Podrobnosti o bance rezerv Indie - IT Rámec pro dodržování právních předpisů NBFC integrovanou iniciativu

Následující článek podrobně popisuje, jak se předdefinovaná definice iniciativy Dodržování právních předpisů Azure Policy mapuje na domény dodržování předpisů a kontrolní mechanismy v bance Reserve Bank of India – IT Framework pro NBFC. Další informace o této normě dodržování předpisů naleznete v tématu Reserve Bank of India - IT Framework for NBFC. Informace o vlastnictví najdete v tématu Definice zásad Azure Policy a Sdílená odpovědnost v cloudu.

Následující mapování jsou na centrální banku Indie - IT Framework pro kontroly NBFC . Mnoho ovládacích prvků se implementuje s definicí iniciativy Azure Policy . Pokud chcete zkontrolovat úplnou definici iniciativy, otevřete zásady na webu Azure Portal a vyberte stránku Definice . Pak vyhledejte a vyberte [Preview]: Reserve Bank of India - IT Framework for NBFC Regulatory Compliance integrovanou definici iniciativy.

Důležité

Každý následující ovládací prvek je přidružený k jedné nebo více definici služby Azure Policy . Tyto zásady vám můžou pomoct vyhodnotit dodržování předpisů ovládacích prvků, ale často mezi ovládacím prvek a jednou nebo více zásadami není shoda 1:1 nebo úplná shoda. Dodržování předpisů v Azure Policy proto odkazuje jenom na samotné definice zásad. Tím se nezajistí, že plně splňujete všechny požadavky ovládacího prvku. Kromě toho standard dodržování předpisů zahrnuje ovládací prvky, které nejsou v tuto chvíli adresovány žádnými definicemi služby Azure Policy. Dodržování předpisů ve službě Azure Policy je proto jen částečné zobrazení celkového stavu dodržování předpisů. Přidružení mezi doménami dodržování předpisů, ovládacími prvky a definicemi služby Azure Policy pro tento standard dodržování předpisů se můžou v průběhu času měnit. Pokud chcete zobrazit historii změn, podívejte se na historii potvrzení GitHubu.

Zásady správného řízení IT

Zásady správného řízení IT–1

ID: RBI IT Framework 1

Název (Azure Portal)	Popis	Účinek	Verze (GitHub)
Na virtuálních počítačích by mělo být povolené řešení posouzení ohrožení zabezpečení.	Audituje virtuální počítače, aby zjistil, jestli používají podporované řešení posouzení ohrožení zabezpečení. Základní součástí každého programu kybernetického rizika a zabezpečení je identifikace a analýza ohrožení zabezpečení. Cenová úroveň Azure Security Center úrovně Standard zahrnuje kontrolu ohrožení zabezpečení pro vaše virtuální počítače bez dalších poplatků. Security Center navíc může tento nástroj automaticky nasadit za vás.	AuditIfNotExists, zakázáno	3.0.0
E-mailové oznámení pro upozornění s vysokou závažností by mělo být povolené.	Pokud chcete zajistit, aby relevantní lidé ve vaší organizaci byli upozorněni, když dojde k potenciálnímu narušení zabezpečení v jednom z vašich předplatných, povolte e-mailová oznámení pro výstrahy s vysokou závažností ve službě Security Center.	AuditIfNotExists, zakázáno	1.1.0
E-mailové oznámení vlastníkovi předplatného pro upozornění s vysokou závažností by mělo být povoleno.	Pokud chcete zajistit, aby vlastníci předplatného dostávali oznámení o potenciálním narušení zabezpečení ve svém předplatném, nastavte pro vlastníky e-mailů upozornění s vysokou závažností ve službě Security Center.	AuditIfNotExists, zakázáno	2.1.0
Služba Kubernetes Services by se měla upgradovat na verzi Kubernetes, která není zranitelná.	Upgradujte cluster Služby Kubernetes na novější verzi Kubernetes, abyste chránili před známými ohroženími zabezpečení ve vaší aktuální verzi Kubernetes. Chyba zabezpečení CVE-2019-9946 byla opravena ve verzi Kubernetes 1.11.9+, 1.12.7+, 1.13.5 a 1.14.0+	Audit, zakázáno	1.0.2
Databáze SQL by měly mít vyřešené zjištění ohrožení zabezpečení	Monitorujte výsledky kontroly posouzení ohrožení zabezpečení a doporučení, jak napravit ohrožení zabezpečení databáze.	AuditIfNotExists, zakázáno	4.1.0
Vyřešené zjištění ohrožení zabezpečení u SQL serverů na počítačích	Posouzení ohrožení zabezpečení SQL zkontroluje ohrožení zabezpečení databáze a zpřístupňuje případné odchylky od osvědčených postupů, jako jsou chybné konfigurace, nadměrná oprávnění a nechráněná citlivá data. Řešení nalezených ohrožení zabezpečení může výrazně zlepšit stav zabezpečení databáze.	AuditIfNotExists, zakázáno	1.0.0
Předplatná by měla mít kontaktní e-mailovou adresu pro problémy se zabezpečením	Pokud chcete zajistit, aby příslušní lidé ve vaší organizaci byli upozorněni, když dojde k potenciálnímu narušení zabezpečení v jednom z vašich předplatných, nastavte bezpečnostní kontakt pro příjem e-mailových oznámení ze služby Security Center.	AuditIfNotExists, zakázáno	1.0.1
Aktualizace systému ve škálovacích sadách virtuálních počítačů by se měly nainstalovat.	Umožňuje auditovat, jestli chybí nějaké aktualizace zabezpečení systému nebo důležité aktualizace, které by se měly nainstalovat, aby bylo jisté, že škálovací sady virtuálních počítačů s Windows a Linuxem jsou zabezpečené.	AuditIfNotExists, zakázáno	3.0.0
Na počítačích by se měly nainstalovat aktualizace systému.	Azure Security Center bude monitorovat chybějící aktualizace systému zabezpečení na vašich serverech jako doporučení.	AuditIfNotExists, zakázáno	4.0.0
Chyby zabezpečení v konfiguracích zabezpečení kontejnerů by se měly napravit.	Auditujte ohrožení zabezpečení v konfiguraci zabezpečení na počítačích s nainstalovaným Dockerem a zobrazují se jako doporučení ve službě Azure Security Center.	AuditIfNotExists, zakázáno	3.0.0
Měla by se napravit ohrožení zabezpečení v konfiguraci zabezpečení na vašich počítačích.	Servery, které nesplňují nakonfigurovaný směrný plán, budou monitorovány službou Azure Security Center jako doporučení.	AuditIfNotExists, zakázáno	3.1.0
Měla by se napravit ohrožení zabezpečení v konfiguraci zabezpečení ve škálovacích sadách virtuálních počítačů.	Auditujte ohrožení zabezpečení operačního systému ve škálovacích sadách virtuálních počítačů, abyste je ochránili před útoky.	AuditIfNotExists, zakázáno	3.0.0
Ve službě SQL Managed Instance by se mělo povolit posouzení ohrožení zabezpečení.	Auditujte každou spravovanou instanci SQL, která nemá povolené opakované kontroly posouzení ohrožení zabezpečení. Posouzení ohrožení zabezpečení může zjišťovat, sledovat a pomáhat vám s nápravou potenciálních ohrožení zabezpečení databáze.	AuditIfNotExists, zakázáno	1.0.1
Na sql serverech by se mělo povolit posouzení ohrožení zabezpečení.	Auditujte servery Azure SQL, které nemají správně nakonfigurované posouzení ohrožení zabezpečení. Posouzení ohrožení zabezpečení může zjišťovat, sledovat a pomáhat vám s nápravou potenciálních ohrožení zabezpečení databáze.	AuditIfNotExists, zakázáno	3.0.0

ZÁSADY SPRÁVNÉHO ŘÍZENÍ IT-1.1

ID: RBI IT Framework 1.1

Název (Azure Portal)	Popis	Účinek	Verze (GitHub)
[Preview]: Veškerý internetový provoz by se měl směrovat přes nasazenou bránu Azure Firewall.	Služba Azure Security Center zjistila, že některé z vašich podsítí nejsou chráněné bránou firewall nové generace. Ochrana podsítí před potenciálními hrozbami omezením přístupu k nim pomocí služby Azure Firewall nebo podporované brány firewall nové generace	AuditIfNotExists, zakázáno	3.0.0-preview
Předávání IP na virtuálním počítači by mělo být zakázané.	Povolení předávání IP na síťové kartě virtuálního počítače umožňuje počítači přijímat provoz adresovaný do jiných cílů. Předávání IP se vyžaduje jen zřídka (např. při použití virtuálního počítače jako síťového virtuálního zařízení), a proto by ho měl zkontrolovat tým zabezpečení sítě.	AuditIfNotExists, zakázáno	3.0.0
Porty pro správu virtuálních počítačů by měly být chráněné pomocí řízení přístupu k síti za běhu.	Azure Security Center bude monitorovat možný přístup podle potřeby (JIT) sítě jako doporučení.	AuditIfNotExists, zakázáno	3.0.0
Porty pro správu by měly být na virtuálních počítačích zavřené.	Otevřené porty pro vzdálenou správu zveřejňují váš virtuální počítač na vysokou úroveň rizika z internetových útoků. Tyto útoky se pokusí hrubou silou vynutit přihlašovací údaje, aby získaly přístup správce k počítači.	AuditIfNotExists, zakázáno	3.0.0

Zásady IT

ZÁSADY IT-2

ID: RBI IT Framework 2

Název (Azure Portal)	Popis	Účinek	Verze (GitHub)
Na počítačích by se měly povolit adaptivní řízení aplikací pro definování bezpečných aplikací.	Povolte řízení aplikací, abyste definovali seznam známých bezpečných aplikací spuštěných na vašich počítačích a upozorňovali vás při spuštění jiných aplikací. To pomáhá posílit zabezpečení počítačů proti malwaru. Aby se zjednodušilo proces konfigurace a údržby pravidel, Security Center pomocí strojového učení analyzuje aplikace spuštěné na každém počítači a navrhne seznam známých bezpečných aplikací.	AuditIfNotExists, zakázáno	3.0.0
Pravidla seznamu povolených v zásadách adaptivního řízení aplikací by se měla aktualizovat.	Monitorujte změny chování ve skupinách počítačů nakonfigurovaných pro auditování adaptivními řízeními aplikací ve službě Azure Security Center. Security Center pomocí strojového učení analyzuje spuštěné procesy na vašich počítačích a navrhuje seznam známých bezpečných aplikací. Zobrazují se jako doporučené aplikace, které umožňují zásady adaptivního řízení aplikací.	AuditIfNotExists, zakázáno	3.0.0

Informace a zabezpečení kyberzločince

Zabezpečení informací-3

ID: RBI IT Framework 3

Název (Azure Portal)	Popis	Účinek	Verze (GitHub)
Měl by být povolený Microsoft Defender pro úložiště.	Microsoft Defender for Storage detekuje potenciální hrozby pro vaše účty úložiště. Pomáhá zabránit třem hlavním dopadům na vaše data a úlohy: nahrání škodlivých souborů, exfiltrace citlivých dat a poškození dat. Nový plán Defenderu pro úložiště zahrnuje kontrolu malwaru a detekci citlivých dat. Tento plán také poskytuje předvídatelnou cenovou strukturu (na účet úložiště) pro kontrolu nad pokrytím a náklady.	AuditIfNotExists, zakázáno	1.0.0

