Controlli di conformità alle normative di Criteri di Azure per Azure API Management

SI APPLICA A: Tutti i livelli di Gestione API

La conformità alle normative di Criteri di Azure offre definizioni di iniziative create e gestite da Microsoft, note come definizioni predefinite, per i domini di conformità e i controlli di sicurezza correlati a diversi standard di conformità. Questa pagina elenca i domini di conformità e i controlli di sicurezza per Azure API Management. È possibile assegnare singolarmente i criteri predefiniti per un controllo di sicurezza in modo da rendere le risorse di Azure conformi allo standard specifico.

Il titolo di ogni definizione di criterio predefinita punta alla definizione del criterio nel portale di Azure. Usare il collegamento nella colonna Versione del criterio per visualizzare l'origine nel repository GitHub di Criteri di Azure.

Importante

Ogni controllo è associato a una o più definizioni di Criteri di Azure. Questi criteri possono essere utili per valutare la conformità con il controllo. Tuttavia, spesso non esiste una corrispondenza uno-a-uno o completa tra un controllo e uno o più criteri. Di conseguenza, il termine Conforme in Criteri di Azure si riferisce solo ai criteri stessi. Questo non garantisce la conformità completa a tutti i requisiti di un controllo. Inoltre, in questo momento lo standard di conformità include controlli che non vengono gestiti da alcuna definizione di Criteri di Azure. La conformità in Criteri di Azure è quindi solo una visualizzazione parziale dello stato di conformità generale. Le associazioni tra i controlli e le definizioni di conformità alle normative di Criteri di Azure per questi standard di conformità possono cambiare nel tempo.

FedRAMP High

Per informazioni sul mapping delle definizioni predefinite di Criteri di Azure per tutti i servizi di Azure a questo standard di conformità, vedere Conformità alle normative di Criteri di Azure - FedRAMP High. Per altre informazioni su questo standard di conformità, vedere FedRAMP High.

Domain	ID controllo	Titolo controllo	Criteri (Portale di Azure)	Versione del criterio (GitHub)
Controllo dell’accesso	AC-4	Applicazione del controllo dei flussi di informazioni	I servizi di gestione API devono usare una rete virtuale	1.0.2
Protezione del sistema e delle comunicazioni	SC-7	Protezione dei limiti	I servizi di gestione API devono usare una rete virtuale	1.0.2
Protezione del sistema e delle comunicazioni	SC-7 (3)	Punti di accesso	I servizi di gestione API devono usare una rete virtuale	1.0.2

FedRAMP Moderate

Per informazioni sul mapping delle definizioni predefinite di Criteri di Azure per tutti i servizi di Azure a questo standard di conformità, vedere Conformità alle normative di Criteri di Azure - FedRAMP Moderate. Per altre informazioni su questo standard di conformità, vedere FedRAMP Moderate.

Domain	ID controllo	Titolo controllo	Criteri (Portale di Azure)	Versione del criterio (GitHub)
Controllo dell’accesso	AC-4	Applicazione del controllo dei flussi di informazioni	I servizi di gestione API devono usare una rete virtuale	1.0.2
Protezione del sistema e delle comunicazioni	SC-7	Protezione dei limiti	I servizi di gestione API devono usare una rete virtuale	1.0.2
Protezione del sistema e delle comunicazioni	SC-7 (3)	Punti di accesso	I servizi di gestione API devono usare una rete virtuale	1.0.2

Microsoft Cloud Security Benchmark

Il benchmark della sicurezza del cloud Microsoft fornisce raccomandazioni su come proteggere le soluzioni cloud in Azure. Per informazioni sul mapping completo di questo servizio al benchmark della sicurezza del cloud Microsoft, vedere i file di mapping Azure Security Benchmark.

Per informazioni sul mapping delle definizioni predefinite di Criteri di Azure per tutti i servizi di Azure a questo standard di conformità, vedere Conformità alle normative di Criteri di Azure - Microsoft Cloud Security Benchmark.

