Details zur integrierten Initiative „Einhaltung der gesetzlichen Bestimmungen für SOC 2 (System and Organization Controls)“
Im folgenden Artikel wird erläutert, wie die Definition der integrierten Initiative „Einhaltung der gesetzlichen Bestimmungen für Azure Policy“ den Compliancebereichen und Kontrollen in SOC 2 (System and Organization Controls) zugeordnet ist. Weitere Informationen zu diesem Compliancestandard finden Sie unter SOC 2 (System and Organization Controls). Um die Eigentumsverhältnisse zu verstehen, überprüfen Sie den Richtlinientyp und die gemeinsame Verantwortung in der Cloud.
Die folgenden Zuordnungen beziehen sich auf die Kontrollen von SOC 2 (System and Organization Controls). Viele der Steuerungen werden über die Definition einer Azure Policy-Initiative implementiert. Zum Anzeigen der vollständigen Initiativendefinition öffnen Sie Policy im Azure-Portal und wählen dann die Seite Definitionen aus. Suchen Sie anschließend nach der Definition der integrierten Initiative „Einhaltung der gesetzlichen Bestimmungen für SOC 2, Typ 2“ und wählen Sie sie aus.
Wichtig
Jede Steuerung unten ist einer oder mehreren Azure Policy-Definitionen zugeordnet. Diese Richtlinien können Ihnen bei der Konformitätsbewertung mit der Steuerung helfen. Es gibt jedoch oft keine 1:1- oder vollständige Übereinstimmung zwischen einer Steuerung und einer bzw. mehreren Richtlinien. Daher bezieht sich Konform in Azure Policy nur auf die Richtliniendefinitionen selbst und gewährleistet nicht die vollständige Compliance mit allen Anforderungen einer Steuerung. Außerdem enthält der Kompatibilitätsstandard Steuerungen, die derzeit von keiner Azure Policy-Definition abgedeckt werden. Daher ist die Konformität in Azure Policy nur eine partielle Ansicht Ihres gesamten Konformitätsstatus. Die Zuordnungen zwischen Compliancebereichen, Steuerungen und Azure Policy-Definitionen für diesen Konformitätsstandard können sich im Lauf der Zeit ändern. Den Änderungsverlaufs finden Sie im GitHub-Commit-Verlauf.
Zusätzliche Kriterien für die Verfügbarkeit
Kapazitätsverwaltung
ID: SOC 2, Typ 2 A1.1 Besitz: Freigegeben
Name (Azure-Portal) |
BESCHREIBUNG | Auswirkungen | Version (GitHub) |
---|---|---|---|
Kapazitätsplanung durchführen | CMA_C1252 – Kapazitätsplanung durchführen | Manuell, deaktiviert | 1.1.0 |
Schutz der Umgebung, Software, Datensicherungsprozesse und Wiederherstellungsinfrastruktur
ID: SOC 2, Typ 2 A1.2 Besitz: Freigegeben
Name (Azure-Portal) |
BESCHREIBUNG | Auswirkungen | Version (GitHub) |
---|---|---|---|
Azure Backup muss für Virtual Machines aktiviert sein. | Schützen Sie Ihre Azure Virtual Machines-Instanzen, indem Sie Azure Backup aktivieren. Azure Backup ist eine sichere und kostengünstige Lösung zum Schutz von Daten für Azure. | AuditIfNotExists, Disabled | 3.0.0 |
Automatische Notbeleuchtung verwenden | CMA_0209 – Automatische Notbeleuchtung verwenden | Manuell, deaktiviert | 1.1.0 |
Alternativen Verarbeitungsstandort einrichten | CMA_0262 – Alternativen Verarbeitungsstandort einrichten | Manuell, deaktiviert | 1.1.0 |
Georedundante Sicherung muss für Azure Database for MariaDB aktiviert sein | Mit Azure Database for MariaDB können Sie die Redundanzoption für Ihren Datenbankserver auswählen. Sie kann auf einen georedundanten Sicherungsspeicher festgelegt werden, in dem die Daten nicht nur in der Region gespeichert werden, in der Ihr Server gehostet wird, sondern auch in eine gekoppelte Region repliziert werden, um die Wiederherstellungsoption bei einem Regionsausfall bereitzustellen. Das Konfigurieren von georedundantem Speicher für die Sicherung ist nur während der Erstellung des Servers zulässig. | Audit, Disabled | 1.0.1 |
Georedundante Sicherung muss für Azure Database for MySQL aktiviert sein | Mit Azure Database for MySQL können Sie die Redundanzoption für Ihren Datenbankserver auswählen. Sie kann auf einen georedundanten Sicherungsspeicher festgelegt werden, in dem die Daten nicht nur in der Region gespeichert werden, in der Ihr Server gehostet wird, sondern auch in eine gekoppelte Region repliziert werden, um die Wiederherstellungsoption bei einem Regionsausfall bereitzustellen. Das Konfigurieren von georedundantem Speicher für die Sicherung ist nur während der Erstellung des Servers zulässig. | Audit, Disabled | 1.0.1 |
Georedundante Sicherung muss für Azure Database for PostgreSQL aktiviert sein | Mit Azure Database for PostgreSQL können Sie die Redundanzoption für Ihren Datenbankserver auswählen. Sie kann auf einen georedundanten Sicherungsspeicher festgelegt werden, in dem die Daten nicht nur in der Region gespeichert werden, in der Ihr Server gehostet wird, sondern auch in eine gekoppelte Region repliziert werden, um die Wiederherstellungsoption bei einem Regionsausfall bereitzustellen. Das Konfigurieren von georedundantem Speicher für die Sicherung ist nur während der Erstellung des Servers zulässig. | Audit, Disabled | 1.0.1 |
Implementieren einer Penetrationstestmethodik | CMA_0306: Implementieren einer Penetrationstestmethodik | Manuell, deaktiviert | 1.1.0 |
Physische Sicherheit für Büros, Arbeitsbereiche und sichere Bereiche implementieren | CMA_0323 – Physische Sicherheit für Büros, Arbeitsbereiche und gesicherte Bereiche implementieren | Manuell, deaktiviert | 1.1.0 |
Alarmsystem installieren | CMA_0338 – Alarmsystem installieren | Manuell, deaktiviert | 1.1.0 |
Ressourcen nach einer Unterbrechung wiederherstellen und neu konfigurieren | CMA_C1295: Ressourcen nach einer Unterbrechung wiederherstellen und neu konfigurieren | Manuell, deaktiviert | 1.1.1 |
Simulationsangriffe ausführen | CMA_0486: Ausführen von Simulationsangriffen | Manuell, deaktiviert | 1.1.0 |
Sicherungsinformationen separat speichern | CMA_C1293 – Sicherungsinformationen separat speichern | Manuell, deaktiviert | 1.1.0 |
Sicherungsinformationen an einen alternativen Speicherstandort übertragen | CMA_C1294 – Sicherungsinformationen an einen alternativen Speicherstandort übertragen | Manuell, deaktiviert | 1.1.0 |
Testen des Wiederherstellungsplans
ID: SOC 2, Typ 2 A1.3 Besitz: Freigegeben
Name (Azure-Portal) |
BESCHREIBUNG | Auswirkungen | Version (GitHub) |
---|---|---|---|
Notfallpläne mit zugehörigen Plänen koordinieren | CMA_0086 – Notfallpläne mit zugehörigen Plänen koordinieren | Manuell, deaktiviert | 1.1.0 |
Notfallplantests für Korrekturmaßnahmen initiieren | CMA_C1263 – Notfallplantests für Korrekturmaßnahmen initiieren | Manuell, deaktiviert | 1.1.0 |
Ergebnisse der Notfallplantests überprüfen | CMA_C1262 – Ergebnisse der Notfallplantests überprüfen | Manuell, deaktiviert | 1.1.0 |
Business Continuity & Disaster Recovery-Plan testen | CMA_0509 – Business Continuity & Disaster Recovery-Plan testen | Manuell, deaktiviert | 1.1.0 |
Zusätzliche Kriterien für Vertraulichkeit
Schutz vertraulicher Informationen
ID: SOC 2, Typ 2 C1.1 Besitz: Freigegeben
Name (Azure-Portal) |
BESCHREIBUNG | Auswirkungen | Version (GitHub) |
---|---|---|---|
Physischen Zugriff steuern | CMA_0081 – Physischen Zugriff steuern | Manuell, deaktiviert | 1.1.0 |
Eingabe, Ausgabe, Verarbeitung und Speicherung von Daten verwalten | CMA_0369 – Eingabe, Ausgabe, Verarbeitung und Speicherung von Daten verwalten | Manuell, deaktiviert | 1.1.0 |
Bezeichnungsaktivitäten und Analysen überprüfen | CMA_0474 – Bezeichnungsaktivitäten und Analysen überprüfen | Manuell, deaktiviert | 1.1.0 |
Entsorgung vertraulicher Informationen
ID: SOC 2, Typ 2 C1.2 Besitz: Freigegeben
Name (Azure-Portal) |
BESCHREIBUNG | Auswirkungen | Version (GitHub) |
---|---|---|---|
Physischen Zugriff steuern | CMA_0081 – Physischen Zugriff steuern | Manuell, deaktiviert | 1.1.0 |
Eingabe, Ausgabe, Verarbeitung und Speicherung von Daten verwalten | CMA_0369 – Eingabe, Ausgabe, Verarbeitung und Speicherung von Daten verwalten | Manuell, deaktiviert | 1.1.0 |
Bezeichnungsaktivitäten und Analysen überprüfen | CMA_0474 – Bezeichnungsaktivitäten und Analysen überprüfen | Manuell, deaktiviert | 1.1.0 |
Kontrollumgebung
COSO-Prinzip 1
ID: SOC 2, Typ 2 CC1.1 Besitz: Freigegeben
Name (Azure-Portal) |
BESCHREIBUNG | Auswirkungen | Version (GitHub) |
---|---|---|---|
Akzeptable Nutzungsrichtlinien und -prozeduren entwickeln | CMA_0143 – Akzeptable Nutzungsrichtlinien und -prozeduren entwickeln | Manuell, deaktiviert | 1.1.0 |
Verhaltensregeln der Organisation entwickeln | CMA_0159 – Verhaltensregeln der Organisation entwickeln | Manuell, deaktiviert | 1.1.0 |
Mitarbeiterakzeptanz der Datenschutzanforderungen dokumentieren | CMA_0193 – Mitarbeiterakzeptanz der Datenschutzanforderungen dokumentieren | Manuell, deaktiviert | 1.1.0 |
Verhaltensregeln und Zugriffsvereinbarungen erzwingen | CMA_0248 – Verhaltensregeln und Zugriffsvereinbarungen erzwingen | Manuell, deaktiviert | 1.1.0 |
Unfaire Praktiken verbieten | CMA_0396 – Unfaire Praktiken verbieten | Manuell, deaktiviert | 1.1.0 |
Überarbeitete Verhaltensregeln überprüfen und unterzeichnen | CMA_0465 – Überarbeitete Verhaltensregeln überprüfen und unterzeichnen | Manuell, deaktiviert | 1.1.0 |
Verhaltensregeln und Zugriffsvereinbarungen aktualisieren | CMA_0521 – Verhaltensregeln und Zugriffsvereinbarungen aktualisieren | Manuell, deaktiviert | 1.1.0 |
Verhaltensregeln und Zugriffsvereinbarungen alle 3 Jahre aktualisieren | CMA_0522 – Verhaltensregeln und Zugriffsvereinbarungen alle 3 Jahre aktualisieren | Manuell, deaktiviert | 1.1.0 |
COSO-Prinzip 2
ID: SOC 2, Typ 2 CC1.2 Besitz: Freigegeben
Name (Azure-Portal) |
BESCHREIBUNG | Auswirkungen | Version (GitHub) |
---|---|---|---|
Leitenden Informationssicherheitsbeauftragten ernennen | CMA_C1733 – Leitenden Informationssicherheitsbeauftragten ernennen | Manuell, deaktiviert | 1.1.0 |
Systemsicherheitsplan entwickeln und einrichten | CMA_0151 – Systemsicherheitsplan entwickeln und einrichten | Manuell, deaktiviert | 1.1.0 |
Risikomanagementstrategie einrichten | CMA_0258 – Risikomanagementstrategie einrichten | Manuell, deaktiviert | 1.1.0 |
Sicherheitsanforderungen für die Herstellung verbundener Geräte festlegen | CMA_0279 – Sicherheitsanforderungen für die Herstellung verbundener Geräte festlegen | Manuell, deaktiviert | 1.1.0 |
Sicherheitsentwicklungsprinzipien von Informationssystemen implementieren | CMA_0325 – Sicherheitsentwicklungsprinzipien von Informationssystemen implementieren | Manuell, deaktiviert | 1.1.0 |
COSO-Prinzip 3
ID: SOC 2, Typ 2 CC1.3 Besitz: Freigegeben
Name (Azure-Portal) |
BESCHREIBUNG | Auswirkungen | Version (GitHub) |
---|---|---|---|
Leitenden Informationssicherheitsbeauftragten ernennen | CMA_C1733 – Leitenden Informationssicherheitsbeauftragten ernennen | Manuell, deaktiviert | 1.1.0 |
Systemsicherheitsplan entwickeln und einrichten | CMA_0151 – Systemsicherheitsplan entwickeln und einrichten | Manuell, deaktiviert | 1.1.0 |
Risikomanagementstrategie einrichten | CMA_0258 – Risikomanagementstrategie einrichten | Manuell, deaktiviert | 1.1.0 |
Sicherheitsanforderungen für die Herstellung verbundener Geräte festlegen | CMA_0279 – Sicherheitsanforderungen für die Herstellung verbundener Geräte festlegen | Manuell, deaktiviert | 1.1.0 |
Sicherheitsentwicklungsprinzipien von Informationssystemen implementieren | CMA_0325 – Sicherheitsentwicklungsprinzipien von Informationssystemen implementieren | Manuell, deaktiviert | 1.1.0 |
COSO-Prinzip 4
ID: SOC 2, Typ 2 CC1.4 Besitz: Freigegeben
Name (Azure-Portal) |
BESCHREIBUNG | Auswirkungen | Version (GitHub) |
---|---|---|---|
Regelmäßiges rollenbasiertes Sicherheitstraining bereitstellen | CMA_C1095 – Regelmäßiges rollenbasiertes Sicherheitstraining bereitstellen | Manuell, deaktiviert | 1.1.0 |
