Standards zur Einhaltung gesetzlicher Bestimmungen in Microsoft Defender for Cloud
Microsoft Defender for Cloud optimiert den Prozess zur Einhaltung gesetzlicher Bestimmungen, indem es Ihnen hilft, Probleme zu identifizieren, die Sie daran hindern, einen bestimmten Compliancestandard zu erfüllen oder die Compliancezertifizierung zu erreichen.
Branchenstandards, regulatorische Standards und Benchmarks werden in Defender for Cloud als Sicherheitsstandards dargestellt und erscheinen im Dashboard zur Einhaltung gesetzlicher Vorschriften.
Konformitätskontrollmechanismen
Jeder Sicherheitsstandard besteht aus mehreren Compliancekontrollen, die logische Gruppen verwandter Sicherheitsempfehlungen sind.
Defender for Cloud bewertet die zu überwachende Umgebung kontinuierlich anhand aller Compliancekontrollen, die automatisch bewertet werden können. Basierend auf Bewertungen werden Ressourcen als konform oder nicht konform mit den Kontrollpunkten angezeigt.
Hinweis
Es ist wichtig zu beachten, dass Defender für Cloud nicht entscheiden kann, ob eine Ressource der Kontrolle entspricht, wenn Standards über Compliancekontrollen verfügen, die nicht automatisch bewertet werden können. In diesem Fall wird die Kontrolle als abgeblendet angezeigt.
Anzeigen von Compliancestandards
Das Dashboard zur Einhaltung gesetzlicher Vorschriften bietet eine interaktive Übersicht über den Compliancestatus.
Im Dashboard haben Sie folgende Möglichkeiten:
- Abrufen einer Zusammenfassung der Standardkontrollen, die bestanden wurden.
- Abrufen einer Zusammenfassung der Standards, welche die niedrigste Erfüllungsrate für Ressourcen aufweisen.
- Überprüfen der Standards, die innerhalb des ausgewählten Bereichs angewendet werden.
- Überprüfen der Bewertungen für Compliancekontrollen innerhalb der einzelnen angewendeten Standards.
- Abrufen eines Zusammenfassungsberichts für einen bestimmten Standard.
- Verwalten von Compliancerichtlinien, um die Standards anzuzeigen, die einem bestimmten Bereich zugewiesen sind.
- Ausführen einer Abfrage zum Erstellen eines benutzerdefinierten Complianceberichts
- Erstellen einer „Compliance-Arbeitsmappe im Zeitverlauf“, um den Compliancestatus im Zeitverlauf nachzuverfolgen.
- Herunterladen von Überwachungsberichten.
- Überprüfen der Complianceangebote für Überprüfungen durch Microsoft und Drittanbieter.
Details der Compliancestandards
Für jeden Compliancestandard können Sie Folgendes anzeigen:
- Bereich für den Standard.
- Jeder Standard, unterteilt in Gruppen von Kontrollen und Unterkontrollen.
- Wenn Sie einen Standard auf einen Bereich anwenden, können Sie eine Zusammenfassung der Compliancebewertung für Ressourcen innerhalb des Bereichs für jede Standardkontrolle anzeigen.
- Der Status der Bewertungen spiegelt die Einhaltung des Standards wider. Es gibt drei Status:
- Ein grüner Kreis gibt an, dass Ressourcen im Bereich mit der Kontrolle konform sind.
- Ein roter Kreis gibt an, dass Ressourcen nicht mit der Kontrolle konform sind.
- Nicht verfügbare Kontrollen sind solche, die nicht automatisch bewertet werden können, sodass Defender for Cloud nicht bewerten kann, ob Ressourcen konform sind.
Sie können einen Drilldown zu Kontrollen durchführen, um Informationen zu Ressourcen abzurufen, die bestandene/fehlgeschlagene Bewertungen aufweisen, und Schritte zur Wartung zu erhalten.
Standardmäßige Konformitätsstandards
Wenn Sie Defender for Cloud aktivieren, sind standardmäßig die folgenden Standards aktiviert:
- Für Azure: Microsoft Cloud Security Benchmark (MCSB).
- Für AWS: Microsoft Cloud Security Benchmark (MCSB) und AWS Foundational Security Best Practices Standard.
- Für GCP: Microsoft Cloud Security Benchmark (MCSB) und GCP Default.
Verfügbare Konformitätsstandards
Die folgenden Standards sind in Defender for Cloud verfügbar:
| Standards für Azure-Abonnements | Standards für AWS-Konten | Standards für GCP-Projekte |
|---|---|---|
| ISM PROTECTED der australischen Regierung | AWS Foundational Security Best Practices | Brazilian General Personal Data Protection Law (LGPD) |
| Canada Federal PBMM | AWS Well-Architected Framework | California Consumer Privacy Act (CCPA) |
| CIS Azure Foundations | Brazilian General Personal Data Protection Law (LGPD) | CIS-Steuerelemente |
| CMMC | California Consumer Privacy Act (CCPA) | CIS GCP Foundations |
| FedRAMP ‘H’ & ‘M’ | CIS AWS Foundations | CIS Google Cloud Platform Foundation Benchmark |
| HIPAA/HITRUST | CRI Profile | CIS Google Kubernetes Engine (GKE) Benchmark |
| ISO/IEC 27001 | CSA Cloud Controls Matrix (CCM) | CRI Profile |
| Durch New Zealand ISM eingeschränkt | GDPR | CSA Cloud Controls Matrix (CCM) |
| NIST SP 800-171 | ISO/IEC 27001 | Cybersecurity Maturity Model Certification (CMMC) |
| NIST SP 800-53 | ISO/IEC 27002 | FFIEC Cybersecurity Assessment Tool (CAT) |
| PCI-DSS | NIST Cybersecurity Framework (CSF) | GDPR |
| RMIT Malaysia | NIST SP 800-172 | ISO/IEC 27001 |
| SOC 2 | PCI-DSS | ISO/IEC 27002 |
| SWIFT CSP CSCF | ISO/IEC 27017 | |
| UK OFFICIAL und UK NHS | NIST Cybersecurity Framework (CSF) | |
| NIST SP 800-53 | ||
| NIST SP 800-171 | ||
| NIST SP 800-172 | ||
| PCI-DSS | ||
| Sarbanes Oxley Act (SOX) | ||
| SOC 2 |