Domain	ID controllo	Titolo controllo	Criteri (Portale di Azure)	Versione del criterio (GitHub)
Sicurezza di rete	NS-2	Proteggere i servizi cloud con controlli di rete	I servizi di gestione API devono usare una rete virtuale	1.0.2
Sicurezza di rete	NS-2	Proteggere i servizi cloud con controlli di rete	API Management deve disabilitare l'accesso alla rete pubblica agli endpoint di configurazione del servizio	1.0.1
Gestione delle identità	IM-4	Autenticare server e servizi	Gli endpoint API in API Management di Azure devono essere autenticati	1.0.1
Gestione delle identità	IM-4	Autenticare server e servizi	API Management le chiamate ai back-end dell'API devono essere autenticate	1.0.1
Gestione delle identità	IM-4	Autenticare server e servizi	Le chiamate di API Management ai back-end API non devono ignorare l'identificazione personale o la convalida dei nomi del certificato	1.0.2
Gestione delle identità	IM-8	Limitare l'esposizione di credenziali e segreti	API Management versione API minima deve essere impostata su 2019-12-01 o versione successiva	1.0.1
Gestione delle identità	IM-8	Limitare l'esposizione di credenziali e segreti	I valori denominati del segreto di API Management devono essere archiviati in Azure Key Vault	1.0.2
Accesso con privilegi	PA-7	Applicare all'amministrazione il principio dei privilegi minimi	Le sottoscrizioni di API Management non devono essere con ambito per tutte le API	1.1.0
Protezione dei dati	DP-3	Crittografare i dati sensibili in transito	Le API Management API devono usare solo protocolli crittografati	2.0.2
Protezione dei dati	DP-6	Usare un processo di gestione delle chiavi sicure	I valori denominati del segreto di API Management devono essere archiviati in Azure Key Vault	1.0.2
Gestione cespiti	AM-2	Utilizzare solo servizi approvati	La versione della piattaforma Azure API Management deve essere stv2	1.0.0
Gestione cespiti	AM-3	Garantire la sicurezza della gestione del ciclo di vita delle risorse	Gli endpoint API inutilizzati devono essere disabilitati e rimossi dal servizio API Management di Azure	1.0.1
Gestione del comportamento e delle vulnerabilità	PV-2	Controllare e applicare configurazioni sicure	API Management endpoint API Management diretto non deve essere abilitato	1.0.2
Gestione del comportamento e delle vulnerabilità	PV-2	Controllare e applicare configurazioni sicure	API Management versione API minima deve essere impostata su 2019-12-01 o versione successiva	1.0.1
Gestione del comportamento e delle vulnerabilità	PV-2	Controllare e applicare configurazioni sicure	La versione della piattaforma Azure API Management deve essere stv2	1.0.0

NIST SP 800-171 R2

Per informazioni sul mapping delle definizioni predefinite di Criteri di Azure per tutti i servizi di Azure a questo standard di conformità, vedere Dettagli dell'iniziativa predefinita di conformità alle normative per NIST SP 800-171 R2. Per altre informazioni su questo standard di conformità, vedere NIST SP 800-171 R2.

Domain	ID controllo	Titolo controllo	Criteri (Portale di Azure)	Versione del criterio (GitHub)
Controllo dell’accesso	3.1.3	Controllare il flusso di CUI in conformità alle autorizzazioni approvate.	I servizi di gestione API devono usare una rete virtuale	1.0.2
Protezione del sistema e delle comunicazioni	3.13.1	Monitorare, controllare e proteggere le comunicazioni, ovvero le informazioni trasmesse o ricevute da sistemi aziendali, ai limiti esterni e ai principali limiti interni dei sistemi aziendali.	I servizi di gestione API devono usare una rete virtuale	1.0.2
Protezione del sistema e delle comunicazioni	3.13.2	Sfruttare progetti architetturali, tecniche di sviluppo software e principi di progettazione dei sistemi che promuovono un'efficace sicurezza delle informazioni all'interno dei sistemi aziendali.	I servizi di gestione API devono usare una rete virtuale	1.0.2
Protezione del sistema e delle comunicazioni	3.13.5	Implementare subnet per i componenti di sistema accessibili pubblicamente che siano separate a livello fisico o logico dalle reti interne.	I servizi di gestione API devono usare una rete virtuale	1.0.2

NIST SP 800-53 Rev. 4

Per informazioni sul mapping delle definizioni predefinite di Criteri di Azure per tutti i servizi di Azure a questo standard di conformità, vedere Conformità alle normative di Criteri di Azure - NIST SP 800-53 Rev. 4. Per altre informazioni su questo standard di conformità, vedere NIST SP 800-53 Rev. 4.

