Partilhar via

Detalhes da iniciativa integrada de Conformidade Regulatória OFFICIAL e NHS do Reino Unido

  • Artigo

O artigo a seguir detalha como a definição de iniciativa interna de Conformidade Regulatória da Política do Azure mapeia para domínios e controles de conformidade no UK OFFICIAL e no UK NHS. Para obter mais informações sobre essa norma de conformidade, consulte UK OFFICIAL e UK NHS. Para compreender a Propriedade, reveja o tipo de política e a Responsabilidade partilhada na nuvem.

Os mapeamentos a seguir são para os controles UK OFFICIAL e UK NHS . Muitos dos controles são implementados com uma definição de iniciativa de Política do Azure. Para rever a definição completa da iniciativa, abra Política no portal do Azure e selecione a página Definições . Em seguida, localize e selecione a definição de iniciativa integrada de Conformidade Regulatória do Reino Unido OFFICIAL e UK NHS Regulatory Compliance.

Importante

Cada controle abaixo está associado a uma ou mais definições de Política do Azure. Essas políticas podem ajudá-lo a avaliar a conformidade com o controle, no entanto, muitas vezes não há uma correspondência individual ou completa entre um controle e uma ou mais políticas. Como tal, Compatível na Política do Azure refere-se apenas às próprias definições de política, o que não garante que esteja totalmente em conformidade com todos os requisitos de um controlo. Além disso, o padrão de conformidade inclui controles que não são abordados por nenhuma definição de Política do Azure no momento. Portanto, a conformidade na Política do Azure é apenas uma exibição parcial do seu status geral de conformidade. As associações entre domínios de conformidade, controles e definições de Política do Azure para esse padrão de conformidade podem mudar ao longo do tempo. Para visualizar o histórico de alterações, consulte o Histórico de confirmação do GitHub.

Proteção de dados em trânsito

Proteção de dados em trânsito

ID: UK NCSC CSP 1 Propriedade: Compartilhada

Nome
(Portal do Azure)		 Description Efeito(s) Versão
(GitHub)
Os aplicativos do Serviço de Aplicativo só devem ser acessíveis por HTTPS O uso de HTTPS garante a autenticação do servidor/serviço e protege os dados em trânsito contra ataques de espionagem da camada de rede. Auditar, Desabilitar, Negar 4.0.0
Os aplicativos de função só devem ser acessíveis por HTTPS O uso de HTTPS garante a autenticação do servidor/serviço e protege os dados em trânsito contra ataques de espionagem da camada de rede. Auditar, Desabilitar, Negar 5.0.0
Somente conexões seguras com seu Cache Redis do Azure devem ser habilitadas Ativação de auditoria apenas de conexões via SSL para o Cache do Azure para Redis. O uso de conexões seguras garante a autenticação entre o servidor e o serviço e protege os dados em trânsito contra ataques da camada de rede, como man-in-the-middle, escutas e sequestro de sessão Auditoria, Negar, Desativado 1.0.0
A transferência segura para contas de armazenamento deve ser ativada Requisito de auditoria de transferência segura em sua conta de armazenamento. A transferência segura é uma opção que força sua conta de armazenamento a aceitar solicitações somente de conexões seguras (HTTPS). O uso de HTTPS garante a autenticação entre o servidor e o serviço e protege os dados em trânsito contra ataques da camada de rede, como man-in-the-middle, escutas e sequestro de sessão Auditoria, Negar, Desativado 2.0.0
As máquinas Windows devem ser configuradas para usar protocolos de comunicação seguros Para proteger a privacidade das informações comunicadas pela Internet, suas máquinas devem usar a versão mais recente do protocolo criptográfico padrão do setor, Transport Layer Security (TLS). O TLS protege as comunicações através de uma rede encriptando uma ligação entre máquinas. AuditIfNotExists, desativado 4.1.1

