Udostępnij za pośrednictwem

Zagadnienia dotyczące zabezpieczeń i zgodności dla inteligentnych obciążeń aplikacji

  • Artykuł

Bezpieczeństwo ma kluczowe znaczenie dla każdej architektury. Microsoft Power Platform oferuje szeroką gamę narzędzi do skutecznego zabezpieczania obciążeń aplikacji inteligentnych. W tym artykule opisano zagadnienia i rekomendacje dotyczące zabezpieczeń dotyczące tworzenia obciążeń aplikacji inteligentnych w Power Platform.

Funkcje usług Copilot dla Dynamics 365 i Power Platform działają zgodnie z zestawem podstawowych praktyk z zakresu bezpieczeństwa i prywatności oraz Standardów odpowiedzialnej sztucznej inteligencji firmy Microsoft. Dane na platformach Dynamics 365 i Power Platform są chronione przez kompleksowe, wiodące w branży mechanizmy kontroli zgodności, bezpieczeństwa i prywatności. Aby uzyskać więcej informacji na temat funkcji zabezpieczeń Microsoft Copilot Studio i Power Platform, zobacz tematy Zabezpieczenia i ład Copilot Studio, Często zadawane pytania dotyczące zabezpieczeń i prywatności danych rozwiązania Copilot dla Dynamics 365 i Power Platform oraz Zabezpieczenia w Microsoft Power Platform.

Należy okresowo oceniać stosowane usługi i technologie, aby upewnić się, że stosowane środki bezpieczeństwa są zgodne ze zmieniającym się krajobrazem zagrożeń.

Zrozumienie wymagań dotyczących zabezpieczeń

Zapoznaj się z kluczowymi wymaganiami dotyczącymi implementowanego obciążenia aplikacji inteligentnych. Zadaj sobie następujące pytania, które pomogą Ci zidentyfikować środki bezpieczeństwa, które należy zastosować.

Kontrola dostępu i uwierzytelnianie

  • W jaki sposób zaimplementujesz mechanizmy kontroli dostępu i uwierzytelniania, aby zagwarantować, że tylko autoryzowani użytkownicy będą mieli dostęp do obciążenia inteligentnej aplikacji?
  • Jak zapewnić bezpieczne i bezproblemowe uwierzytelnianie użytkowników?
  • Jak kontrolować, które aplikacje mogą wchodzić w interakcje z generatywną sztuczną inteligencją (agent) i jakie środki zapewniają skuteczność tych ograniczeń?

Zarządzanie zabezpieczeniami i zdarzeniami

  • W jaki sposób będziesz zarządzać i zabezpieczać wpisay tajne aplikacji, takie jak klucze API i hasła?
  • Jakie wymagania dotyczące zabezpieczeń sieci mają wpływ na obciążenie aplikacji inteligentnych? Na przykład, czy wewnętrzne interfejsy API są dostępne tylko w sieci wirtualnej?
  • W jaki sposób będziesz monitorować i kontrolować dostęp i wykorzystanie inteligentnej aplikacji?
  • Jaki jest plan reagowania na incydenty w przypadku naruszeń bezpieczeństwa lub luk w zabezpieczeniach?

Zgodność i miejsce przechowywania danych

  • Jakie wymagania dotyczące miejsca przechowywania danych mają zastosowanie do danych używanych w obciążeniu aplikacji inteligentnej? Czy wiesz, gdzie będą znajdować się Twoje dane i czy lokalizacja jest zgodna z Twoimi zobowiązaniami prawnymi lub regulacyjnymi?
  • Jakie wymagania prawne i dotyczące zgodności muszą być spełnione w przypadku obciążenia aplikacji inteligentnej?

Integracja systemów i wymagania sieciowe

  • W jaki sposób inteligentne obciążenie aplikacji będzie bezpiecznie integrować się z innymi systemami wewnętrznymi i zewnętrznymi?
  • Jakie są wymagania dotyczące sieci i integracji dla obciążenia? Czy istnieje potrzeba integracji z wewnętrznymi lub zewnętrznymi źródłami danych lub interfejsami API?

Kwestie etyczne i odpowiedzialna sztuczna inteligencja

  • W jaki sposób względy etyczne i praktyki w zakresie odpowiedzialnej sztucznej inteligencji zostaną uwzględnione w obciążeniu aplikacji inteligentnych?

Implementowanie niezawodnych środków uwierzytelniania i kontroli dostępu

Uwierzytelnianie umożliwia użytkownikom zalogowanie się, zapewniając agentowi dostęp do zastrzeżonych zasobów lub informacji. Użytkownicy mogą logować się przy użyciu Microsoft Entra ID lub dowolnego dostawcy tożsamości OAuth2, takiego jak Google lub Facebook.

