共用方式為

關於建立安全性基線的建議

  • 發行項

適用於 Power Platform Well-Architected Security 檢查清單建議：

東南：01 建立安全性基線且要符合合規性要求、產業標準和平台建議。 根據基準定期衡量工作負載體系結構和作業，以隨時間維持或改善您的安全性狀況。

本指南說明對開發具有 Microsoft Power Platform 之工作負載的建立安全性基線建議。 安全性基線是組織套用到其 IT 系統和服務的一組最低安全性標準和最佳做法。 安全性基線有助於降低網路攻擊、資料外洩和未經授權的存取的風險。 安全性基線還有助於確保整個組織的一致性、問責制和可稽核性。

良好的安全性基線會協助您：

  • 降低網路攻擊、資料外洩和未經授權的存取的風險。
  • 確保整個組織的一致性、問責制和可稽核性。
  • 保護您的資料和系統的安全
  • 合乎法規要求。
  • 將失察風險降至最低。

安全性基線應在整個組織中廣泛發佈，以便所有利害關係人都知道期望。

建立 Microsoft Power Platform 的安全性基線涉及多個步驟和注意事項，例如：

  • 瞭解環境、連接器、 Power Platform Dataverse Power Apps、和的架構和元件。 Power Automate Copilot Studio

  • 在租用戶、環境和資源等級設定 Power Platform 的安全性設定和角色，例如資料外洩防護原則、環境權限和安全性群組。

  • 利用 Microsoft Entra 識別碼來管理 Power Platform 的使用者識別、驗證和授權，並與其他 Entra 識別碼功能 (如條件式存取和多重要素驗證) 整合。

  • 應用資料保護和加密方法來保護由 Power Platform 儲存和處理的資料，例如敏感度標籤和客戶自控密鑰。

  • 使用 Power Platform 系統管理中心、受控環境和 Microsoft Purview 等工具監視和稽核 Power Platform 的活動和使用方式。

  • 實施 Power Platform 的治理原則和流程，例如定義不同利害關係人的角色和職責，建立核准工作流程和變更管理，以及為使用者和開發人員提供指導和培訓。

本指南可協助你設定同時考慮內部和外部因素的安全性基線。 內部因素包括您的業務需求、風險因素和資產評估。 外部因素包括產業基準和監管標準。 透過遵循這些步驟和注意事項，組織可以為 Power Platform 建立符合其業務目標、合規性要求和風險偏好的安全性基線。 安全性基線可以幫助組織最大化 Power Platform 的優勢，同時將潛在的威脅和挑戰降到最低。

定義

詞彙 定義
基準 工作負載為避免被利用而必須具備的最低安全提供等級。
基準 表示組織渴望之安全性態勢的標準。 隨著時間的推移，它會被評估、衡量和改進。
控制項 對工作負載進行技術或作業控制，有助於防止攻擊並增加攻擊者成本。
法規要求 法律和當局強加的一組由產業標準驅動的業務需求。

關鍵設計原則

安全性基線是一個準則，描述工作負載為改進和維護安全性而必須符合的安全性需求和功能。 您可以新增用於設定界線的原則來使基線更進階。 基線應該是用於衡量安全性等級的標準。 旨在始終達到完整的基線，同時涵蓋廣泛的範圍。

取得業務和技術領導者之間的共識來建立基線。 基線應包括技術控制，但也包括管理和維護安全性態勢的作業方面。

若要建立 Power Platform 的安全性基線，請考慮以下關鍵設計原則：

  • 使用 Microsoft 雲端安全性基準 (MCSB)作為參考框架。 MCSB 是一組全面的安全性最佳做法，涵蓋雲端安全性的各個方面，例如身份識別和存取管理、資料保護、網路安全性、威脅防護和治理。 您可以使用 MCSB 來評估當前的安全性態勢，並找出差距和改進領域。

  • 自訂 MCSB 以滿足您的特定業務需求、合規性要求和風險偏好。 您可能需要根據組織的上下文和目標來新增、修改或移除某些 MCSB 控制項。 例如，您可能需要將安全性基線與與您所在的網域或區域相關的產業標準 (例如 ISO 27001 或 NIST 800-53) 或監管框架 (例如 GDPR、一般資料保護規定或 健康保險可攜與責任法 - HIPAA) 保持一致。

  • 定義 Power Platform的安全性基線的範圍和適用性。 您應明確指定安全性基線涵蓋哪些 Power Platform 元件、功能和服務，以及哪些元件、功能和服務是超出範圍或需要特殊留意。 例如，您可能需要為不同類型的 Power Platform 環境 (如實際執行、開發或沙箱)、連接器 (如標準、自訂或進階)，或應用程式 (如畫布、模型導向或頁面) 定義不同的安全性需求。

透過遵循這些設計原則，可以為 Power Platform 建立反映安全性目標和標準的安全性基線文件，並協助你保護雲端中的資料和資產。

隨著工作負載的變更和環境的成長，若有變更請務必更新基線，以確保基本控制項仍可運作。 下面是有關建立安全性基線的過程的一些建議：

  • 資產清單。 確定工作負載資產的利害關係人以及這些資產的安全性目標。 在資產庫存中，依照安全性需求和嚴重性進行分類。 有關資料資產的詳細資訊，請參閱資料分類建議。

