Compartilhar via

Linha de base de segurança do Azure para o Azure OpenAI

  • Artigo

Essa linha de base de segurança aplica as diretrizes do Microsoft Cloud Security Benchmark versão 1.0 ao Azure OpenAI. O parâmetro de comparação de segurança da nuvem da Microsoft fornece recomendações sobre como você pode proteger suas soluções de nuvem no Azure. O conteúdo é agrupado pelos controles de segurança definidos pelo parâmetro de comparação de segurança de nuvem da Microsoft e pelas diretrizes relacionadas aplicáveis ao Azure OpenAI.

Você pode monitorar essa linha de base de segurança e as recomendações usando o Microsoft Defender para Nuvem. As definições do Azure Policy serão listadas na seção Conformidade Regulatória da página do portal do Microsoft Defender para Nuvem.

Quando um recurso tem definições relevantes do Azure Policy, eles são listados nesta linha de base para ajudar você a medir a conformidade com as recomendações e controles de parâmetro de comparação de segurança de nuvem da Microsoft. Algumas recomendações podem exigir um plano pago do Microsoft Defender para habilitar determinados cenários de segurança.

Observação

Os recursos não aplicáveis ao Azure OpenAI foram excluídos. Para ver como o Azure OpenAI é mapeado completamente para o parâmetro de comparação de segurança de nuvem da Microsoft, consulte o arquivo completo de mapeamento de linha de base de segurança do Azure OpenAI.

Perfil de segurança

O perfil de segurança resume os comportamentos de alto impacto do Azure OpenAI, o que pode resultar em maiores considerações de segurança.

Atributo de Comportamento do Serviço Valor
Categoria do Produto IA + ML
O cliente pode acessar o HOST / SO Sem Acesso
O serviço pode ser implantado na rede virtual do cliente Falso
Armazena o conteúdo inativo do cliente Verdadeiro

Segurança de rede

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: segurança de rede.

NS-1: estabelecer limites de segmentação de rede

Recursos

Integração de rede virtual

Descrição: O serviço dá suporte à implantação na rede virtual (VNet) privada do cliente. Saiba mais.

Com suporte Ativado por padrão Responsabilidade da Configuração
Falso Não Aplicável Não Aplicável

Diretrizes de configuração: Não há suporte para esse recurso para proteger esse serviço.

NS-2: proteger serviços de nuvem com controles de rede

Recursos

Descrição: Funcionalidade de filtragem de IP nativa do serviço para filtrar o tráfego de rede (não confundir com o NSG ou o Firewall do Azure). Saiba mais.

Com suporte Ativado por padrão Responsabilidade da Configuração
Verdadeiro Falso Customer

Diretrizes de configuração: implante pontos de extremidade privados para todos os recursos do Azure que dão suporte ao recurso Link Privado, para estabelecer um ponto de acesso privado para os recursos.

Referência: configurar redes virtuais dos serviços de IA do Azure

Desabilitar o acesso à rede pública

Descrição: O serviço dá suporte à desabilitação do acesso à rede pública por meio do uso da regra de filtragem de ACL de IP no nível do serviço (não do NSG ou do Firewall do Azure) ou do uso de um comutador de alternância "Desabilitar acesso à rede pública". Saiba mais.

Com suporte Ativado por padrão Responsabilidade da Configuração
Verdadeiro Falso Customer

Diretrizes de configuração: desabilite o acesso à rede pública usando a regra de filtragem de ACL IP de nível de serviço ou uma opção de alternância para acesso à rede pública.

Referência: configurar redes virtuais dos serviços de IA do Azure

Gerenciamento de identidades

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: gerenciamento de identidades.

IM-1: usar um sistema centralizado de identidade e autenticação

Recursos

Autenticação do Azure AD necessária para acesso ao plano de dados

Descrição: O serviço dá suporte ao uso da autenticação do Azure AD para acesso ao plano de dados. Saiba mais.

Com suporte Ativado por padrão Responsabilidade da Configuração
Verdadeiro Verdadeiro Microsoft

Diretrizes de configuração: nenhuma configuração adicional é necessária, pois isso é habilitado em uma implantação padrão.