Zaimplementuj niezawodne środki uwierzytelniania i kontroli dostępu, aby zapewnić autoryzowanym użytkownikom dostęp do agenta. Zapewnienie, że tylko autoryzowani użytkownicy mogą uzyskać dostęp do agenta, jest podstawą bezpieczeństwa. Wdrożenie uwierzytelniania wieloskładnikowego zapewnia dodatkową warstwę zabezpieczeń. Aby zminimalizować ryzyko nieautoryzowanego dostępu, zdefiniuj role i uprawnienia, aby zapewnić, że użytkownicy mają dostęp tylko do potrzebnych im zasobów. Zaimplementuj zasady dostępu warunkowego, aby kontrolować dostęp na podstawie określonych warunków, takich jak lokalizacja użytkownika, zgodność urządzenia lub poziom ryzyka.

Więcej informacji:

Dowiedz się, jak wymagania prawne wpływają na Twój projekt

Zidentyfikuj i przestrzegaj wymogów prawnych i norm obowiązujących w Twojej branży, takich jak RODO (Ogólne rozporządzenie o ochronie danych), HIPAA (ustawa o przenośności i odpowiedzialności w ubezpieczeniach zdrowotnych) lub CCPA (kalifornijska ustawa o ochronie prywatności konsumentów). Wdrożenie niezbędnych mechanizmów kontroli w celu zapewnienia zgodności. Zaplanuj regularne audyty zgodności, aby zweryfikować zgodność ze standardami regulacyjnymi i wyeliminować wszelkie luki. Oceń, czy istnieją określone wymagania dotyczące lokalizacji danych, takie jak wymaganie dotyczące przechowywania danych w określonym kraju lub regionie. Upewnij się, że strategia przechowywania danych spełnia te wymagania.

Upewnij się, że dane są chronione i zarządzane zgodnie z wymaganiami prawnymi. Ochrona danych obsługiwanych przez obciążenie inteligentnej aplikacji ma kluczowe znaczenie dla utrzymania zaufania i zgodności ze standardami prawnymi i regulacyjnymi.

Microsoft przestrzega przepisów dotyczących ochrony danych i prywatności mających zastosowanie do usług w chmurze. Weryfikowana jest nasza zgodność ze światowymi standardami branżowymi. Środowiska można tworzyć w określonych regionach, nawet jeśli różnią się one od regionu, w którym znajduje się dzierżawca. Domyślnie transkrypcje konwersacji są przechowywane tylko przez 30 dni w Dataverse. Ten okres przechowywania można dostosować dla poszczególnych środowisk.

Więcej informacji:

Zabezpieczanie wszystkich integracji

Zapewnij bezpieczną komunikację między obciążeniem inteligentnej aplikacji a źródłami danych. Obciążenie inteligentnej aplikacji musi być zintegrowane z innymi systemami, aby uzyskać dostęp do danych i przetwarzać je. Aby uprościć zarządzanie tożsamościami i zwiększyć bezpieczeństwo, użyj jednostek usługi w celu zapewnienia dostępu do zasobów innych niż ludzki oraz tożsamości zarządzanych w przypadku zasobów Azure. Zabezpiecz interfejsy API, używając protokołu OAuth2 do uwierzytelniania i upewniając się, że cała komunikacja interfejsu API jest szyfrowana. Użycie jednostek usługi gwarantuje, że połączenia są bezpieczne i nie polegają na poszczególnych poświadczeniach.

Więcej informacji:

Wdrażanie bieżącego monitorowania i inspekcji

Głównym celem monitorowania zabezpieczeń jest wykrywanie zagrożeń. Głównym celem jest zapobieganie potencjalnym bezpieczeństwom i zachowanie bezpiecznego środowiska. Bieżące monitorowanie i inspekcja działań obciążeń aplikacji inteligentnych w celu wykrywania i proaktywnego reagowania. Zabezpieczenia to ciągły proces, a nie jednorazowe zadanie konfiguracji. Regularne monitorowanie i inspekcja dostępu i interakcji użytkowników są niezbędne do zapewnienia bezpieczeństwa obciążeń aplikacji inteligentnych.

Więcej informacji:

Używanie narzędzi zabezpieczeń Azure do wymuszania zasad zabezpieczeń

Użyj wbudowanych narzędzi zabezpieczających Azure, takich jak Microsoft Defender dla Chmury (znanej wcześniej jako Azure Security Center) i Azure Policy, do monitorowania i wymuszania zasad zabezpieczeń.

Zapewnij szkolenia dla pracowników

Wyszkol pracowników na temat najlepszych praktyk w zakresie ochrony danych i znaczenia przestrzegania wymogów dotyczących miejsca przechowywania danych. Dostosuj materiały szkoleniowe do konkretnych ról i obowiązków różnych pracowników. Przepisy i regulacje dotyczące ochrony danych stale ewoluują. Upewnij się, że programy szkoleniowe są regularnie aktualizowane w celu odzwierciedlenia najnowszych wymogów prawnych i najlepszych praktyk. Korzystaj z interaktywnych metod, takich jak warsztaty, symulacje i scenariusze z życia wzięte, aby szkolenie było wciągające i skuteczne. Zapewnij stałe wsparcie i zasoby, takie jak dostęp do inspektorów ochrony danych lub doradców prawnych, aby pomóc pracownikom być na bieżąco i zachować zgodność z przepisami.