  • 定義工作負載層。 定義您的安全性基線時，思考您將如何根據嚴重性來分類建構的解決方案很重要，這樣您就可以開發流程，確保關鍵應用程式都有必要的護欄來支援它們，同時又不會扼殺生產力案例創新。

  • 風險評估。 找出與每項資產相關的潛在風險並確定其優先順序。

  • 合規性要求。 確定這些資產的任何法規或合規性基線，並套用產業最佳做法。

  • 配置標準。 為每個資產定義和記錄特定的安全性配置和設定。 如果可能，請建立範本或找到可重複的自動化方法，以在整個環境中一致地套用設定。 考慮所有等級的設定。 從與存取或網路相關的租用戶等級安全性設定開始。 然後，考慮 Power Platform 特定於資源的安全設定 (例如特定的 Power Pages 設定) 以及特定於工作負載的安全性設定 (例如如何共用工作負載)。

  • 訪問控制和身份驗證。 指定角色型存取控制 (RBAC) 和多重要素驗證 (MFA)。 記錄在資產等級恰到好處的存取權代表什麼意義。 始終從最小權限的原則開始。

  • 文件和通信。 記錄所有設定、原則和程序。 將詳細資訊傳達給相關利害關係人。

  • 執行和問責。 建立明確的強制機制和不遵守安全性基線的後果。 讓個人和團隊對維護安全性標準負責。

  • 持續監控。 透過可檢視性來評估安全性基線的有效性，並隨時間進行改進。

基線的組成

以下是一些應成為基線一部分的常見類別。 以下清單並不詳盡。 它旨在作為文件範圍的概述

法規合規性

您的設計選擇可能會受到特定產業細分的法規合規性要求或地理限制的影響。 了解法規合規性要求並將其包含在工作負載的體系結構中是非常重要的。

基線應包括根據規管要求定期評估工作負載。 利用平台提供的工具，如可以找出不合規區域的 Microsoft Power Advisor。 與組織的合規性團隊合作，以確保符合和維持所有要求。

範例

生命科學組織組建的解決方案必須符合良好臨床、實驗室和生產規範 (GxP) 的要求。 您可以利用雲端的效率，同時保護患者安全、產品品質和資料完整性。 如需詳細資訊，請參閱 Dynamics 365 和 Power Platform 的 Microsoft GxP 指南。

雖然雲端服務提供者沒有特定的 GxP 憑證，但 Microsoft Azure (託管了 Power Platform) 已經通過了獨立的第三方品質管理和資訊安全性稽核，包括 ISO 9001 和 ISO / IEC 27,001 憑證。 如果要在 Power Platform上部署應用程式，請考慮以下步驟：

  • 根據計算機化系統的預期用途決定適用於計算機化系統的 GxP 要求。
  • 遵循內部程序來進行資格認證和驗證流程，以證明符合 GxP 要求。

開發過程

基線必須包含有關以下內容的建議：

  • 核准使用的 Power Platform 資源類型。
  • 監視資源。
  • 執行記錄和稽核功能。
  • 共用資源。
  • 強制使用或設定資源的原則。
  • 資料保護和網路安全性。

開發團隊需要清楚地了解安全性檢查的範圍、如何在設計和開發 Power Platform 解決方案時考慮到安全性，以及如何執行定期安全性評估。 例如，套用最小權限原則、分隔開發和實際執行環境、使用安全的連接器和閘道，以及驗證使用者輸入和輸出是確保工作負載安全的要求。 傳達如何找出潛在威脅，並具體說明如何執行檢查。

如需詳細資訊，請參閱威脅分析的建議。

開發過程還應為各種測試方法設定標準。 如需詳細資訊，請參閱安全測試的建議。

作業

基線必須包括有關如何偵測威脅以及如何針對指示實際事件的異常活動發出警報的標準。

基線應包括有關設定事件回應流程 (包括通訊和復原計畫) 的建議，並注意哪些流程可以自動化以加快偵測和分析。 有關範例，請參閱 Microsoft 雲端安全性基準：事件回應。

使用產業標準制定安全事件和資料外洩計畫，並確保作業團隊在發現破口時具有全面的計畫。 請與您的組織聯繫，了解是否有網路保險的承保範圍。

訓練

培訓是至關重要的。 請記住，開發應用程式的人員通常並不完全了解安全性風險。 如果你的組織進行了有關如何組建具有 Power Platform 之工作負載的任何培訓，請將安全性基線包含在培訓中。 或者，如果您的組織執行組織範圍的安全性培訓，請將您的 Power Platform 安全性基線包含在該培訓中。

培訓應包括有關租用戶範圍的護欄和設定的教育，這些護欄和設定可能會影響正在組建的工作負載。 他們還需要接受有關製作者需要為其工作負載進行的設定的培訓，例如安全性角色以及如何連接到資料。 確定與他們就他們可能有的任何請求共同處理的過程。