Identidade e autenticação

Identidade e autenticação

ID: UK NCSC CSP 10 Propriedade: Compartilhada

Nome
(Portal do Azure)		 Description Efeito(s) Versão
(GitHub)
Contas com permissões de proprietário em recursos do Azure devem ser habilitadas para MFA A autenticação multifator (MFA) deve ser habilitada para todas as contas de assinatura com permissões de proprietário para evitar uma violação de contas ou recursos. AuditIfNotExists, desativado 1.0.0
Contas com permissões de leitura em recursos do Azure devem ser habilitadas para MFA A autenticação multifator (MFA) deve ser habilitada para todas as contas de assinatura com privilégios de leitura para evitar uma violação de contas ou recursos. AuditIfNotExists, desativado 1.0.0
Contas com permissões de gravação em recursos do Azure devem ser habilitadas para MFA A autenticação multifator (MFA) deve ser habilitada para todas as contas de assinatura com privilégios de gravação para evitar uma violação de contas ou recursos. AuditIfNotExists, desativado 1.0.0
Adicionar identidade gerenciada atribuída ao sistema para habilitar atribuições de Configuração de Convidado em máquinas virtuais sem identidades Esta política adiciona uma identidade gerenciada atribuída pelo sistema a máquinas virtuais hospedadas no Azure que são suportadas pela Configuração de Convidado, mas não têm identidades gerenciadas. Uma identidade gerenciada atribuída ao sistema é um pré-requisito para todas as atribuições de Configuração de Convidado e deve ser adicionada às máquinas antes de usar qualquer definição de política de Configuração de Convidado. Para obter mais informações sobre Configuração de convidado, visite https://aka.ms/gcpol. modificar 4.1.0
Adicionar identidade gerenciada atribuída pelo sistema para habilitar atribuições de Configuração de Convidado em VMs com uma identidade atribuída pelo usuário Esta política adiciona uma identidade gerenciada atribuída pelo sistema a máquinas virtuais hospedadas no Azure que são suportadas pela Configuração de Convidado e têm pelo menos uma identidade atribuída pelo usuário, mas não têm uma identidade gerenciada atribuída pelo sistema. Uma identidade gerenciada atribuída ao sistema é um pré-requisito para todas as atribuições de Configuração de Convidado e deve ser adicionada às máquinas antes de usar qualquer definição de política de Configuração de Convidado. Para obter mais informações sobre Configuração de convidado, visite https://aka.ms/gcpol. modificar 4.1.0
Um administrador do Ative Directory do Azure deve ser provisionado para servidores SQL Provisionamento de auditoria de um administrador do Azure Ative Directory para seu servidor SQL para habilitar a autenticação do Azure AD. A autenticação do Azure AD permite o gerenciamento simplificado de permissões e o gerenciamento centralizado de identidades de usuários de banco de dados e outros serviços da Microsoft AuditIfNotExists, desativado 1.0.0
Auditar máquinas Linux que permitem conexões remotas de contas sem senhas Requer que os pré-requisitos sejam implantados no escopo da atribuição de política. Para mais detalhes, visite https://aka.ms/gcpol. As máquinas não são compatíveis se as máquinas Linux que permitem conexões remotas de contas sem senhas AuditIfNotExists, desativado 3.1.0
Auditar máquinas Linux que não têm as permissões de arquivo passwd definidas como 0644 Requer que os pré-requisitos sejam implantados no escopo da atribuição de política. Para mais detalhes, visite https://aka.ms/gcpol. As máquinas não são compatíveis se as máquinas Linux que não têm as permissões de arquivo passwd definidas como 0644 AuditIfNotExists, desativado 3.1.0
Auditar máquinas Linux que têm contas sem senhas Requer que os pré-requisitos sejam implantados no escopo da atribuição de política. Para mais detalhes, visite https://aka.ms/gcpol. As máquinas não são compatíveis se as máquinas Linux que têm contas sem senhas AuditIfNotExists, desativado 3.1.0
Auditar VMs que não usam discos gerenciados Esta política audita VMs que não utilizam discos geridos auditoria 1.0.0
Auditar máquinas Windows que permitem a reutilização das senhas após o número especificado de senhas exclusivas Requer que os pré-requisitos sejam implantados no escopo da atribuição de política. Para mais detalhes, visite https://aka.ms/gcpol. As máquinas não são compatíveis se as máquinas Windows que permitem a reutilização das senhas após o número especificado de senhas exclusivas. O valor padrão para senhas exclusivas é 24 AuditIfNotExists, desativado 2.1.0
Auditar máquinas Windows que não têm a idade máxima da senha definida para o número especificado de dias Requer que os pré-requisitos sejam implantados no escopo da atribuição de política. Para mais detalhes, visite https://aka.ms/gcpol. As máquinas não são compatíveis se as máquinas Windows que não têm a idade máxima da senha definida para o número especificado de dias. O valor padrão para a idade máxima da senha é 70 dias AuditIfNotExists, desativado 2.1.0