Referência: como configurar o Serviço OpenAI do Azure com identidades gerenciadas

Métodos de autenticação local para acesso ao plano de dados

Descrição: Métodos de autenticações locais compatíveis com o acesso ao plano de dados, como um nome de usuário local e senha. Saiba mais.

Com suporte Ativado por padrão Responsabilidade da Configuração
Verdadeiro Falso Customer

Notas sobre o recurso: embora você possa se autenticar nos Serviços Cognitivos do Azure usando uma chave de assinatura de serviço único ou de vários serviços ou usar essas chaves para autenticar com tokens de acesso, esses métodos de autenticação ficam aquém em cenários mais complexos que exigem o RBAC do Azure (controle de acesso baseado em função) do Azure. Evite o uso de métodos ou contas de autenticação locais, eles devem ser desativados sempre que possível. Em vez disso, use o Azure AD para autenticar sempre que possível.

Diretrizes de configuração: restrinja o uso de métodos de autenticação local para acesso ao plano de dados. EM vez disso, use o Azure AD (Azure Active Directory) como método de autenticação padrão para controlar o acesso ao plano de dados.

Referência: Autenticar com um token de acesso

IM-3: gerenciar identidades de aplicativos de maneira segura e automática

Recursos

Identidades Gerenciadas

Descrição: As ações do plano de dados dão suporte à autenticação usando identidades gerenciadas. Saiba mais.

Com suporte Ativado por padrão Responsabilidade da Configuração
Verdadeiro Falso Customer

Diretrizes de configuração: use identidades gerenciadas do Azure em vez de entidades de serviço quando possível, que podem se autenticar em serviços e recursos do Azure que dão suporte à autenticação do Azure Active Directory (Azure AD). As credenciais de identidades gerenciadas são completamente gerenciadas, giradas e protegidas pela plataforma, evitando credenciais codificadas no código-fonte ou arquivos de configuração.

Referência: como configurar o Serviço OpenAI do Azure com identidades gerenciadas

Entidades de Serviço

Descrição: O plano de dados dá suporte à autenticação usando entidades de serviço. Saiba mais.

Com suporte Ativado por padrão Responsabilidade da Configuração
Verdadeiro Falso Customer

Diretrizes de configuração: Não há diretrizes atuais da Microsoft para essa configuração de recursos. Examine e determine se sua organização deseja configurar esse recurso de segurança.

Referência: como configurar o Serviço OpenAI do Azure com identidades gerenciadas

IM-7: restringir o acesso aos recursos com base nas condições

Recursos

Acesso condicional para o plano de dados

Descrição: O acesso ao plano de dados pode ser controlado usando as políticas de acesso condicional do Azure AD. Saiba mais.

Com suporte Ativado por padrão Responsabilidade da Configuração
Verdadeiro Falso Customer

Diretrizes de configuração: defina as condições e os critérios aplicáveis para o acesso condicional do Azure Active Directory (Azure AD) na carga de trabalho. Considere casos de uso comuns, como bloquear ou conceder acesso de locais específicos, bloquear comportamento de entrada arriscado ou exigir dispositivos gerenciados pela organização para aplicativos específicos.

IM-8: restringir a exposição de credenciais e segredos

Recursos

Armazenamento e integração de suporte a segredos e credenciais de serviço no Azure Key Vault

Descrição: O plano de dados dá suporte ao uso nativo do Azure Key Vault para armazenamento de credenciais e segredos. Saiba mais.

Com suporte Ativado por padrão Responsabilidade da Configuração
Verdadeiro Falso Customer

Observações sobre o recurso: o serviço OpenAI do Azure não armazena segredos (por exemplo, senhas etc.).

Diretrizes de configuração: verifique se os segredos e as credenciais são armazenados em locais seguros, como o Azure Key Vault, em vez de inseri-los em arquivos de código ou configuração.

Referência: Desenvolver aplicativos de serviços de IA do Azure com o Key Vault

Acesso privilegiado

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: acesso privilegiado.