制定和維護安全性培訓計劃，以確保工作負載團隊具備支援安全性目標和要求的適當技能。 團隊需要基本的安全性培訓，以及有關 Power Platform 中安全性概念的培訓 。

使用基線

使用基線來推動計畫和決策。 下面是使用基線來推動工作負載安全性態勢改進的一些方法：

  • 準備設計決策。 使用安全性基線來了解您的 Power Platform 工作負載的安全性要求和期望。 確定團隊成員在開始架構設計之前，接受過有關期望的教育。 透過確定團隊成員知曉安全性基線及其在符合安全性要求方面的角色，防止在實施階段進行代價高昂的調整。 使用安全性基線作為工作負載要求，並在基線定義的界線和約束內設計工作負載。

  • 衡量您的設計。 使用安全性基線來評估當前的安全性態勢，並找出差距和改進領域。 記錄任何推遲或被認為可以長期接受的偏差，並清楚地說明就偏差做出的任何決定。

  • 推動改進。 安全性基線會定義您的目標，但您可能無法立即實現所有目標。 記錄任何差距並根據重要性確定其優先順序。 明確說明哪些差距在短期或長期內是可以接受的，並提供這些決定的理由。

  • 根據基線跟蹤您的進度。 根據安全性基線監視安全性措施，以找出趨勢並揭示與基線的偏差。 盡可能使用自動化，並使用從追蹤進度中收集的資料來找出和解決當前問題，並為未來的威脅做好準備。

  • 設置護欄。 使用安全性基線為您的 Power Platform 工作負載建立和管理護欄和治理框架。 護欄會根據內部因素和外部因素強制實施所需的安全設定、技術和作業。 護欄有助於最大限度地降低不慎失察和因違規行為而受到懲罰性罰款的風險。 您可以使用 Power Platform 系統管理中心和受控環境中的開箱即用功能來建立護欄，或使用 CoE 入門套件來參考實現或您自己的指令碼/工具來組建自己的護欄。 你可能會使用開箱即用和自訂工具的組合來設定護欄和治理框架。 考慮哪些部分可以主動強制實施安全性基線，以及哪些部分將被動監視。

探索 Power Platform 的 Microsoft Purview、Power Advisor、Power Platform 系統管理中心中的內建概念 (如資料原則和租用戶隔離)，以及參考實現 (如 CoE 入門套件) 以實現和強制實施安全性設定和合規性要求。

定期評估基線

不斷提高安全性標準，使其達到理想狀態，以確保持續降低風險。 透過定期查看路線圖和公告來追蹤最新的 Power Platform 安全性更新。 然後，確定哪些新功能可以增強安全性基線，並計劃如何實現這些功能。 對基線的任何修改都必須得到正式核准，並經過適當的變更管理流程。

根據新的基線衡量系統，並根據其相關性和對工作負載的影響確定修正的優先順序。

透過建立稽核和監視對組織標準的符合性，來確保安全性態勢不會隨時間而降級。

Microsoft Power Platform 中的安全性

Power Platform 是建立在堅實的安全性基礎上。 它使用相同的安全性堆疊，把 Azure 放在為世界上最敏感的資料提供可信任之監管的位置，並與 Microsoft 365 最先進的資訊保護和合規性工具整合。 Power Platform 提供對客戶最具挑戰性之問題的端對端保護：

Power Platform 服務受 Microsoft 線上服務條款和 Microsoft 企業隱私權聲明的約束。 如需資料處理的位置，請參閱 Microsoft Online Services 條款和資料保護附錄。

Microsoft 信任中心是 Power Platform 有關合規性資訊的主要資源。 如需詳細資訊，請參閱 Microsoft 合規性供應項目。

Power Platform 服務會遵循安全性開發生命週期 (SDL)。 SDL 是一組嚴格的做法，可支援安全性保障和法規合規性需求。 如需詳細資訊，請參閱 Microsoft 安全性開發生命週期做法。

Power Platform 便利

Microsoft 雲端安全性基準 (MCSB) 是一個全面的安全性最佳做法框架，可用作安全性基線的起點。 將其與為基線提供輸入的其他資源一起使用。 如需詳細資訊，請參閱 Microsoft 雲端安全性基準簡介。

系統管理中心中的「安全」頁面 Power Platform 可幫助您通過最佳實踐和一組全面的功能來管理組織的安全性，以確保最大的安全性。 例如，要：

  • 評估您的安全狀態： 瞭解並改進您組織的安全策略以滿足您的特定需求。
  • 根據建議採取行動： 確定並實施最具影響力的建議以改進評估。
  • 設置主動策略： 使用豐富的工具和安全功能集來獲得深入的可見性、檢測威脅並主動建立策略，以説明保護組織免受漏洞和風險的影響。

組織一致性

請確定為 Power Platform 建立的安全性基線與組織的安全性基線完全一致。 與組織中的 IT 安全性團隊密切合作，以利用他們的專業知識。

安全性檢查清單

請參閱完整的建議集。

安全檢查表