Auditar máquinas Windows que não têm a idade mínima da senha definida para o número especificado de dias Requer que os pré-requisitos sejam implantados no escopo da atribuição de política. Para mais detalhes, visite https://aka.ms/gcpol. As máquinas não são compatíveis se as máquinas Windows que não têm a idade mínima da senha definida para o número especificado de dias. O valor padrão para a idade mínima da senha é de 1 dia AuditIfNotExists, desativado 2.1.0
Auditar máquinas Windows que não têm a configuração de complexidade de senha habilitada Requer que os pré-requisitos sejam implantados no escopo da atribuição de política. Para mais detalhes, visite https://aka.ms/gcpol. As máquinas não são compatíveis se as máquinas Windows que não têm a configuração de complexidade de senha habilitada AuditIfNotExists, desativado 2.0.0
Auditar máquinas Windows que não restringem o comprimento mínimo da senha ao número especificado de caracteres Requer que os pré-requisitos sejam implantados no escopo da atribuição de política. Para mais detalhes, visite https://aka.ms/gcpol. As máquinas não são compatíveis se as máquinas Windows que não restringem o comprimento mínimo da senha ao número especificado de caracteres. O valor padrão para o comprimento mínimo da senha é de 14 caracteres AuditIfNotExists, desativado 2.1.0
Contas bloqueadas com permissões de proprietário em recursos do Azure devem ser removidas Contas preteridas com permissões de proprietário devem ser removidas da sua assinatura. Contas preteridas são contas que foram bloqueadas para entrar. AuditIfNotExists, desativado 1.0.0
Contas bloqueadas com permissões de leitura e gravação em recursos do Azure devem ser removidas As contas preteridas devem ser removidas das suas subscrições. Contas preteridas são contas que foram bloqueadas para entrar. AuditIfNotExists, desativado 1.0.0
Implante a extensão Configuração de Convidado do Linux para habilitar atribuições de Configuração de Convidado em VMs Linux Esta política implanta a extensão de Configuração de Convidado do Linux em máquinas virtuais Linux hospedadas no Azure que são suportadas pela Configuração de Convidado. A extensão de Configuração de Convidado do Linux é um pré-requisito para todas as atribuições de Configuração de Convidado do Linux e deve ser implantada em máquinas antes de usar qualquer definição de política de Configuração de Convidado do Linux. Para obter mais informações sobre Configuração de convidado, visite https://aka.ms/gcpol. deployIfNotExists 3.1.0
Implantar a extensão Configuração de Convidado do Windows para habilitar atribuições de Configuração de Convidado em VMs do Windows Esta política implanta a extensão Configuração de Convidado do Windows em máquinas virtuais do Windows hospedadas no Azure que são suportadas pela Configuração de Convidado. A extensão de Configuração de Convidado do Windows é um pré-requisito para todas as atribuições de Configuração de Convidado do Windows e deve ser implantada em máquinas antes de usar qualquer definição de política de Configuração de Convidado do Windows. Para obter mais informações sobre Configuração de convidado, visite https://aka.ms/gcpol. deployIfNotExists 1.2.0
Contas de convidado com permissões de proprietário em recursos do Azure devem ser removidas As contas externas com permissões de proprietário devem ser removidas da sua subscrição para evitar o acesso não monitorizado. AuditIfNotExists, desativado 1.0.0
Contas de convidado com permissões de leitura em recursos do Azure devem ser removidas As contas externas com privilégios de leitura devem ser removidas da sua subscrição para evitar o acesso não monitorizado. AuditIfNotExists, desativado 1.0.0
Contas de convidado com permissões de gravação em recursos do Azure devem ser removidas As contas externas com privilégios de escrita devem ser removidas da sua subscrição para evitar o acesso não monitorizado. AuditIfNotExists, desativado 1.0.0
Os clusters do Service Fabric só devem usar o Azure Ative Directory para autenticação de cliente Auditar o uso da autenticação de cliente somente por meio do Azure Ative Directory no Service Fabric Auditoria, Negar, Desativado 1.1.0
As contas de armazenamento devem ser migradas para novos recursos do Azure Resource Manager Use o novo Azure Resource Manager para suas contas de armazenamento para fornecer aprimoramentos de segurança, como: RBAC (controle de acesso mais forte), melhor auditoria, implantação e governança baseadas no Azure Resource Manager, acesso a identidades gerenciadas, acesso ao cofre de chaves para segredos, autenticação baseada no Azure AD e suporte para tags e grupos de recursos para facilitar o gerenciamento de segurança Auditoria, Negar, Desativado 1.0.0
As máquinas virtuais devem ser migradas para novos recursos do Azure Resource Manager Use o novo Azure Resource Manager para suas máquinas virtuais para fornecer aprimoramentos de segurança, como: RBAC (controle de acesso mais forte), melhor auditoria, implantação e governança baseadas no Azure Resource Manager, acesso a identidades gerenciadas, acesso ao cofre de chaves para segredos, autenticação baseada no Azure AD e suporte para tags e grupos de recursos para facilitar o gerenciamento de segurança Auditoria, Negar, Desativado 1.0.0