Regelmäßiges Sicherheitsbewusstseinstraining bereitstellen | CMA_C1091 – Regelmäßiges Sicherheitsbewusstseinstraining bereitstellen | Manuell, deaktiviert | 1.1.0 |
Bereitstellen rollenbasierter praktischer Übungen | CMA_C1096: Bereitstellen rollenbasierter praktischer Übungen | Manuell, deaktiviert | 1.1.0 |
Vor dem Zugriffsgewährung Sicherheitstraining bereitstellen | CMA_0418 – Vor dem Zugriffsgewährung Sicherheitstraining bereitstellen | Manuell, deaktiviert | 1.1.0 |
Sicherheitstraining für neue Benutzer bereitstellen | CMA_0419 – Sicherheitstraining für neue Benutzer bereitstellen | Manuell, deaktiviert | 1.1.0 |
COSO-Prinzip 5
ID: SOC 2, Typ 2 CC1.5 Besitz: Freigegeben
Name (Azure-Portal) |
BESCHREIBUNG | Auswirkungen | Version (GitHub) |
---|---|---|---|
Akzeptable Nutzungsrichtlinien und -prozeduren entwickeln | CMA_0143 – Akzeptable Nutzungsrichtlinien und -prozeduren entwickeln | Manuell, deaktiviert | 1.1.0 |
Verhaltensregeln und Zugriffsvereinbarungen erzwingen | CMA_0248 – Verhaltensregeln und Zugriffsvereinbarungen erzwingen | Manuell, deaktiviert | 1.1.0 |
Formelle Sanktionsprozesse implementieren | CMA_0317 – Formelle Sanktionsprozesse implementieren | Manuell, deaktiviert | 1.1.0 |
Mitarbeiter über Sanktionen benachrichtigen | CMA_0380 – Mitarbeiter über Sanktionen benachrichtigen | Manuell, deaktiviert | 1.1.0 |
Kommunikation und Informationen
COSO-Prinzip 13
ID: SOC 2, Typ 2 CC2.1 Besitz: Freigegeben
Name (Azure-Portal) |
BESCHREIBUNG | Auswirkungen | Version (GitHub) |
---|---|---|---|
Physischen Zugriff steuern | CMA_0081 – Physischen Zugriff steuern | Manuell, deaktiviert | 1.1.0 |
Eingabe, Ausgabe, Verarbeitung und Speicherung von Daten verwalten | CMA_0369 – Eingabe, Ausgabe, Verarbeitung und Speicherung von Daten verwalten | Manuell, deaktiviert | 1.1.0 |
Bezeichnungsaktivitäten und Analysen überprüfen | CMA_0474 – Bezeichnungsaktivitäten und Analysen überprüfen | Manuell, deaktiviert | 1.1.0 |
COSO-Prinzip 14
ID: SOC 2, Typ 2 CC2.2 Besitz: Freigegeben
Name (Azure-Portal) |
BESCHREIBUNG | Auswirkungen | Version (GitHub) |
---|---|---|---|
Akzeptable Nutzungsrichtlinien und -prozeduren entwickeln | CMA_0143 – Akzeptable Nutzungsrichtlinien und -prozeduren entwickeln | Manuell, deaktiviert | 1.1.0 |
E-Mail-Benachrichtigung zu Warnungen mit hohem Schweregrad muss aktiviert sein | Aktivieren Sie E-Mail-Benachrichtigungen für Warnungen mit hohem Schweregrad in Security Center, um sicherzustellen, dass die relevanten Personen in Ihrer Organisation benachrichtigt werden, wenn es für eines Ihrer Abonnements zu einer potenziellen Sicherheitsverletzung gekommen ist. | AuditIfNotExists, Disabled | 1.2.0 |
E-Mail-Benachrichtigung des Abonnementbesitzers bei Warnungen mit hohem Schweregrad muss aktiviert sein | Legen Sie E-Mail-Benachrichtigungen für Abonnementbesitzer für Warnungen mit hohem Schweregrad in Security Center fest, um sicherzustellen, dass Ihre Abonnementbesitzer benachrichtigt werden, wenn es für ihr Abonnement zu einer potenziellen Sicherheitsverletzung gekommen ist. | AuditIfNotExists, Disabled | 2.1.0 |
Verhaltensregeln und Zugriffsvereinbarungen erzwingen | CMA_0248 – Verhaltensregeln und Zugriffsvereinbarungen erzwingen | Manuell, deaktiviert | 1.1.0 |
Regelmäßiges rollenbasiertes Sicherheitstraining bereitstellen | CMA_C1095 – Regelmäßiges rollenbasiertes Sicherheitstraining bereitstellen | Manuell, deaktiviert | 1.1.0 |
Regelmäßiges Sicherheitsbewusstseinstraining bereitstellen | CMA_C1091 – Regelmäßiges Sicherheitsbewusstseinstraining bereitstellen | Manuell, deaktiviert | 1.1.0 |
Vor dem Zugriffsgewährung Sicherheitstraining bereitstellen | CMA_0418 – Vor dem Zugriffsgewährung Sicherheitstraining bereitstellen | Manuell, deaktiviert | 1.1.0 |
Sicherheitstraining für neue Benutzer bereitstellen | CMA_0419 – Sicherheitstraining für neue Benutzer bereitstellen | Manuell, deaktiviert | 1.1.0 |
In Abonnements sollte eine Kontakt-E-Mail-Adresse für Sicherheitsprobleme angegeben sein. | Legen Sie eine für die Sicherheit zuständige Kontaktperson fest, die E-Mail-Benachrichtigungen von Security Center erhalten soll, um sicherzustellen, dass die relevanten Personen in Ihrer Organisation benachrichtigt werden, wenn es für eines Ihrer Abonnements zu einer potenziellen Sicherheitsverletzung gekommen ist. | AuditIfNotExists, Disabled | 1.0.1 |
COSO-Prinzip 15
ID: SOC 2, Typ 2 CC2.3 Besitz: Freigegeben
Name (Azure-Portal) |
BESCHREIBUNG | Auswirkungen | Version (GitHub) |
---|---|---|---|
Aufgaben von Auftragsverarbeitern definieren | CMA_0127 – Aufgaben von Auftragsverarbeitern definieren | Manuell, deaktiviert | 1.1.0 |
Ergebnisse der Sicherheitsbewertung liefern | CMA_C1147 – Ergebnisse der Sicherheitsbewertung liefern | Manuell, deaktiviert | 1.1.0 |
Systemsicherheitsplan entwickeln und einrichten | CMA_0151 – Systemsicherheitsplan entwickeln und einrichten | Manuell, deaktiviert | 1.1.0 |
E-Mail-Benachrichtigung zu Warnungen mit hohem Schweregrad muss aktiviert sein | Aktivieren Sie E-Mail-Benachrichtigungen für Warnungen mit hohem Schweregrad in Security Center, um sicherzustellen, dass die relevanten Personen in Ihrer Organisation benachrichtigt werden, wenn es für eines Ihrer Abonnements zu einer potenziellen Sicherheitsverletzung gekommen ist. | AuditIfNotExists, Disabled | 1.2.0 |
E-Mail-Benachrichtigung des Abonnementbesitzers bei Warnungen mit hohem Schweregrad muss aktiviert sein | Legen Sie E-Mail-Benachrichtigungen für Abonnementbesitzer für Warnungen mit hohem Schweregrad in Security Center fest, um sicherzustellen, dass Ihre Abonnementbesitzer benachrichtigt werden, wenn es für ihr Abonnement zu einer potenziellen Sicherheitsverletzung gekommen ist. | AuditIfNotExists, Disabled | 2.1.0 |
Sicherheitsanforderungen für die Herstellung verbundener Geräte festlegen | CMA_0279 – Sicherheitsanforderungen für die Herstellung verbundener Geräte festlegen | Manuell, deaktiviert | 1.1.0 |
Sicherheitsanforderungen für Mitarbeiter von Drittanbietern einrichten | CMA_C1529 – Öffentliche Verfügbarkeit der Informationen zum Datenschutzprogramm sicherstellen | Manuell, deaktiviert | 1.1.0 |
Datenschutzhinweis-Bereitstellungsmethoden implementieren | CMA_0324 – Datenschutzhinweis-Bereitstellungsmethoden implementieren | Manuell, deaktiviert | 1.1.0 |
Sicherheitsentwicklungsprinzipien von Informationssystemen implementieren | CMA_0325 – Sicherheitsentwicklungsprinzipien von Informationssystemen implementieren | Manuell, deaktiviert | 1.1.0 |
Sicherheitsbewertungsbericht erstellen | CMA_C1146 – Sicherheitsbewertungsbericht erstellen | Manuell, deaktiviert | 1.1.0 |
Datenschutzhinweis bereitstellen | CMA_0414 – Datenschutzhinweis bereitstellen | Manuell, deaktiviert | 1.1.0 |
Drittanbieter zur Einhaltung von Richtlinien und Verfahren für die Personalsicherheit auffordern | CMA_C1530 – Drittanbieter zur Einhaltung von Richtlinien und Verfahren für die Personalsicherheit auffordern | Manuell, deaktiviert | 1.1.0 |
Kommunikation einschränken | CMA_0449 – Kommunikation einschränken | Manuell, deaktiviert | 1.1.0 |
In Abonnements sollte eine Kontakt-E-Mail-Adresse für Sicherheitsprobleme angegeben sein. | Legen Sie eine für die Sicherheit zuständige Kontaktperson fest, die E-Mail-Benachrichtigungen von Security Center erhalten soll, um sicherzustellen, dass die relevanten Personen in Ihrer Organisation benachrichtigt werden, wenn es für eines Ihrer Abonnements zu einer potenziellen Sicherheitsverletzung gekommen ist. | AuditIfNotExists, Disabled | 1.0.1 |
Risikobewertung
COSO-Prinzip 6
ID: SOC 2, Typ 2 CC3.1 Besitz: Freigegeben
Name (Azure-Portal) |
BESCHREIBUNG | Auswirkungen | Version (GitHub) |
---|---|---|---|
Informationen kategorisieren | CMA_0052 – Informationen kategorisieren | Manuell, deaktiviert | 1.1.0 |
Ermitteln der Informationsschutzanforderungen | CMA_C1750: Ermitteln der Informationsschutzanforderungen | Manuell, deaktiviert | 1.1.0 |
Geschäftsklassifizierungsschemas entwickeln | CMA_0155 – Geschäftsklassifizierungsschemas entwickeln | Manuell, deaktiviert | 1.1.0 |
SSP entwickeln, das Kriterien erfüllt | CMA_C1492 – SSP entwickeln, das Kriterien erfüllt | Manuell, deaktiviert | 1.1.0 |
Risikomanagementstrategie einrichten | CMA_0258 – Risikomanagementstrategie einrichten | Manuell, deaktiviert | 1.1.0 |
Risikobewertung durchführen | CMA_0388 – Risikobewertung durchführen | Manuell, deaktiviert | 1.1.0 |
Bezeichnungsaktivitäten und Analysen überprüfen | CMA_0474 – Bezeichnungsaktivitäten und Analysen überprüfen | Manuell, deaktiviert | 1.1.0 |
COSO-Prinzip 7
ID: SOC 2, Typ 2 CC3.2 Besitz: Freigegeben
Name (Azure-Portal) |
BESCHREIBUNG | Auswirkungen | Version (GitHub) |
---|---|---|---|
Auf Ihren virtuellen Computern muss eine Lösung zur Sicherheitsrisikobewertung installiert werden | Überwacht VMs, um zu ermitteln, ob eine unterstützte Lösung zur Sicherheitsrisikobewertung ausgeführt wird. Eine Kernkomponente jedes Cyberrisikos und jedes Sicherheitsprogramms ist die Identifizierung und Analyse von Sicherheitsrisiken. Der Standard-Tarif von Azure Security Center umfasst das Überprüfen von Sicherheitsrisiken für Ihre virtuellen Computer ohne zusätzliche Kosten. Darüber hinaus kann Azure Security Center dieses Tool automatisch für Sie bereitstellen. | AuditIfNotExists, Disabled | 3.0.0 |
Informationen kategorisieren | CMA_0052 – Informationen kategorisieren | Manuell, deaktiviert | 1.1.0 |
Ermitteln der Informationsschutzanforderungen | CMA_C1750: Ermitteln der Informationsschutzanforderungen | Manuell, deaktiviert | 1.1.0 |
Geschäftsklassifizierungsschemas entwickeln | CMA_0155 – Geschäftsklassifizierungsschemas entwickeln | Manuell, deaktiviert | 1.1.0 |
Risikomanagementstrategie einrichten | CMA_0258 – Risikomanagementstrategie einrichten | Manuell, deaktiviert | 1.1.0 |
Risikobewertung durchführen | CMA_0388 – Risikobewertung durchführen | Manuell, deaktiviert | 1.1.0 |
Sicherheitsrisikoüberprüfungen ausführen | CMA_0393 – Sicherheitsrisikoüberprüfungen ausführen | Manuell, deaktiviert | 1.1.0 |
Informationssystemfehler korrigieren | CMA_0427 – Informationssystemfehler korrigieren | Manuell, deaktiviert | 1.1.0 |
Bezeichnungsaktivitäten und Analysen überprüfen | CMA_0474 – Bezeichnungsaktivitäten und Analysen überprüfen | Manuell, deaktiviert | 1.1.0 |
Für SQL Managed Instance muss eine Sicherheitsrisikobewertung aktiviert sein | Hiermit wird jede SQL Managed Instance-Instanz überwacht, für die keine regelmäßige Sicherheitsrisikobewertung durchgeführt wird. Die Sicherheitsrisikobewertung kann Sie dabei unterstützen, potenzielle Sicherheitsrisiken für Datenbanken zu erkennen, nachzuverfolgen und zu beheben. | AuditIfNotExists, Disabled | 1.0.1 |
Für Ihre SQL Server-Instanzen muss eine Sicherheitsrisikobewertung aktiviert sein | Hiermit werden Azure SQL Server-Instanzen überwacht, für die die Sicherheitsrisikobewertung nicht ordnungsgemäß konfiguriert ist. Die Sicherheitsrisikobewertung kann Sie dabei unterstützen, potenzielle Sicherheitsrisiken für Datenbanken zu erkennen, nachzuverfolgen und zu beheben. | AuditIfNotExists, Disabled | 3.0.0 |
COSO-Prinzip 8
ID: SOC 2, Typ 2 CC3.3 Besitz: Freigegeben
Name (Azure-Portal) |
BESCHREIBUNG | Auswirkungen | Version (GitHub) |
---|---|---|---|
Risikobewertung durchführen | CMA_0388 – Risikobewertung durchführen | Manuell, deaktiviert | 1.1.0 |
COSO-Prinzip 9
ID: SOC 2, Typ 2 CC3.4 Besitz: Freigegeben
Name (Azure-Portal) |
BESCHREIBUNG | Auswirkungen | Version (GitHub) |
---|---|---|---|
Risiko in Drittanbieterbeziehungen bewerten | CMA_0014 – Risiko in Drittanbieterbeziehungen bewerten | Manuell, deaktiviert | 1.1.0 |