Identifikace a klasifikace informačních prostředků-3.1

ID: RBI IT Framework 3.1.a

Název (Azure Portal)	Popis	Účinek	Verze (GitHub)
Auditování využití vlastních rolí RBAC	Auditujte předdefinované role, jako je Vlastník, Přispěvatel, Čtenář, Místo vlastních rolí RBAC, které jsou náchylné k chybám. Použití vlastních rolí se považuje za výjimku a vyžaduje důkladnou kontrolu a modelování hrozeb.	Audit, zakázáno	1.0.1
Ve službě Kubernetes Services by se mělo používat řízení přístupu na základě role (RBAC) Azure.	Pokud chcete poskytovat podrobné filtrování akcí, které můžou uživatelé provádět, použijte azure řízení přístupu na základě role (RBAC) ke správě oprávnění v clusterech Kubernetes Service a konfiguraci příslušných zásad autorizace.	Audit, zakázáno	1.0.3
Blokované účty s oprávněními vlastníka k prostředkům Azure by se měly odebrat.	Zastaralé účty s oprávněními vlastníka by se měly z vašeho předplatného odebrat. Zastaralé účty jsou účty, u kterých se zablokovalo přihlášení.	AuditIfNotExists, zakázáno	1.0.0
Blokované účty s oprávněními ke čtení a zápisu u prostředků Azure by se měly odebrat.	Zastaralé účty by se měly z předplatných odebrat. Zastaralé účty jsou účty, u kterých se zablokovalo přihlášení.	AuditIfNotExists, zakázáno	1.0.0
Účty hostů s oprávněními vlastníka k prostředkům Azure by se měly odebrat.	Externí účty s oprávněními vlastníka by se měly z vašeho předplatného odebrat, aby se zabránilo nesledovanému přístupu.	AuditIfNotExists, zakázáno	1.0.0
Účty hostů s oprávněními ke čtení u prostředků Azure by se měly odebrat.	Externí účty s oprávněními ke čtení by se z vašeho předplatného měly odebrat, aby se zabránilo nemonitorovanému přístupu.	AuditIfNotExists, zakázáno	1.0.0
Účty hostů s oprávněním k zápisu prostředků Azure by se měly odebrat.	Externí účty s oprávněním k zápisu by se měly z vašeho předplatného odebrat, aby se zabránilo nesledovanému přístupu.	AuditIfNotExists, zakázáno	1.0.0

Oddělení funkcí-3.1

ID: RBI IT Framework 3.1.b

Název (Azure Portal)	Popis	Účinek	Verze (GitHub)
[Zastaralé]: Aplikace funkcí by měly mít povolené klientské certifikáty (příchozí klientské certifikáty).	Klientské certifikáty umožňují aplikaci požádat o certifikát pro příchozí žádosti. K aplikaci budou mít přístup jenom klienti s platnými certifikáty. Tuto zásadu nahradila nová zásada se stejným názvem, protože Http 2.0 nepodporuje klientské certifikáty.	Audit, zakázáno	3.1.0 zastaralé
[Preview]: Na podporovaných virtuálních počítačích s Windows by mělo být povolené zabezpečené spouštění.	Povolte zabezpečené spouštění na podporovaných virtuálních počítačích s Windows, abyste se mohli zmírnit proti škodlivým a neoprávněným změnám spouštěcího řetězce. Po povolení budou moci běžet jenom důvěryhodné spouštěcí zavaděče, jádra a ovladače jádra. Toto posouzení platí pro důvěryhodné spuštění a důvěrné virtuální počítače s Windows.	Audit, zakázáno	4.0.0-preview
[Preview]: Virtuální počítač vTPM by měl být povolený na podporovaných virtuálních počítačích.	Povolte virtuální zařízení TPM na podporovaných virtuálních počítačích, abyste usnadnili měřené spouštění a další funkce zabezpečení operačního systému, které vyžadují čip TPM. Po povolení je možné virtuální počítač vTPM použít k otestování integrity spouštění. Toto posouzení platí jenom pro virtuální počítače s povoleným důvěryhodným spuštěním.	Audit, zakázáno	2.0.0-preview
Aplikace app Service by měly mít vypnuté vzdálené ladění	Vzdálené ladění vyžaduje, aby se v aplikaci App Service otevíraly příchozí porty. Vzdálené ladění by mělo být vypnuté.	AuditIfNotExists, zakázáno	2.0.0
Aplikace funkcí by měly mít vypnuté vzdálené ladění.	Vzdálené ladění vyžaduje otevření příchozích portů v aplikacích funkcí. Vzdálené ladění by mělo být vypnuté.	AuditIfNotExists, zakázáno	2.0.0
Rozšíření Konfigurace hosta virtuálních počítačů by se mělo nasadit se spravovanou identitou přiřazenou systémem.	Rozšíření Konfigurace hosta vyžaduje spravovanou identitu přiřazenou systémem. Virtuální počítače Azure v oboru této zásady nebudou kompatibilní, pokud mají nainstalované rozšíření Konfigurace hosta, ale nemají spravovanou identitu přiřazenou systémem. Další informace najdete na adrese https://aka.ms/gcpol	AuditIfNotExists, zakázáno	1.0.1

Řízení přístupu na základě role -3.1

ID: RBI IT Framework 3.1.c

Název (Azure Portal)	Popis	Účinek	Verze (GitHub)
Pro vaše předplatné by mělo být určeno maximálně 3 vlastníky.	Doporučujeme určit až 3 vlastníky předplatného, aby se snížil potenciál porušení zabezpečení ohroženým vlastníkem.	AuditIfNotExists, zakázáno	3.0.0
Účty s oprávněními vlastníka k prostředkům Azure by měly být povolené vícefaktorové ověřování	Vícefaktorové ověřování (MFA) by mělo být povolené pro všechny účty předplatného s oprávněními vlastníka, aby nedošlo k narušení účtů nebo prostředků.	AuditIfNotExists, zakázáno	1.0.0
Účty s oprávněními ke čtení u prostředků Azure by měly být povolené vícefaktorové ověřování	Vícefaktorové ověřování (MFA) by mělo být povolené pro všechny účty předplatného s oprávněními ke čtení, aby nedošlo k narušení účtů nebo prostředků.	AuditIfNotExists, zakázáno	1.0.0
Účty s oprávněním k zápisu prostředků Azure by měly být povolené vícefaktorové ověřování.	Vícefaktorové ověřování (MFA) by mělo být povolené pro všechny účty předplatného s oprávněními k zápisu, aby nedošlo k narušení účtů nebo prostředků.	AuditIfNotExists, zakázáno	1.0.0
Ve službě Kubernetes Services by se mělo používat řízení přístupu na základě role (RBAC) Azure.	Pokud chcete poskytovat podrobné filtrování akcí, které můžou uživatelé provádět, použijte azure řízení přístupu na základě role (RBAC) ke správě oprávnění v clusterech Kubernetes Service a konfiguraci příslušných zásad autorizace.	Audit, zakázáno	1.0.3
Předplatná Azure by měla mít profil protokolu pro protokol aktivit.	Tato zásada zajišťuje, že je povolený profil protokolu pro export protokolů aktivit. Provede audit, pokud není vytvořený žádný profil protokolu pro export protokolů do účtu úložiště nebo do centra událostí.	AuditIfNotExists, zakázáno	1.0.0
Blokované účty s oprávněními vlastníka k prostředkům Azure by se měly odebrat.	Zastaralé účty s oprávněními vlastníka by se měly z vašeho předplatného odebrat. Zastaralé účty jsou účty, u kterých se zablokovalo přihlášení.	AuditIfNotExists, zakázáno	1.0.0
Blokované účty s oprávněními ke čtení a zápisu u prostředků Azure by se měly odebrat.	Zastaralé účty by se měly z předplatných odebrat. Zastaralé účty jsou účty, u kterých se zablokovalo přihlášení.	AuditIfNotExists, zakázáno	1.0.0
E-mailové oznámení vlastníkovi předplatného pro upozornění s vysokou závažností by mělo být povoleno.	Pokud chcete zajistit, aby vlastníci předplatného dostávali oznámení o potenciálním narušení zabezpečení ve svém předplatném, nastavte pro vlastníky e-mailů upozornění s vysokou závažností ve službě Security Center.	AuditIfNotExists, zakázáno	2.1.0
Účty hostů s oprávněními vlastníka k prostředkům Azure by se měly odebrat.	Externí účty s oprávněními vlastníka by se měly z vašeho předplatného odebrat, aby se zabránilo nesledovanému přístupu.	AuditIfNotExists, zakázáno	1.0.0
Účty hostů s oprávněními ke čtení u prostředků Azure by se měly odebrat.	Externí účty s oprávněními ke čtení by se z vašeho předplatného měly odebrat, aby se zabránilo nemonitorovanému přístupu.	AuditIfNotExists, zakázáno	1.0.0
Účty hostů s oprávněním k zápisu prostředků Azure by se měly odebrat.	Externí účty s oprávněním k zápisu by se měly z vašeho předplatného odebrat, aby se zabránilo nesledovanému přístupu.	AuditIfNotExists, zakázáno	1.0.0
Porty pro správu virtuálních počítačů by měly být chráněné pomocí řízení přístupu k síti za běhu.	Azure Security Center bude monitorovat možný přístup podle potřeby (JIT) sítě jako doporučení.	AuditIfNotExists, zakázáno	3.0.0
Předplatná by měla mít kontaktní e-mailovou adresu pro problémy se zabezpečením	Pokud chcete zajistit, aby příslušní lidé ve vaší organizaci byli upozorněni, když dojde k potenciálnímu narušení zabezpečení v jednom z vašich předplatných, nastavte bezpečnostní kontakt pro příjem e-mailových oznámení ze služby Security Center.	AuditIfNotExists, zakázáno	1.0.1
K vašemu předplatnému by mělo být přiřazeno více než jeden vlastník.	Pokud chcete mít přístup správce k redundanci, doporučujeme určit více než jednoho vlastníka předplatného.	AuditIfNotExists, zakázáno	3.0.0

Kontrola maker-3.1

ID: RBI IT Framework 3.1.f

Název (Azure Portal)	Popis	Účinek	Verze (GitHub)
Pro vaše předplatné by mělo být určeno maximálně 3 vlastníky.	Doporučujeme určit až 3 vlastníky předplatného, aby se snížil potenciál porušení zabezpečení ohroženým vlastníkem.	AuditIfNotExists, zakázáno	3.0.0
Účty s oprávněními vlastníka k prostředkům Azure by měly být povolené vícefaktorové ověřování	Vícefaktorové ověřování (MFA) by mělo být povolené pro všechny účty předplatného s oprávněními vlastníka, aby nedošlo k narušení účtů nebo prostředků.	AuditIfNotExists, zakázáno	1.0.0
Účty s oprávněními ke čtení u prostředků Azure by měly být povolené vícefaktorové ověřování	Vícefaktorové ověřování (MFA) by mělo být povolené pro všechny účty předplatného s oprávněními ke čtení, aby nedošlo k narušení účtů nebo prostředků.	AuditIfNotExists, zakázáno	1.0.0
Účty s oprávněním k zápisu prostředků Azure by měly být povolené vícefaktorové ověřování.	Vícefaktorové ověřování (MFA) by mělo být povolené pro všechny účty předplatného s oprávněními k zápisu, aby nedošlo k narušení účtů nebo prostředků.	AuditIfNotExists, zakázáno	1.0.0
Auditování využití vlastních rolí RBAC	Auditujte předdefinované role, jako je Vlastník, Přispěvatel, Čtenář, Místo vlastních rolí RBAC, které jsou náchylné k chybám. Použití vlastních rolí se považuje za výjimku a vyžaduje důkladnou kontrolu a modelování hrozeb.	Audit, zakázáno	1.0.1
Služba Azure Defender for App Service by měla být povolená.	Azure Defender for App Service využívá škálování cloudu a viditelnost, kterou Azure má jako poskytovatel cloudu, k monitorování běžných útoků webových aplikací.	AuditIfNotExists, zakázáno	1.0.3
Servery Azure Defenderu pro Azure SQL Database by měly být povolené.	Azure Defender for SQL poskytuje funkce pro zpřístupnění a zmírnění potenciálních ohrožení zabezpečení databáze, detekci neobvyklých aktivit, které by mohly značit hrozby pro databáze SQL a zjišťování a klasifikaci citlivých dat.	AuditIfNotExists, zakázáno	1.0.2
Služba Azure Defender for Key Vault by měla být povolená.	Azure Defender for Key Vault poskytuje další vrstvu ochrany a informací o zabezpečení tím, že detekuje neobvyklé a potenciálně škodlivé pokusy o přístup k účtům trezoru klíčů nebo jejich zneužití.	AuditIfNotExists, zakázáno	1.0.3
Azure Defender pro opensourcové relační databáze by měl být povolený.	Azure Defender pro opensourcové relační databáze detekuje neobvyklé aktivity označující neobvyklé a potenciálně škodlivé pokusy o přístup k databázím nebo jejich zneužití. Přečtěte si další informace o možnostech Azure Defenderu pro opensourcové relační databáze na adrese https://aka.ms/AzDforOpenSourceDBsDocu. Důležité: Povolením tohoto plánu se budou účtovat poplatky za ochranu opensourcových relačních databází. Další informace o cenách na stránce s cenami služby Security Center: https://aka.ms/pricing-security-center	AuditIfNotExists, zakázáno	1.0.0
Azure Defender for Resource Manager by měl být povolený.	Azure Defender for Resource Manager automaticky monitoruje operace správy prostředků ve vaší organizaci. Azure Defender detekuje hrozby a upozorní vás na podezřelou aktivitu. Přečtěte si další informace o možnostech Azure Defenderu pro Resource Manager na adrese https://aka.ms/defender-for-resource-manager . Povolením tohoto plánu Azure Defenderu se účtují poplatky. Další informace o cenách v jednotlivých oblastech najdete na stránce s cenami služby Security Center: https://aka.ms/pricing-security-center .	AuditIfNotExists, zakázáno	1.0.0
Měla by být povolená služba Azure Defender pro servery.	Azure Defender pro servery poskytuje ochranu před hrozbami v reálném čase pro úlohy serveru a generuje doporučení pro posílení zabezpečení a také výstrahy týkající se podezřelých aktivit.	AuditIfNotExists, zakázáno	1.0.3
Na počítačích by se měl povolit Azure Defender pro SQL servery.	Azure Defender for SQL poskytuje funkce pro zpřístupnění a zmírnění potenciálních ohrožení zabezpečení databáze, detekci neobvyklých aktivit, které by mohly značit hrozby pro databáze SQL a zjišťování a klasifikaci citlivých dat.	AuditIfNotExists, zakázáno	1.0.2
Azure Defender pro SQL by měl být povolený pro nechráněné servery Azure SQL.	Audit sql serverů bez rozšířeného zabezpečení dat	AuditIfNotExists, zakázáno	2.0.1
Azure Defender pro SQL by měl být povolený pro nechráněné spravované instance SQL.	Auditujte každou spravovanou instanci SQL bez pokročilého zabezpečení dat.	AuditIfNotExists, zakázáno	1.0.2
Blokované účty s oprávněními vlastníka k prostředkům Azure by se měly odebrat.	Zastaralé účty s oprávněními vlastníka by se měly z vašeho předplatného odebrat. Zastaralé účty jsou účty, u kterých se zablokovalo přihlášení.	AuditIfNotExists, zakázáno	1.0.0
Blokované účty s oprávněními ke čtení a zápisu u prostředků Azure by se měly odebrat.	Zastaralé účty by se měly z předplatných odebrat. Zastaralé účty jsou účty, u kterých se zablokovalo přihlášení.	AuditIfNotExists, zakázáno	1.0.0
E-mailové oznámení pro upozornění s vysokou závažností by mělo být povolené.	Pokud chcete zajistit, aby relevantní lidé ve vaší organizaci byli upozorněni, když dojde k potenciálnímu narušení zabezpečení v jednom z vašich předplatných, povolte e-mailová oznámení pro výstrahy s vysokou závažností ve službě Security Center.	AuditIfNotExists, zakázáno	1.1.0
E-mailové oznámení vlastníkovi předplatného pro upozornění s vysokou závažností by mělo být povoleno.	Pokud chcete zajistit, aby vlastníci předplatného dostávali oznámení o potenciálním narušení zabezpečení ve svém předplatném, nastavte pro vlastníky e-mailů upozornění s vysokou závažností ve službě Security Center.	AuditIfNotExists, zakázáno	2.1.0
Účty hostů s oprávněními vlastníka k prostředkům Azure by se měly odebrat.	Externí účty s oprávněními vlastníka by se měly z vašeho předplatného odebrat, aby se zabránilo nesledovanému přístupu.	AuditIfNotExists, zakázáno	1.0.0
Účty hostů s oprávněními ke čtení u prostředků Azure by se měly odebrat.	Externí účty s oprávněními ke čtení by se z vašeho předplatného měly odebrat, aby se zabránilo nemonitorovanému přístupu.	AuditIfNotExists, zakázáno	1.0.0
Účty hostů s oprávněním k zápisu prostředků Azure by se měly odebrat.	Externí účty s oprávněním k zápisu by se měly z vašeho předplatného odebrat, aby se zabránilo nesledovanému přístupu.	AuditIfNotExists, zakázáno	1.0.0
Měl by být povolený Microsoft Defender pro úložiště.	Microsoft Defender for Storage detekuje potenciální hrozby pro vaše účty úložiště. Pomáhá zabránit třem hlavním dopadům na vaše data a úlohy: nahrání škodlivých souborů, exfiltrace citlivých dat a poškození dat. Nový plán Defenderu pro úložiště zahrnuje kontrolu malwaru a detekci citlivých dat. Tento plán také poskytuje předvídatelnou cenovou strukturu (na účet úložiště) pro kontrolu nad pokrytím a náklady.	AuditIfNotExists, zakázáno	1.0.0
Předplatná by měla mít kontaktní e-mailovou adresu pro problémy se zabezpečením	Pokud chcete zajistit, aby příslušní lidé ve vaší organizaci byli upozorněni, když dojde k potenciálnímu narušení zabezpečení v jednom z vašich předplatných, nastavte bezpečnostní kontakt pro příjem e-mailových oznámení ze služby Security Center.	AuditIfNotExists, zakázáno	1.0.1

Stezky-3.1

ID: RBI IT Framework 3.1.g

Název (Azure Portal)	Popis	Účinek	Verze (GitHub)
[Preview]: U uvedených imagí virtuálních počítačů by mělo být povolené rozšíření Log Analytics.	Hlásí virtuální počítače jako nevyhovující, pokud image virtuálního počítače není v seznamu definovaném a rozšíření není nainstalované.	AuditIfNotExists, zakázáno	2.0.1-preview
[Preview]: Agent shromažďování dat síťového provozu by měl být nainstalovaný na virtuálních počítačích s Linuxem.	Security Center používá agenta Závislost Microsoftu ke shromažďování dat síťového provozu z virtuálních počítačů Azure, aby bylo možné povolit pokročilé funkce ochrany sítě, jako je vizualizace provozu na mapě sítě, doporučení k posílení zabezpečení sítě a konkrétní síťové hrozby.	AuditIfNotExists, zakázáno	1.0.2-preview
[Preview]: Agent shromažďování dat síťového provozu by měl být nainstalovaný na virtuálních počítačích s Windows.	Security Center používá agenta Závislost Microsoftu ke shromažďování dat síťového provozu z virtuálních počítačů Azure, aby bylo možné povolit pokročilé funkce ochrany sítě, jako je vizualizace provozu na mapě sítě, doporučení k posílení zabezpečení sítě a konkrétní síťové hrozby.	AuditIfNotExists, zakázáno	1.0.2-preview
Protokol aktivit by se měl uchovávat alespoň po dobu jednoho roku.	Tato zásada audituje protokol aktivit, pokud se uchovávání nenastaví po dobu 365 dnů nebo navždy (doba uchovávání je nastavená na 0).	AuditIfNotExists, zakázáno	1.0.0
Všechny prostředky protokolu toku by měly být ve stavu povoleného.	Auditujte prostředky protokolu toku a ověřte, jestli je povolený stav protokolu toku. Povolení protokolů toků umožňuje protokolovat informace o toku provozu PROTOKOLU IP. Dá se použít k optimalizaci toků sítě, monitorování propustnosti, ověřování dodržování předpisů, zjišťování neoprávněných vniknutí a další.	Audit, zakázáno	1.0.1
Komponenty Přehledy aplikací by měly blokovat příjem protokolů a dotazování z veřejných sítí.	Vylepšení zabezpečení Přehledy aplikací blokováním příjmu protokolů a dotazováním z veřejných sítí Pouze sítě připojené k privátnímu propojení budou moct ingestovat a dotazovat protokoly této komponenty. Další informace najdete na adrese https://aka.ms/AzMonPrivateLink#configure-application-insights.	audit, Audit, Odepřít, Odepřít, Zakázáno, Zakázáno	1.1.0
Ve vašem předplatném by mělo být povolené automatické zřizování agenta Log Analytics.	Pokud chcete monitorovat ohrožení zabezpečení a hrozby, Azure Security Center shromažďuje data z virtuálních počítačů Azure. Data shromažďuje agent Log Analytics, dříve označovaný jako Microsoft Monitoring Agent (MMA), který čte z počítače různé konfigurace a protokoly událostí souvisejících se zabezpečením a kopíruje data do pracovního prostoru služby Log Analytics pro účely analýzy. Doporučujeme povolit automatické zřizování, které automaticky nasadí agenta do všech podporovaných virtuálních počítačů Azure a všech nově vytvořených virtuálních počítačů Azure.	AuditIfNotExists, zakázáno	1.0.1
Služba Azure Defender for App Service by měla být povolená.	Azure Defender for App Service využívá škálování cloudu a viditelnost, kterou Azure má jako poskytovatel cloudu, k monitorování běžných útoků webových aplikací.	AuditIfNotExists, zakázáno	1.0.3
Servery Azure Defenderu pro Azure SQL Database by měly být povolené.	Azure Defender for SQL poskytuje funkce pro zpřístupnění a zmírnění potenciálních ohrožení zabezpečení databáze, detekci neobvyklých aktivit, které by mohly značit hrozby pro databáze SQL a zjišťování a klasifikaci citlivých dat.	AuditIfNotExists, zakázáno	1.0.2
Azure Defender pro opensourcové relační databáze by měl být povolený.	Azure Defender pro opensourcové relační databáze detekuje neobvyklé aktivity označující neobvyklé a potenciálně škodlivé pokusy o přístup k databázím nebo jejich zneužití. Přečtěte si další informace o možnostech Azure Defenderu pro opensourcové relační databáze na adrese https://aka.ms/AzDforOpenSourceDBsDocu. Důležité: Povolením tohoto plánu se budou účtovat poplatky za ochranu opensourcových relačních databází. Další informace o cenách na stránce s cenami služby Security Center: https://aka.ms/pricing-security-center	AuditIfNotExists, zakázáno	1.0.0
Azure Defender for Resource Manager by měl být povolený.	Azure Defender for Resource Manager automaticky monitoruje operace správy prostředků ve vaší organizaci. Azure Defender detekuje hrozby a upozorní vás na podezřelou aktivitu. Přečtěte si další informace o možnostech Azure Defenderu pro Resource Manager na adrese https://aka.ms/defender-for-resource-manager . Povolením tohoto plánu Azure Defenderu se účtují poplatky. Další informace o cenách v jednotlivých oblastech najdete na stránce s cenami služby Security Center: https://aka.ms/pricing-security-center .	AuditIfNotExists, zakázáno	1.0.0
Měla by být povolená služba Azure Defender pro servery.	Azure Defender pro servery poskytuje ochranu před hrozbami v reálném čase pro úlohy serveru a generuje doporučení pro posílení zabezpečení a také výstrahy týkající se podezřelých aktivit.	AuditIfNotExists, zakázáno	1.0.3
Na počítačích by se měl povolit Azure Defender pro SQL servery.	Azure Defender for SQL poskytuje funkce pro zpřístupnění a zmírnění potenciálních ohrožení zabezpečení databáze, detekci neobvyklých aktivit, které by mohly značit hrozby pro databáze SQL a zjišťování a klasifikaci citlivých dat.	AuditIfNotExists, zakázáno	1.0.2
Azure Defender pro SQL by měl být povolený pro nechráněné servery Azure SQL.	Audit sql serverů bez rozšířeného zabezpečení dat	AuditIfNotExists, zakázáno	2.0.1
Azure Defender pro SQL by měl být povolený pro nechráněné spravované instance SQL.	Auditujte každou spravovanou instanci SQL bez pokročilého zabezpečení dat.	AuditIfNotExists, zakázáno	1.0.2
Clustery Azure Kubernetes Service by měly mít povolený profil Defenderu.	Microsoft Defender for Containers poskytuje možnosti zabezpečení Kubernetes nativní pro cloud, včetně posílení zabezpečení prostředí, ochrany úloh a ochrany za běhu. Když v clusteru Azure Kubernetes Service povolíte SecurityProfile.AzureDefender, nasadí se do clusteru agent, který bude shromažďovat data událostí zabezpečení. Další informace o programu Microsoft Defender for Containers v https://docs.microsoft.com/azure/defender-for-cloud/defender-for-containers-introduction?tabs=defender-for-container-arch-aks	Audit, zakázáno	2.0.1
Profil protokolu služby Azure Monitor by měl shromažďovat protokoly pro kategorie Zápis, Odstranění a Akce.	Tato zásada zajišťuje, že profil protokolu shromažďuje protokoly pro kategorie write, delete a action.	AuditIfNotExists, zakázáno	1.0.0
Clustery protokolů služby Azure Monitor by se měly vytvářet s povoleným šifrováním infrastruktury (dvojité šifrování).	Pokud chcete zajistit, aby bylo zabezpečené šifrování dat povolené na úrovni služby a na úrovni infrastruktury se dvěma různými šifrovacími algoritmy a dvěma různými klíči, použijte vyhrazený cluster Služby Azure Monitor. Tato možnost je ve výchozím nastavení povolena, pokud je podporována v oblasti, viz https://docs.microsoft.com/azure/azure-monitor/platform/customer-managed-keys#customer-managed-key-overview.	audit, Audit, Odepřít, Odepřít, Zakázáno, Zakázáno	1.1.0
Clustery protokolů služby Azure Monitor by měly být šifrované pomocí klíče spravovaného zákazníkem.	Vytvořte cluster protokolů Azure Monitoru s šifrováním klíčů spravovaných zákazníkem. Ve výchozím nastavení se data protokolu šifrují pomocí klíčů spravovaných službou, ale klíče spravované zákazníkem se běžně vyžadují ke splnění dodržování právních předpisů. Klíč spravovaný zákazníkem ve službě Azure Monitor poskytuje větší kontrolu nad přístupem k datům, viz https://docs.microsoft.com/azure/azure-monitor/platform/customer-managed-keys.	audit, Audit, Odepřít, Odepřít, Zakázáno, Zakázáno	1.1.0
Protokoly služby Azure Monitor pro aplikační Přehledy by se měly propojit s pracovním prostorem služby Log Analytics.	Propojte komponentu Přehledy aplikace s pracovním prostorem služby Log Analytics pro šifrování protokolů. Klíče spravované zákazníkem se běžně vyžadují ke splnění dodržování právních předpisů a k větší kontrole přístupu k vašim datům ve službě Azure Monitor. Propojení komponenty s pracovním prostorem služby Log Analytics, který je povolený pomocí klíče spravovaného zákazníkem, zajišťuje, aby vaše aplikace Přehledy protokoly splňovaly tento požadavek na dodržování předpisů, viz https://docs.microsoft.com/azure/azure-monitor/platform/customer-managed-keys.	audit, Audit, Odepřít, Odepřít, Zakázáno, Zakázáno	1.1.0
Azure Monitor by měl shromažďovat protokoly aktivit ze všech oblastí.	Tato zásada audituje profil protokolu služby Azure Monitor, který neexportuje aktivity ze všech podpora Azure oblastí, včetně globálních.	AuditIfNotExists, zakázáno	2.0.0
Předplatná Azure by měla mít profil protokolu pro protokol aktivit.	Tato zásada zajišťuje, že je povolený profil protokolu pro export protokolů aktivit. Provede audit, pokud není vytvořený žádný profil protokolu pro export protokolů do účtu úložiště nebo do centra událostí.	AuditIfNotExists, zakázáno	1.0.0
Pro databázové servery PostgreSQL by se měly protokolovat odpojení.	Tato zásada pomáhá auditovat všechny databáze PostgreSQL ve vašem prostředí bez povolení log_disconnections.	AuditIfNotExists, zakázáno	1.0.0
Protokoly toku by měly být nakonfigurované pro každou skupinu zabezpečení sítě.	Auditujte skupiny zabezpečení sítě a ověřte, jestli jsou nakonfigurované protokoly toku. Povolení protokolů toku umožňuje protokolovat informace o provozu PROTOKOLU IP procházejících přes skupinu zabezpečení sítě. Dá se použít k optimalizaci toků sítě, monitorování propustnosti, ověřování dodržování předpisů, zjišťování neoprávněných vniknutí a další.	Audit, zakázáno	1.1.0
Agent Log Analytics by měl být nainstalovaný na virtuálním počítači pro monitorování služby Azure Security Center.	Tato zásada provede audit všech virtuálních počítačů s Windows nebo Linuxem, pokud není nainstalovaný agent Log Analytics, který Security Center používá k monitorování ohrožení zabezpečení a hrozeb.	AuditIfNotExists, zakázáno	1.0.0
Agent Log Analytics by měl být nainstalovaný ve škálovacích sadách virtuálních počítačů pro monitorování služby Azure Security Center.	Security Center shromažďuje data z virtuálních počítačů Azure za účelem monitorování ohrožení zabezpečení a hrozeb.	AuditIfNotExists, zakázáno	1.0.0
Rozšíření Log Analytics by mělo být povolené ve škálovacích sadách virtuálních počítačů pro uvedené image virtuálních počítačů.	Sestavuje škálovací sady virtuálních počítačů jako nevyhovující, pokud není image virtuálního počítače v seznamu definovaná a rozšíření není nainstalované.	AuditIfNotExists, zakázáno	2.0.1
Pracovní prostory služby Log Analytics by měly blokovat příjem protokolů a dotazování z veřejných sítí.	Zlepšení zabezpečení pracovního prostoru blokováním příjmu protokolů a dotazováním z veřejných sítí V tomto pracovním prostoru budou moct ingestovat a dotazovat se pouze sítě připojené k privátnímu propojení. Další informace najdete na adrese https://aka.ms/AzMonPrivateLink#configure-log-analytics.	audit, Audit, Odepřít, Odepřít, Zakázáno, Zakázáno	1.1.0
Pracovní prostory služby Log Analytics by měly blokovat příjem dat mimo Azure Active Directory.	Vynucení příjmu protokolů tak, aby vyžadovalo ověřování Azure Active Directory, zabrání útočníkovi neověřené protokoly, které by mohly vést k nesprávnému stavu, falešným výstrahám a nesprávným protokolům uloženým v systému.	Odepřít, Auditovat, Zakázáno	1.0.0
Pro databázové servery PostgreSQL by měly být povolené kontrolní body protokolů.	Tato zásada pomáhá auditovat všechny databáze PostgreSQL ve vašem prostředí bez povolení log_checkpoints nastavení.	AuditIfNotExists, zakázáno	1.0.0
Pro databázové servery PostgreSQL by měla být povolená připojení protokolů.	Tato zásada pomáhá auditovat všechny databáze PostgreSQL ve vašem prostředí bez povolení log_connections nastavení.	AuditIfNotExists, zakázáno	1.0.0
Pro databázové servery PostgreSQL by se měla povolit doba trvání protokolu.	Tato zásada pomáhá auditovat všechny databáze PostgreSQL ve vašem prostředí bez povolení log_duration nastavení.	AuditIfNotExists, zakázáno	1.0.0
Prostředí integrační služby Logic Apps by mělo být šifrované pomocí klíčů spravovaných zákazníkem.	Nasaďte do prostředí integrační služby, abyste mohli spravovat šifrování zbývajících dat Logic Apps pomocí klíčů spravovaných zákazníkem. Ve výchozím nastavení se zákaznická data šifrují pomocí klíčů spravovaných službami, ale klíče spravované zákazníkem se běžně vyžadují ke splnění standardů dodržování právních předpisů. Klíče spravované zákazníkem umožňují šifrování dat pomocí klíče služby Azure Key Vault vytvořeného a vlastněného vámi. Máte plnou kontrolu nad klíčovým životním cyklem, včetně obměně a správy.	Audit, Odepřít, Zakázáno	1.0.0
Měl by být povolený Microsoft Defender pro úložiště.	Microsoft Defender for Storage detekuje potenciální hrozby pro vaše účty úložiště. Pomáhá zabránit třem hlavním dopadům na vaše data a úlohy: nahrání škodlivých souborů, exfiltrace citlivých dat a poškození dat. Nový plán Defenderu pro úložiště zahrnuje kontrolu malwaru a detekci citlivých dat. Tento plán také poskytuje předvídatelnou cenovou strukturu (na účet úložiště) pro kontrolu nad pokrytím a náklady.	AuditIfNotExists, zakázáno	1.0.0
Protokoly toku služby Network Watcher by měly mít povolenou analýzu provozu.	Analýza provozu analyzuje protokoly toku, aby poskytovala přehled o toku provozu ve vašem cloudu Azure. Dá se použít k vizualizaci síťové aktivity napříč předplatnými Azure a identifikaci horkých míst, identifikaci bezpečnostních hrozeb, pochopení vzorců toku provozu, určení chyb konfigurace sítě a další.	Audit, zakázáno	1.0.1
SERVERY SQL s auditem do cíle účtu úložiště by měly být nakonfigurované s 90denním uchováváním nebo vyššími	Pro účely vyšetřování incidentů doporučujeme nastavit uchovávání dat pro auditování SQL Serveru na cíl účtu úložiště na nejméně 90 dnů. Ověřte, že splňujete potřebná pravidla uchovávání informací pro oblasti, ve kterých pracujete. To se někdy vyžaduje pro dodržování regulačních standardů.	AuditIfNotExists, zakázáno	3.0.0
Účet úložiště obsahující kontejner s protokoly aktivit musí být šifrovaný pomocí BYOK.	Tato zásada provede audit, jestli je účet úložiště obsahující kontejner s protokoly aktivit šifrovaný pomocí BYOK. Zásady fungují jenom v případě, že účet úložiště leží ve stejném předplatném jako protokoly aktivit podle návrhu. Další informace o šifrování neaktivních uložených dat ve službě Azure Storage najdete tady https://aka.ms/azurestoragebyok.	AuditIfNotExists, zakázáno	1.0.0
Rozšíření Log Analytics by mělo být nainstalované ve škálovacích sadách virtuálních počítačů.	Tato zásada audituje všechny škálovací sady virtuálních počítačů s Windows/Linuxem, pokud není nainstalované rozšíření Log Analytics.	AuditIfNotExists, zakázáno	1.0.1
Virtuální počítače by měly mít nainstalované rozšíření Log Analytics.	Tato zásada audituje všechny virtuální počítače s Windows nebo Linuxem, pokud není nainstalované rozšíření Log Analytics.	AuditIfNotExists, zakázáno	1.0.1

Infrastruktura veřejných klíčů (PKI)-3.1

ID: RBI IT Framework 3.1.h

Název (Azure Portal)	Popis	Účinek	Verze (GitHub)
Konfigurace aplikace by měla používat klíč spravovaný zákazníkem.	Klíče spravované zákazníkem poskytují rozšířenou ochranu dat tím, že umožňují spravovat šifrovací klíče. To se často vyžaduje ke splnění požadavků na dodržování předpisů.	Audit, Odepřít, Zakázáno	1.1.0
Aplikace služby App Service by měly být přístupné jenom přes PROTOKOL HTTPS.	Použití protokolu HTTPS zajišťuje ověřování serveru nebo služby a chrání přenášená data před útoky na odposlouchávání vrstvy sítě.	Audit, Zakázáno, Odepřít	4.0.0
Aplikace služby App Service by měly používat nejnovější verzi protokolu TLS.	Novější verze se vydávají pro protokol TLS pravidelně kvůli chybám zabezpečení, zahrnují další funkce a zvyšují rychlost. Upgradujte na nejnovější verzi protokolu TLS pro aplikace App Service, abyste mohli využívat opravy zabezpečení, pokud nějaké nebo nové funkce nejnovější verze.	AuditIfNotExists, zakázáno	2.0.1
Služba App Service Environment by měla mít povolené interní šifrování.	Nastavení InternalEncryption na true zašifruje stránkovací soubor, pracovní disky a interní síťový provoz mezi front-endy a pracovními procesy v app Service Environment. Další informace najdete v https://docs.microsoft.com/azure/app-service/environment/app-service-app-service-environment-custom-settings#enable-internal-encryptiontématu .	Audit, zakázáno	1.0.1
Proměnné účtu Automation by měly být šifrované.	Při ukládánícitlivýchch	Audit, Odepřít, Zakázáno	1.1.0
Účty služby Azure Cosmos DB by měly k šifrování neaktivních uložených dat používat klíče spravované zákazníkem.	Ke správě šifrování neaktivních uložených dat ve službě Azure Cosmos DB použijte klíče spravované zákazníkem. Ve výchozím nastavení se neaktivní uložená data šifrují pomocí klíčů spravovaných službou, ale klíče spravované zákazníkem se běžně vyžadují ke splnění standardů dodržování právních předpisů. Klíče spravované zákazníkem umožňují šifrování dat pomocí klíče služby Azure Key Vault vytvořeného a vlastněného vámi. Máte plnou kontrolu nad klíčovým životním cyklem, včetně obměně a správy. Další informace najdete na adrese https://aka.ms/cosmosdb-cmk.	audit, Audit, Odepřít, Odepřít, Zakázáno, Zakázáno	1.1.0
Služba Azure Key Vault by měla mít povolenou bránu firewall.	Povolte bránu firewall trezoru klíčů, aby trezor klíčů nebyl ve výchozím nastavení přístupný pro žádné veřejné IP adresy. Volitelně můžete nakonfigurovat konkrétní rozsahy IP adres pro omezení přístupu k těmto sítím. Další informace najdete tady: https://docs.microsoft.com/azure/key-vault/general/network-security	Audit, Odepřít, Zakázáno	3.2.1
Služby Azure Key Vault by měly používat privátní propojení.	Azure Private Link umožňuje připojit virtuální sítě ke službám Azure bez veřejné IP adresy ve zdroji nebo cíli. Platforma Private Link zpracovává připojení mezi příjemcem a službami přes páteřní síť Azure. Mapováním privátních koncových bodů na trezor klíčů můžete snížit rizika úniku dat. Další informace o privátních propojeních najdete tady: https://aka.ms/akvprivatelink.	[parameters('audit_effect')]	1.2.1
Clustery protokolů služby Azure Monitor by se měly vytvářet s povoleným šifrováním infrastruktury (dvojité šifrování).	Pokud chcete zajistit, aby bylo zabezpečené šifrování dat povolené na úrovni služby a na úrovni infrastruktury se dvěma různými šifrovacími algoritmy a dvěma různými klíči, použijte vyhrazený cluster Služby Azure Monitor. Tato možnost je ve výchozím nastavení povolena, pokud je podporována v oblasti, viz https://docs.microsoft.com/azure/azure-monitor/platform/customer-managed-keys#customer-managed-key-overview.	audit, Audit, Odepřít, Odepřít, Zakázáno, Zakázáno	1.1.0
Certifikáty by měly mít zadanou maximální dobu platnosti.	Požadavky organizace na dodržování předpisů můžete spravovat zadáním maximální doby, po kterou může být certifikát platný v rámci trezoru klíčů.	audit, Audit, Odepřít, Odepřít, Zakázáno, Zakázáno	2.2.1
Šifrování disků by mělo být povolené v Azure Data Exploreru.	Povolení šifrování disků pomáhá chránit a chránit vaše data, aby splňovala závazky organizace týkající se zabezpečení a dodržování předpisů.	Audit, Odepřít, Zakázáno	2.0.0
Vynutit připojení SSL by mělo být povolené pro databázové servery MySQL.	Azure Database for MySQL podporuje připojení serveru Azure Database for MySQL k klientským aplikacím pomocí protokolu SSL (Secure Sockets Layer). Vynucení připojení SSL mezi databázovým serverem a klientskými aplikacemi pomáhá chránit před útoky "man in the middle" šifrováním datového proudu mezi serverem a vaší aplikací. Tato konfigurace vynucuje, aby protokol SSL byl vždy povolený pro přístup k databázovému serveru.	Audit, zakázáno	1.0.1
U databázových serverů PostgreSQL by mělo být povolené vynucení připojení SSL.	Azure Database for PostgreSQL podporuje připojení serveru Azure Database for PostgreSQL k klientským aplikacím pomocí ssl (Secure Sockets Layer). Vynucení připojení SSL mezi databázovým serverem a klientskými aplikacemi pomáhá chránit před útoky "man in the middle" šifrováním datového proudu mezi serverem a vaší aplikací. Tato konfigurace vynucuje, aby protokol SSL byl vždy povolený pro přístup k databázovému serveru.	Audit, zakázáno	1.0.1
Aplikace funkcí by měly být přístupné jenom přes HTTPS.	Použití protokolu HTTPS zajišťuje ověřování serveru nebo služby a chrání přenášená data před útoky na odposlouchávání vrstvy sítě.	Audit, Zakázáno, Odepřít	5.0.0
Aplikace funkcí by měly používat nejnovější verzi protokolu TLS.	Novější verze se vydávají pro protokol TLS pravidelně kvůli chybám zabezpečení, zahrnují další funkce a zvyšují rychlost. Upgradujte na nejnovější verzi protokolu TLS pro aplikace funkcí, abyste mohli využívat opravy zabezpečení, pokud existuje, nebo nové funkce nejnovější verze.	AuditIfNotExists, zakázáno	2.0.1
Pro servery Azure Database for MySQL by mělo být povolené šifrování infrastruktury.	Povolte šifrování infrastruktury pro servery Azure Database for MySQL, abyste měli vyšší úroveň jistoty, že jsou data zabezpečená. Pokud je povolené šifrování infrastruktury, neaktivní uložená data se šifrují dvakrát pomocí klíčů spravovaných microsoftem kompatibilním se standardem FIPS 140-2.	Audit, Odepřít, Zakázáno	1.0.0
Pro servery Azure Database for PostgreSQL by mělo být povolené šifrování infrastruktury.	Povolte šifrování infrastruktury pro servery Azure Database for PostgreSQL, abyste měli vyšší úroveň jistoty, že jsou data zabezpečená. Pokud je povolené šifrování infrastruktury, neaktivní uložená data se šifrují dvakrát pomocí klíčů spravovaných microsoftem kompatibilními se standardem FIPS 140-2.	Audit, Odepřít, Zakázáno	1.0.0
Klíče služby Key Vault by měly mít datum vypršení platnosti.	Kryptografické klíče by měly mít definované datum vypršení platnosti a neměly by být trvalé. Klíče, které jsou platné navždy, poskytují potenciálnímu útočníkovi více času k ohrožení klíče. Doporučuje se nastavit data vypršení platnosti kryptografických klíčů pomocí osvědčených postupů zabezpečení.	Audit, Odepřít, Zakázáno	1.0.2
Tajné kódy služby Key Vault by měly mít datum vypršení platnosti.	Tajné kódy by měly mít definované datum vypršení platnosti a neměly by být trvalé. Tajné kódy, které jsou navždy platné, poskytují potenciálnímu útočníkovi více času k jejich ohrožení. Doporučuje se nastavit data vypršení platnosti tajných kódů.	Audit, Odepřít, Zakázáno	1.0.2
Trezory klíčů by měly mít povolenou ochranu před odstraněním.	Škodlivé odstranění trezoru klíčů může vést ke ztrátě trvalých dat. Trvalé ztrátě dat můžete zabránit povolením ochrany před vymazáním a obnovitelného odstranění. Ochrana před vymazáním vás chrání před vnitřními útoky tím, že vynucuje povinné období uchovávání pro trezory klíčů s obnovitelném odstraněním. Během doby uchovávání obnovitelného odstranění nebude moct nikdo ve vaší organizaci ani Microsoft vyprázdnit trezory klíčů. Mějte na paměti, že trezory klíčů vytvořené po 1. září 2019 mají ve výchozím nastavení povolené obnovitelné odstranění.	Audit, Odepřít, Zakázáno	2.1.0
Trezory klíčů by měly mít povolené obnovitelné odstranění.	Odstranění trezoru klíčů bez povoleného obnovitelného odstranění trvale odstraní všechny tajné kódy, klíče a certifikáty uložené v trezoru klíčů. Náhodné odstranění trezoru klíčů může vést ke ztrátě trvalých dat. Obnovitelné odstranění umožňuje obnovit náhodně odstraněný trezor klíčů pro konfigurovatelnou dobu uchovávání.	Audit, Odepřít, Zakázáno	3.0.0
Spravované disky by měly pro šifrování klíče spravovaného zákazníkem používat konkrétní sadu šifrovacích sad disků.	Vyžadování konkrétní sady šifrování disků, které se mají používat se spravovanými disky, vám umožňují řídit klíče používané k šifrování neaktivních uložených dat. Můžete vybrat povolené šifrované sady a všechny ostatní se při připojení k disku zamítnou. Další informace najdete na adrese https://aka.ms/disks-cmk.	Audit, Odepřít, Zakázáno	2.0.0
Servery MySQL by měly k šifrování neaktivních uložených dat používat klíče spravované zákazníkem.	Ke správě šifrování zbývajících serverů MySQL použijte klíče spravované zákazníkem. Ve výchozím nastavení se neaktivní uložená data šifrují pomocí klíčů spravovaných službou, ale klíče spravované zákazníkem se běžně vyžadují ke splnění standardů dodržování právních předpisů. Klíče spravované zákazníkem umožňují šifrování dat pomocí klíče služby Azure Key Vault vytvořeného a vlastněného vámi. Máte plnou kontrolu nad klíčovým životním cyklem, včetně obměně a správy.	AuditIfNotExists, zakázáno	1.0.4
Servery PostgreSQL by měly k šifrování neaktivních uložených dat používat klíče spravované zákazníkem.	Ke správě šifrování zbývajících serverů PostgreSQL použijte klíče spravované zákazníkem. Ve výchozím nastavení se neaktivní uložená data šifrují pomocí klíčů spravovaných službou, ale klíče spravované zákazníkem se běžně vyžadují ke splnění standardů dodržování právních předpisů. Klíče spravované zákazníkem umožňují šifrování dat pomocí klíče služby Azure Key Vault vytvořeného a vlastněného vámi. Máte plnou kontrolu nad klíčovým životním cyklem, včetně obměně a správy.	AuditIfNotExists, zakázáno	1.0.4
Uložené dotazy ve službě Azure Monitor by se měly ukládat do účtu úložiště zákazníka pro šifrování protokolů.	Propojte účet úložiště s pracovním prostorem služby Log Analytics a chraňte uložené dotazy pomocí šifrování účtu úložiště. Klíče spravované zákazníkem se běžně vyžadují ke splnění dodržování právních předpisů a k větší kontrole přístupu k uloženým dotazům ve službě Azure Monitor. Další podrobnosti o výše uvedených tématech najdete v tématu https://docs.microsoft.com/azure/azure-monitor/platform/customer-managed-keys?tabs=portal#customer-managed-key-for-saved-queries.	audit, Audit, Odepřít, Odepřít, Zakázáno, Zakázáno	1.1.0
Zabezpečený přenos do účtů úložiště by měl být povolený.	Požadavek na audit zabezpečeného přenosu v účtu úložiště Zabezpečený přenos je možnost, která vynutí, aby váš účet úložiště přijímal požadavky pouze ze zabezpečených připojení (HTTPS). Použití protokolu HTTPS zajišťuje ověřování mezi serverem a službou a chrání přenášená data před útoky na vrstvu sítě, jako jsou man-in-the-middle, odposlouchávání a napadení relace.	Audit, Odepřít, Zakázáno	2.0.0
Obory šifrování účtu úložiště by měly k šifrování neaktivních uložených dat používat klíče spravované zákazníkem.	Ke správě šifrování neaktivních rozsahů šifrování účtu úložiště použijte klíče spravované zákazníkem. Klíče spravované zákazníkem umožňují šifrování dat pomocí klíče trezoru klíčů Azure vytvořeného a vlastněného vámi. Máte plnou kontrolu nad klíčovým životním cyklem, včetně obměně a správy. Další informace o oborech šifrování účtu úložiště najdete na adrese https://aka.ms/encryption-scopes-overview.	Audit, Odepřít, Zakázáno	1.0.0
Obory šifrování účtu úložiště by měly používat dvojité šifrování neaktivních uložených dat.	Pokud chcete přidat zabezpečení, povolte šifrování infrastruktury pro šifrování neaktivních rozsahů šifrování účtu úložiště. Šifrování infrastruktury zajišťuje, že se vaše data šifrují dvakrát.	Audit, Odepřít, Zakázáno	1.0.0
Účty úložiště by měly mít šifrování infrastruktury.	Povolte šifrování infrastruktury pro zajištění vyšší úrovně záruky, že jsou data zabezpečená. Pokud je povolené šifrování infrastruktury, data v účtu úložiště se šifrují dvakrát.	Audit, Odepřít, Zakázáno	1.0.0
Účty úložiště by pro šifrování měly používat klíč spravovaný zákazníkem.	Zabezpečení účtu úložiště objektů blob a souborů s větší flexibilitou s využitím klíčů spravovaných zákazníkem Když zadáte klíč spravovaný zákazníkem, použije se tento klíč k ochraně a řízení přístupu ke klíči, který šifruje vaše data. Použití klíčů spravovaných zákazníkem poskytuje další možnosti pro řízení obměně šifrovacího klíče klíče nebo kryptografického vymazání dat.	Audit, zakázáno	1.0.3
transparentní šifrování dat v databázích SQL by měly být povolené	Transparentní šifrování dat by mělo být povolené pro ochranu neaktivních uložených dat a splnění požadavků na dodržování předpisů.	AuditIfNotExists, zakázáno	2.0.0
Virtuální počítače by měly šifrovat dočasné disky, mezipaměti a toky dat mezi výpočetními prostředky a prostředky úložiště.	Ve výchozím nastavení se operační systém a datové disky virtuálního počítače šifrují neaktivní uložená data pomocí klíčů spravovaných platformou. Dočasné disky, mezipaměti dat a tok dat mezi výpočetními prostředky a úložištěm se nešifrují. Toto doporučení ignorujte, pokud: 1. pomocí šifrování na hostiteli nebo 2. Šifrování na straně serveru na Spravované disky splňuje vaše požadavky na zabezpečení. Další informace najdete v tématu: Šifrování Azure Disk Storage na straně serveru: https://aka.ms/disksse, různé nabídky šifrování disků: https://aka.ms/diskencryptioncomparison	AuditIfNotExists, zakázáno	2.0.3

Správa ohrožení zabezpečení -3.3

ID: RBI IT Framework 3.3

Název (Azure Portal)	Popis	Účinek	Verze (GitHub)
Na virtuálních počítačích by mělo být povolené řešení posouzení ohrožení zabezpečení.	Audituje virtuální počítače, aby zjistil, jestli používají podporované řešení posouzení ohrožení zabezpečení. Základní součástí každého programu kybernetického rizika a zabezpečení je identifikace a analýza ohrožení zabezpečení. Cenová úroveň Azure Security Center úrovně Standard zahrnuje kontrolu ohrožení zabezpečení pro vaše virtuální počítače bez dalších poplatků. Security Center navíc může tento nástroj automaticky nasadit za vás.	AuditIfNotExists, zakázáno	3.0.0
Služba Kubernetes Services by se měla upgradovat na verzi Kubernetes, která není zranitelná.	Upgradujte cluster Služby Kubernetes na novější verzi Kubernetes, abyste chránili před známými ohroženími zabezpečení ve vaší aktuální verzi Kubernetes. Chyba zabezpečení CVE-2019-9946 byla opravena ve verzi Kubernetes 1.11.9+, 1.12.7+, 1.13.5 a 1.14.0+	Audit, zakázáno	1.0.2
Databáze SQL by měly mít vyřešené zjištění ohrožení zabezpečení	Monitorujte výsledky kontroly posouzení ohrožení zabezpečení a doporučení, jak napravit ohrožení zabezpečení databáze.	AuditIfNotExists, zakázáno	4.1.0
Vyřešené zjištění ohrožení zabezpečení u SQL serverů na počítačích	Posouzení ohrožení zabezpečení SQL zkontroluje ohrožení zabezpečení databáze a zpřístupňuje případné odchylky od osvědčených postupů, jako jsou chybné konfigurace, nadměrná oprávnění a nechráněná citlivá data. Řešení nalezených ohrožení zabezpečení může výrazně zlepšit stav zabezpečení databáze.	AuditIfNotExists, zakázáno	1.0.0
Aktualizace systému ve škálovacích sadách virtuálních počítačů by se měly nainstalovat.	Umožňuje auditovat, jestli chybí nějaké aktualizace zabezpečení systému nebo důležité aktualizace, které by se měly nainstalovat, aby bylo jisté, že škálovací sady virtuálních počítačů s Windows a Linuxem jsou zabezpečené.	AuditIfNotExists, zakázáno	3.0.0
Na počítačích by se měly nainstalovat aktualizace systému.	Azure Security Center bude monitorovat chybějící aktualizace systému zabezpečení na vašich serverech jako doporučení.	AuditIfNotExists, zakázáno	4.0.0
Chyby zabezpečení v konfiguracích zabezpečení kontejnerů by se měly napravit.	Auditujte ohrožení zabezpečení v konfiguraci zabezpečení na počítačích s nainstalovaným Dockerem a zobrazují se jako doporučení ve službě Azure Security Center.	AuditIfNotExists, zakázáno	3.0.0
Měla by se napravit ohrožení zabezpečení v konfiguraci zabezpečení na vašich počítačích.	Servery, které nesplňují nakonfigurovaný směrný plán, budou monitorovány službou Azure Security Center jako doporučení.	AuditIfNotExists, zakázáno	3.1.0
Měla by se napravit ohrožení zabezpečení v konfiguraci zabezpečení ve škálovacích sadách virtuálních počítačů.	Auditujte ohrožení zabezpečení operačního systému ve škálovacích sadách virtuálních počítačů, abyste je ochránili před útoky.	AuditIfNotExists, zakázáno	3.0.0
Ve službě SQL Managed Instance by se mělo povolit posouzení ohrožení zabezpečení.	Auditujte každou spravovanou instanci SQL, která nemá povolené opakované kontroly posouzení ohrožení zabezpečení. Posouzení ohrožení zabezpečení může zjišťovat, sledovat a pomáhat vám s nápravou potenciálních ohrožení zabezpečení databáze.	AuditIfNotExists, zakázáno	1.0.1
Na sql serverech by se mělo povolit posouzení ohrožení zabezpečení.	Auditujte servery Azure SQL, které nemají správně nakonfigurované posouzení ohrožení zabezpečení. Posouzení ohrožení zabezpečení může zjišťovat, sledovat a pomáhat vám s nápravou potenciálních ohrožení zabezpečení databáze.	AuditIfNotExists, zakázáno	3.0.0
V pracovních prostorech Synapse by se mělo povolit posouzení ohrožení zabezpečení.	Zjišťování, sledování a náprava potenciálních ohrožení zabezpečení konfigurací opakovaných kontrol posouzení ohrožení zabezpečení SQL v pracovních prostorech Synapse	AuditIfNotExists, zakázáno	1.0.0

Digitální podpisy-3.8

ID: RBI IT Framework 3.8

Název (Azure Portal)	Popis	Účinek	Verze (GitHub)
[Zastaralé]: Aplikace funkcí by měly mít povolené klientské certifikáty (příchozí klientské certifikáty).	Klientské certifikáty umožňují aplikaci požádat o certifikát pro příchozí žádosti. K aplikaci budou mít přístup jenom klienti s platnými certifikáty. Tuto zásadu nahradila nová zásada se stejným názvem, protože Http 2.0 nepodporuje klientské certifikáty.	Audit, zakázáno	3.1.0 zastaralé
Aplikace služby App Service by měly mít povolené klientské certifikáty (příchozí klientské certifikáty).	Klientské certifikáty umožňují aplikaci požádat o certifikát pro příchozí žádosti. Aplikaci budou moct kontaktovat jenom klienti, kteří mají platný certifikát. Tato zásada platí pro aplikace s verzí HTTP nastavenou na 1.1.	AuditIfNotExists, zakázáno	1.0.0
Certifikáty by měly být vydány zadanou integrovanou certifikační autoritou.	Požadavky organizace na dodržování předpisů můžete spravovat zadáním integrovaných certifikačních autorit Azure, které můžou vydávat certifikáty ve vašem trezoru klíčů, jako je Digicert nebo GlobalSign.	audit, Audit, Odepřít, Odepřít, Zakázáno, Zakázáno	2.1.0
Certifikáty by měly mít zadanou maximální dobu platnosti.	Požadavky organizace na dodržování předpisů můžete spravovat zadáním maximální doby, po kterou může být certifikát platný v rámci trezoru klíčů.	audit, Audit, Odepřít, Odepřít, Zakázáno, Zakázáno	2.2.1
Certifikáty by měly používat povolené typy klíčů.	Správa požadavků organizace na dodržování předpisů omezením typů klíčů povolených pro certifikáty	audit, Audit, Odepřít, Odepřít, Zakázáno, Zakázáno	2.1.0
Certifikáty používající kryptografii se třemi tečkami by měly mít povolené názvy křivek.	Umožňuje spravovat povolené názvy tří teček pro certifikáty ECC uložené v trezoru klíčů. Další informace najdete na adrese https://aka.ms/akvpolicy.	audit, Audit, Odepřít, Odepřít, Zakázáno, Zakázáno	2.1.0
Certifikáty používající kryptografii RSA by měly mít zadanou minimální velikost klíče.	Spravujte požadavky organizace na dodržování předpisů zadáním minimální velikosti klíče pro certifikáty RSA uložené ve vašem trezoru klíčů.	audit, Audit, Odepřít, Odepřít, Zakázáno, Zakázáno	2.1.0

Provoz IT

IT Operations-4.2

ID: RBI IT Framework 4.2

Název (Azure Portal)	Popis	Účinek	Verze (GitHub)
[Preview]: Agent shromažďování dat síťového provozu by měl být nainstalovaný na virtuálních počítačích s Linuxem.	Security Center používá agenta Závislost Microsoftu ke shromažďování dat síťového provozu z virtuálních počítačů Azure, aby bylo možné povolit pokročilé funkce ochrany sítě, jako je vizualizace provozu na mapě sítě, doporučení k posílení zabezpečení sítě a konkrétní síťové hrozby.	AuditIfNotExists, zakázáno	1.0.2-preview

IT Operations-4.4

ID: RBI IT Framework 4.4.a

Název (Azure Portal)	Popis	Účinek	Verze (GitHub)
Na virtuálních počítačích by mělo být povolené řešení posouzení ohrožení zabezpečení.	Audituje virtuální počítače, aby zjistil, jestli používají podporované řešení posouzení ohrožení zabezpečení. Základní součástí každého programu kybernetického rizika a zabezpečení je identifikace a analýza ohrožení zabezpečení. Cenová úroveň Azure Security Center úrovně Standard zahrnuje kontrolu ohrožení zabezpečení pro vaše virtuální počítače bez dalších poplatků. Security Center navíc může tento nástroj automaticky nasadit za vás.	AuditIfNotExists, zakázáno	3.0.0
Služba Azure Defender for App Service by měla být povolená.	Azure Defender for App Service využívá škálování cloudu a viditelnost, kterou Azure má jako poskytovatel cloudu, k monitorování běžných útoků webových aplikací.	AuditIfNotExists, zakázáno	1.0.3
Servery Azure Defenderu pro Azure SQL Database by měly být povolené.	Azure Defender for SQL poskytuje funkce pro zpřístupnění a zmírnění potenciálních ohrožení zabezpečení databáze, detekci neobvyklých aktivit, které by mohly značit hrozby pro databáze SQL a zjišťování a klasifikaci citlivých dat.	AuditIfNotExists, zakázáno	1.0.2

MIS pro top management-4.4

ID: RBI IT Framework 4.4.b

Název (Azure Portal)	Popis	Účinek	Verze (GitHub)
Na virtuálních počítačích by mělo být povolené řešení posouzení ohrožení zabezpečení.	Audituje virtuální počítače, aby zjistil, jestli používají podporované řešení posouzení ohrožení zabezpečení. Základní součástí každého programu kybernetického rizika a zabezpečení je identifikace a analýza ohrožení zabezpečení. Cenová úroveň Azure Security Center úrovně Standard zahrnuje kontrolu ohrožení zabezpečení pro vaše virtuální počítače bez dalších poplatků. Security Center navíc může tento nástroj automaticky nasadit za vás.	AuditIfNotExists, zakázáno	3.0.0
Služba Azure Defender for App Service by měla být povolená.	Azure Defender for App Service využívá škálování cloudu a viditelnost, kterou Azure má jako poskytovatel cloudu, k monitorování běžných útoků webových aplikací.	AuditIfNotExists, zakázáno	1.0.3
Servery Azure Defenderu pro Azure SQL Database by měly být povolené.	Azure Defender for SQL poskytuje funkce pro zpřístupnění a zmírnění potenciálních ohrožení zabezpečení databáze, detekci neobvyklých aktivit, které by mohly značit hrozby pro databáze SQL a zjišťování a klasifikaci citlivých dat.	AuditIfNotExists, zakázáno	1.0.2

IS Audit

Zásady pro audit informačního systému (IS Audit)-5

ID: RBI IT Framework 5

Název (Azure Portal)	Popis	Účinek	Verze (GitHub)
[Preview]: Veškerý internetový provoz by se měl směrovat přes nasazenou bránu Azure Firewall.	Služba Azure Security Center zjistila, že některé z vašich podsítí nejsou chráněné bránou firewall nové generace. Ochrana podsítí před potenciálními hrozbami omezením přístupu k nim pomocí služby Azure Firewall nebo podporované brány firewall nové generace	AuditIfNotExists, zakázáno	3.0.0-preview
Všechny prostředky protokolu toku by měly být ve stavu povoleného.	Auditujte prostředky protokolu toku a ověřte, jestli je povolený stav protokolu toku. Povolení protokolů toků umožňuje protokolovat informace o toku provozu PROTOKOLU IP. Dá se použít k optimalizaci toků sítě, monitorování propustnosti, ověřování dodržování předpisů, zjišťování neoprávněných vniknutí a další.	Audit, zakázáno	1.0.1
Všechny síťové porty by měly být omezeny na skupiny zabezpečení sítě přidružené k vašemu virtuálnímu počítači.	Služba Azure Security Center zjistila, že některá příchozí pravidla skupin zabezpečení sítě jsou příliš trvalá. Příchozí pravidla by neměla umožňovat přístup z rozsahů Any nebo Internet. To může útočníkům potenciálně umožnit, aby cílili na vaše prostředky.	AuditIfNotExists, zakázáno	3.0.0
Účty služby Azure Cosmos DB by měly mít pravidla brány firewall.	Pravidla brány firewall by se měla definovat v účtech služby Azure Cosmos DB, aby se zabránilo přenosu z neautorizovaných zdrojů. Účty, které mají definované alespoň jedno pravidlo PROTOKOLU IP s povoleným filtrem virtuální sítě, se považují za vyhovující. Účty, které zakazují veřejný přístup, se také považují za vyhovující.	Audit, Odepřít, Zakázáno	2.0.0
Firewall webových aplikací Azure by měl být povolený pro vstupní body služby Azure Front Door.	Nasaďte firewall webových aplikací Azure (WAF) před veřejně přístupné webové aplikace pro další kontrolu příchozího provozu. Firewall webových aplikací (WAF) poskytuje centralizovanou ochranu webových aplikací před běžným zneužitím a ohrožením zabezpečení, jako jsou injektáže SQL, skriptování mezi weby, místní a vzdálené spouštění souborů. Přístup k webovým aplikacím můžete omezit také podle zemí, rozsahů IP adres a dalších parametrů HTTP prostřednictvím vlastních pravidel.	Audit, Odepřít, Zakázáno	1.0.2
Protokoly toku by měly být nakonfigurované pro každou skupinu zabezpečení sítě.	Auditujte skupiny zabezpečení sítě a ověřte, jestli jsou nakonfigurované protokoly toku. Povolení protokolů toku umožňuje protokolovat informace o provozu PROTOKOLU IP procházejících přes skupinu zabezpečení sítě. Dá se použít k optimalizaci toků sítě, monitorování propustnosti, ověřování dodržování předpisů, zjišťování neoprávněných vniknutí a další.	Audit, zakázáno	1.1.0
Internetové virtuální počítače by měly být chráněné pomocí skupin zabezpečení sítě.	Chraňte své virtuální počítače před potenciálními hrozbami tím, že omezíte přístup k nim pomocí skupin zabezpečení sítě (NSG). Další informace o řízení provozu pomocí skupin zabezpečení sítě na adrese https://aka.ms/nsg-doc	AuditIfNotExists, zakázáno	3.0.0
Pravidla brány firewall protokolu IP v pracovních prostorech Azure Synapse by se měla odebrat.	Odebrání všech pravidel brány firewall protokolu IP zlepšuje zabezpečení tím, že zajišťuje, aby k vašemu pracovnímu prostoru Azure Synapse bylo možné přistupovat pouze z privátního koncového bodu. Tato konfigurace audituje vytváření pravidel brány firewall, která umožňují přístup k veřejné síti v pracovním prostoru.	Audit, zakázáno	1.0.0
Předávání IP na virtuálním počítači by mělo být zakázané.	Povolení předávání IP na síťové kartě virtuálního počítače umožňuje počítači přijímat provoz adresovaný do jiných cílů. Předávání IP se vyžaduje jen zřídka (např. při použití virtuálního počítače jako síťového virtuálního zařízení), a proto by ho měl zkontrolovat tým zabezpečení sítě.	AuditIfNotExists, zakázáno	3.0.0
Virtuální počítače, které nejsou přístupné z internetu, by měly být chráněné pomocí skupin zabezpečení sítě.	Chraňte své virtuální počítače, které nejsou přístupné z internetu, před potenciálními hrozbami tím, že omezíte přístup pomocí skupin zabezpečení sítě (NSG). Další informace o řízení provozu pomocí skupin zabezpečení sítě na adrese https://aka.ms/nsg-doc	AuditIfNotExists, zakázáno	3.0.0
Podsítě by měly být přidružené ke skupině zabezpečení sítě.	Chraňte podsíť před potenciálními hrozbami tím, že k ní omezíte přístup pomocí skupiny zabezpečení sítě (NSG). Skupiny zabezpečení sítě obsahují seznam pravidel seznamu řízení přístupu (ACL), která povolují nebo zakazují síťový provoz do vaší podsítě.	AuditIfNotExists, zakázáno	3.0.0
Firewall webových aplikací (WAF) by měl být povolený pro službu Application Gateway.	Nasaďte firewall webových aplikací Azure (WAF) před veřejně přístupné webové aplikace pro další kontrolu příchozího provozu. Firewall webových aplikací (WAF) poskytuje centralizovanou ochranu webových aplikací před běžným zneužitím a ohrožením zabezpečení, jako jsou injektáže SQL, skriptování mezi weby, místní a vzdálené spouštění souborů. Přístup k webovým aplikacím můžete omezit také podle zemí, rozsahů IP adres a dalších parametrů HTTP prostřednictvím vlastních pravidel.	Audit, Odepřít, Zakázáno	2.0.0
Firewall webových aplikací (WAF) by měl používat zadaný režim služby Application Gateway.	Vyžaduje, aby byl režim Detekce nebo Prevence aktivní ve všech zásadách firewallu webových aplikací pro službu Application Gateway.	Audit, Odepřít, Zakázáno	1.0.0
Firewall webových aplikací (WAF) by měl používat zadaný režim pro službu Azure Front Door Service.	Vyžaduje, aby byl režim Detekce nebo Prevence aktivní ve všech zásadách firewallu webových aplikací pro službu Azure Front Door Service.	Audit, Odepřít, Zakázáno	1.0.0

Pokrytí 5.2

ID: RBI IT Framework 5.2

Název (Azure Portal)	Popis	Účinek	Verze (GitHub)
Pro virtuální počítače by měla být povolená služba Azure Backup.	Zajistěte ochranu virtuálních počítačů Azure povolením služby Azure Backup. Azure Backup je bezpečné a nákladově efektivní řešení ochrany dat pro Azure.	AuditIfNotExists, zakázáno	3.0.0
Pro Azure Database for MariaDB by se mělo povolit geograficky redundantní zálohování.	Azure Database for MariaDB umožňuje zvolit možnost redundance databázového serveru. Dá se nastavit na geograficky redundantní úložiště zálohování, ve kterém se data neukládají jenom v rámci oblasti, ve které je váš server hostovaný, ale replikuje se také do spárované oblasti a poskytuje možnost obnovení v případě selhání oblasti. Geograficky redundantní úložiště pro zálohování je možné nakonfigurovat pouze při vytváření serveru.	Audit, zakázáno	1.0.1
Geograficky redundantní zálohování by mělo být povolené pro Službu Azure Database for MySQL.	Azure Database for MySQL umožňuje zvolit možnost redundance vašeho databázového serveru. Dá se nastavit na geograficky redundantní úložiště zálohování, ve kterém se data neukládají jenom v rámci oblasti, ve které je váš server hostovaný, ale replikuje se také do spárované oblasti a poskytuje možnost obnovení v případě selhání oblasti. Geograficky redundantní úložiště pro zálohování je možné nakonfigurovat pouze při vytváření serveru.	Audit, zakázáno	1.0.1
Pro Azure Database for PostgreSQL by se mělo povolit geograficky redundantní zálohování.	Azure Database for PostgreSQL umožňuje zvolit možnost redundance vašeho databázového serveru. Dá se nastavit na geograficky redundantní úložiště zálohování, ve kterém se data neukládají jenom v rámci oblasti, ve které je váš server hostovaný, ale replikuje se také do spárované oblasti a poskytuje možnost obnovení v případě selhání oblasti. Geograficky redundantní úložiště pro zálohování je možné nakonfigurovat pouze při vytváření serveru.	Audit, zakázáno	1.0.1

Plánování kontinuity podnikových procesů

Plánování kontinuity podnikových procesů (BCP) a zotavení po havárii –6

ID: RBI IT Framework 6

Název (Azure Portal)	Popis	Účinek	Verze (GitHub)
[Preview]: Trezory služby Azure Recovery Services by měly pro šifrování zálohovaných dat používat klíče spravované zákazníkem.	Pomocí klíčů spravovaných zákazníkem můžete spravovat šifrování neaktivních zálohovaných dat. Ve výchozím nastavení se zákaznická data šifrují pomocí klíčů spravovaných službami, ale klíče spravované zákazníkem se běžně vyžadují ke splnění standardů dodržování právních předpisů. Klíče spravované zákazníkem umožňují šifrování dat pomocí klíče služby Azure Key Vault vytvořeného a vlastněného vámi. Máte plnou kontrolu nad klíčovým životním cyklem, včetně obměně a správy. Další informace najdete na adrese https://aka.ms/AB-CmkEncryption.	Audit, Odepřít, Zakázáno	1.0.0-preview
[Preview]: Trezory služby Azure Recovery Services by měly pro zálohování používat privátní propojení.	Azure Private Link umožňuje připojit virtuální síť ke službám Azure bez veřejné IP adresy ve zdroji nebo cíli. Platforma Private Link zpracovává připojení mezi příjemcem a službami přes páteřní síť Azure. Mapováním privátních koncových bodů na trezory služby Azure Recovery Services se sníží riziko úniku dat. Další informace o privátních propojeních najdete tady: https://aka.ms/AB-PrivateEndpoints.	Audit, zakázáno	2.0.0-preview
[Preview]: Trezory služby Recovery Services by měly používat privátní propojení	Azure Private Link umožňuje připojit virtuální síť ke službám Azure bez veřejné IP adresy ve zdroji nebo cíli. Platforma Private Link zpracovává připojení mezi příjemcem a službami přes páteřní síť Azure. Mapováním privátních koncových bodů na trezory služby Azure Recovery Services se sníží riziko úniku dat. Další informace o privátních propojeních pro Azure Site Recovery najdete tady: https://aka.ms/HybridScenarios-PrivateLink a https://aka.ms/AzureToAzure-PrivateLink.	Audit, zakázáno	1.0.0-preview
Auditování virtuálních počítačů bez nakonfigurovaného zotavení po havárii	Auditujte virtuální počítače, které nemají nakonfigurované zotavení po havárii. Další informace o zotavení po havárii najdete v tématu https://aka.ms/asr-doc.	auditIfNotExists	1.0.0
Pro virtuální počítače by měla být povolená služba Azure Backup.	Zajistěte ochranu virtuálních počítačů Azure povolením služby Azure Backup. Azure Backup je bezpečné a nákladově efektivní řešení ochrany dat pro Azure.	AuditIfNotExists, zakázáno	3.0.0
Pro Azure Database for MariaDB by se mělo povolit geograficky redundantní zálohování.	Azure Database for MariaDB umožňuje zvolit možnost redundance databázového serveru. Dá se nastavit na geograficky redundantní úložiště zálohování, ve kterém se data neukládají jenom v rámci oblasti, ve které je váš server hostovaný, ale replikuje se také do spárované oblasti a poskytuje možnost obnovení v případě selhání oblasti. Geograficky redundantní úložiště pro zálohování je možné nakonfigurovat pouze při vytváření serveru.	Audit, zakázáno	1.0.1
Geograficky redundantní zálohování by mělo být povolené pro Službu Azure Database for MySQL.	Azure Database for MySQL umožňuje zvolit možnost redundance vašeho databázového serveru. Dá se nastavit na geograficky redundantní úložiště zálohování, ve kterém se data neukládají jenom v rámci oblasti, ve které je váš server hostovaný, ale replikuje se také do spárované oblasti a poskytuje možnost obnovení v případě selhání oblasti. Geograficky redundantní úložiště pro zálohování je možné nakonfigurovat pouze při vytváření serveru.	Audit, zakázáno	1.0.1
Pro Azure Database for PostgreSQL by se mělo povolit geograficky redundantní zálohování.	Azure Database for PostgreSQL umožňuje zvolit možnost redundance vašeho databázového serveru. Dá se nastavit na geograficky redundantní úložiště zálohování, ve kterém se data neukládají jenom v rámci oblasti, ve které je váš server hostovaný, ale replikuje se také do spárované oblasti a poskytuje možnost obnovení v případě selhání oblasti. Geograficky redundantní úložiště pro zálohování je možné nakonfigurovat pouze při vytváření serveru.	Audit, zakázáno	1.0.1
Pro azure SQL Database by se mělo povolit dlouhodobé geograficky redundantní zálohování.	Tato zásada audituje jakoukoli službu Azure SQL Database s dlouhodobým geograficky redundantním zálohováním, které není povolené.	AuditIfNotExists, zakázáno	2.0.0

Strategie zotavení / Plán nepředvídaných událostí-6.2

ID: RBI IT Framework 6.2

Název (Azure Portal)	Popis	Účinek	Verze (GitHub)
[Preview]: Trezory služby Azure Recovery Services by měly pro šifrování zálohovaných dat používat klíče spravované zákazníkem.	Pomocí klíčů spravovaných zákazníkem můžete spravovat šifrování neaktivních zálohovaných dat. Ve výchozím nastavení se zákaznická data šifrují pomocí klíčů spravovaných službami, ale klíče spravované zákazníkem se běžně vyžadují ke splnění standardů dodržování právních předpisů. Klíče spravované zákazníkem umožňují šifrování dat pomocí klíče služby Azure Key Vault vytvořeného a vlastněného vámi. Máte plnou kontrolu nad klíčovým životním cyklem, včetně obměně a správy. Další informace najdete na adrese https://aka.ms/AB-CmkEncryption.	Audit, Odepřít, Zakázáno	1.0.0-preview
[Preview]: Trezory služby Azure Recovery Services by měly pro zálohování používat privátní propojení.	Azure Private Link umožňuje připojit virtuální síť ke službám Azure bez veřejné IP adresy ve zdroji nebo cíli. Platforma Private Link zpracovává připojení mezi příjemcem a službami přes páteřní síť Azure. Mapováním privátních koncových bodů na trezory služby Azure Recovery Services se sníží riziko úniku dat. Další informace o privátních propojeních najdete tady: https://aka.ms/AB-PrivateEndpoints.	Audit, zakázáno	2.0.0-preview
Auditování virtuálních počítačů bez nakonfigurovaného zotavení po havárii	Auditujte virtuální počítače, které nemají nakonfigurované zotavení po havárii. Další informace o zotavení po havárii najdete v tématu https://aka.ms/asr-doc.	auditIfNotExists	1.0.0
Pro virtuální počítače by měla být povolená služba Azure Backup.	Zajistěte ochranu virtuálních počítačů Azure povolením služby Azure Backup. Azure Backup je bezpečné a nákladově efektivní řešení ochrany dat pro Azure.	AuditIfNotExists, zakázáno	3.0.0
Pro Azure Database for MariaDB by se mělo povolit geograficky redundantní zálohování.	Azure Database for MariaDB umožňuje zvolit možnost redundance databázového serveru. Dá se nastavit na geograficky redundantní úložiště zálohování, ve kterém se data neukládají jenom v rámci oblasti, ve které je váš server hostovaný, ale replikuje se také do spárované oblasti a poskytuje možnost obnovení v případě selhání oblasti. Geograficky redundantní úložiště pro zálohování je možné nakonfigurovat pouze při vytváření serveru.	Audit, zakázáno	1.0.1
Geograficky redundantní zálohování by mělo být povolené pro Službu Azure Database for MySQL.	Azure Database for MySQL umožňuje zvolit možnost redundance vašeho databázového serveru. Dá se nastavit na geograficky redundantní úložiště zálohování, ve kterém se data neukládají jenom v rámci oblasti, ve které je váš server hostovaný, ale replikuje se také do spárované oblasti a poskytuje možnost obnovení v případě selhání oblasti. Geograficky redundantní úložiště pro zálohování je možné nakonfigurovat pouze při vytváření serveru.	Audit, zakázáno	1.0.1
Pro Azure Database for PostgreSQL by se mělo povolit geograficky redundantní zálohování.	Azure Database for PostgreSQL umožňuje zvolit možnost redundance vašeho databázového serveru. Dá se nastavit na geograficky redundantní úložiště zálohování, ve kterém se data neukládají jenom v rámci oblasti, ve které je váš server hostovaný, ale replikuje se také do spárované oblasti a poskytuje možnost obnovení v případě selhání oblasti. Geograficky redundantní úložiště pro zálohování je možné nakonfigurovat pouze při vytváření serveru.	Audit, zakázáno	1.0.1
Pro azure SQL Database by se mělo povolit dlouhodobé geograficky redundantní zálohování.	Tato zásada audituje jakoukoli službu Azure SQL Database s dlouhodobým geograficky redundantním zálohováním, které není povolené.	AuditIfNotExists, zakázáno	2.0.0

Strategie zotavení / Plán nepředvídaných událostí-6.3

ID: RBI IT Framework 6.3

Název (Azure Portal)	Popis	Účinek	Verze (GitHub)
[Preview]: Trezory služby Azure Recovery Services by měly pro šifrování zálohovaných dat používat klíče spravované zákazníkem.	Pomocí klíčů spravovaných zákazníkem můžete spravovat šifrování neaktivních zálohovaných dat. Ve výchozím nastavení se zákaznická data šifrují pomocí klíčů spravovaných službami, ale klíče spravované zákazníkem se běžně vyžadují ke splnění standardů dodržování právních předpisů. Klíče spravované zákazníkem umožňují šifrování dat pomocí klíče služby Azure Key Vault vytvořeného a vlastněného vámi. Máte plnou kontrolu nad klíčovým životním cyklem, včetně obměně a správy. Další informace najdete na adrese https://aka.ms/AB-CmkEncryption.	Audit, Odepřít, Zakázáno	1.0.0-preview
[Preview]: Trezory služby Azure Recovery Services by měly pro zálohování používat privátní propojení.	Azure Private Link umožňuje připojit virtuální síť ke službám Azure bez veřejné IP adresy ve zdroji nebo cíli. Platforma Private Link zpracovává připojení mezi příjemcem a službami přes páteřní síť Azure. Mapováním privátních koncových bodů na trezory služby Azure Recovery Services se sníží riziko úniku dat. Další informace o privátních propojeních najdete tady: https://aka.ms/AB-PrivateEndpoints.	Audit, zakázáno	2.0.0-preview
Pro virtuální počítače by měla být povolená služba Azure Backup.	Zajistěte ochranu virtuálních počítačů Azure povolením služby Azure Backup. Azure Backup je bezpečné a nákladově efektivní řešení ochrany dat pro Azure.	AuditIfNotExists, zakázáno	3.0.0
Pro Azure Database for MariaDB by se mělo povolit geograficky redundantní zálohování.	Azure Database for MariaDB umožňuje zvolit možnost redundance databázového serveru. Dá se nastavit na geograficky redundantní úložiště zálohování, ve kterém se data neukládají jenom v rámci oblasti, ve které je váš server hostovaný, ale replikuje se také do spárované oblasti a poskytuje možnost obnovení v případě selhání oblasti. Geograficky redundantní úložiště pro zálohování je možné nakonfigurovat pouze při vytváření serveru.	Audit, zakázáno	1.0.1
Geograficky redundantní zálohování by mělo být povolené pro Službu Azure Database for MySQL.	Azure Database for MySQL umožňuje zvolit možnost redundance vašeho databázového serveru. Dá se nastavit na geograficky redundantní úložiště zálohování, ve kterém se data neukládají jenom v rámci oblasti, ve které je váš server hostovaný, ale replikuje se také do spárované oblasti a poskytuje možnost obnovení v případě selhání oblasti. Geograficky redundantní úložiště pro zálohování je možné nakonfigurovat pouze při vytváření serveru.	Audit, zakázáno	1.0.1
Pro Azure Database for PostgreSQL by se mělo povolit geograficky redundantní zálohování.	Azure Database for PostgreSQL umožňuje zvolit možnost redundance vašeho databázového serveru. Dá se nastavit na geograficky redundantní úložiště zálohování, ve kterém se data neukládají jenom v rámci oblasti, ve které je váš server hostovaný, ale replikuje se také do spárované oblasti a poskytuje možnost obnovení v případě selhání oblasti. Geograficky redundantní úložiště pro zálohování je možné nakonfigurovat pouze při vytváření serveru.	Audit, zakázáno	1.0.1
Pro azure SQL Database by se mělo povolit dlouhodobé geograficky redundantní zálohování.	Tato zásada audituje jakoukoli službu Azure SQL Database s dlouhodobým geograficky redundantním zálohováním, které není povolené.	AuditIfNotExists, zakázáno	2.0.0

Strategie zotavení / Plán nepředvídaných událostí-6.4

ID: RBI IT Framework 6.4

Název (Azure Portal)	Popis	Účinek	Verze (GitHub)
[Preview]: Trezory služby Azure Recovery Services by měly pro šifrování zálohovaných dat používat klíče spravované zákazníkem.	Pomocí klíčů spravovaných zákazníkem můžete spravovat šifrování neaktivních zálohovaných dat. Ve výchozím nastavení se zákaznická data šifrují pomocí klíčů spravovaných službami, ale klíče spravované zákazníkem se běžně vyžadují ke splnění standardů dodržování právních předpisů. Klíče spravované zákazníkem umožňují šifrování dat pomocí klíče služby Azure Key Vault vytvořeného a vlastněného vámi. Máte plnou kontrolu nad klíčovým životním cyklem, včetně obměně a správy. Další informace najdete na adrese https://aka.ms/AB-CmkEncryption.	Audit, Odepřít, Zakázáno	1.0.0-preview
[Preview]: Trezory služby Azure Recovery Services by měly pro zálohování používat privátní propojení.	Azure Private Link umožňuje připojit virtuální síť ke službám Azure bez veřejné IP adresy ve zdroji nebo cíli. Platforma Private Link zpracovává připojení mezi příjemcem a službami přes páteřní síť Azure. Mapováním privátních koncových bodů na trezory služby Azure Recovery Services se sníží riziko úniku dat. Další informace o privátních propojeních najdete tady: https://aka.ms/AB-PrivateEndpoints.	Audit, zakázáno	2.0.0-preview
[Preview]: Trezory služby Recovery Services by měly používat privátní propojení	Azure Private Link umožňuje připojit virtuální síť ke službám Azure bez veřejné IP adresy ve zdroji nebo cíli. Platforma Private Link zpracovává připojení mezi příjemcem a službami přes páteřní síť Azure. Mapováním privátních koncových bodů na trezory služby Azure Recovery Services se sníží riziko úniku dat. Další informace o privátních propojeních pro Azure Site Recovery najdete tady: https://aka.ms/HybridScenarios-PrivateLink a https://aka.ms/AzureToAzure-PrivateLink.	Audit, zakázáno	1.0.0-preview
Auditování virtuálních počítačů bez nakonfigurovaného zotavení po havárii	Auditujte virtuální počítače, které nemají nakonfigurované zotavení po havárii. Další informace o zotavení po havárii najdete v tématu https://aka.ms/asr-doc.	auditIfNotExists	1.0.0

Další kroky

Další články o službě Azure Policy:

• Přehled dodržování právních předpisů
• Podívejte se na strukturu definice iniciativy.
• Projděte si další příklady v ukázkách služby Azure Policy.
• Projděte si Vysvětlení efektů zásad.
• Zjistěte, jak napravit nevyhovující prostředky.