Freigeben über

Sicherheits- und Compliance-Überlegungen für intelligente Anwendungs-Workloads

  • Artikel

Sicherheit ist für jede Architektur von entscheidender Bedeutung. Microsoft Power Platform bietet eine umfassende Palette an Tools zur effektiven Sicherung Ihres intelligenten Anwendungs-Workloads. Dieser Artikel beschreibt Sicherheitsüberlegungen und Empfehlungen für die Entwicklung intelligenter Anwendungs-Workloads mit Power Platform.

Die Features von Copilot für Dynamics 365 und Power Platform folgen einer Reihe grundlegender Sicherheits- und Datenschutzpraktiken und dem Standard der verantwortungsvollen KI von Microsoft. Die Daten von Dynamics 365 und Power Platform werden durch umfassende, branchenführende Compliance-, Sicherheits- und Datenschutzkontrollen geschützt. Weitere Informationen zu Microsoft Copilot Studio und Power Platform Sicherheitsfunktionen finden Sie unter Copilot Studio Sicherheit und Governance, Häufig gestellte Fragen zu Copilot Datensicherheit und Datenschutz für Dynamics 365 und Power Platform, und Sicherheit in Microsoft Power Platform.

Sie sollten die von Ihnen eingesetzten Dienste und Technologien regelmäßig überprüfen, um sicherzustellen, dass Ihre Sicherheitsmaßnahmen weiterhin zu der sich ändernden Bedrohungslandschaft passen.

Sicherheitsanforderungen verstehen

Machen Sie sich mit den wichtigsten Anforderungen für den intelligenten Anwendungs-Workload vertraut, den Sie implementieren. Stellen Sie sich die folgenden Fragen, um herauszufinden, welche Sicherheitsmaßnahmen Sie ergreifen sollten.

Zugriffskontrolle und Authentifizierung

  • Wie implementieren Sie Zugriffskontroll- und Authentifizierungsmechanismen, um sicherzustellen, dass nur autorisierte Benutzenden auf den intelligenten Anwendungs-Workload zugreifen können?
  • Wie stellen Sie eine sichere und nahtlose Benutzerauthentifizierung sicher?
  • Wie steuern Sie, welche Apps mit der generativen KI (Agent) interagieren können? Mit welchen Maßnahmen stellen Sie sicher, dass diese Einschränkungen wirksam sind?

Sicherheit und Vorfall-Management

  • Wie verwalten und sichern Sie Anwendungsgeheimnisse wie API-Schlüssel und Kennwörter?
  • Welche Anforderungen an die Netzwerksicherheit wirken sich auf die intelligente Anwendungs-Workload aus? Sind interne APIs beispielsweise nur in einem virtuellen Netzwerk zugänglich?
  • Wie überwachen und überprüfen Sie den Zugriff und die Nutzung der intelligenten Anwendung?
  • Wie sieht der Incident-Response-Plan zur Behebung von Sicherheitsverletzungen oder Schwachstellen aus?

Einhaltung und Datenresidenz

  • Welche Anforderungen an die Datenresidenz gelten für die Daten, die im intelligenten Anwendungs-Workload verwendet werden? Wissen Sie, wo sich Ihre Daten befinden sollen und ob der Speicherort Ihren gesetzlichen oder behördlichen Verpflichtungen entspricht?
  • Welche gesetzlichen und Compliance-Anforderungen müssen für den intelligenten Anwendungs-Workload erfüllt werden?

Systemintegrations- und Netzwerkanforderungen

  • Wie lässt sich der intelligente Anwendungs-Workload sicher in andere interne und externe Systeme integrieren?
  • Welche Netzwerk- und Integrationsanforderungen gelten für Ihren Workload? Ist eine Integration mit internen oder externen Datenquellen oder APIs erforderlich?

Ethische Überlegungen und verantwortungsvolle KI

  • Wie werden ethische Überlegungen und Praktiken der verantwortungsvollen KI in den intelligenten Anwendungs-Workload integriert?

Robuste Maßnahmen für die Authentifizierungs- und Zugriffskontrolle implementieren

Die Authentifizierung ermöglicht es Benutzenden, sich anzumelden und Ihrem Agenten Zugriff auf eine eingeschränkte Ressource oder Informationen zu gewähren. Benutzer können sich mit einer Microsoft Entra ID oder mit einem beliebigen OAuth2-Identitätsanbieter wie Google oder Facebook anmelden.

Implementieren Sie robuste Authentifizierungs- und Zugriffskontrollmaßnahmen, um sicherzustellen, dass autorisierte Benutzer auf den Agenten zugreifen können. Die Grundlage der Sicherheit ist es, sicherzustellen, dass nur autorisierte Benutzer auf den Agenten zugreifen können. Durch die Implementierung der Multifaktor-Authentifizierung wird eine zusätzliche Sicherheitsebene hinzugefügt. Um das Risiko eines unbefugten Zugriffs zu minimieren, legen Sie Rollen und Berechtigungen fest, um sicherzustellen, dass Benutzende nur Zugriff auf die Ressourcen haben, die sie benötigen. Implementieren Sie Richtlinien für bedingten Zugriff, um den Zugriff auf der Grundlage bestimmter Bedingungen zu steuern, z. B. Benutzerstandort, Gerätekonformität oder Risikostufe.

Erfahren Sie mehr:

Verstehen Sie, wie sich regulatorische Anforderungen auf Ihr Projekt auswirken

Identifizieren und befolgen Sie gesetzliche Anforderungen und Normen, die für Ihre Branche gelten, wie z. B. die DSGVO (Datenschutz-Grundverordnung), HIPAA (Health Insurance Portability and Accountability Act) oder der CCPA (California Consumer Privacy Act). Implementieren Sie die erforderlichen Kontrollmaßnahmen, um die Einhaltung der Vorschriften sicherzustellen. Planen Sie regelmäßige Complianceprüfungen, um zu überprüfen, dass gesetzliche Standards eingehalten werden, und um etwaige Lücken zu schließen. Überprüfen Sie, ob es bestimmte Anforderungen an den Datenspeicherort gibt, z. B. dass Daten in einem bestimmten Land oder einer bestimmten Region gespeichert werden müssen. Stellen Sie sicher, dass Ihre Datenspeicherstrategie diese Anforderungen erfüllt.

Stellen Sie sicher, dass Daten in Übereinstimmung mit den gesetzlichen Anforderungen geschützt und verwaltet werden. Der Schutz der Daten, die der intelligente Anwendungs-Workload verarbeitet, ist für die Aufrechterhaltung des Vertrauens und die Einhaltung gesetzlicher und behördlicher Standards unerlässlich.

Microsoft hält sich an die für Cloud-Dienste geltenden Datenschutzgesetze. Wir halten uns nachgewiesenermaßen an erstklassige Branchenstandards. Umgebungen können in bestimmten Regionen erstellt werden, auch in anderen Regionen als der Mandant. Standardmäßig werden Gesprächsprotokolle nur 30 Tage lang in Dataverse aufbewahrt. Sie können diesen Aufbewahrungszeitraum für jede Umgebung einzeln anpassen.

Erfahren Sie mehr:

Alle Integrationen sichern

Sorgen Sie für eine sichere Kommunikation zwischen Ihrem intelligenten Anwendungs-Workload und Ihren Datenquellen. Ihr intelligenter Anwendungs-Workload muss in andere Systeme integriert werden, um auf Daten zugreifen und diese verarbeiten zu können. Um die Identitätsverwaltung zu vereinfachen und die Sicherheit zu erhöhen, verwenden Sie Dienstprinzipale für den nichtmenschlichen Zugriff auf Ressourcen und verwaltete Identitäten für Azure-Ressourcen. Sichern Sie APIs, indem Sie OAuth2 für die Authentifizierung verwenden und sicherstellen, dass die gesamte API-Kommunikation verschlüsselt ist. Durch die Verwendung von Dienstprinzipalen wird sichergestellt, dass Verbindungen sicher sind, und sie stützen sich nicht auf individuelle Anmeldeinformationen.

Erfahren Sie mehr:

Eine fortlaufende Überwachung und Prüfung implementieren

Der Hauptzweck der Sicherheitsüberwachung ist die Bedrohungserkennung. Das Hauptziel besteht darin, potenzielle Sicherheitsverletzungen zu verhindern und dafür zu sorgen, dass die Umgebung sicher bleibt. Überwachen und prüfen Sie kontinuierlich die Aktivitäten des intelligenten Anwendungs-Workloads, um Probleme zu erkennen und proaktiv zu reagieren. Sicherheit ist ein fortlaufender Prozess. Es ist nicht mit einer einmaligen Konfiguration getan. Benutzerzugriff und -interaktionen müssen regelmäßig überwacht und geprüft werden, um die Sicherheit Ihres intelligenten Anwendungs-Workloads zu gewährleisten.

Erfahren Sie mehr:

Azure-Sicherheitstools zur Durchsetzung von Sicherheitsrichtlinien verwenden

Verwenden Sie die integrierten Sicherheitstools von Azure, z. B. Microsoft Defender für Cloud (früher bekannt als Azure Security Center) und Azure-Richtlinie, um Sicherheitsrichtlinien zu überwachen und durchzusetzen.

Mitarbeiterschulungen anbieten

Schulen Sie Mitarbeiter über Best Practices für den Datenschutz und die Bedeutung der Einhaltung der Anforderungen an die Datenresidenz. Passen Sie Schulungsmaterialien an die spezifischen Rollen und Verantwortlichkeiten der verschiedenen Mitarbeitenden an. Datenschutzgesetze und -vorschriften entwickeln sich ständig weiter. Stellen Sie sicher, dass die Schulungsprogramme regelmäßig aktualisiert werden, sodass sie die neuesten gesetzlichen Anforderungen und Best Practices berücksichtigen. Verwenden Sie interaktive Methoden wie Workshops, Simulationen und realistische Szenarien, um die Schulung ansprechend und effektiv zu gestalten. Bieten Sie kontinuierlichen Support und Ressourcen, wie z. B. Zugang zu Datenschutzbeauftragten oder Rechtsberatern, um den Mitarbeitenden zu helfen, auf dem Laufenden zu bleiben und die Vorschriften einzuhalten.