Proteção de interface externa

Proteção de interface externa

ID: UK NCSC CSP 11 Propriedade: Compartilhada

Nome
(Portal do Azure)		 Description Efeito(s) Versão
(GitHub)
Todas as portas de rede devem ser restritas em grupos de segurança de rede associados à sua máquina virtual A Central de Segurança do Azure identificou que algumas das regras de entrada dos seus grupos de segurança de rede são muito permissivas. As regras de entrada não devem permitir o acesso a partir de intervalos de «Qualquer» ou «Internet». Isso pode potencialmente permitir que os invasores direcionem seus recursos. AuditIfNotExists, desativado 3.0.0
Os aplicativos do Serviço de Aplicativo devem ter a depuração remota desativada A depuração remota requer que as portas de entrada sejam abertas em um aplicativo do Serviço de Aplicativo. A depuração remota deve ser desativada. AuditIfNotExists, desativado 2.0.0
Os aplicativos de função devem ter a depuração remota desativada A depuração remota requer que as portas de entrada sejam abertas em aplicativos Function. A depuração remota deve ser desativada. AuditIfNotExists, desativado 2.0.0
As portas de gerenciamento de máquinas virtuais devem ser protegidas com controle de acesso à rede just-in-time O possível acesso à rede Just In Time (JIT) será monitorado pela Central de Segurança do Azure como recomendações AuditIfNotExists, desativado 3.0.0
As contas de armazenamento devem restringir o acesso à rede O acesso à rede para contas de armazenamento deve ser restrito. Configure regras de rede para que apenas aplicativos de redes permitidas possam acessar a conta de armazenamento. Para permitir conexões de clientes específicos da Internet ou locais, o acesso pode ser concedido ao tráfego de redes virtuais específicas do Azure ou a intervalos de endereços IP da Internet pública Auditoria, Negar, Desativado 1.1.1