Anforderungen für die Bereitstellung von Waren und Dienstleistungen definieren | CMA_0126 – Anforderungen für die Bereitstellung von Waren und Dienstleistungen definieren | Manuell, deaktiviert | 1.1.0 |
Vertragliche Lieferantenverpflichtungen festlegen | CMA_0140 – Vertragliche Lieferantenverpflichtungen festlegen | Manuell, deaktiviert | 1.1.0 |
Risikomanagementstrategie einrichten | CMA_0258 – Risikomanagementstrategie einrichten | Manuell, deaktiviert | 1.1.0 |
Richtlinien für das Risikomanagement der Lieferkette einrichten | CMA_0275 – Richtlinien für das Risikomanagement der Lieferkette einrichten | Manuell, deaktiviert | 1.1.0 |
Risikobewertung durchführen | CMA_0388 – Risikobewertung durchführen | Manuell, deaktiviert | 1.1.0 |
Überwachen von Aktivitäten
COSO-Prinzip 16
ID: SOC 2, Typ 2 CC4.1 Besitz: Freigegeben
Name (Azure-Portal) |
BESCHREIBUNG | Auswirkungen | Version (GitHub) |
---|---|---|---|
Sicherheitskontrollen bewerten | CMA_C1145 – Sicherheitskontrollen bewerten | Manuell, deaktiviert | 1.1.0 |
Sicherheitsbewertungsplan entwickeln | CMA_C1144 – Sicherheitsbewertungsplan entwickeln | Manuell, deaktiviert | 1.1.0 |
Weitere Tests für Sicherheitskontrollbewertungen auswählen | CMA_C1149 – Weitere Tests für Sicherheitskontrollbewertungen auswählen | Manuell, deaktiviert | 1.1.0 |
COSO-Prinzip 17
ID: SOC 2, Typ 2 CC4.2 Besitz: Freigegeben
Name (Azure-Portal) |
BESCHREIBUNG | Auswirkungen | Version (GitHub) |
---|---|---|---|
Ergebnisse der Sicherheitsbewertung liefern | CMA_C1147 – Ergebnisse der Sicherheitsbewertung liefern | Manuell, deaktiviert | 1.1.0 |
Sicherheitsbewertungsbericht erstellen | CMA_C1146 – Sicherheitsbewertungsbericht erstellen | Manuell, deaktiviert | 1.1.0 |
Kontrollaktivitäten
COSO-Prinzip 10
ID: SOC 2, Typ 2 CC5.1 Besitz: Freigegeben
Name (Azure-Portal) |
BESCHREIBUNG | Auswirkungen | Version (GitHub) |
---|---|---|---|
Risikomanagementstrategie einrichten | CMA_0258 – Risikomanagementstrategie einrichten | Manuell, deaktiviert | 1.1.0 |
Risikobewertung durchführen | CMA_0388 – Risikobewertung durchführen | Manuell, deaktiviert | 1.1.0 |
COSO-Prinzip 11
ID: SOC 2, Typ 2 CC5.2 Besitz: Freigegeben
Name (Azure-Portal) |
BESCHREIBUNG | Auswirkungen | Version (GitHub) |
---|---|---|---|
Maximal 3 Besitzer sollten für Ihr Abonnement festgelegt sein | Es wird empfohlen, bis zu drei Abonnementbesitzer festzulegen, um die Möglichkeit einer Sicherheitsverletzung durch einen kompromittierten Besitzer zu verringern. | AuditIfNotExists, Disabled | 3.0.0 |
Gesperrte Konten mit Besitzerberechtigungen für Azure-Ressourcen sollten entfernt werden | Veraltete Konten mit Besitzerberechtigungen müssen aus Ihrem Abonnement entfernt werden. Veraltete Konten sind Konten, bei denen die Anmeldung blockiert wurde. | AuditIfNotExists, Disabled | 1.0.0 |
Zugriffssteuerungsmodell entwerfen | CMA_0129 – Zugriffssteuerungsmodell entwerfen | Manuell, deaktiviert | 1.1.0 |
Vertragliche Lieferantenverpflichtungen festlegen | CMA_0140 – Vertragliche Lieferantenverpflichtungen festlegen | Manuell, deaktiviert | 1.1.0 |
Akzeptanzkriterien für Kaufverträge dokumentieren | CMA_0187 – Akzeptanzkriterien für Kaufverträge dokumentieren | Manuell, deaktiviert | 1.1.0 |
Schutz personenbezogener Daten in Kaufverträgen dokumentieren | CMA_0194 – Schutz personenbezogener Daten in Kaufverträgen dokumentieren | Manuell, deaktiviert | 1.1.0 |
Schutz von Sicherheitsinformationen in Kaufverträgen dokumentieren | CMA_0195 – Schutz von Sicherheitsinformationen in Kaufverträgen dokumentieren | Manuell, deaktiviert | 1.1.0 |
Anforderungen für die Verwendung freigegebener Daten in Verträgen dokumentieren | CMA_0197 – Anforderungen für die Verwendung freigegebener Daten in Verträgen dokumentieren | Manuell, deaktiviert | 1.1.0 |
Sicherheitsüberprüfungsanforderungen in Kaufverträgen dokumentieren | CMA_0199 – Sicherheitsüberprüfungsanforderungen in Kaufverträgen dokumentieren | Manuell, deaktiviert | 1.1.0 |
Sicherheitsdokumentationsanforderungen in Kaufverträgen dokumentieren | CMA_0200 – Sicherheitsdokumentationsanforderungen in Kaufverträgen dokumentieren | Manuell, deaktiviert | 1.1.0 |
Sicherheitsfunktionsanforderungen in Kaufverträgen dokumentieren | CMA_0201 – Sicherheitsfunktionsanforderungen in Kaufverträgen dokumentieren | Manuell, deaktiviert | 1.1.0 |
Sicherheitsstärkeanforderungen in Kaufverträgen dokumentieren | CMA_0203 – Sicherheitsstärkeanforderungen in Kaufverträgen dokumentieren | Manuell, deaktiviert | 1.1.0 |
Umgebung des Informationssystems in Kaufverträgen dokumentieren | CMA_0205 – Umgebung des Informationssystems in Kaufverträgen dokumentieren | Manuell, deaktiviert | 1.1.0 |
Schutz von Karteninhaberdaten in Verträgen von Drittanbietern dokumentieren | CMA_0207 – Schutz von Karteninhaberdaten in Verträgen von Drittanbietern dokumentieren | Manuell, deaktiviert | 1.1.0 |
Zugriff mit den geringsten Rechten verwenden | CMA_0212 – Zugriff mit den geringsten Rechten verwenden | Manuell, deaktiviert | 1.1.0 |
Konten mit Besitzerberechtigungen für Azure-Ressourcen sollten entfernt werden. | Externe Konten mit Besitzerberechtigungen müssen aus Ihrem Abonnement entfernt werden, um einen nicht überwachten Zugriff zu verhindern. | AuditIfNotExists, Disabled | 1.0.0 |
Risikobewertung durchführen | CMA_0388 – Risikobewertung durchführen | Manuell, deaktiviert | 1.1.0 |
Ihrem Abonnement sollte mehr als ein Besitzer zugewiesen sein | Es wird empfohlen, mehrere Abonnementbesitzer festzulegen, um Redundanz beim Administratorzugriff zu gewährleisten. | AuditIfNotExists, Disabled | 3.0.0 |
COSO-Prinzip 12
ID: SOC 2, Typ 2 CC5.3 Besitz: Freigegeben
Name (Azure-Portal) |
BESCHREIBUNG | Auswirkungen | Version (GitHub) |
---|---|---|---|
Whitelist für die Erkennung konfigurieren | CMA_0068 – Whitelist für die Erkennung konfigurieren | Manuell, deaktiviert | 1.1.0 |
Risikobewertung durchführen | CMA_0388 – Risikobewertung durchführen | Manuell, deaktiviert | 1.1.0 |
Sensoren für Endpunktsicherheitslösung aktivieren | CMA_0514 – Sensoren für Endpunktsicherheitslösung aktivieren | Manuell, deaktiviert | 1.1.0 |
Unabhängige Sicherheitsüberprüfung durchlaufen | CMA_0515 – Unabhängige Sicherheitsüberprüfung durchlaufen | Manuell, deaktiviert | 1.1.0 |
Logische und physische Zugriffssteuerung
Software, Infrastruktur und Architekturen für die Sicherheit des logischen Zugriffs
ID: SOC 2, Typ 2 CC6.1 Besitz: Freigegeben
Name (Azure-Portal) |
BESCHREIBUNG | Auswirkungen | Version (GitHub) |
---|---|---|---|
Maximal 3 Besitzer sollten für Ihr Abonnement festgelegt sein | Es wird empfohlen, bis zu drei Abonnementbesitzer festzulegen, um die Möglichkeit einer Sicherheitsverletzung durch einen kompromittierten Besitzer zu verringern. | AuditIfNotExists, Disabled | 3.0.0 |
Konten mit Besitzerberechtigungen für Azure-Ressourcen sollten MFA-fähig sein | MFA (Multi-Factor Authentication) muss für alle Abonnementkonten mit Besitzerberechtigungen aktiviert werden, um eine Sicherheitsverletzung für Konten oder Ressourcen zu verhindern. | AuditIfNotExists, Disabled | 1.0.0 |
Konten mit Leseberechtigungen für Azure-Ressourcen sollten MFA-fähig sein | MFA (Multi-Factor Authentication) muss für alle Abonnementkonten mit Leserechten aktiviert sein, um eine Sicherheitsverletzung von Konten oder Ressourcen zu verhindern. | AuditIfNotExists, Disabled | 1.0.0 |
Konten mit Schreibberechtigungen für Azure-Ressourcen sollten MFA-fähig sein | MFA (Multi-Factor Authentication) muss für alle Abonnementkonten mit Schreibrechten aktiviert sein, um eine Sicherheitsverletzung von Konten oder Ressourcen zu verhindern. | AuditIfNotExists, Disabled | 1.0.0 |
Biometrische Authentifizierungsmechanismen anwenden | CMA_0005 – Biometrische Authentifizierungsmechanismen anwenden | Manuell, deaktiviert | 1.1.0 |
Alle Netzwerkports müssen auf Netzwerksicherheitsgruppen eingeschränkt werden, die Ihrer VM zugeordnet sind. | Azure Security Center hat erkannt, dass die Regeln für eingehenden Datenverkehr einiger Ihrer Netzwerksicherheitsgruppen zu freizügig sind. Regeln für eingehenden Datenverkehr dürfen keinen Zugriff über die Bereiche „Beliebig“ oder „Internet“ zulassen. Dies kann es Angreifern ermöglichen, sich Zugang zu Ihren Ressourcen zu verschaffen. | AuditIfNotExists, Disabled | 3.0.0 |
Zugriff auf App Service-Anwendungen sollte nur über HTTPS gestattet sein | Durch die Verwendung von HTTPS wird die Server-/Dienstauthentifizierung sichergestellt, und Daten werden bei der Übertragung vor Abhörangriffen auf der Vermittlungsschicht geschützt. | Audit, Disabled, Deny | 4.0.0 |
App Service-Apps sollten nur FTPS erfordern | Aktivieren Sie die FTPS-Erzwingung für mehr Sicherheit. | AuditIfNotExists, Disabled | 3.0.0 |
Für die Authentifizierung bei Linux-Computern muss ein SSH-Schlüssel erforderlich sein | SSH stellt zwar bereits eine verschlüsselte Verbindung bereit, bei Verwendung von Kennwörtern für SSH ist der virtuelle Computer jedoch weiterhin anfällig für Brute-Force-Angriffe. Die sicherste Option für die Authentifizierung bei einem virtuellen Azure-Computer unter Linux über SSH besteht in der Verwendung eines Schlüsselpaars aus öffentlichem und privatem Schlüssel (SSH-Schlüssel). Weitere Informationen finden Sie hier: https://docs.microsoft.com/azure/virtual-machines/linux/create-ssh-keys-detailed. | AuditIfNotExists, Disabled | 3.2.0 |
Zugriff auf Sicherheitsfunktionen und -informationen autorisieren | CMA_0022 – Zugriff auf Sicherheitsfunktionen und -informationen autorisieren | Manuell, deaktiviert | 1.1.0 |
Zugriff autorisieren und verwalten | CMA_0023 – Zugriff autorisieren und verwalten | Manuell, deaktiviert | 1.1.0 |
Remotezugriff autorisieren | CMA_0024 – Remotezugriff autorisieren | Manuell, deaktiviert | 1.1.0 |
Automation-Kontovariablen sollten verschlüsselt werden | Es ist wichtig, die Verschlüsselung für Variablenobjekte von Automation-Konten zu aktivieren, wenn vertrauliche Daten gespeichert werden. | Audit, Deny, Disabled | 1.1.0 |
Azure KI Services-Ressourcen sollten ruhende Daten mit einem kundenseitig verwalteten Schlüssel (Customer-Managed Key, CMK) verschlüsseln. | Die Verwendung von kundenseitig verwalteten Schlüsseln zum Verschlüsseln ruhender Daten bietet mehr Kontrolle über den Schlüssellebenszyklus, einschließlich Rotation und Verwaltung. Dies ist insbesondere für Organisationen mit entsprechenden Complianceanforderungen relevant. Standardmäßig wird dies nicht bewertet. Eine Anwendung sollte nur bei Erzwingen durch Compliance- oder restriktive Richtlinienanforderungen erfolgen. Wenn keine Aktivierung erfolgt ist, werden die Daten mit plattformseitig verwalteten Schlüsseln verschlüsselt. Für die Implementierung aktualisieren Sie den Effect-Parameter in der Sicherheitsrichtlinie für den entsprechenden Geltungsbereich. | Audit, Deny, Disabled | 2.2.0 |
Azure Cosmos DB-Konten sollten kundenseitig verwaltete Schlüssel zur Verschlüsselung ruhender Daten verwenden. | Verwenden Sie kundenseitig verwaltete Schlüssel, um die Verschlüsselung ruhender Daten Ihrer Azure Cosmos DB-Instanzen zu verwalten. Standardmäßig werden die Daten im Ruhezustand mit dienstseitig verwalteten Schlüsseln verschlüsselt. Kundenseitig verwaltete Schlüssel sind jedoch häufig zur Einhaltung gesetzlicher Bestimmungen erforderlich. Mit kundenseitig verwalteten Schlüsseln können die Daten mit einem Azure Key Vault-Schlüssel verschlüsselt werden, der von Ihnen erstellt wird und sich in Ihrem Besitz befindet. Sie verfügen über die volle Kontrolle über und Verantwortung für den Schlüssellebenszyklus, einschließlich Rotation und Verwaltung. Weitere Informationen finden Sie unter https://aka.ms/cosmosdb-cmk. | überprüfen, Überprüfung, verweigern, Verweigerung, deaktiviert, Deaktivierung | 1.1.0 |
