Partilhar via

Azure Local e ISO/IEC 27001:2022

  • Artigo

Aplica-se a: Azure Local 2311.2 e posterior

Este artigo descreve como o Azure Local ajuda as organizações a cumprir os requisitos de controlo de segurança da ISO/IEC 27001:2022, tanto na nuvem como no local. Saiba mais sobre o Azure Local e outros padrões de segurança em Azure Local e padrões de segurança.

ISO/IEC 27001:2022

A ISO/IEC 27001 é uma norma de segurança global que especifica os requisitos para estabelecer, implementar, operar, monitorar, manter e melhorar um Sistema de Gestão de Segurança da Informação (SGSI). A certificação ISO/IEC 27001:2022 ajuda as organizações a melhorar sua postura de segurança, construir confiança com seus clientes e pode ajudar a cumprir várias obrigações legais e regulatórias que envolvem segurança da informação, como PCI DSS, HIPAA, HITRUST e FedRAMP. Saiba mais sobre a norma em ISO/IEC 27001.

Azure Local

O Azure Local é uma solução híbrida que fornece integração perfeita entre a infraestrutura local das organizações e os serviços de nuvem do Azure, ajudando a consolidar cargas de trabalho e contêineres virtualizados e a ganhar eficiência na nuvem quando os dados precisam permanecer no local por motivos legais ou de privacidade. As organizações que buscam a certificação ISO/IEC 27001:2022 para suas soluções devem considerar seus ambientes de nuvem e locais.

Serviços de nuvem conectados

O Azure Local fornece integração profunda com vários serviços do Azure, como o Azure Monitor, o Backup do Azure e o Azure Site Recovery, para fornecer novos recursos ao ambiente híbrido. Esses serviços de nuvem passam por auditorias independentes regulares de terceiros para conformidade com a ISO/IEC 27001:2022. Pode rever o certificado e o relatório de auditoria ISO/IEC 27001:2022 do Azure em Ofertas de conformidade do Azure – ISO/IEC 27001:2022.

Importante

O status de conformidade do Azure não confere acreditação ISO/IEC 27001 para os serviços que uma organização cria ou hospeda na plataforma Azure. As organizações são responsáveis por garantir a conformidade de suas operações com os requisitos da ISO/IEC 27001:2022.

Soluções locais

No local, o Azure Local fornece uma matriz de recursos que ajudam as organizações a satisfazer os requisitos de segurança da ISO/IEC 27001:2022. As seções a seguir fornecem mais informações.

Recursos locais do Azure relevantes para a ISO/IEC 27001:2022

Esta seção descreve como as organizações podem usar a funcionalidade Local do Azure para atender aos controles de segurança no Anexo A da ISO/IEC 27001:2022. As informações que se seguem abrangem apenas os requisitos técnicos. Os requisitos relacionados às operações de segurança estão fora do escopo, pois o Azure Local não pode afetá-los. As orientações estão organizadas pelos nove domínios do Anexo A:

A orientação neste artigo descreve como os recursos do Azure Local podem ser utilizados para atender aos requisitos de cada domínio. É importante notar que nem todos os controles são obrigatórios. As organizações devem analisar seu ambiente e realizar avaliações de risco para determinar quais controles são necessários. Para obter mais informações sobre os requisitos, consulte ISO/IEC 27001.

Segurança da rede

A funcionalidade de segurança de rede descrita nesta seção pode ajudá-lo a cumprir os seguintes controles de segurança especificados na norma ISO/IEC 27001.

  • 8.20 – Segurança da rede
  • 8.21 – Segurança dos serviços de rede
  • 8.22 – Segregação de redes
  • 8.23 – Filtragem da Web

Com o Azure Local, você pode aplicar controles de segurança de rede para proteger sua plataforma e as cargas de trabalho em execução nela contra ameaças de rede externas e internas. O Azure Local também garante uma alocação de rede justa em um host e melhora o desempenho e a disponibilidade da carga de trabalho com recursos de balanceamento de carga. Saiba mais sobre segurança de rede no Azure Local nos seguintes artigos.

