minutos para que a política seja executada na assinatura.
Avaliar sua conformidade regulatória
O painel de conformidade regulatória mostra os padrões de conformidade que você selecionou com todos os respectivos requisitos, em que os requisitos compatíveis são mapeados para as avaliações de segurança aplicáveis. O status dessas avaliações reflete sua conformidade com o padrão.
11 – Na tela Microsoft Defender for Cloud | Overview em Cloud Security clique em Regulatory compliance.
12 – Na tela Microsoft Defender for Cloud | Regulatory compliance perceba que temos agora Azure Security Benchmark v3, PCI DSS 3.2.1 e SOC TSP, para a norma Azure Security Benchmark executamos 23 de 43 controles de segurança, para o SOC TSP executamos 1 de 13 e para PCI DSS 3.2.1 executamos 13 de 43.
13 – Após selecionar a norma que deseja temos os controles de compliance por categoria.
Para que o ambiente fique em compliace essas recomendações de segurança devem ser executadas.
14 – Ainda na tela Microsoft Defender for Cloud | Regulatory compliance expanda a categoria NS.Netwotk Security, após expandir podemos ver as subcategorias de controle, expanda NS-1. Establish network segmentation boundaries.
14.1 – Após Expandir NS-1. Establish network segmentation boundaries temos o Resource type Failed resources e Resource compliance status, passe o cursor do mouse em Resource compliance status e podemos observar a quantidade de recursos que estão em compliance com a recomendação, clique na recomendação Internet-facing virtual machines should be protected with network security groups.
14.2 – Na tela Internet-facing virtual machines should be protected with network security groups temos a Descritpion, Remediation steps e Affected resources com as opções Unhealthy resouces com duas máquinas virtuais, Health resources com cinco máquinas virtuais e Not applicate resource com uma máquina.
Não vamos realizar nenhuma alteração em Internet-facing virtual machines should be protected with network security groups.
15 – De volta a tela Microsoft Defender for Cloud | Regulatory compliance também temos as recomendações do PCI DSS 3.21.
16 – Ainda na tela Microsoft Defender for Cloud | Regulatory compliance também temos as recomendações do SOC TSP.
Gerar relatórios de status
O relatório fornece um resumo de alto nível do status de conformidade para o padrão selecionado tendo como base os dados das avaliações do Defender for cloud. O relatório é organizado de acordo com os controles desse padrão específico. O relatório pode ser compartilhado com stakeholders relevantes e pode servir para fornecer evidências aos auditores internos e externos.
17 – Na tela Microsoft Defender for Cloud | Regulatory compliance clique em Download report, a tela Downalod report será aberta em Report standard podemos selcionar para qual norma queremos baixar o relatório, em Format podemos escolher CSV e PDF, em Report standard selecione Azure Security Benchmark, em Format selecione PDF em seguida clique em Download.
18 – Abaixo podemos visualizar o relatório do Azure Security Benchmark.
Comente suas sugestões e observações!
Forte abraço, obrigado e até o próximo post.
Me siga nas redes sociais:
Carreira desenvolvida na área de tecnologia da informação, com ampla experiência em Cloud
Computing e Cloud Security.
Forte atuação em projetos de Cloud Security no Microsoft Azure e com tecnologias de
segurança do Microsoft 365.
Tenho Experiência em Microsoft Azure, Microsoft 365, AWS e Windows Server.
Sou Microsoft MVP na categoria Microsoft Azure, AWS Communit Builder Security & Identity e
MCT.