Azure Machine Learning-Arbeitsbereiche müssen mit einem kundenseitig verwalteten Schlüssel verschlüsselt werden. | Verwalten Sie die Verschlüsselung ruhender Daten für Daten im Azure Machine Learning-Arbeitsbereich mit kundenseitig verwalteten Schlüsseln. Standardmäßig werden Kundendaten mit dienstseitig verwalteten Schlüsseln verschlüsselt. Kundenseitig verwaltete Schlüssel sind jedoch häufig zur Einhaltung gesetzlicher Bestimmungen erforderlich. Mit kundenseitig verwalteten Schlüsseln können die Daten mit einem Azure Key Vault-Schlüssel verschlüsselt werden, der von Ihnen erstellt wird und sich in Ihrem Besitz befindet. Sie verfügen über die volle Kontrolle über und Verantwortung für den Schlüssellebenszyklus, einschließlich Rotation und Verwaltung. Weitere Informationen finden Sie unter https://aka.ms/azureml-workspaces-cmk. | Audit, Deny, Disabled | 1.1.0 |
Gesperrte Konten mit Besitzerberechtigungen für Azure-Ressourcen sollten entfernt werden | Veraltete Konten mit Besitzerberechtigungen müssen aus Ihrem Abonnement entfernt werden. Veraltete Konten sind Konten, bei denen die Anmeldung blockiert wurde. | AuditIfNotExists, Disabled | 1.0.0 |
Zertifikate müssen die angegebene maximale Gültigkeitsdauer aufweisen | Hiermit werden die Konformitätsanforderungen Ihrer Organisation verwaltet, indem die maximale Zeitspanne angegeben wird, für die ein Zertifikat innerhalb Ihres Schlüsseltresors gültig sein darf. | überprüfen, Überprüfung, verweigern, Verweigerung, deaktiviert, Deaktivierung | 2.2.1 |
Containerregistrierungen müssen mit einem kundenseitig verwalteten Schlüssel verschlüsselt werden | Verwenden Sie kundenseitig verwaltete Schlüssel, um die Verschlüsselung ruhender Daten für den Inhalt Ihrer Registrierungen zu verwalten. Standardmäßig werden die Daten im Ruhezustand mit dienstseitig verwalteten Schlüsseln verschlüsselt. Kundenseitig verwaltete Schlüssel sind jedoch häufig zur Einhaltung gesetzlicher Bestimmungen erforderlich. Mit kundenseitig verwalteten Schlüsseln können die Daten mit einem Azure Key Vault-Schlüssel verschlüsselt werden, der von Ihnen erstellt wird und sich in Ihrem Besitz befindet. Sie verfügen über die volle Kontrolle über und Verantwortung für den Schlüssellebenszyklus, einschließlich Rotation und Verwaltung. Weitere Informationen finden Sie unter https://aka.ms/acr/CMK. | Audit, Deny, Disabled | 1.1.2 |
Informationsfluss steuern | CMA_0079 – Informationsfluss steuern | Manuell, deaktiviert | 1.1.0 |
Physischen Zugriff steuern | CMA_0081 – Physischen Zugriff steuern | Manuell, deaktiviert | 1.1.0 |
Datenbestand erstellen | CMA_0096 – Datenbestand erstellen | Manuell, deaktiviert | 1.1.0 |
Verwaltungsprozess physischer Schlüssel definieren | CMA_0115 – Verwaltungsprozess physischer Schlüssel definieren | Manuell, deaktiviert | 1.1.0 |
Kryptografische Verwendung definieren | CMA_0120 – Kryptografische Verwendung definieren | Manuell, deaktiviert | 1.1.0 |
Organisationsanforderungen für die kryptografische Schlüsselverwaltung definieren | CMA_0123 – Organisationsanforderungen für die kryptografische Schlüsselverwaltung definieren | Manuell, deaktiviert | 1.1.0 |
Zugriffssteuerungsmodell entwerfen | CMA_0129 – Zugriffssteuerungsmodell entwerfen | Manuell, deaktiviert | 1.1.0 |
Assertionsanforderungen bestimmen | CMA_0136 – Assertionsanforderungen bestimmen | Manuell, deaktiviert | 1.1.0 |
Mobilitätstraining dokumentieren | CMA_0191 – Mobilitätstraining dokumentieren | Manuell, deaktiviert | 1.1.0 |
Richtlinien für den Remotezugriff dokumentieren | CMA_0196 – Richtlinien für den Remotezugriff dokumentieren | Manuell, deaktiviert | 1.1.0 |
Flusssteuerungsmechanismen verschlüsselter Informationen verwenden | CMA_0211 – Flusssteuerungsmechanismen verschlüsselter Informationen verwenden | Manuell, deaktiviert | 1.1.0 |
Zugriff mit den geringsten Rechten verwenden | CMA_0212 – Zugriff mit den geringsten Rechten verwenden | Manuell, deaktiviert | 1.1.0 |
Logischen Zugriff erzwingen | CMA_0245 – Logischen Zugriff erzwingen | Manuell, deaktiviert | 1.1.0 |
Obligatorische und bedingte Zugriffssteuerungsrichtlinien erzwingen | CMA_0246 – Obligatorische und bedingte Zugriffssteuerungsrichtlinien erzwingen | Manuell, deaktiviert | 1.1.0 |
Erzwingen einer SSL-Verbindung muss für MySQL-Datenbankserver aktiviert sein | Azure-Datenbank für MySQL unterstützt die Verbindung Ihres Servers mit Azure-Datenbank für MySQL mit Clientanwendungen, die Secure Sockets Layer (SSL) verwenden. Durch das Erzwingen von SSL-Verbindungen zwischen Ihrem Datenbankserver und Ihren Clientanwendungen können Sie sich vor Man-in-the-Middle-Angriffen schützen, indem Sie den Datenstrom zwischen dem Server und Ihrer Anwendung verschlüsseln. Diese Konfiguration erzwingt, dass SSL für den Zugriff auf Ihren Datenbankserver immer aktiviert ist. | Audit, Disabled | 1.0.1 |
Erzwingen einer SSL-Verbindung muss für PostgreSQL-Datenbankserver aktiviert sein | Azure Database for PostgreSQL unterstützt das Herstellen einer Verbindung zwischen Ihrem Azure Database for PostgreSQL-Server und Clientanwendungen unter Verwendung von Secure Sockets Layer (SSL). Durch das Erzwingen von SSL-Verbindungen zwischen Ihrem Datenbankserver und Ihren Clientanwendungen können Sie sich vor Man-in-the-Middle-Angriffen schützen, indem Sie den Datenstrom zwischen dem Server und Ihrer Anwendung verschlüsseln. Diese Konfiguration erzwingt, dass SSL für den Zugriff auf Ihren Datenbankserver immer aktiviert ist. | Audit, Disabled | 1.0.1 |
Datenleck-Verwaltungsprozedur einrichten | CMA_0255 – Datenleck-Verwaltungsprozedur einrichten | Manuell, deaktiviert | 1.1.0 |
Firewall- und Routerkonfigurationsstandards einrichten | CMA_0272 – Firewall- und Routerkonfigurationsstandards einrichten | Manuell, deaktiviert | 1.1.0 |
Netzwerksegmentierung für Karteninhaber-Datenumgebung einrichten | CMA_0273 – Netzwerksegmentierung für Karteninhaber-Datenumgebung einrichten | Manuell, deaktiviert | 1.1.0 |
Zugriff auf Funktions-Apps sollte nur über HTTPS gestattet sein | Durch die Verwendung von HTTPS wird die Server-/Dienstauthentifizierung sichergestellt, und Daten werden bei der Übertragung vor Abhörangriffen auf der Vermittlungsschicht geschützt. | Audit, Disabled, Deny | 5.0.0 |
Funktions-Apps sollten nur FTPS erfordern | Aktivieren Sie die FTPS-Erzwingung für mehr Sicherheit. | AuditIfNotExists, Disabled | 3.0.0 |
Funktions-Apps sollten die neueste TLS-Version verwenden | Für TLS werden in regelmäßigen Abständen neue Versionen herausgegeben – entweder zum Beheben von Sicherheitsmängeln, zum Bereitstellen neuer Funktionen oder zur Verbesserung der Geschwindigkeit. Führen Sie ein Upgrade auf die neueste TLS-Version für Function-Apps durch, um von etwaigen Sicherheitsverbesserungen und/oder neuen Funktionen der neuesten Version zu profitieren. | AuditIfNotExists, Disabled | 2.0.1 |
Konten mit Besitzerberechtigungen für Azure-Ressourcen sollten entfernt werden. | Externe Konten mit Besitzerberechtigungen müssen aus Ihrem Abonnement entfernt werden, um einen nicht überwachten Zugriff zu verhindern. | AuditIfNotExists, Disabled | 1.0.0 |
Downstream-Informationsaustausche identifizieren und verwalten | CMA_0298 – Downstream-Informationsaustausche identifizieren und verwalten | Manuell, deaktiviert | 1.1.0 |
Steuerelemente zum Sichern alternativer Arbeitsstandorte implementieren | CMA_0315 – Steuerelemente zum Sichern alternativer Arbeitsstandorte implementieren | Manuell, deaktiviert | 1.1.0 |
Physische Sicherheit für Büros, Arbeitsbereiche und sichere Bereiche implementieren | CMA_0323 – Physische Sicherheit für Büros, Arbeitsbereiche und gesicherte Bereiche implementieren | Manuell, deaktiviert | 1.1.0 |
Virtuelle Computer mit Internetzugang sollten über Netzwerksicherheitsgruppen geschützt werden | Schützen Sie Ihre virtuellen Computer vor potenziellen Bedrohungen, indem Sie den Zugriff darauf mithilfe von Netzwerksicherheitsgruppen (NSGs) einschränken. Weitere Informationen zum Steuern des Datenverkehrs mit NSGs finden Sie unter https://aka.ms/nsg-doc. | AuditIfNotExists, Disabled | 3.0.0 |
Öffentliche Schlüsselzertifikate ausstellen | CMA_0347 – Öffentliche Schlüsselzertifikate ausstellen | Manuell, deaktiviert | 1.1.0 |
Key Vault-Schlüssel sollten ein Ablaufdatum aufweisen. | Kryptografische Schlüssel sollten ein definiertes Ablaufdatum aufweisen und nicht dauerhaft sein. Schlüssel, die immer gültig sind, bieten einem potenziellen Angreifer mehr Zeit, um den Schlüssel zu kompromittieren. Als empfohlene Sicherheitsmethode sollte für kryptografische Schlüssel ein Ablaufdatum festgelegt werden. | Audit, Deny, Disabled | 1.0.2 |
Key Vault-Geheimnisse sollten ein Ablaufdatum aufweisen. | Geheimnisse sollten ein definiertes Ablaufdatum aufweisen und nicht dauerhaft sein. Geheimnisse, die immer gültig sind, bieten einem potenziellen Angreifer mehr Zeit, sie zu kompromittieren. Als empfohlene Sicherheitsmethode sollte für Geheimnisse ein Ablaufdatum festgelegt werden. | Audit, Deny, Disabled | 1.0.2 |
Für Schlüsseltresore sollte der Löschschutz aktiviert sein. | Das böswillige Löschen eines Schlüsseltresors kann zu dauerhaftem Datenverlust führen. Sie können dauerhaften Datenverlust verhindern, indem Sie den Löschschutz und das vorläufige Löschen aktivieren. Der Löschschutz schützt Sie vor Insiderangriffen, indem ein verbindlicher Aufbewahrungszeitraum für vorläufig gelöschte Schlüsseltresore durchgesetzt wird. Niemand innerhalb Ihrer Organisation oder von Microsoft kann Ihre Schlüsseltresore während des Aufbewahrungszeitraums für vorläufiges Löschen löschen. Beachten Sie, dass für Schlüsseltresore, die nach dem 1. September 2019 erstellt wurden, das vorläufige Löschen standardmäßig aktiviert ist. | Audit, Deny, Disabled | 2.1.0 |
Für Schlüsseltresore sollte vorläufiges Löschen aktiviert sein. | Wenn Sie einen Schlüsseltresor löschen und vorläufiges Löschen nicht aktiviert ist, werden alle Geheimnisse, Schlüssel und Zertifikate, die im Schlüsseltresor gespeichert sind, dauerhaft gelöscht. Das versehentliche Löschen eines Schlüsseltresors kann zu dauerhaftem Datenverlust führen. Vorläufiges Löschen ermöglicht es Ihnen, einen versehentlich gelöschten Schlüsseltresor innerhalb des konfigurierbaren Aufbewahrungszeitraums wiederherzustellen. | Audit, Deny, Disabled | 3.0.0 |
Auf Kubernetes-Cluster sollte nur über HTTPS zugegriffen werden können. | Durch die Verwendung von HTTPS wird die Authentifizierung sichergestellt, und Daten werden bei der Übertragung vor Abhörangriffen auf der Vermittlungsschicht geschützt. Diese Funktion ist derzeit für Kubernetes Service (AKS) allgemein verfügbar und steht für Azure Arc-fähiges Kubernetes als Vorschauversion zur Verfügung. Weitere Informationen finden Sie unter https://aka.ms/kubepolicydoc. | überprüfen, Überprüfung, verweigern, Verweigerung, deaktiviert, Deaktivierung | 8.2.0 |
Datensätze zur Verarbeitung personenbezogener Daten verwalten | CMA_0353 – Datensätze zur Verarbeitung personenbezogener Daten verwalten | Manuell, deaktiviert | 1.1.0 |
Symmetrische kryptografische Schlüssel verwalten | CMA_0367 – Symmetrische kryptografische Schlüssel verwalten | Manuell, deaktiviert | 1.1.0 |
Eingabe, Ausgabe, Verarbeitung und Speicherung von Daten verwalten | CMA_0369 – Eingabe, Ausgabe, Verarbeitung und Speicherung von Daten verwalten | Manuell, deaktiviert | 1.1.0 |
