Controles de Conformidade Regulatória do Azure Policy para o Azure RBAC
O Azure Policy pode impor regras para seus recursos do Azure para que sua infraestrutura mantenha a conformidade com os padrões de negócios. A Conformidade Regulatória no Azure Policy fornece definições de iniciativas criadas e gerenciadas pela Microsoft, conhecidas como internos, para os domínios de conformidade e os controles de segurança relacionados a diferentes padrões de conformidade. Esta página lista os domínios de conformidade e os controles de segurança para o Azure RBAC (controle de acesso baseado em função). Você pode atribuir os itens internos a um controle de segurança individualmente a fim de ajudar a manter seus recursos do Azure em conformidade com o padrão específico.
O título de cada definição de política interna leva à definição da política no portal do Azure. Use o link na coluna Versão da Política para ver a origem no repositório GitHub do Azure Policy.
Importante
Cada controle está associado a uma ou mais definições do Azure Policy. Essas políticas podem ajudar você a avaliar a conformidade com o controle. No entanto, muitas vezes não há uma correspondência individual ou completa entre um controle e uma ou mais políticas. Portanto, a Conformidade no Azure Policy refere-se apenas às próprias políticas. Isso não garante que você esteja totalmente em conformidade com todos os requisitos de um controle. Além disso, o padrão de conformidade inclui controles que não são abordados por nenhuma definição do Azure Policy no momento. Portanto, a conformidade no Azure Policy é somente uma exibição parcial do status de conformidade geral. As associações entre os controles e as definições de Conformidade Regulatória do Azure Policy para esses padrões de conformidade podem mudar com o tempo.
CIS Microsoft Azure Foundations Benchmark 2.0.0
Para examinar como as iniciativas internas do Azure Policy disponíveis para todos os serviços do Azure são mapeadas para esse padrão de conformidade, consulte Detalhes de Conformidade Regulatória do Azure Policy para o CIS v2.0.0. Para saber mais sobre esse padrão de conformidade, confira CIS Microsoft Azure Foundations Benchmark.
| Domínio | ID do controle | Título do controle | Política (Portal do Azure) |
Versão da política (GitHub) |
|---|---|---|---|---|
| 1 | 1.23 | Verifique se não existem funções de administrador de assinatura personalizadas | Auditoria o uso de funções personalizadas do RBAC | 1.0.1 |
CMMC nível 3
Para examinar como as iniciativas internas disponíveis do azure Policy de todos os serviços do azure são mapeadas para esse padrão de conformidade, confira Conformidade regulatória do azure Policy – CMMC nível 3. Para saber mais sobre esse padrão de conformidade, confira Cybersecurity Maturity Model Certification (CMMC).
| Domínio | ID do controle | Título do controle | Política (Portal do Azure) |
Versão da política (GitHub) |
|---|---|---|---|---|
| Controle de acesso | AC.3.018 | Impedir que usuários sem privilégios executem funções privilegiadas e capturem a execução dessas funções em logs de auditoria. | Auditoria o uso de funções personalizadas do RBAC | 1.0.1 |
FedRAMP Alto
Para examinar como as iniciativas internas disponíveis do azure Policy de todos os serviços do azure são mapeadas para esse padrão de conformidade, confira Conformidade regulatória do azure Policy – FedRaMP High. Para obter mais informações sobre esse padrão de conformidade, confira FedRAMP High.
| Domínio | ID do controle | Título do controle | Política (Portal do Azure) |
Versão da política (GitHub) |
|---|---|---|---|---|
| Controle de acesso | AC-2 | Gerenciamento de Conta | Auditoria o uso de funções personalizadas do RBAC | 1.0.1 |
| Controle de acesso | AC-2 (7) | Esquemas baseados em função | Auditoria o uso de funções personalizadas do RBAC | 1.0.1 |
| Controle de acesso | AC-6 | Privilégio mínimo | Auditoria o uso de funções personalizadas do RBAC | 1.0.1 |
| Controle de acesso | AC-6 (7) | Análise dos privilégios do usuário | Auditoria o uso de funções personalizadas do RBAC | 1.0.1 |
FedRAMP Moderado
Para examinar como as iniciativas internas disponíveis do azure Policy de todos os serviços do azure são mapeadas para esse padrão de conformidade, confira Conformidade regulatória do azure Policy – FedRaMP Moderate. Para obter mais informações sobre esse padrão de conformidade, confira FedRAMP Moderate.
| Domínio | ID do controle | Título do controle | Política (Portal do Azure) |
Versão da política (GitHub) |
|---|---|---|---|---|
| Controle de acesso | AC-2 | Gerenciamento de Conta | Auditoria o uso de funções personalizadas do RBAC | 1.0.1 |
| Controle de acesso | AC-2 (7) | Esquemas baseados em função | Auditoria o uso de funções personalizadas do RBAC | 1.0.1 |
| Controle de acesso | AC-6 | Privilégio mínimo | Auditoria o uso de funções personalizadas do RBAC | 1.0.1 |
HIPAA HITRUST 9.2
Para examinar como as iniciativas internas disponíveis do azure Policy de todos os serviços do azure são mapeadas para esse padrão de conformidade, confira Conformidade Regulatória do azure Policy – HIPaa HITRUST 9.2. Para obter mais informações sobre esse padrão de conformidade, confira HIPAA HITRUST 9.2.
| Domínio | ID do controle | Título do controle | Política (Portal do Azure) |
Versão da política (GitHub) |
|---|---|---|---|---|
| 11 Controle de Acesso | 1148.01c2System.78-01.c | 1148.01c2System.78-01.c 01.02 Acesso Autorizado a Sistemas de Informações | Auditoria o uso de funções personalizadas do RBAC | 1.0.1 |
| 12 Log de Auditoria e Monitoramento | 1230.09c2Organizational.1-09.c | 1230.09c2Organizational.1-09.c 09.01 Procedimentos Operacionais Documentados | Auditoria o uso de funções personalizadas do RBAC | 1.0.1 |
IRS 1075 de setembro de 2016
Para examinar como as políticas internas disponíveis do azure Policy em todos os serviços do azure são mapeadas para esse padrão de conformidade, confira Conformidade regulatória do azure Policy – IRS 1075 de setembro de 2016. Para obter mais informações sobre esse padrão de conformidade, confira IRS 1075 de setembro de 2016.
| Domínio | ID do controle | Título do controle | Política (Portal do Azure) |
Versão da política (GitHub) |
|---|---|---|---|---|
| Controle de acesso | 9.3.1.2 | Gerenciamento de Conta (AC-2) | Auditoria o uso de funções personalizadas do RBAC | 1.0.1 |
ISO 27001:2013
Para examinar como as iniciativas internas disponíveis do azure Policy de todos os serviços do azure são mapeadas para esse padrão de conformidade, confira Conformidade regulatória do azure Policy – ISO 27001:2013. Para obter mais informações sobre esse padrão de conformidade, confira ISO 27001:2013.
| Domínio | ID do controle | Título do controle | Política (Portal do Azure) |
Versão da política (GitHub) |
|---|---|---|---|---|
| Controle de acesso | 9.2.3 | Gerenciamento de direitos de acesso privilegiado | Auditoria o uso de funções personalizadas do RBAC | 1.0.1 |
Referência de segurança de nuvem da Microsoft
O parâmetro de comparação de segurança da nuvem da Microsoft fornece recomendações sobre como você pode proteger suas soluções de nuvem no Azure. Para ver como esse serviço é completamente mapeado para o parâmetro de comparação de segurança da nuvem da Microsoft, confira os Arquivos de mapeamento do Azure Security Benchmark.
Para analisar como os itens internos do azure Policy disponíveis para todos os serviços do azure são mapeados para esse padrão de conformidade, confira Conformidade Regulatória do azure Policy: parâmetro de comparação de segurança da nuvem da Microsoft.
NIST SP 800-171 R2
Para examinar como as iniciativas internas disponíveis do Azure Policy de todos os serviços do Azure são mapeadas para esse padrão de conformidade, confira Conformidade regulatória do Azure Policy – NIST SP 800-171 R2. Para obter mais informações sobre esse padrão de conformidade, confira NIST SP 800-171 R2.
| Domínio | ID do controle | Título do controle | Política (Portal do Azure) |
Versão da política (GitHub) |
|---|---|---|---|---|
| Controle de acesso | 3.1.1 | Limite o acesso do sistema a usuários autorizados, processos que atuam em nome de usuários autorizados e dispositivos (incluindo outros sistemas). | Auditoria o uso de funções personalizadas do RBAC | 1.0.1 |
| Controle de acesso | 3.1.2 | Limitar o acesso do sistema aos tipos de transações e funções que os usuários autorizados têm permissão para executar. | Auditoria o uso de funções personalizadas do RBAC | 1.0.1 |
| Controle de acesso | 3.1.5 | Empregar o princípio de privilégios mínimos, incluindo para funções de segurança específicas e contas privilegiadas. | Auditoria o uso de funções personalizadas do RBAC | 1.0.1 |
NIST SP 800-53 Rev. 4
Para examinar como as iniciativas internas disponíveis do Azure Policy de todos os serviços do Azure são mapeadas para esse padrão de conformidade, confira Conformidade regulatória do Azure Policy – NIST SP 800-53 Rev. 4. Para obter mais informações sobre esse padrão de conformidade, confira NIST SP 800-53 Rev. 4.
| Domínio | ID do controle | Título do controle | Política (Portal do Azure) |
Versão da política (GitHub) |
|---|---|---|---|---|
| Controle de acesso | AC-2 | Gerenciamento de Conta | Auditoria o uso de funções personalizadas do RBAC | 1.0.1 |
| Controle de acesso | AC-2 (7) | Esquemas baseados em função | Auditoria o uso de funções personalizadas do RBAC | 1.0.1 |
| Controle de acesso | AC-6 | Privilégio mínimo | Auditoria o uso de funções personalizadas do RBAC | 1.0.1 |
| Controle de acesso | AC-6 (7) | Análise dos privilégios do usuário | Auditoria o uso de funções personalizadas do RBAC | 1.0.1 |
NIST SP 800-53 Rev. 5
Para examinar como as iniciativas internas disponíveis do azure Policy de todos os serviços do azure são mapeadas para esse padrão de conformidade, confira Conformidade regulatória do azure Policy – NIST SP 800-53 Rev. 5. Para obter mais informações sobre esse padrão de conformidade, confira NIST SP 800-53 Rev. 5.
| Domínio | ID do controle | Título do controle | Política (Portal do Azure) |
Versão da política (GitHub) |
|---|---|---|---|---|
| Controle de acesso | AC-2 | Gerenciamento de Conta | Auditoria o uso de funções personalizadas do RBAC | 1.0.1 |
| Controle de acesso | AC-2 (7) | Contas de usuário privilegiado | Auditoria o uso de funções personalizadas do RBAC | 1.0.1 |
| Controle de acesso | AC-6 | Privilégio mínimo | Auditoria o uso de funções personalizadas do RBAC | 1.0.1 |
| Controle de acesso | AC-6 (7) | Análise dos privilégios do usuário | Auditoria o uso de funções personalizadas do RBAC | 1.0.1 |
NL BIO Cloud Theme
Para analisar como os componentes do Azure Policy disponíveis para todos os serviços do Azure são mapeados para esse padrão de conformidade, confira Detalhes da Conformidade Regulatória do Azure Policy com o NL BIO Cloud Theme. Para obter mais informações sobre esse padrão de conformidade, confira Segurança Cibernética do Governo de Segurança da Informação de Linha de Base – Governo Digital (digitaleoverheid.nl).
| Domínio | ID do controle | Título do controle | Política (Portal do Azure) |
Versão da política (GitHub) |
|---|---|---|---|---|
| U.07.3 Separação de dados – Recursos de gerenciamento | U.07.3 | U.07.3 – Os privilégios para exibir ou modificar dados de CSC e/ou chaves de criptografia são concedidos de maneira controlada, e o uso é registrado. | Auditoria o uso de funções personalizadas do RBAC | 1.0.1 |
| U.10.2 Acesso a serviços e dados de TI – Usuários | U.10.2 | Sob a responsabilidade do CSP, o acesso é permitido aos administradores. | Auditoria o uso de funções personalizadas do RBAC | 1.0.1 |
| U.10.3 Acesso a serviços e dados de TI – Usuários | U.10.3 | Somente os usuários com equipamentos autenticados podem acessar dados e serviços de TI. | Auditoria o uso de funções personalizadas do RBAC | 1.0.1 |
| U.10.5 Acesso a serviços e dados de TI – Pessoa competente | U.10.5 | O acesso a serviços e dados de TI é limitado por medidas técnicas e foi implementado. | Auditoria o uso de funções personalizadas do RBAC | 1.0.1 |
PCI DSS 3.2.1
Para examinar como as iniciativas internas disponíveis do azure Policy para todos os serviços do azure são mapeadas para esse padrão de conformidade, confira PCI DSS 3.2.1. Para obter mais informações sobre esse padrão de conformidade, confira PCI DSS 3.2.1.
| Domínio | ID do controle | Título do controle | Política (Portal do Azure) |
Versão da política (GitHub) |
|---|---|---|---|---|
| Requisito 3 | 3.2 | Requisito 3.2 do PCI DSS | Auditoria o uso de funções personalizadas do RBAC | 1.0.1 |
| Requisito 7 | 7.2.1 | Requisito 7.2.1 do PCI DSS | Auditoria o uso de funções personalizadas do RBAC | 1.0.1 |
| Requisito 8 | 8.3.1 | Requisito 8.3.1 do PCI DSS | Auditoria o uso de funções personalizadas do RBAC | 1.0.1 |
PCI DSS v4.0
Para analisar como os itens internos do azure Policy disponíveis para todos os serviços do azure são mapeados para esse padrão de conformidade, confira Detalhes de Conformidade Regulatória do azure Policy para PCI DSS v4.0. Para obter mais informações sobre esse padrão de conformidade, confira PCI DSS v4.0.
| Domínio | ID do controle | Título do controle | Política (Portal do Azure) |
Versão da política (GitHub) |
|---|---|---|---|---|
| Requisito 3: Proteger os dados armazenados da conta | 3.3.3 | Os SADs (dados de autenticação confidenciais) não são armazenados após a autorização | Auditoria o uso de funções personalizadas do RBAC | 1.0.1 |
| Requisito 7: Restringir o acesso aos componentes do sistema e aos dados do titular do cartão à divulgação restrita àqueles diretamente interessados na empresa | 7.3.1 | O acesso a componentes e dados do sistema é gerenciado por meio de sistemas de controle de acesso | Auditoria o uso de funções personalizadas do RBAC | 1.0.1 |
| Requisito 8: Identificar os usuários e autenticar o acesso aos componentes do sistema | 8.4.1 | A MFA (autenticação multifator) é implementada para proteger o acesso ao CDE | Auditoria o uso de funções personalizadas do RBAC | 1.0.1 |
Banco de Reserva da Índia – Estrutura de TI para NBFC
Para examinar como as iniciativas internas disponíveis no azure Policy para todos os serviços do azure são mapeadas para esse padrão de conformidade, veja Conformidade Regulatória do azure Policy – Banco de Reserva da Índia – Framework de TI para NBFC. Para obter mais informações sobre esse padrão de conformidade, veja Banco de Reserva da Índia – Framework de TI para NBFC.
| Domínio | ID do controle | Título do controle | Política (Portal do Azure) |
Versão da política (GitHub) |
|---|---|---|---|---|
| Informações e Segurança Cibernética | 3.1.a | Identificação e Classificação de Ativos de Informação–3.1 | Auditoria o uso de funções personalizadas do RBAC | 1.0.1 |
| Informações e Segurança Cibernética | 3.1.f | Maker-checker–3.1 | Auditoria o uso de funções personalizadas do RBAC | 1.0.1 |
Reserve Bank of India IT Framework for Banks v2016
Para examinar como as iniciativas internas disponíveis do azure Policy de todos os serviços do azure são mapeadas para esse padrão de conformidade, confira Conformidade regulatória do azure Policy – RBI ITF de Bancos v2016. Para obter mais informações sobre esse padrão de conformidade, consulte RBI ITF de Bancos v2016 (PDF).
| Domínio | ID do controle | Título do controle | Política (Portal do Azure) |
Versão da política (GitHub) |
|---|---|---|---|---|
| Controle de acesso/Gerenciamento do usuário | Controle de acesso/Gerenciamento do usuário – 8.1 | Auditoria o uso de funções personalizadas do RBAC | 1.0.1 |
RMIT Malásia
Para examinar como as iniciativas internas disponíveis do azure Policy de todos os serviços do azure são mapeadas para esse padrão de conformidade, confira Conformidade regulatória do azure Policy – IRMIT Malásia. Para saber mais sobre esse padrão de conformidade, confira RMIT Malásia.
| Domínio | ID do controle | Título do controle | Política (Portal do Azure) |
Versão da política (GitHub) |
|---|---|---|---|---|
| Controle de acesso | 10,55 | Controle de acesso - 10.55 | Auditoria o uso de funções personalizadas do RBAC | 1.0.1 |
| Controle de acesso | 10.60 | Controle de acesso - 10.60 | Auditoria o uso de funções personalizadas do RBAC | 1.0.1 |
| Controle de acesso | 10.62 | Controle de acesso - 10.62 | Auditoria o uso de funções personalizadas do RBAC | 1.0.1 |
ENS (Espanha)
Para analisar como os recursos internos do Azure Policy disponíveis para todos os serviços do Azure são mapeados para esse padrão de conformidade, veja Detalhes de conformidade regulatória do Azure Policy para Espanha ENS. Para obter mais informações sobre esse padrão de conformidade, consulte CCN-STIC 884.
| Domínio | ID do controle | Título do controle | Política (Portal do Azure) |
Versão da política (GitHub) |
|---|---|---|---|---|
| Medidas de proteção | mp.s.2 | Proteção de serviços | Auditoria o uso de funções personalizadas do RBAC | 1.0.1 |
| Estrutura operacional | op.acc.1 | Controle de acesso | Auditoria o uso de funções personalizadas do RBAC | 1.0.1 |
| Estrutura operacional | op.acc.3 | Controle de acesso | Auditoria o uso de funções personalizadas do RBAC | 1.0.1 |
| Estrutura operacional | op.acc.4 | Controle de acesso | Auditoria o uso de funções personalizadas do RBAC | 1.0.1 |
| Estrutura operacional | op.acc.5 | Controle de acesso | Auditoria o uso de funções personalizadas do RBAC | 1.0.1 |
System and Organization Controls (SOC) 2
Para examinar como os recursos internos do Azure Policy disponíveis para todos os serviços do Azure são mapeados para este padrão de conformidade, confira Detalhes de conformidade regulatória do Azure Policy para o SOC (Controles de Sistema e Organização) 2. Para obter mais informações sobre esse padrão de conformidade, confira o SOC (Controles de Sistema e Organização) 2.
| Domínio | ID do controle | Título do controle | Política (Portal do Azure) |
Versão da política (GitHub) |
|---|---|---|---|---|
| Controles de acesso lógico e físico | CC6.3 | Acesso baseado em função e privilégios mínimos | Auditoria o uso de funções personalizadas do RBAC | 1.0.1 |
Próximas etapas
- Saiba mais sobre a Conformidade Regulatória do Azure Policy.
- Confira os internos no repositório Azure Policy GitHub.