Informações de auditoria para usuários

Informações de auditoria para usuários

ID: UK NCSC CSP 13 Propriedade: Compartilhada

Nome
(Portal do Azure)		 Description Efeito(s) Versão
(GitHub)
Configuração de diagnóstico de auditoria para tipos de recursos selecionados Configuração de diagnóstico de auditoria para tipos de recursos selecionados. Certifique-se de selecionar apenas os tipos de recursos que suportam configurações de diagnóstico. AuditIfNotExists 2.0.1
A auditoria no SQL Server deve ser habilitada A auditoria no SQL Server deve ser habilitada para controlar as atividades do banco de dados em todos os bancos de dados no servidor e salvá-las em um log de auditoria. AuditIfNotExists, desativado 2.0.0
O Azure Defender for SQL deve ser habilitado para servidores SQL do Azure desprotegidos Audite servidores SQL sem Segurança de Dados Avançada AuditIfNotExists, desativado 2.0.1

Proteção e resiliência de ativos

Proteção de dados em repouso

ID: UK NCSC CSP 2.3 Propriedade: Compartilhada

Nome
(Portal do Azure)		 Description Efeito(s) Versão
(GitHub)
As variáveis de conta de automação devem ser criptografadas É importante habilitar a criptografia de ativos variáveis de conta de automação ao armazenar dados confidenciais Auditoria, Negar, Desativado 1.1.0
Os clusters do Service Fabric devem ter a propriedade ClusterProtectionLevel definida como EncryptAndSign O Service Fabric fornece três níveis de proteção (Nenhum, Assinar e EncryptAndSign) para comunicação nó a nó usando um certificado de cluster primário. Defina o nível de proteção para garantir que todas as mensagens nó a nó sejam criptografadas e assinadas digitalmente Auditoria, Negar, Desativado 1.1.0
A criptografia de dados transparente em bancos de dados SQL deve ser habilitada A criptografia de dados transparente deve ser habilitada para proteger os dados em repouso e atender aos requisitos de conformidade AuditIfNotExists, desativado 2.0.0

Segurança operacional

Gestão de vulnerabilidades

ID: UK NCSC CSP 5.2 Propriedade: Compartilhada

Nome
(Portal do Azure)		 Description Efeito(s) Versão
(GitHub)
Uma solução de avaliação de vulnerabilidade deve ser habilitada em suas máquinas virtuais Audita máquinas virtuais para detetar se elas estão executando uma solução de avaliação de vulnerabilidade suportada. Um componente central de cada programa de segurança e risco cibernético é a identificação e análise de vulnerabilidades. O nível de preços padrão da Central de Segurança do Azure inclui a verificação de vulnerabilidades para suas máquinas virtuais sem custo extra. Além disso, a Central de Segurança pode implantar automaticamente essa ferramenta para você. AuditIfNotExists, desativado 3.0.0
O Azure Defender for SQL deve ser habilitado para servidores SQL do Azure desprotegidos Audite servidores SQL sem Segurança de Dados Avançada AuditIfNotExists, desativado 2.0.1
O Azure Defender for SQL deve ser habilitado para Instâncias Gerenciadas SQL desprotegidas Audite cada instância gerenciada SQL sem segurança de dados avançada. AuditIfNotExists, desativado 1.0.2
Os bancos de dados SQL devem ter as descobertas de vulnerabilidade resolvidas Monitore a avaliação de vulnerabilidades, os resultados da verificação e as recomendações sobre como corrigir vulnerabilidades do banco de dados. AuditIfNotExists, desativado 4.1.0
As vulnerabilidades na configuração de segurança em suas máquinas devem ser corrigidas Os servidores que não satisfizerem a linha de base configurada serão monitorados pela Central de Segurança do Azure como recomendações AuditIfNotExists, desativado 3.1.0
A avaliação de vulnerabilidade deve ser habilitada na Instância Gerenciada SQL Audite cada Instância Gerenciada do SQL que não tenha verificações recorrentes de avaliação de vulnerabilidades habilitadas. A avaliação de vulnerabilidades pode descobrir, rastrear e ajudá-lo a corrigir possíveis vulnerabilidades do banco de dados. AuditIfNotExists, desativado 1.0.1
A avaliação de vulnerabilidade deve ser habilitada em seus servidores SQL Audite os servidores SQL do Azure que não têm a avaliação de vulnerabilidades configurada corretamente. A avaliação de vulnerabilidades pode descobrir, rastrear e ajudá-lo a corrigir possíveis vulnerabilidades do banco de dados. AuditIfNotExists, desativado 3.0.0