Verwaltungsports von virtuellen Computern sollten mit Just-In-Time-Netzwerkzugriffssteuerung geschützt werden | Hiermit wird der mögliche Just-In-Time-Netzwerkzugriff über Azure Security Center in Form von Empfehlungen überwacht. | AuditIfNotExists, Disabled | 3.0.0 |
Verwaltungsports sollten auf Ihren virtuellen Computern geschlossen werden | Offene Remoteverwaltungsports setzen Ihre VM einem hohen Risiko aus, weil sie internetbasierte Brute-Force-Angriffe zur Erlangung von Anmeldeinformationen begünstigen, um Administratorzugriff auf den Computer zu erhalten. | AuditIfNotExists, Disabled | 3.0.0 |
MySQL Server-Instanzen müssen kundenseitig verwaltete Schlüssel zur Verschlüsselung ruhender Daten verwenden | Verwenden Sie kundenseitig verwaltete Schlüssel, um die Verschlüsselung ruhender Daten Ihrer MySQL-Server zu verwalten. Standardmäßig werden die Daten im Ruhezustand mit dienstseitig verwalteten Schlüsseln verschlüsselt. Kundenseitig verwaltete Schlüssel sind jedoch häufig zur Einhaltung gesetzlicher Bestimmungen erforderlich. Mit kundenseitig verwalteten Schlüsseln können die Daten mit einem Azure Key Vault-Schlüssel verschlüsselt werden, der von Ihnen erstellt wird und sich in Ihrem Besitz befindet. Sie verfügen über die volle Kontrolle über und Verantwortung für den Schlüssellebenszyklus, einschließlich Rotation und Verwaltung. | AuditIfNotExists, Disabled | 1.0.4 |
Virtuelle Computer ohne Internetzugang sollten über Netzwerksicherheitsgruppen geschützt werden. | Schützen Sie Ihre virtuellen Computer ohne Internetzugang vor potenziellen Bedrohungen, indem Sie den Zugriff mithilfe von Netzwerksicherheitsgruppen (NSGs) einschränken. Weitere Informationen zum Steuern des Datenverkehrs mit NSGs finden Sie unter https://aka.ms/nsg-doc. | AuditIfNotExists, Disabled | 3.0.0 |
Benutzer über Systemanmeldung oder -zugriff benachrichtigen | CMA_0382 – Benutzer über Systemanmeldung oder -zugriff benachrichtigen | Manuell, deaktiviert | 1.1.0 |
Für Ihren Azure Cache for Redis dürfen nur sichere Verbindungen aktiviert sein. | Aktivieren der Überprüfung nur für Verbindungen über SSL mit Azure Cache for Redis Durch die Verwendung sicherer Verbindungen wird eine Authentifizierung zwischen dem Server und dem Dienst sichergestellt, und die übertragenen Daten werden vor Angriffen auf Netzwerkebene geschützt, wie z.B. Man-in-the-Middle-Angriffe, Abhörangriffe und Session Hijacking. | Audit, Deny, Disabled | 1.0.0 |
PostgreSQL Server-Instanzen müssen kundenseitig verwaltete Schlüssel zur Verschlüsselung ruhender Daten verwenden | Verwenden Sie kundenseitig verwaltete Schlüssel, um die Verschlüsselung ruhender Daten Ihrer PostgreSQL-Server zu verwalten. Standardmäßig werden die Daten im Ruhezustand mit dienstseitig verwalteten Schlüsseln verschlüsselt. Kundenseitig verwaltete Schlüssel sind jedoch häufig zur Einhaltung gesetzlicher Bestimmungen erforderlich. Mit kundenseitig verwalteten Schlüsseln können die Daten mit einem Azure Key Vault-Schlüssel verschlüsselt werden, der von Ihnen erstellt wird und sich in Ihrem Besitz befindet. Sie verfügen über die volle Kontrolle über und Verantwortung für den Schlüssellebenszyklus, einschließlich Rotation und Verwaltung. | AuditIfNotExists, Disabled | 1.0.4 |
In Übertragung begriffene Daten mit Verschlüsselung schützen | CMA_0403 – In Übertragung begriffene Daten mit Verschlüsselung schützen | Manuell, deaktiviert | 1.1.0 |
Spezielle Informationen schützen | CMA_0409 – Spezielle Informationen schützen | Manuell, deaktiviert | 1.1.0 |
Training zum Datenschutz bereitstellen | CMA_0415 – Training zum Datenschutz bereitstellen | Manuell, deaktiviert | 1.1.0 |
Genehmigung für Kontoerstellung anfordern | CMA_0431 – Genehmigung für Kontoerstellung anfordern | Manuell, deaktiviert | 1.1.0 |
Zugriff auf private Schlüssel einschränken | CMA_0445 – Zugriff auf private Schlüssel einschränken | Manuell, deaktiviert | 1.1.0 |
Benutzergruppen und Anwendungen mit Zugriff auf vertrauliche Daten überprüfen | CMA_0481 – Benutzergruppen und Anwendungen mit Zugriff auf vertrauliche Daten überprüfen | Manuell, deaktiviert | 1.1.0 |
Sichere Übertragung in Speicherkonten sollte aktiviert werden | Hiermit wird die Anforderung sicherer Übertragungen in Ihren Speicherkonto überwacht. Sichere Übertragung ist eine Option, die erzwingt, dass Ihr Storage-Konto nur Anforderungen von sicheren Verbindungen (HTTPS) akzeptiert. Durch die Verwendung von HTTPS wird eine Authentifizierung zwischen dem Server und dem Dienst sichergestellt, und die übertragenen Daten werden vor Angriffen auf Netzwerkebene geschützt, z. B. Man-in-the-Middle-Angriffe, Abhörangriffe und Session Hijacking. | Audit, Deny, Disabled | 2.0.0 |
Service Fabric Cluster sollten die Eigenschaft ClusterProtectionLevel auf EncryptAndSign setzen | Service Fabric bietet drei Schutzebenen („None“, „Sign“ und „EncryptAndSign“) für die Kommunikation zwischen zwei Knoten unter Verwendung eines primären Clusterzertifikats. Legen Sie die Schutzebene fest, um sicherzustellen, dass alle zwischen Knoten übertragenen Nachrichten verschlüsselt und digital signiert werden. | Audit, Deny, Disabled | 1.1.0 |
Verwaltete SQL-Instanzen sollten kundenseitig verwaltete Schlüssel zur Verschlüsselung ruhender Daten verwenden. | Die Implementierung von TDE (Transparent Data Encryption) mit Ihrem eigenen Schlüssel bietet mehr Transparenz und eine bessere Kontrolle über den TDE-Schutz, erhöht die Sicherheit durch einen HSM-basierten externen Dienst und fördert die Aufgabentrennung. Diese Empfehlung gilt für Organisationen mit entsprechenden Complianceanforderungen. | Audit, Deny, Disabled | 2.0.0 |
SQL Server-Instanzen müssen kundenseitig verwaltete Schlüssel zur Verschlüsselung ruhender Daten verwenden. | Die Implementierung von TDE (Transparent Data Encryption) mit Ihrem eigenen Schlüssel bietet mehr Transparenz und eine bessere Kontrolle über den TDE-Schutz, erhöht die Sicherheit durch einen HSM-basierten externen Dienst und fördert die Aufgabentrennung. Diese Empfehlung gilt für Organisationen mit entsprechenden Complianceanforderungen. | Audit, Deny, Disabled | 2.0.1 |
Das Speicherkonto, das den Container mit Aktivitätsprotokollen enthält, muss mit BYOK verschlüsselt sein | Diese Richtlinie überwacht, ob das Speicherkonto, das den Container mit Aktivitätsprotokollen enthält, mit BYOK verschlüsselt ist. Die Richtlinie funktioniert nur, wenn sich das Speicherkonto in demselben Abonnement wie die Aktivitätsprotokolle befindet. Weitere Informationen zur Azure Storage-Verschlüsselung im Ruhezustand finden Sie unter https://aka.ms/azurestoragebyok. | AuditIfNotExists, Disabled | 1.0.0 |
Speicherkonten müssen für die Verschlüsselung einen kundenseitig verwalteten Schlüssel verwenden | Schützen Sie Ihr Blob und Speicherkonto mithilfe von kundenseitig verwalteten Schlüsseln, um die Flexibilität zu erhöhen. Wenn Sie einen vom Kunden verwalteten Schlüssel angeben, wird dieser zum Schützen und Steuern des Zugriffs auf den Schlüssel verwendet, mit dem Ihre Daten verschlüsselt werden. Die Verwendung von kundenseitig verwalteten Schlüsseln bietet zusätzliche Funktionen zum Steuern der Rotation des Schlüsselverschlüsselungsschlüssels oder zum kryptografischen Löschen von Daten. | Audit, Disabled | 1.0.3 |
Subnetze sollten einer Netzwerksicherheitsgruppe zugeordnet werden | Schützen Sie Ihr Subnetz vor potenziellen Bedrohungen, indem Sie den Zugriff auf das Subnetz mit einer Netzwerksicherheitsgruppe (NSG) einschränken. NSGs enthalten eine Liste der ACL-Regeln (Access Control List), die den Netzwerkdatenverkehr an Ihr Subnetz zulassen oder verweigern. | AuditIfNotExists, Disabled | 3.0.0 |
Ihrem Abonnement sollte mehr als ein Besitzer zugewiesen sein | Es wird empfohlen, mehrere Abonnementbesitzer festzulegen, um Redundanz beim Administratorzugriff zu gewährleisten. | AuditIfNotExists, Disabled | 3.0.0 |
Transparent Data Encryption für SQL-Datenbanken aktivieren | TDE (Transparent Data Encryption) sollte aktiviert werden, um ruhende Daten zu schützen und Konformitätsanforderungen zu erfüllen. | AuditIfNotExists, Disabled | 2.0.0 |
Windows-Computer müssen zur Verwendung sicherer Kommunikationsprotokolle konfiguriert sein | Um den Schutz von Informationen zu gewährleisten, die über das Internet kommuniziert werden, sollten Ihre Maschinen die neueste Version des Industriestandard-Verschlüsselungsprotokolls „TLS“ (Transport Layer Security) verwenden. TLS sichert die Kommunikation über ein Netzwerk, indem eine Verbindung zwischen Computern verschlüsselt wird. | AuditIfNotExists, Disabled | 4.1.1 |
Bereitstellung und Entfernung des Zugriffs
ID: SOC 2, Typ 2 CC6.2 Besitz: Freigegeben
Name (Azure-Portal) |
BESCHREIBUNG | Auswirkungen | Version (GitHub) |
---|---|---|---|
Kundenbetreuer zuweisen | CMA_0015 – Kundenbetreuer zuweisen | Manuell, deaktiviert | 1.1.0 |
Status des Benutzerkontos überwachen | CMA_0020 – Status des Benutzerkontos überwachen | Manuell, deaktiviert | 1.1.0 |
Gesperrte Konten mit Lese- und Schreibberechtigungen für Azure-Ressourcen sollten entfernt werden | Veraltete Konten sollten aus Ihren Abonnements entfernt werden. Veraltete Konten sind Konten, bei denen die Anmeldung blockiert wurde. | AuditIfNotExists, Disabled | 1.0.0 |
Zugriffsrechte dokumentieren | CMA_0186 – Zugriffsrechte dokumentieren | Manuell, deaktiviert | 1.1.0 |
Bedingungen für die Rollenmitgliedschaft festlegen | CMA_0269 – Bedingungen für die Rollenmitgliedschaft festlegen | Manuell, deaktiviert | 1.1.0 |
Gastkonten mit Leseberechtigungen für Azure-Ressourcen sollten entfernt werden | Externe Konten mit Leserechten müssen aus Ihrem Abonnement entfernt werden, um nicht überwachten Zugriff zu verhindern. | AuditIfNotExists, Disabled | 1.0.0 |
Gastkonten mit Schreibberechtigungen für Azure-Ressourcen sollten entfernt werden | Externe Konten mit Schreibrechten müssen aus Ihrem Abonnement entfernt werden, um nicht überwachten Zugriff zu verhindern. | AuditIfNotExists, Disabled | 1.0.0 |
Genehmigung für Kontoerstellung anfordern | CMA_0431 – Genehmigung für Kontoerstellung anfordern | Manuell, deaktiviert | 1.1.0 |
Zugriff auf privilegierte Konten einschränken | CMA_0446 – Zugriff auf privilegierte Konten einschränken | Manuell, deaktiviert | 1.1.0 |
Kontobereitstellungsprotokolle überprüfen | CMA_0460 – Kontobereitstellungsprotokolle überprüfen | Manuell, deaktiviert | 1.1.0 |
Überprüfen von Benutzerkonten | CMA_0480 – Überprüfen von Benutzerkonten | Manuell, deaktiviert | 1.1.0 |
Rollenbasierter Zugriff und geringste Rechte
ID: SOC 2, Typ 2 CC6.3 Besitz: Freigegeben
Name (Azure-Portal) |
BESCHREIBUNG | Auswirkungen | Version (GitHub) |
---|---|---|---|
Maximal 3 Besitzer sollten für Ihr Abonnement festgelegt sein | Es wird empfohlen, bis zu drei Abonnementbesitzer festzulegen, um die Möglichkeit einer Sicherheitsverletzung durch einen kompromittierten Besitzer zu verringern. | AuditIfNotExists, Disabled | 3.0.0 |
Privilegierte Funktionen überwachen | CMA_0019 – Privilegierte Funktionen überwachen | Manuell, deaktiviert | 1.1.0 |
Verwendung benutzerdefinierter RBAC-Rollen überwachen | Hiermit werden integrierte Rollen wie z.B. „Benutzer“, „Mitwirkender“ und „Leser“ anstelle benutzerdefinierter RBAC-Rollen überwacht, die fehleranfällig sind. Die Verwendung benutzerdefinierter Rollen wird als Ausnahme betrachtet und erfordert eine strenge Überprüfung und Bedrohungsmodellierung. | Audit, Disabled | 1.0.1 |
Status des Benutzerkontos überwachen | CMA_0020 – Status des Benutzerkontos überwachen | Manuell, deaktiviert | 1.1.0 |
Gesperrte Konten mit Besitzerberechtigungen für Azure-Ressourcen sollten entfernt werden | Veraltete Konten mit Besitzerberechtigungen müssen aus Ihrem Abonnement entfernt werden. Veraltete Konten sind Konten, bei denen die Anmeldung blockiert wurde. | AuditIfNotExists, Disabled | 1.0.0 |
Gesperrte Konten mit Lese- und Schreibberechtigungen für Azure-Ressourcen sollten entfernt werden | Veraltete Konten sollten aus Ihren Abonnements entfernt werden. Veraltete Konten sind Konten, bei denen die Anmeldung blockiert wurde. | AuditIfNotExists, Disabled | 1.0.0 |
Zugriffssteuerungsmodell entwerfen | CMA_0129 – Zugriffssteuerungsmodell entwerfen | Manuell, deaktiviert | 1.1.0 |
Zugriff mit den geringsten Rechten verwenden | CMA_0212 – Zugriff mit den geringsten Rechten verwenden | Manuell, deaktiviert | 1.1.0 |
Konten mit Besitzerberechtigungen für Azure-Ressourcen sollten entfernt werden. | Externe Konten mit Besitzerberechtigungen müssen aus Ihrem Abonnement entfernt werden, um einen nicht überwachten Zugriff zu verhindern. | AuditIfNotExists, Disabled | 1.0.0 |
Gastkonten mit Leseberechtigungen für Azure-Ressourcen sollten entfernt werden | Externe Konten mit Leserechten müssen aus Ihrem Abonnement entfernt werden, um nicht überwachten Zugriff zu verhindern. | AuditIfNotExists, Disabled | 1.0.0 |
Gastkonten mit Schreibberechtigungen für Azure-Ressourcen sollten entfernt werden | Externe Konten mit Schreibrechten müssen aus Ihrem Abonnement entfernt werden, um nicht überwachten Zugriff zu verhindern. | AuditIfNotExists, Disabled | 1.0.0 |
Privilegierte Rollenzuweisung überwachen | CMA_0378 – Privilegierte Rollenzuweisung überwachen | Manuell, deaktiviert | 1.1.0 |
Zugriff auf privilegierte Konten einschränken | CMA_0446 – Zugriff auf privilegierte Konten einschränken | Manuell, deaktiviert | 1.1.0 |
Kontobereitstellungsprotokolle überprüfen | CMA_0460 – Kontobereitstellungsprotokolle überprüfen | Manuell, deaktiviert | 1.1.0 |
Überprüfen von Benutzerkonten | CMA_0480 – Überprüfen von Benutzerkonten | Manuell, deaktiviert | 1.1.0 |
Benutzerberechtigungen überprüfen | CMA_C1039 – Benutzerberechtigungen überprüfen | Manuell, deaktiviert | 1.1.0 |
Privilegierte Rollen nach Bedarf widerrufen | CMA_0483 – Privilegierte Rollen nach Bedarf widerrufen | Manuell, deaktiviert | 1.1.0 |
Rollenbasierte Zugriffssteuerung (RBAC) sollte für Kubernetes Service verwendet werden. | Um eine granulare Filterung anhand der durch die Benutzer ausführbaren Aktionen zu ermöglichen, verwenden Sie die rollenbasierte Zugriffssteuerung (Role Based Access Control, RBAC), um Berechtigungen in Kubernetes Service-Clustern zu verwalten und relevante Autorisierungsrichtlinien zu konfigurieren. | Audit, Disabled | 1.0.4 |
Ihrem Abonnement sollte mehr als ein Besitzer zugewiesen sein | Es wird empfohlen, mehrere Abonnementbesitzer festzulegen, um Redundanz beim Administratorzugriff zu gewährleisten. | AuditIfNotExists, Disabled | 3.0.0 |
Privileged Identity Management verwenden | CMA_0533 – Privileged Identity Management verwenden | Manuell, deaktiviert | 1.1.0 |
Eingeschränkter physischer Zugriff
ID: SOC 2, Typ 2 CC6.4 Besitz: Freigegeben
Name (Azure-Portal) |
BESCHREIBUNG | Auswirkungen | Version (GitHub) |
---|---|---|---|
Physischen Zugriff steuern | CMA_0081 – Physischen Zugriff steuern | Manuell, deaktiviert | 1.1.0 |
Logischer und physischer Schutz von physischen Ressourcen
ID: SOC 2, Typ 2 CC6.5 Besitz: Freigegeben
Name (Azure-Portal) |
BESCHREIBUNG | Auswirkungen | Version (GitHub) |
---|---|---|---|
Medienbereinigungsmechanismus verwenden | CMA_0208 – Medienbereinigungsmechanismus verwenden | Manuell, deaktiviert | 1.1.0 |
Steuerelemente zum Sichern aller Medien implementieren | CMA_0314 – Steuerelemente zum Sichern aller Medien implementieren | Manuell, deaktiviert | 1.1.0 |
Sicherheitsmaßnahmen gegen Bedrohungen außerhalb der Systemgrenzen
ID: SOC 2, Typ 2 CC6.6 Besitz: Freigegeben
Name (Azure-Portal) |
BESCHREIBUNG | Auswirkungen | Version (GitHub) |
---|---|---|---|
[Vorschau]: Gesamten Internetdatenverkehr über Ihre bereitgestellte Azure Firewall-Instanz leiten | Azure Security Center hat festgestellt, dass einige Ihrer Subnetze nicht durch eine Firewall der nächsten Generation geschützt werden. Schützen Ihrer Subnetze vor möglichen Bedrohungen durch Einschränken des Zugriffs auf die Subnetze mit Azure Firewall oder einer unterstützten Firewall der nächsten Generation | AuditIfNotExists, Disabled | 3.0.0-preview |
Konten mit Besitzerberechtigungen für Azure-Ressourcen sollten MFA-fähig sein | MFA (Multi-Factor Authentication) muss für alle Abonnementkonten mit Besitzerberechtigungen aktiviert werden, um eine Sicherheitsverletzung für Konten oder Ressourcen zu verhindern. | AuditIfNotExists, Disabled | 1.0.0 |
Konten mit Leseberechtigungen für Azure-Ressourcen sollten MFA-fähig sein | MFA (Multi-Factor Authentication) muss für alle Abonnementkonten mit Leserechten aktiviert sein, um eine Sicherheitsverletzung von Konten oder Ressourcen zu verhindern. | AuditIfNotExists, Disabled | 1.0.0 |
Konten mit Schreibberechtigungen für Azure-Ressourcen sollten MFA-fähig sein | MFA (Multi-Factor Authentication) muss für alle Abonnementkonten mit Schreibrechten aktiviert sein, um eine Sicherheitsverletzung von Konten oder Ressourcen zu verhindern. | AuditIfNotExists, Disabled | 1.0.0 |
Biometrische Authentifizierungsmechanismen anwenden | CMA_0005 – Biometrische Authentifizierungsmechanismen anwenden | Manuell, deaktiviert | 1.1.0 |
Alle Netzwerkports müssen auf Netzwerksicherheitsgruppen eingeschränkt werden, die Ihrer VM zugeordnet sind. | Azure Security Center hat erkannt, dass die Regeln für eingehenden Datenverkehr einiger Ihrer Netzwerksicherheitsgruppen zu freizügig sind. Regeln für eingehenden Datenverkehr dürfen keinen Zugriff über die Bereiche „Beliebig“ oder „Internet“ zulassen. Dies kann es Angreifern ermöglichen, sich Zugang zu Ihren Ressourcen zu verschaffen. | AuditIfNotExists, Disabled | 3.0.0 |
Zugriff auf App Service-Anwendungen sollte nur über HTTPS gestattet sein | Durch die Verwendung von HTTPS wird die Server-/Dienstauthentifizierung sichergestellt, und Daten werden bei der Übertragung vor Abhörangriffen auf der Vermittlungsschicht geschützt. | Audit, Disabled, Deny | 4.0.0 |
App Service-Apps sollten nur FTPS erfordern | Aktivieren Sie die FTPS-Erzwingung für mehr Sicherheit. | AuditIfNotExists, Disabled | 3.0.0 |
Für die Authentifizierung bei Linux-Computern muss ein SSH-Schlüssel erforderlich sein | SSH stellt zwar bereits eine verschlüsselte Verbindung bereit, bei Verwendung von Kennwörtern für SSH ist der virtuelle Computer jedoch weiterhin anfällig für Brute-Force-Angriffe. Die sicherste Option für die Authentifizierung bei einem virtuellen Azure-Computer unter Linux über SSH besteht in der Verwendung eines Schlüsselpaars aus öffentlichem und privatem Schlüssel (SSH-Schlüssel). Weitere Informationen finden Sie hier: https://docs.microsoft.com/azure/virtual-machines/linux/create-ssh-keys-detailed. | AuditIfNotExists, Disabled | 3.2.0 |
Remotezugriff autorisieren | CMA_0024 – Remotezugriff autorisieren | Manuell, deaktiviert | 1.1.0 |
Azure Web Application Firewall muss für Azure Front Door-Einstiegspunkte aktiviert sein | Stellen Sie Azure Web Application Firewall (WAF) vor öffentlichen Webanwendungen bereit, um den eingehenden Datenverkehr weiteren Überprüfungen zu unterziehen. Web Application Firewall (WAF) bietet für Ihre Webanwendungen zentralen Schutz vor gängigen Exploits und Sicherheitsrisiken, z. B. SQL-Einschleusungen, Cross-Site Scripting und lokaler Ausführung bzw. Remoteausführung von Dateien. Sie können den Zugriff auf Ihre Webanwendungen mit benutzerdefinierten Regeln auch nach Land, IP-Adressbereich und anderen HTTP(S)-Parametern einschränken. | Audit, Deny, Disabled | 1.0.2 |
Informationsfluss steuern | CMA_0079 – Informationsfluss steuern | Manuell, deaktiviert | 1.1.0 |
Mobilitätstraining dokumentieren | CMA_0191 – Mobilitätstraining dokumentieren | Manuell, deaktiviert | 1.1.0 |
Richtlinien für den Remotezugriff dokumentieren | CMA_0196 – Richtlinien für den Remotezugriff dokumentieren | Manuell, deaktiviert | 1.1.0 |
Flusssteuerungsmechanismen verschlüsselter Informationen verwenden | CMA_0211 – Flusssteuerungsmechanismen verschlüsselter Informationen verwenden | Manuell, deaktiviert | 1.1.0 |
Erzwingen einer SSL-Verbindung muss für MySQL-Datenbankserver aktiviert sein | Azure-Datenbank für MySQL unterstützt die Verbindung Ihres Servers mit Azure-Datenbank für MySQL mit Clientanwendungen, die Secure Sockets Layer (SSL) verwenden. Durch das Erzwingen von SSL-Verbindungen zwischen Ihrem Datenbankserver und Ihren Clientanwendungen können Sie sich vor Man-in-the-Middle-Angriffen schützen, indem Sie den Datenstrom zwischen dem Server und Ihrer Anwendung verschlüsseln. Diese Konfiguration erzwingt, dass SSL für den Zugriff auf Ihren Datenbankserver immer aktiviert ist. | Audit, Disabled | 1.0.1 |
Erzwingen einer SSL-Verbindung muss für PostgreSQL-Datenbankserver aktiviert sein | Azure Database for PostgreSQL unterstützt das Herstellen einer Verbindung zwischen Ihrem Azure Database for PostgreSQL-Server und Clientanwendungen unter Verwendung von Secure Sockets Layer (SSL). Durch das Erzwingen von SSL-Verbindungen zwischen Ihrem Datenbankserver und Ihren Clientanwendungen können Sie sich vor Man-in-the-Middle-Angriffen schützen, indem Sie den Datenstrom zwischen dem Server und Ihrer Anwendung verschlüsseln. Diese Konfiguration erzwingt, dass SSL für den Zugriff auf Ihren Datenbankserver immer aktiviert ist. | Audit, Disabled | 1.0.1 |
Firewall- und Routerkonfigurationsstandards einrichten | CMA_0272 – Firewall- und Routerkonfigurationsstandards einrichten | Manuell, deaktiviert | 1.1.0 |
Netzwerksegmentierung für Karteninhaber-Datenumgebung einrichten | CMA_0273 – Netzwerksegmentierung für Karteninhaber-Datenumgebung einrichten | Manuell, deaktiviert | 1.1.0 |
Zugriff auf Funktions-Apps sollte nur über HTTPS gestattet sein | Durch die Verwendung von HTTPS wird die Server-/Dienstauthentifizierung sichergestellt, und Daten werden bei der Übertragung vor Abhörangriffen auf der Vermittlungsschicht geschützt. | Audit, Disabled, Deny | 5.0.0 |
Funktions-Apps sollten nur FTPS erfordern | Aktivieren Sie die FTPS-Erzwingung für mehr Sicherheit. | AuditIfNotExists, Disabled | 3.0.0 |
Funktions-Apps sollten die neueste TLS-Version verwenden | Für TLS werden in regelmäßigen Abständen neue Versionen herausgegeben – entweder zum Beheben von Sicherheitsmängeln, zum Bereitstellen neuer Funktionen oder zur Verbesserung der Geschwindigkeit. Führen Sie ein Upgrade auf die neueste TLS-Version für Function-Apps durch, um von etwaigen Sicherheitsverbesserungen und/oder neuen Funktionen der neuesten Version zu profitieren. | AuditIfNotExists, Disabled | 2.0.1 |
Netzwerkgeräte identifizieren und authentifizieren | CMA_0296 – Netzwerkgeräte identifizieren und authentifizieren | Manuell, deaktiviert | 1.1.0 |
Downstream-Informationsaustausche identifizieren und verwalten | CMA_0298 – Downstream-Informationsaustausche identifizieren und verwalten | Manuell, deaktiviert | 1.1.0 |
Steuerelemente zum Sichern alternativer Arbeitsstandorte implementieren | CMA_0315 – Steuerelemente zum Sichern alternativer Arbeitsstandorte implementieren | Manuell, deaktiviert | 1.1.0 |
Systemgrenzschutz implementieren | CMA_0328 – Systemgrenzschutz implementieren | Manuell, deaktiviert | 1.1.0 |
Virtuelle Computer mit Internetzugang sollten über Netzwerksicherheitsgruppen geschützt werden | Schützen Sie Ihre virtuellen Computer vor potenziellen Bedrohungen, indem Sie den Zugriff darauf mithilfe von Netzwerksicherheitsgruppen (NSGs) einschränken. Weitere Informationen zum Steuern des Datenverkehrs mit NSGs finden Sie unter https://aka.ms/nsg-doc. | AuditIfNotExists, Disabled | 3.0.0 |
Die IP-Weiterleitung muss auf Ihrem virtuellen Computer deaktiviert sein. | Durch die Aktivierung der IP-Weiterleitung für die Netzwerkschnittstelle einer VM kann die VM Datenverkehr empfangen, der an andere Ziele adressiert ist. Da die IP-Weiterleitung nur selten benötigt wird (z. B. bei Verwendung der VM als virtuelles Netzwerkgerät), sollte dieser Vorgang vom Netzwerksicherheitsteam geprüft werden. | AuditIfNotExists, Disabled | 3.0.0 |
Auf Kubernetes-Cluster sollte nur über HTTPS zugegriffen werden können. | Durch die Verwendung von HTTPS wird die Authentifizierung sichergestellt, und Daten werden bei der Übertragung vor Abhörangriffen auf der Vermittlungsschicht geschützt. Diese Funktion ist derzeit für Kubernetes Service (AKS) allgemein verfügbar und steht für Azure Arc-fähiges Kubernetes als Vorschauversion zur Verfügung. Weitere Informationen finden Sie unter https://aka.ms/kubepolicydoc. | überprüfen, Überprüfung, verweigern, Verweigerung, deaktiviert, Deaktivierung | 8.2.0 |
Verwaltungsports virtueller Computer müssen mit der Just-In-Time-Netzwerkzugriffssteuerung geschützt werden. | Hiermit wird der mögliche Just-In-Time-Netzwerkzugriff über Azure Security Center in Form von Empfehlungen überwacht. | AuditIfNotExists, Disabled | 3.0.0 |
Verwaltungsports sollten auf Ihren virtuellen Computern geschlossen werden | Offene Remoteverwaltungsports setzen Ihre VM einem hohen Risiko aus, weil sie internetbasierte Brute-Force-Angriffe zur Erlangung von Anmeldeinformationen begünstigen, um Administratorzugriff auf den Computer zu erhalten. | AuditIfNotExists, Disabled | 3.0.0 |
Virtuelle Computer ohne Internetzugang sollten über Netzwerksicherheitsgruppen geschützt werden. | Schützen Sie Ihre virtuellen Computer ohne Internetzugang vor potenziellen Bedrohungen, indem Sie den Zugriff mithilfe von Netzwerksicherheitsgruppen (NSGs) einschränken. Weitere Informationen zum Steuern des Datenverkehrs mit NSGs finden Sie unter https://aka.ms/nsg-doc. | AuditIfNotExists, Disabled | 3.0.0 |
Benutzer über Systemanmeldung oder -zugriff benachrichtigen | CMA_0382 – Benutzer über Systemanmeldung oder -zugriff benachrichtigen | Manuell, deaktiviert | 1.1.0 |
Für Ihren Azure Cache for Redis dürfen nur sichere Verbindungen aktiviert sein. | Aktivieren der Überprüfung nur für Verbindungen über SSL mit Azure Cache for Redis Durch die Verwendung sicherer Verbindungen wird eine Authentifizierung zwischen dem Server und dem Dienst sichergestellt, und die übertragenen Daten werden vor Angriffen auf Netzwerkebene geschützt, wie z.B. Man-in-the-Middle-Angriffe, Abhörangriffe und Session Hijacking. | Audit, Deny, Disabled | 1.0.0 |
In Übertragung begriffene Daten mit Verschlüsselung schützen | CMA_0403 – In Übertragung begriffene Daten mit Verschlüsselung schützen | Manuell, deaktiviert | 1.1.0 |
Training zum Datenschutz bereitstellen | CMA_0415 – Training zum Datenschutz bereitstellen | Manuell, deaktiviert | 1.1.0 |
Sichere Übertragung in Speicherkonten sollte aktiviert werden | Hiermit wird die Anforderung sicherer Übertragungen in Ihren Speicherkonto überwacht. Sichere Übertragung ist eine Option, die erzwingt, dass Ihr Storage-Konto nur Anforderungen von sicheren Verbindungen (HTTPS) akzeptiert. Durch die Verwendung von HTTPS wird eine Authentifizierung zwischen dem Server und dem Dienst sichergestellt, und die übertragenen Daten werden vor Angriffen auf Netzwerkebene geschützt, z. B. Man-in-the-Middle-Angriffe, Abhörangriffe und Session Hijacking. | Audit, Deny, Disabled | 2.0.0 |
Subnetze sollten einer Netzwerksicherheitsgruppe zugeordnet werden | Schützen Sie Ihr Subnetz vor potenziellen Bedrohungen, indem Sie den Zugriff auf das Subnetz mit einer Netzwerksicherheitsgruppe (NSG) einschränken. NSGs enthalten eine Liste der ACL-Regeln (Access Control List), die den Netzwerkdatenverkehr an Ihr Subnetz zulassen oder verweigern. | AuditIfNotExists, Disabled | 3.0.0 |
Web Application Firewall (WAF) muss für Application Gateway aktiviert sein. | Stellen Sie Azure Web Application Firewall (WAF) vor öffentlichen Webanwendungen bereit, um den eingehenden Datenverkehr weiteren Überprüfungen zu unterziehen. Web Application Firewall (WAF) bietet für Ihre Webanwendungen zentralen Schutz vor gängigen Exploits und Sicherheitsrisiken, z. B. SQL-Einschleusungen, Cross-Site Scripting und lokaler Ausführung bzw. Remoteausführung von Dateien. Sie können den Zugriff auf Ihre Webanwendungen mit benutzerdefinierten Regeln auch nach Land, IP-Adressbereich und anderen HTTP(S)-Parametern einschränken. | Audit, Deny, Disabled | 2.0.0 |
Windows-Computer müssen zur Verwendung sicherer Kommunikationsprotokolle konfiguriert sein | Um den Schutz von Informationen zu gewährleisten, die über das Internet kommuniziert werden, sollten Ihre Maschinen die neueste Version des Industriestandard-Verschlüsselungsprotokolls „TLS“ (Transport Layer Security) verwenden. TLS sichert die Kommunikation über ein Netzwerk, indem eine Verbindung zwischen Computern verschlüsselt wird. | AuditIfNotExists, Disabled | 4.1.1 |
Einschränken des Informationsverkehrs auf autorisierte Benutzer*innen
ID: SOC 2, Typ 2 CC6.7 Besitz: Freigegeben
Name (Azure-Portal) |
BESCHREIBUNG | Auswirkungen | Version (GitHub) |
---|---|---|---|
Alle Netzwerkports müssen auf Netzwerksicherheitsgruppen eingeschränkt werden, die Ihrer VM zugeordnet sind. | Azure Security Center hat erkannt, dass die Regeln für eingehenden Datenverkehr einiger Ihrer Netzwerksicherheitsgruppen zu freizügig sind. Regeln für eingehenden Datenverkehr dürfen keinen Zugriff über die Bereiche „Beliebig“ oder „Internet“ zulassen. Dies kann es Angreifern ermöglichen, sich Zugang zu Ihren Ressourcen zu verschaffen. | AuditIfNotExists, Disabled | 3.0.0 |
Zugriff auf App Service-Anwendungen sollte nur über HTTPS gestattet sein | Durch die Verwendung von HTTPS wird die Server-/Dienstauthentifizierung sichergestellt, und Daten werden bei der Übertragung vor Abhörangriffen auf der Vermittlungsschicht geschützt. | Audit, Disabled, Deny | 4.0.0 |
App Service-Apps sollten nur FTPS erfordern | Aktivieren Sie die FTPS-Erzwingung für mehr Sicherheit. | AuditIfNotExists, Disabled | 3.0.0 |
Arbeitsstationen für das Überprüfen auf digitale Zertifikate konfigurieren | CMA_0073 – Arbeitsstationen für das Überprüfen auf digitale Zertifikate konfigurieren | Manuell, deaktiviert | 1.1.0 |
Informationsfluss steuern | CMA_0079 – Informationsfluss steuern | Manuell, deaktiviert | 1.1.0 |
Anforderungen für mobile Geräte definieren | CMA_0122 – Anforderungen für mobile Geräte definieren | Manuell, deaktiviert | 1.1.0 |
Medienbereinigungsmechanismus verwenden | CMA_0208 – Medienbereinigungsmechanismus verwenden | Manuell, deaktiviert | 1.1.0 |
Flusssteuerungsmechanismen verschlüsselter Informationen verwenden | CMA_0211 – Flusssteuerungsmechanismen verschlüsselter Informationen verwenden | Manuell, deaktiviert | 1.1.0 |
Erzwingen einer SSL-Verbindung muss für MySQL-Datenbankserver aktiviert sein | Azure-Datenbank für MySQL unterstützt die Verbindung Ihres Servers mit Azure-Datenbank für MySQL mit Clientanwendungen, die Secure Sockets Layer (SSL) verwenden. Durch das Erzwingen von SSL-Verbindungen zwischen Ihrem Datenbankserver und Ihren Clientanwendungen können Sie sich vor Man-in-the-Middle-Angriffen schützen, indem Sie den Datenstrom zwischen dem Server und Ihrer Anwendung verschlüsseln. Diese Konfiguration erzwingt, dass SSL für den Zugriff auf Ihren Datenbankserver immer aktiviert ist. | Audit, Disabled | 1.0.1 |
Erzwingen einer SSL-Verbindung muss für PostgreSQL-Datenbankserver aktiviert sein | Azure Database for PostgreSQL unterstützt das Herstellen einer Verbindung zwischen Ihrem Azure Database for PostgreSQL-Server und Clientanwendungen unter Verwendung von Secure Sockets Layer (SSL). Durch das Erzwingen von SSL-Verbindungen zwischen Ihrem Datenbankserver und Ihren Clientanwendungen können Sie sich vor Man-in-the-Middle-Angriffen schützen, indem Sie den Datenstrom zwischen dem Server und Ihrer Anwendung verschlüsseln. Diese Konfiguration erzwingt, dass SSL für den Zugriff auf Ihren Datenbankserver immer aktiviert ist. | Audit, Disabled | 1.0.1 |
Firewall- und Routerkonfigurationsstandards einrichten | CMA_0272 – Firewall- und Routerkonfigurationsstandards einrichten | Manuell, deaktiviert | 1.1.0 |
Netzwerksegmentierung für Karteninhaber-Datenumgebung einrichten | CMA_0273 – Netzwerksegmentierung für Karteninhaber-Datenumgebung einrichten | Manuell, deaktiviert | 1.1.0 |
Zugriff auf Funktions-Apps sollte nur über HTTPS gestattet sein | Durch die Verwendung von HTTPS wird die Server-/Dienstauthentifizierung sichergestellt, und Daten werden bei der Übertragung vor Abhörangriffen auf der Vermittlungsschicht geschützt. | Audit, Disabled, Deny | 5.0.0 |
Funktions-Apps sollten nur FTPS erfordern | Aktivieren Sie die FTPS-Erzwingung für mehr Sicherheit. | AuditIfNotExists, Disabled | 3.0.0 |
Funktions-Apps sollten die neueste TLS-Version verwenden | Für TLS werden in regelmäßigen Abständen neue Versionen herausgegeben – entweder zum Beheben von Sicherheitsmängeln, zum Bereitstellen neuer Funktionen oder zur Verbesserung der Geschwindigkeit. Führen Sie ein Upgrade auf die neueste TLS-Version für Function-Apps durch, um von etwaigen Sicherheitsverbesserungen und/oder neuen Funktionen der neuesten Version zu profitieren. | AuditIfNotExists, Disabled | 2.0.1 |
Downstream-Informationsaustausche identifizieren und verwalten | CMA_0298 – Downstream-Informationsaustausche identifizieren und verwalten | Manuell, deaktiviert | 1.1.0 |
Steuerelemente zum Sichern aller Medien implementieren | CMA_0314 – Steuerelemente zum Sichern aller Medien implementieren | Manuell, deaktiviert | 1.1.0 |
Virtuelle Computer mit Internetzugang sollten über Netzwerksicherheitsgruppen geschützt werden | Schützen Sie Ihre virtuellen Computer vor potenziellen Bedrohungen, indem Sie den Zugriff darauf mithilfe von Netzwerksicherheitsgruppen (NSGs) einschränken. Weitere Informationen zum Steuern des Datenverkehrs mit NSGs finden Sie unter https://aka.ms/nsg-doc. | AuditIfNotExists, Disabled | 3.0.0 |
Auf Kubernetes-Cluster sollte nur über HTTPS zugegriffen werden können. | Durch die Verwendung von HTTPS wird die Authentifizierung sichergestellt, und Daten werden bei der Übertragung vor Abhörangriffen auf der Vermittlungsschicht geschützt. Diese Funktion ist derzeit für Kubernetes Service (AKS) allgemein verfügbar und steht für Azure Arc-fähiges Kubernetes als Vorschauversion zur Verfügung. Weitere Informationen finden Sie unter https://aka.ms/kubepolicydoc. | überprüfen, Überprüfung, verweigern, Verweigerung, deaktiviert, Deaktivierung | 8.2.0 |
Transport von Ressourcen verwalten | CMA_0370 – Transport von Ressourcen verwalten | Manuell, deaktiviert | 1.1.0 |
Verwaltungsports von virtuellen Computern sollten mit Just-In-Time-Netzwerkzugriffssteuerung geschützt werden | Hiermit wird der mögliche Just-In-Time-Netzwerkzugriff über Azure Security Center in Form von Empfehlungen überwacht. | AuditIfNotExists, Disabled | 3.0.0 |
Verwaltungsports sollten auf Ihren virtuellen Computern geschlossen werden | Offene Remoteverwaltungsports setzen Ihre VM einem hohen Risiko aus, weil sie internetbasierte Brute-Force-Angriffe zur Erlangung von Anmeldeinformationen begünstigen, um Administratorzugriff auf den Computer zu erhalten. | AuditIfNotExists, Disabled | 3.0.0 |