Gestão de identidades e acessos

A funcionalidade de gerenciamento de identidade e acesso descrita nesta seção pode ajudá-lo a atender aos seguintes controles de segurança especificados na norma ISO/IEC 27001.

  • 8.2 – Direitos de acesso privilegiados
  • 8.3 – Restrições de acesso à informação
  • 8.5 – Autenticação segura

O Azure Local fornece acesso total e direto ao sistema subjacente em execução em máquinas por meio de várias interfaces, como Azure Arc e Windows PowerShell. Você pode usar ferramentas convencionais do Windows em ambientes locais ou soluções baseadas em nuvem, como o Microsoft Entra ID (antigo Azure Ative Directory) para gerenciar a identidade e o acesso à plataforma. Em ambos os casos, você pode aproveitar os recursos de segurança internos, como autenticação multifator (MFA), acesso condicional, controle de acesso baseado em função (RBAC) e gerenciamento privilegiado de identidade (PIM) para garantir que seu ambiente seja seguro e compatível.

Saiba mais sobre o gerenciamento de identidade e acesso local em Microsoft Identity Manager e Privileged Access Management for Ative Directory Domain Services. Saiba mais sobre o gerenciamento de identidade e acesso baseado em nuvem em Microsoft Entra ID.

Proteção de dados

A funcionalidade de proteção de dados descrita nesta seção pode ajudá-lo a cumprir os seguintes controles de segurança especificados na norma ISO/IEC 27001.

  • 8.5 – Autenticação segura
  • 8.20 – Segurança da rede
  • 8.21 - Segurança dos serviços de rede
  • 8.24 – Uso de criptografia

Criptografando dados com o BitLocker

Nas instâncias locais do Azure, todos os dados em repouso podem ser criptografados por meio da criptografia BitLocker XTS-AES de 256 bits. Por padrão, o sistema recomendará que você habilite o BitLocker para criptografar todos os volumes do sistema operacional (SO) e os volumes compartilhados de cluster (CSV) em sua implantação do Azure Local. Para quaisquer novos volumes de armazenamento adicionados após a implantação, você precisa ativar manualmente o BitLocker para criptografar o novo volume de armazenamento. Usar o BitLocker para proteger dados pode ajudar as organizações a permanecerem em conformidade com a ISO/IEC 27001. Saiba mais em Usar o BitLocker com Volumes Compartilhados de Cluster (CSV).

Protegendo o tráfego de rede externa com TLS/DTLS

Por padrão, todas as comunicações do host para pontos de extremidade locais e remotos são criptografadas usando TLS1.2, TLS1.3 e DTLS 1.2. A plataforma desativa o uso de protocolos/hashes mais antigos, como TLS/DTLS 1.1 SMB1. O Azure Local também suporta conjuntos de codificação fortes, como curvas elípticas compatíveis com SDL limitadas apenas às curvas NIST P-256 e P-384.

Protegendo o tráfego de rede interna com o Server Message Block (SMB)

A assinatura SMB é habilitada por padrão para conexões de cliente em instâncias locais do Azure. Para o tráfego intra-cluster, a criptografia SMB é uma opção que as organizações podem habilitar durante ou após a implantação para proteger os dados em trânsito entre sistemas. Os pacotes criptográficos AES-256-GCM e AES-256-CCM agora são suportados pelo protocolo SMB 3.1.1 usado pelo tráfego de arquivos cliente-servidor e pela malha de dados intracluster. O protocolo continua a suportar o pacote AES-128 mais amplamente compatível também. Saiba mais em Aprimoramentos de segurança do SMB.

Registo

A funcionalidade de registo descrita nesta secção pode ajudá-lo a cumprir os seguintes controlos de segurança especificados na norma ISO/IEC 27001.