Monitorização de Proteção

ID: UK NCSC CSP 5.3 Propriedade: Compartilhada

Nome
(Portal do Azure)		 Description Efeito(s) Versão
(GitHub)
Auditar máquinas virtuais sem recuperação de desastres configurada Audite máquinas virtuais que não tenham a recuperação de desastres configurada. Para saber mais sobre recuperação de desastres, visite https://aka.ms/asr-doc. auditIfNotExists 1.0.0
A Proteção contra DDoS do Azure deve ser habilitada A proteção contra DDoS deve ser habilitada para todas as redes virtuais com uma sub-rede que faça parte de um gateway de aplicativo com um IP público. AuditIfNotExists, desativado 3.0.1
As contas de armazenamento devem restringir o acesso à rede O acesso à rede para contas de armazenamento deve ser restrito. Configure regras de rede para que apenas aplicativos de redes permitidas possam acessar a conta de armazenamento. Para permitir conexões de clientes específicos da Internet ou locais, o acesso pode ser concedido ao tráfego de redes virtuais específicas do Azure ou a intervalos de endereços IP da Internet pública Auditoria, Negar, Desativado 1.1.1

Gerenciamento seguro de usuários

Autenticação de usuários em interfaces de gerenciamento e canais de suporte

ID: UK NCSC CSP 9.1 Propriedade: Compartilhada

Nome
(Portal do Azure)		 Description Efeito(s) Versão
(GitHub)
Contas com permissões de proprietário em recursos do Azure devem ser habilitadas para MFA A autenticação multifator (MFA) deve ser habilitada para todas as contas de assinatura com permissões de proprietário para evitar uma violação de contas ou recursos. AuditIfNotExists, desativado 1.0.0
Contas com permissões de leitura em recursos do Azure devem ser habilitadas para MFA A autenticação multifator (MFA) deve ser habilitada para todas as contas de assinatura com privilégios de leitura para evitar uma violação de contas ou recursos. AuditIfNotExists, desativado 1.0.0
Contas com permissões de gravação em recursos do Azure devem ser habilitadas para MFA A autenticação multifator (MFA) deve ser habilitada para todas as contas de assinatura com privilégios de gravação para evitar uma violação de contas ou recursos. AuditIfNotExists, desativado 1.0.0
Contas de convidado com permissões de proprietário em recursos do Azure devem ser removidas As contas externas com permissões de proprietário devem ser removidas da sua subscrição para evitar o acesso não monitorizado. AuditIfNotExists, desativado 1.0.0
Contas de convidado com permissões de leitura em recursos do Azure devem ser removidas As contas externas com privilégios de leitura devem ser removidas da sua subscrição para evitar o acesso não monitorizado. AuditIfNotExists, desativado 1.0.0
Contas de convidado com permissões de gravação em recursos do Azure devem ser removidas As contas externas com privilégios de escrita devem ser removidas da sua subscrição para evitar o acesso não monitorizado. AuditIfNotExists, desativado 1.0.0

Próximos passos

Artigos adicionais sobre a Política do Azure: