通过

智能应用程序工作负载的安全性和合规性注意事项

  • 项目

安全性对于任何架构都至关重要。 Microsoft Power Platform 提供一系列全面的工具，可有效确保智能应用程序工作负载的安全。 本文介绍了使用 Power Platform 开发智能应用程序工作负载的安全注意事项和建议。

适用于 Dynamics 365 的 Copilot 和 Power Platform 功能遵循一组核心安全和隐私实践以及 Microsoft 负责任 AI 标准。 Dynamics 365 和 Power Platform 数据受到全面、行业领先的合规性、安全和隐私控制的保护。 有关 Microsoft Copilot Studio 和 Power Platform 安全功能的更多信息，请参阅 Copilot Studio 安全与治理、针对 Dynamics 365 的 Copilot 数据安全和隐私的常见问题和 Power Platform 以及 Microsoft Power Platform 中的安全性。

您应定期评估所采用的服务和技术，以确保您的安全措施与不断变化的威胁形势保持一致。

了解安全要求

了解您正在实施的智能应用程序工作负载的关键要求。 问问自己以下问题，以帮助确定要解决的安全措施。

访问控制和身份验证

  • 您将如何实施访问控制和身份验证机制，以确保只有授权用户才能访问智能应用程序工作负载？
  • 如何确保安全无缝的用户身份验证？
  • 如何控制哪些应用可以与生成式 AI（代理）交互，以及哪些措施确保这些限制有效？

安全和事件管理

  • 您将如何管理和保护应用程序机密，例如 API 密钥和密码？
  • 哪些网络安全要求会影响智能应用工作负载？ 例如，内部 API 是否只能在虚拟网络中访问？
  • 您将如何监视和审核智能应用程序的访问和使用情况？
  • 处理安全漏洞或漏洞的事件响应计划是什么？

合规性和数据驻留

  • 哪些数据驻留要求适用于智能应用程序工作负载中使用的数据？ 您是否知道您的数据将驻留在何处，以及该位置是否符合您的法律或监管义务？
  • 智能应用程序工作负载必须满足哪些法规和合规性要求？

系统集成和网络要求

  • 智能应用程序工作负载将如何与其他内部和外部系统安全地集成？
  • 您的工作负载的网络和集成要求是什么？ 是否需要与内部或外部数据源或 API 集成？

道德考量和负责任的人工智能

  • 如何将道德考量和负责任的 AI 实践纳入智能应用程序工作负载？

实施可靠的身份验证和访问控制措施

身份验证允许用户登录，从而允许您的代理访问受限资源或信息。 用户可以使用Microsoft Entra ID 或任何 OAuth2 身份提供程序登录，如 Google 或 Facebook。

实施强大的身份验证和访问控制措施，以确保授权用户可以访问代理。 确保只有授权用户才能访问代理是安全的基础。 实施多因素身份验证可增加一层额外的安全性。 若要最大程度地降低未经授权的访问风险，请定义角色和权限，以确保用户只能访问所需的资源。 实施条件访问策略，以根据特定条件（如用户位置、设备合规性或风险级别）控制访问。

了解详细信息：

了解法规要求如何影响您的项目

确定并遵守适用于您所在行业的监管要求和规范，例如 GDPR（一般数据保护条例）、HIPAA（健康保险流通与责任法案）或 CCPA（加州消费者隐私法案）。 实施必要的控制以确保合规性。 安排定期合规审计，以验证对监管标准的遵守情况并解决任何差距。 评估对数据位置是否有特定要求，例如要求将数据存储在特定国家或地区。 确保您的数据存储策略满足这些要求。

确保数据得到保护和管理，符合法规要求。 保护智能应用程序工作负载处理的数据对于保持信任并遵守法律和法规标准至关重要。

Microsoft 遵守适用于云服务的数据保护和隐私法律。 我们对世界级行业标准的合规性得到了验证。 可以在特定区域中创建环境，即使与租户所在的区域不同。 默认情况下，对话记录在 Dataverse 中只保留 30 天。 您可以根据每个环境调整此保留期。

了解详细信息：

确保所有集成的安全

确保智能应用程序工作负载与数据源之间的安全通信。 您的智能应用程序工作负载需要与其他系统集成，以访问和处理数据。 若要简化标识管理并增强安全性，请使用服务主体对资源进行非人工访问，并使用 Azure 资源的托管标识。 通过使用 OAuth2 进行身份验证并确保所有 API 通信都经过加密来保护 API。 使用服务主体可确保连接安全，并且不依赖于单个凭据。

了解详细信息：

实施持续监视和审核

安全监视的主要目的是威胁检测。 主要目标是防止潜在的安全漏洞并维护一个安全的环境。 持续监视和审核智能应用程序工作负载的活动，以主动检测和响应。 安全性是一个持续的过程，而不是一次性的配置任务。 定期监视和审核用户访问和交互对于确保智能应用程序工作负载的安全至关重要。

了解详细信息：

使用 Azure 安全工具强制实施安全策略

使用 Azure 的内置安全工具，如 Microsoft Defender for Cloud（以前称为 Azure 安全中心）和 Azure 策略来监控和执行安全策略。

提供员工培训

训练员工了解数据保护最佳实践以及遵守数据驻留要求的重要性。 根据不同员工的具体角色和职责量身定制培训材料。 数据保护法律法规不断演变。 确保定期更新培训计划，以反映最新的法律要求和最佳实践。 使用研讨会、模拟和现实生活场景等互动方法，使培训引人入胜且有效。 提供持续的支持和资源，例如联系数据保护官或法律顾问，以帮助员工随时了解情况并遵守规定。