  • 8.15 – Registo
  • 8.17 – Sincronização de relógios

Logs do sistema local

Por padrão, todas as operações executadas na instância Local do Azure são registradas para que você possa controlar quem fez o quê, quando e onde na plataforma. Os logs e alertas criados pelo Windows Defender também estão incluídos para ajudá-lo a prevenir, detetar e minimizar a probabilidade e o impacto de um comprometimento de dados. No entanto, como o log do sistema geralmente contém um grande volume de informações, muitas delas estranhas ao monitoramento de segurança da informação, você precisa identificar quais eventos são relevantes para serem coletados e utilizados para fins de monitoramento de segurança. Os recursos de monitoramento do Azure ajudam a coletar, armazenar, alertar e analisar esses logs. Consulte a Linha de Base de Segurança do Azure Local para saber mais.

Logs de atividades locais

O Azure Local Lifecycle Manager cria e armazena logs de atividades para qualquer plano de ação executado. Esses logs suportam investigação e monitoramento mais profundos.

Registos de atividade na nuvem

Ao registrar seus sistemas no Azure, você pode usar os logs de atividade do Azure Monitor para registrar operações em cada recurso na camada de assinatura para determinar o quê, quem e quando para quaisquer operações de gravação (colocar, postar ou excluir) realizadas nos recursos em sua assinatura.

Registos de identidade na nuvem

Se estiver a utilizar o Microsoft Entra ID para gerir a identidade e o acesso à plataforma, pode ver os registos nos relatórios do Azure AD ou integrá-los com o Azure Monitor, o Microsoft Sentinel ou outras ferramentas de SIEM/monitorização para casos de utilização sofisticados de monitorização e análise. Se você estiver usando o Ative Directory local, use a solução Microsoft Defender for Identity para consumir seus sinais do Ative Directory local para identificar, detetar e investigar ameaças avançadas, identidades comprometidas e ações internas maliciosas direcionadas à sua organização.

Integração da SIEM

O Microsoft Defender for Cloud e o Microsoft Sentinel são integrados nativamente com máquinas Azure Local habilitadas para Arc. Você pode habilitar e integrar seus logs ao Microsoft Sentinel, que fornece recursos de gerenciamento de eventos de informações de segurança (SIEM) e de resposta automatizada de orquestração de segurança (SOAR). O Microsoft Sentinel, como outros serviços de nuvem do Azure, também está em conformidade com muitos padrões de segurança bem estabelecidos, como a ISO/IEC 27001, que pode ajudá-lo com seu processo de certificação. Além disso, o Azure Local fornece um encaminhador de eventos syslog nativo para enviar os eventos do sistema para as soluções SIEM de terceiros.

Monitorização

A funcionalidade de monitoramento descrita nesta seção pode ajudá-lo a cumprir os seguintes controles de segurança especificados na norma ISO/IEC 27001.

  • 8.15 – Registo

Insights para o Azure Local

O Insights for Azure Local permite monitorar informações de integridade, desempenho e uso de sistemas conectados ao Azure e inscritos no monitoramento. Durante a configuração do Insights, uma regra de coleta de dados é criada, que especifica os dados a serem coletados. Esses dados são armazenados em um espaço de trabalho do Log Analytics, que é agregado, filtrado e analisado para fornecer painéis de monitoramento pré-criados usando pastas de trabalho do Azure. Você pode exibir os dados de monitoramento para sistemas de nó único e de vários nós na página de recursos do Azure Local ou no Azure Monitor. Saiba mais em Monitorar o Azure Local com Insights.

Métricas para o Azure Local

O Metrics for Azure Local armazena dados numéricos de recursos monitorados em um banco de dados de séries temporais. Você pode usar o explorador de métricas do Azure Monitor para analisar interativamente os dados em seu banco de dados de métricas e mapear os valores de várias métricas ao longo do tempo. Com o Metrics, você pode criar gráficos a partir de valores métricos e correlacionar visualmente tendências.

Alertas de registo

Para indicar problemas em tempo real, configure alertas para o Azure Local, usando consultas de log de exemplo pré-existentes, como CPU média do servidor, memória disponível, capacidade de volume disponível e muito mais. Saiba mais em Configurar alertas para sistemas locais do Azure.