PA-7: Seguir a administração Just Enough (princípio de privilégios mínimos)

Recursos

RBAC do Azure para plano de dados

Descrição: O Controle de Acesso Baseado em Função (RBAC) do Azure pode ser usado para gerenciar o acesso às ações do plano de dados do serviço. Saiba mais.

Com suporte Ativado por padrão Responsabilidade da Configuração
Verdadeiro Falso Customer

Diretrizes de configuração: use o RBAC (controle de acesso baseado em função) do Azure para gerenciar o acesso a recursos do Azure por meio de atribuições de função internas. As funções RBAC do Azure podem ser atribuídas a usuários, grupos, entidades de serviço e identidades gerenciadas.

Referência: como configurar o Serviço OpenAI do Azure com identidades gerenciadas

PA-8: determinar o processo de acesso para suporte ao provedor de nuvem

Recursos

Sistema de Proteção de Dados do Cliente

Descrição: o Sistema de Proteção de Dados do Cliente pode ser usado para acesso ao suporte da Microsoft. Saiba mais.

Com suporte Ativado por padrão Responsabilidade da Configuração
Verdadeiro Falso Customer

Diretrizes de configuração: em cenários de suporte em que a Microsoft precisa acessar seus dados, use o Sistema de Proteção de Dados do Cliente para examinar e aprovar ou rejeitar cada uma das solicitações de acesso a dados da Microsoft.

Referência: Sistema de Proteção de Dados do Cliente para Microsoft Azure

Proteção de dados

Para obter mais informações, consulte o parâmetro de comparação de segurança na nuvem da Microsoft: proteção de dados.

DP-1: descobrir, classificar e rotular dados confidenciais

Recursos

Descoberta e classificação de dados confidenciais

Descrição: ferramentas (como Azure Purview ou Proteção de Informações do Azure) podem ser usadas para descoberta e classificação de dados no serviço. Saiba mais.

Com suporte Ativado por padrão Responsabilidade da Configuração
Falso Não Aplicável Não Aplicável

Diretrizes de configuração: Não há suporte para esse recurso para proteger esse serviço.

DP-2: monitorar anomalias e ameaças direcionadas a dados confidenciais

Recursos

Prevenção de vazamento/perda de dados

Descrição: o serviço dá suporte à solução DLP para monitorar a movimentação de dados confidenciais (no conteúdo do cliente). Saiba mais.

Com suporte Ativado por padrão Responsabilidade da Configuração
Verdadeiro Falso Customer

Diretrizes de configuração: os recursos de prevenção contra perda de dados dos serviços OpenAI do Azure permitem que os clientes configurem a lista de URLs de saída que seus recursos de serviços OpenAI do Azure têm permissão para acessar. Isso cria outro nível de controle para os clientes evitarem a perda de dados.

Referência: configurar a prevenção contra perda de dados para serviços de IA do Azure

DP-3: criptografar dados confidenciais ativos

Recursos

Criptografia de dados em trânsito

Descrição: O serviço dá suporte à criptografia de dados em trânsito para o plano de dados. Saiba mais.

Com suporte Ativado por padrão Responsabilidade da Configuração
Verdadeiro Verdadeiro Microsoft

Diretrizes de configuração: nenhuma configuração adicional é necessária, pois isso é habilitado em uma implantação padrão.

DP-4: habilitar a criptografia de dados inativos por padrão

Recursos

Criptografia de dados em repouso usando chaves de plataforma

Descrição: há suporte para a criptografia de dados em repouso usando chaves de plataforma, qualquer conteúdo do cliente em repouso é criptografado com essas chaves gerenciadas pela Microsoft. Saiba mais.

Com suporte Ativado por padrão Responsabilidade da Configuração
Verdadeiro Verdadeiro Microsoft

Diretrizes de configuração: nenhuma configuração adicional é necessária, pois isso é habilitado em uma implantação padrão.

Referência: criptografia de dados em repouso do Serviço OpenAI do Azure

DP-5: usar a opção de chave gerenciada pelo cliente na criptografia de dados inativos quando necessário

Recursos

Criptografia de dados inativos usando a CMK

Descrição: a criptografia de dados em repouso usando chaves gerenciadas pelo cliente é compatível com o conteúdo do cliente armazenado pelo serviço. Saiba mais.

Com suporte Ativado por padrão Responsabilidade da Configuração
Verdadeiro Falso Customer

Diretrizes de configuração: se necessário para conformidade regulatória, defina o caso de uso e o escopo do serviço em que a criptografia usando chaves gerenciadas pelo cliente é necessária. Habilite e implemente a criptografia de dados inativos usando a chave gerenciada pelo cliente para esses serviços.

Referência: criptografia de dados em repouso do Serviço OpenAI do Azure

DP-6: usar um processo de gerenciamento de chaves seguro

Recursos

Gerenciamento de chaves no Azure Key Vault

Descrição: o serviço dá suporte à integração do Azure Key Vault para quaisquer chaves, segredos ou certificados do cliente. Saiba mais.

Com suporte Ativado por padrão Responsabilidade da Configuração
Verdadeiro Falso Customer

Diretrizes de configuração: use o Azure Key Vault para criar e controlar o ciclo de vida de suas chaves de criptografia, incluindo geração, distribuição e armazenamento de chaves. Gire e revogue suas chaves no Azure Key Vault e seu serviço com base em um agendamento definido ou quando houver uma desativação ou comprometimento de chave. Quando houver a necessidade de usar a CMK (chave gerenciada pelo cliente) no nível da carga de trabalho, do serviço ou do aplicativo, siga as práticas recomendadas para o gerenciamento de chaves: Use uma hierarquia de chaves para gerar uma DEK (chave de criptografia de dados) separada com sua KEK (chave de criptografia de chave) no cofre de chaves. Verifique se as chaves estão registradas no Azure Key Vault e referenciadas por meio de IDs de chave do serviço ou aplicativo. Se você precisar trazer sua própria chave (BYOK) para o serviço (como importar chaves protegidas por HSM de seus HSMs locais para o Azure Key Vault), siga as diretrizes recomendadas para executar a geração inicial de chaves e a transferência de chaves.

Referência: criptografia de dados em repouso do Serviço OpenAI do Azure

Gerenciamento de Ativos

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: gerenciamento de ativos.

AM-2: usar apenas serviços aprovados

Recursos

Suporte ao Azure Policy

Descrição: As configurações de serviço podem ser monitoradas e impostas por meio do Azure Policy. Saiba mais.

Com suporte Ativado por padrão Responsabilidade da Configuração
Verdadeiro Falso Customer

Notas sobre o recurso: consulte as políticas dos Serviços Cognitivos do Azure.

Diretrizes de configuração: use o Microsoft Defender para Nuvem para configurar o Azure Policy para auditar e impor configurações de seus recursos do Azure. Use o Azure Monitor para criar alertas quando houver um desvio da configuração detectado nos recursos. Use os efeitos [negar] e [implantar se não existir] do Azure Policy para impor a configuração segura entre os recursos do Azure.

Registro em log e detecção de ameaças

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: registro em log e detecção de ameaças.

LT-4: habilitar o registro em log para investigação de segurança

Recursos

Azure Resource Logs

Descrição: o serviço produz logs de recursos que podem fornecer métricas e logs específicos do serviço aprimorados. O cliente pode configurar esses logs de recursos e enviá-los para o seu próprio coletor de dados, como uma conta de armazenamento ou um workspace do Log Analytics. Saiba mais.

Com suporte Ativado por padrão Responsabilidade da Configuração
Verdadeiro Falso Customer

Diretrizes de configuração: habilite os logs de recursos para o serviço. Por exemplo, o Key Vault dá suporte a logs de recursos adicionais para ações que obtêm um segredo de um cofre de chaves ou e o SQL do Azure tem logs de recursos que rastreiam solicitações para um banco de dados. O conteúdo de logs de recursos varia de acordo com o tipo de recurso e serviço do Azure.

Referência: Monitorando o Serviço OpenAI do Azure

Próximas etapas