Domain	ID controllo	Titolo controllo	Criteri (Portale di Azure)	Versione del criterio (GitHub)
Controllo dell’accesso	AC-4	Applicazione del controllo dei flussi di informazioni	I servizi di gestione API devono usare una rete virtuale	1.0.2
Protezione del sistema e delle comunicazioni	SC-7	Protezione dei limiti	I servizi di gestione API devono usare una rete virtuale	1.0.2
Protezione del sistema e delle comunicazioni	SC-7 (3)	Punti di accesso	I servizi di gestione API devono usare una rete virtuale	1.0.2

NIST SP 800-53 Rev. 5

Per informazioni sul mapping delle definizioni predefinite di Criteri di Azure per tutti i servizi di Azure a questo standard di conformità, vedere Dettagli dell'iniziativa predefinita di conformità alle normative per NIST SP 800-53 Rev. 5. Per altre informazioni su questo standard di conformità, vedere NIST SP 800-53 Rev. 5.

Domain	ID controllo	Titolo controllo	Criteri (Portale di Azure)	Versione del criterio (GitHub)
Controllo dell’accesso	AC-4	Applicazione del controllo dei flussi di informazioni	I servizi di gestione API devono usare una rete virtuale	1.0.2
Protezione del sistema e delle comunicazioni	SC-7	Protezione dei limiti	I servizi di gestione API devono usare una rete virtuale	1.0.2
Protezione del sistema e delle comunicazioni	SC-7 (3)	Punti di accesso	I servizi di gestione API devono usare una rete virtuale	1.0.2

NL BIO Cloud Theme

Per informazioni sul mapping delle definizioni predefinite di Criteri di Azure per tutti i servizi di Azure a questo standard di conformità, vedere Dettagli sulla conformità alle normative di Criteri di Azure per NL BIO Cloud Theme. Per altre informazioni su questo standard di conformità, vedere Sicurezza delle informazioni di base Cybersecurity del governo - Governo digitale (digitaleoverheid.nl).

Domain	ID controllo	Titolo controllo	Criteri (Portale di Azure)	Versione del criterio (GitHub)
U.07.1 Separazione dei dati - Isolato	U.07.1	L'isolamento permanente dei dati è un'architettura multi-tenant. Le patch vengono realizzate in modo controllato.	I servizi di gestione API devono usare una rete virtuale	1.0.2

Reserve Bank of India IT - Framework for Banks v2016

Per informazioni sul mapping delle impostazioni predefinite di Criteri di Azure per tutti i servizi di Azure a questo standard di conformità, vedere Conformità alle normative di Criteri di Azure - RBI ITF Banks v2016. Per altre informazioni su questo standard di conformità, vedere RBI ITF Banks v2016 (PDF).

Domain	ID controllo	Titolo controllo	Criteri (Portale di Azure)	Versione del criterio (GitHub)
Patch/Vulnerabilità e gestione del cambiamento		Patch/Vulnerabilità e gestione del cambiamento-7.7	I servizi di gestione API devono usare una rete virtuale	1.0.2

RMIT Malaysia

Per informazioni sul mapping delle definizioni predefinite di Criteri di Azure per tutti i servizi di Azure a questo standard di conformità, vedere Dettagli dell'iniziativa predefinita di conformità alle normative per RMIT Malaysia. Per altre informazioni su questo standard di conformità, vedere RMIT Malaysia.

Domain	ID controllo	Titolo controllo	Criteri (Portale di Azure)	Versione del criterio (GitHub)
Resilienza di rete	10.33	Resilienza di rete - 10.33	I servizi di gestione API devono usare una rete virtuale	1.0.2

Passaggi successivi

• Altre informazioni sulla conformità alle normative di Criteri di Azure.
• Vedere i criteri predefiniti nel repository di GitHub su Criteri di Azure.