Alertas de métricas

Uma regra de alerta de métrica monitora um recurso avaliando as condições nas métricas do recurso em intervalos regulares. Se as condições se cumprirem, é acionado um alerta. Uma série temporal métrica é uma série de valores métricos capturados ao longo de um período de tempo. Você pode usar essas métricas para criar regras de alerta. Saiba mais sobre como criar alertas de métricas em Alertas métricos.

Alertas de serviço e dispositivo

O Azure Local fornece alertas baseados em serviço para conectividade, atualizações do sistema operacional, configuração do Azure e muito mais. Alertas baseados em dispositivo para falhas de integridade do cluster também estão disponíveis. Você também pode monitorar instâncias locais do Azure e seus componentes subjacentes usando o PowerShell ou o Serviço de Integridade.

Configuração Segura

A funcionalidade de configuração segura descrita nesta seção pode ajudá-lo a atender aos seguintes requisitos de controle de segurança da ISO/IEC 27001.

  • 8.8 – Gestão de vulnerabilidades técnicas
  • 8.9 – Gestão da configuração

Seguro por padrão

O Azure Local é configurado de forma segura por padrão com ferramentas e tecnologias de segurança que defendem contra ameaças modernas e se alinham com as linhas de base do Azure Compute Security. Saiba mais em Gerenciar padrões de segurança para o Azure Local.

Proteção contra desvios

A configuração de segurança padrão e as configurações de núcleo seguro da plataforma são protegidas durante a implantação e o tempo de execução com proteção de controle de desvio. Quando ativada, a proteção de controle de desvio atualiza as configurações de segurança regularmente a cada 90 minutos para garantir que quaisquer alterações do estado especificado sejam corrigidas. Esse monitoramento contínuo e a correção automática permitem que você tenha uma configuração de segurança consistente e confiável durante todo o ciclo de vida do dispositivo. Você pode desativar a proteção contra desvio durante a implantação ao definir as configurações de segurança.

Linha de base de segurança para carga de trabalho

Para cargas de trabalho em execução no Azure Local, você pode usar a linha de base recomendada do sistema operacional do Azure (para Windows e Linux) como referência para definir sua linha de base de configuração de recursos de computação.

Atualização da plataforma

Todos os componentes do Azure Local, incluindo o sistema operacional, os principais agentes e serviços e a extensão da solução, podem ser mantidos facilmente com o Lifecycle Manager. Esse recurso permite agrupar diferentes componentes em uma versão de atualização e valida a combinação de versões para garantir a interoperabilidade. Saiba mais em Atualizações da solução Lifecycle Manager for Azure Local.

As cargas de trabalho dos clientes não são cobertas por esta solução de atualização.

Proteção contra ameaças

A funcionalidade de proteção contra ameaças nesta seção pode ajudá-lo a atender aos seguintes requisitos de controle de segurança da ISO/IEC 27001.

  • 8.7 – Proteção contra malware

Antivírus do Windows Defender

O Windows Defender Antivírus é um aplicativo utilitário que oferece a capacidade de impor a verificação do sistema em tempo real e a verificação periódica para proteger a plataforma e as cargas de trabalho contra vírus, malware, spyware e outras ameaças. Por padrão, o Microsoft Defender Antivírus está habilitado no Azure Local. A Microsoft recomenda o uso do Microsoft Defender Antivírus com o Azure Local em vez de software e serviços antivírus e de deteção de malware de terceiros, pois eles podem afetar a capacidade do sistema operacional de receber atualizações. Saiba mais em Microsoft Defender Antivirus no Windows Server.

Controle de Aplicativo do Windows Defender (WDAC)

O WDAC (Controle de Aplicativo do Windows Defender) é habilitado por padrão no Azure Local para controlar quais drivers e aplicativos podem ser executados diretamente em cada máquina, ajudando a impedir que malware acesse os sistemas. Saiba mais sobre as políticas básicas incluídas no Azure Local e como criar políticas suplementares no Windows Defender Application Control for Azure Local.

Microsoft Defender para a Cloud

O Microsoft Defender for Cloud com Endpoint Protection (habilitado por meio do plano Defender for Servers) fornece uma solução de gerenciamento de segurança com recursos avançados de proteção contra ameaças. Ele fornece ferramentas para avaliar o status de segurança de sua infraestrutura, proteger cargas de trabalho, aumentar alertas de segurança e seguir recomendações específicas para remediar ataques e lidar com ameaças futuras. Ele executa todos esses serviços em alta velocidade na nuvem sem sobrecarga de implantação por meio de provisionamento automático e proteção com os serviços do Azure. Saiba mais em Microsoft Defender for Cloud.

Cópia de segurança e recuperação

A funcionalidade de backup e recuperação descrita nesta seção pode ajudá-lo a atender aos seguintes requisitos de controle de segurança da ISO/IEC 27001.

  • 8.7 – Proteção contra malware
  • 8.13 – Backup de informações
  • 8.14 – Redundância de informação

Aglomerado esticado

O Azure Local fornece suporte interno para recuperação de desastres de cargas de trabalho virtualizadas por meio de clustering estendido. Ao implantar uma instância local do Azure estendida, você pode replicar de forma síncrona suas cargas de trabalho virtualizadas em dois locais locais separados e fazer failover automaticamente entre eles. Os failovers de site planejados podem ocorrer sem tempo de inatividade usando a migração ao vivo do Hyper-V.

Nós de cluster do Kubernetes

Se você usar o Azure Local para hospedar implantações baseadas em contêiner, a plataforma ajudará a aprimorar a agilidade e a resiliência inerentes às implantações do Kubernetes do Azure. O Azure Local gerencia o failover automático de VMs que servem como nós de cluster do Kubernetes se houver uma falha localizada dos componentes físicos subjacentes. Essa configuração complementa a alta disponibilidade incorporada ao Kubernetes, que reinicia automaticamente os contêineres com falha na mesma ou em outra VM.

Azure Site Recovery

Esse serviço permite replicar cargas de trabalho em execução em suas VMs locais do Azure para a nuvem para que seu sistema de informações possa ser restaurado se houver um incidente, falha ou perda de mídia de armazenamento. Como outros serviços de nuvem do Azure, o Azure Site Recovery tem um longo histórico de certificados de segurança, incluindo HITRUST, que você pode usar para dar suporte ao seu processo de credenciamento. Saiba mais em Proteger cargas de trabalho de VM com o Azure Site Recovery no Azure Local.

Servidor de Backup do Microsoft Azure (MABS)

Esse serviço permite fazer backup de máquinas virtuais locais do Azure, especificando uma frequência e um período de retenção desejados. Você pode usar o MABS para fazer backup da maioria dos seus recursos em todo o ambiente, incluindo:

  • Estado do sistema/BMR (Bare-Metal Recovery) do host local do Azure
  • VMs convidadas em um sistema que tenha armazenamento local ou conectado diretamente
  • VMs convidadas em instâncias locais do Azure com armazenamento CSV
  • VM Move dentro de um cluster

Saiba mais em Fazer backup de máquinas virtuais locais do Azure com o Servidor de Backup do Azure.

Escalabilidade e disponibilidade

A funcionalidade de escalabilidade e disponibilidade descrita nesta seção pode ajudá-lo a atender aos seguintes requisitos de controle de segurança da ISO/IEC 27001.

  • 8.6 – Gestão da capacidade
  • 8.14 – Redundância de informação

Modelos hiperconvergentes

O Azure Local usa modelos hiperconvergentes de Espaços de Armazenamento Diretos para implantar cargas de trabalho. Esse modelo de implantação permite dimensionar facilmente adicionando novos nós que expandem automaticamente a computação e o armazenamento ao mesmo tempo sem tempo de inatividade.

Clusters de ativação pós-falha

As instâncias locais do Azure são clusters de failover. Se um servidor que faz parte do Azure Local falhar ou ficar indisponível, outro servidor no mesmo cluster de failover assumirá a tarefa de fornecer os serviços oferecidos pelo nó com falha. Você cria um cluster de failover habilitando os Espaços de Armazenamento diretamente em várias máquinas que executam o Azure Local.