Virtuelle Computer ohne Internetzugang sollten über Netzwerksicherheitsgruppen geschützt werden. | Schützen Sie Ihre virtuellen Computer ohne Internetzugang vor potenziellen Bedrohungen, indem Sie den Zugriff mithilfe von Netzwerksicherheitsgruppen (NSGs) einschränken. Weitere Informationen zum Steuern des Datenverkehrs mit NSGs finden Sie unter https://aka.ms/nsg-doc. | AuditIfNotExists, Disabled | 3.0.0 |
Für Ihren Azure Cache for Redis dürfen nur sichere Verbindungen aktiviert sein. | Aktivieren der Überprüfung nur für Verbindungen über SSL mit Azure Cache for Redis Durch die Verwendung sicherer Verbindungen wird eine Authentifizierung zwischen dem Server und dem Dienst sichergestellt, und die übertragenen Daten werden vor Angriffen auf Netzwerkebene geschützt, wie z.B. Man-in-the-Middle-Angriffe, Abhörangriffe und Session Hijacking. | Audit, Deny, Disabled | 1.0.0 |
In Übertragung begriffene Daten mit Verschlüsselung schützen | CMA_0403 – In Übertragung begriffene Daten mit Verschlüsselung schützen | Manuell, deaktiviert | 1.1.0 |
Kennwörter mit Verschlüsselung schützen | CMA_0408 – Kennwörter mit Verschlüsselung schützen | Manuell, deaktiviert | 1.1.0 |
Sichere Übertragung in Speicherkonten sollte aktiviert werden | Hiermit wird die Anforderung sicherer Übertragungen in Ihren Speicherkonto überwacht. Sichere Übertragung ist eine Option, die erzwingt, dass Ihr Storage-Konto nur Anforderungen von sicheren Verbindungen (HTTPS) akzeptiert. Durch die Verwendung von HTTPS wird eine Authentifizierung zwischen dem Server und dem Dienst sichergestellt, und die übertragenen Daten werden vor Angriffen auf Netzwerkebene geschützt, z. B. Man-in-the-Middle-Angriffe, Abhörangriffe und Session Hijacking. | Audit, Deny, Disabled | 2.0.0 |
Subnetze sollten einer Netzwerksicherheitsgruppe zugeordnet werden | Schützen Sie Ihr Subnetz vor potenziellen Bedrohungen, indem Sie den Zugriff auf das Subnetz mit einer Netzwerksicherheitsgruppe (NSG) einschränken. NSGs enthalten eine Liste der ACL-Regeln (Access Control List), die den Netzwerkdatenverkehr an Ihr Subnetz zulassen oder verweigern. | AuditIfNotExists, Disabled | 3.0.0 |
Windows-Computer müssen zur Verwendung sicherer Kommunikationsprotokolle konfiguriert sein | Um den Schutz von Informationen zu gewährleisten, die über das Internet kommuniziert werden, sollten Ihre Maschinen die neueste Version des Industriestandard-Verschlüsselungsprotokolls „TLS“ (Transport Layer Security) verwenden. TLS sichert die Kommunikation über ein Netzwerk, indem eine Verbindung zwischen Computern verschlüsselt wird. | AuditIfNotExists, Disabled | 4.1.1 |
Verhindern oder Erkennen vor nicht autorisierter oder bösartiger Software
ID: SOC 2, Typ 2 CC6.8 Besitz: Freigegeben
Name (Azure-Portal) |
BESCHREIBUNG | Auswirkungen | Version (GitHub) |
---|---|---|---|
[Veraltet]: Für Funktions-Apps sollte „Clientzertifikate (eingehende Clientzertifikate)“ aktiviert sein | Mithilfe von Clientzertifikaten kann die App ein Zertifikat für eingehende Anforderungen anfordern. Nur Clients mit gültigen Zertifikaten können auf die App zugreifen. Diese Richtlinie wurde durch eine neue Richtlinie mit demselben Namen ersetzt, da HTTP 2.0 keine Clientzertifikate unterstützt. | Audit, Disabled | 3.1.0-deprecated |
[Vorschau]: Für unterstützte Linux-VMs muss die Erweiterung für den Gastnachweis installiert sein | Installieren Sie auf unterstützten Linux-VMs die Erweiterung für den Gastnachweis, damit Azure Security Center die Startintegrität proaktiv nachweisen und überwachen kann. Nach der Installation erfolgt der Nachweis der Startintegrität per Remotenachweis. Diese Bewertung gilt für Linux-VMs des Typs „Vertrauenswürdiger Start“ und „Vertraulich“. | AuditIfNotExists, Disabled | 6.0.0-preview |
[Vorschau]: Für unterstützte Linux-VM-Skalierungsgruppen muss die Erweiterung für den Gastnachweis installiert sein | Installieren Sie in unterstützten Linux-VM-Skalierungsgruppen die Erweiterung für den Gastnachweis, damit Azure Security Center die Startintegrität proaktiv nachweisen und überwachen kann. Nach der Installation erfolgt der Nachweis der Startintegrität per Remotenachweis. Diese Bewertung gilt für Linux-VM-Skalierungsgruppen des Typs „Vertrauenswürdiger Start“ und „Vertraulich“. | AuditIfNotExists, Disabled | 5.1.0-preview |
[Vorschau]: Für unterstützte Windows-VMs muss die Erweiterung für den Gastnachweis installiert sein | Installieren Sie auf unterstützten VMs die Erweiterung für den Gastnachweis, damit Azure Security Center die Startintegrität proaktiv nachweisen und überwachen kann. Nach der Installation erfolgt der Nachweis der Startintegrität per Remotenachweis. Diese Bewertung gilt für Windows-VMs des Typs „Vertrauenswürdiger Start“ und „Vertraulich“. | AuditIfNotExists, Disabled | 4.0.0-preview |
[Vorschau]: Für unterstützte Windows-VM-Skalierungsgruppen muss die Erweiterung für den Gastnachweis installiert sein | Installieren Sie in unterstützten VM-Skalierungsgruppen die Erweiterung für den Gastnachweis, damit Azure Security Center die Startintegrität proaktiv nachweisen und überwachen kann. Nach der Installation erfolgt der Nachweis der Startintegrität per Remotenachweis. Diese Bewertung gilt für Windows-VM-Skalierungsgruppen des Typs „Vertrauenswürdiger Start“ und „Vertraulich“. | AuditIfNotExists, Disabled | 3.1.0-preview |
[Vorschau]: Für unterstützte Windows-VMs muss der sichere Neustart aktiviert sein | Die Aktivierung von „Sicherer Start“ auf unterstützten virtuellen Computern dient als Schutz vor schädlichen und nicht autorisierten Änderungen der Startkette. Nach der Aktivierung ist nur die Ausführung von vertrauenswürdigen Bootloadern, Kerneln und Kerneltreibern zulässig. Diese Bewertung gilt für Windows-VMs des Typs „Vertrauenswürdiger Start“ und „Vertraulich“. | Audit, Disabled | 4.0.0-preview |
[Vorschau]: Für unterstützte VMs muss ein virtuelles TPM-Gerät aktiviert werden | Aktivieren Sie ein virtuelles TPM-Gerät auf unterstützten virtuellen Computern, um die Nutzung von „Kontrollierter Start“ und anderen Sicherheitsfeatures des Betriebssystems zu ermöglichen, für die TPM erforderlich ist. Nach der Aktivierung kann ein virtuelles TPM verwendet werden, um die Startintegrität nachzuweisen. Diese Bewertung gilt nur für vertrauenswürdige startfähige VMs. | Audit, Disabled | 2.0.0-preview |
App Service-Apps sollten „Client-Zertifikate (eingehende Client-Zertifikate)“ aktiviert haben | Mithilfe von Clientzertifikaten kann die App ein Zertifikat für eingehende Anforderungen anfordern. Nur Clients mit einem gültigen Zertifikat können auf die App zugreifen. Diese Richtlinie gilt für Apps mit HTTP-Version 1.1. | AuditIfNotExists, Disabled | 1.0.0 |
Für App Service-Apps sollte das Remotedebuggen deaktiviert sein | Für das Remotedebuggen müssen bei einer App Service-App eingehende Ports geöffnet werden. Das Remotedebuggen muss deaktiviert werden. | AuditIfNotExists, Disabled | 2.0.0 |
Für App Service-Apps sollte CORS nicht so konfiguriert sein, dass jede Ressource auf Ihre Apps zugreifen kann | Cross-Origin Resource Sharing (CORS) sollte nicht allen Domänen den Zugriff auf Ihre App ermöglichen. Erlauben Sie nur erforderlichen Domains, mit Ihrer App zu interagieren. | AuditIfNotExists, Disabled | 2.0.0 |
App Service-Apps sollten die neueste „HTTP-Version“ verwenden | Für HTTP werden in regelmäßigen Abständen neue Versionen herausgegeben – entweder zum Beheben von Sicherheitsmängeln oder zum Bereitstellen neuer Funktionen. Verwenden Sie die aktuelle HTTP-Version für Web-Apps, um von Sicherheitsfixes (falls vorhanden) und/oder neuen Funktionen der neuesten Version zu profitieren. | AuditIfNotExists, Disabled | 4.0.0 |
Virtuelle Computer überwachen, die keine verwalteten Datenträger verwenden | Diese Richtlinie überwacht virtuelle Computer, die keine verwalteten Datenträger verwenden. | Überwachung | 1.0.0 |
Für Azure Arc-fähige Kubernetes-Cluster sollte die Azure Policy-Erweiterung installiert sein | Die Azure Policy-Erweiterung für Azure Arc bietet zentrale und konsistente Erzwingungs- und Schutzfunktionen für Ihre Kubernetes-Cluster mit Arc-Unterstützung. Weitere Informationen finden Sie unter https://aka.ms/akspolicydoc. | AuditIfNotExists, Disabled | 1.1.0 |
Das Azure Policy-Add-On für den Kubernetes-Dienst (AKS) muss auf Ihren Clustern installiert und aktiviert sein. | Das Azure Policy-Add-On für den Kubernetes-Dienst (AKS) erweitert Gatekeeper v3, einen OPA-Webhook (Open Policy Agent) für die Zugangssteuerung, um umfassende Durchsetzungen und Schutzvorrichtungen für Ihre Cluster zentral und konsistent anzuwenden. | Audit, Disabled | 1.0.2 |
Nicht vertrauenswürdige und nicht signierte Prozesse, die über USB ausgeführt werden, blockieren | CMA_0050 – Nicht vertrauenswürdige und nicht signierten Prozesse blockieren, die über USB ausgeführt werden | Manuell, deaktiviert | 1.1.0 |
Für Funktions-Apps sollte das Remotedebuggen deaktiviert sein | Für das Remotedebuggen müssen bei Funktions-Apps eingehende Ports geöffnet werden. Das Remotedebuggen muss deaktiviert werden. | AuditIfNotExists, Disabled | 2.0.0 |
Für Funktions-Apps sollte CORS nicht so konfiguriert sein, dass jede Ressource auf Ihre Apps zugreifen kann | CORS (Cross-Origin Resource Sharing) darf nicht allen Domänen Zugriff auf Ihre Funktions-App erteilen. Gestatten Sie nur erforderlichen Domänen die Interaktion mit Ihrer Funktions-App. | AuditIfNotExists, Disabled | 2.0.0 |
Funktions-Apps sollten die neueste „HTTP Version“ verwenden | Für HTTP werden in regelmäßigen Abständen neue Versionen herausgegeben – entweder zum Beheben von Sicherheitsmängeln oder zum Bereitstellen neuer Funktionen. Verwenden Sie die aktuelle HTTP-Version für Web-Apps, um von Sicherheitsfixes (falls vorhanden) und/oder neuen Funktionen der neuesten Version zu profitieren. | AuditIfNotExists, Disabled | 4.0.0 |
Die Erweiterung „Gastkonfiguration“ muss auf Ihren Computern installiert sein. | Installieren Sie die Erweiterung „Gastkonfiguration“, um eine sichere Konfiguration gastsysteminterner Einstellungen Ihres Computers zu gewährleisten. Von der Erweiterung werden unter anderem gastsysteminterne Einstellungen wie die Konfiguration des Betriebssystems, die Konfiguration oder das Vorhandensein einer Anwendung sowie Umgebungseinstellungen überwacht. Nach der Installation sind gastinterne Richtlinien verfügbar, z. B. „Windows Defender Exploit Guard muss aktiviert sein“. Weitere Informationen finden Sie unter https://aka.ms/gcpol. | AuditIfNotExists, Disabled | 1.0.3 |
CPU- und Arbeitsspeicherressourcen für Container in einem Kubernetes-Cluster dürfen die angegebenen Limits nicht überschreiten | Hiermit werden Ressourcenlimits für Container-CPU und Arbeitsspeicher erzwungen, um Ressourcenauslastungsangriffe in einem Kubernetes-Cluster zu verhindern. Diese Richtlinie ist für Kubernetes Service (AKS) allgemein verfügbar und steht für Kubernetes mit Azure Arc-Unterstützung als Vorschauversion zur Verfügung. Weitere Informationen finden Sie unter https://aka.ms/kubepolicydoc. | überprüfen, Überprüfung, verweigern, Verweigerung, deaktiviert, Deaktivierung | 9.3.0 |
Container im Kubernetes-Cluster dürfen den Namespace für Hostprozess-ID oder Host-IPC nicht freigeben | Hiermit wird verhindert, dass Podcontainer die Namespaces für Hostprozess-ID und Host-IPC in einem Kubernetes-Cluster freigeben. Diese Empfehlung ist Bestandteil von CIS 5.2.2 und CIS 5.2.3, mit denen die Sicherheit Ihrer Kubernetes-Umgebungen verbessert werden soll. Diese Richtlinie ist für Kubernetes Service (AKS) allgemein verfügbar und steht für Kubernetes mit Azure Arc-Unterstützung als Vorschauversion zur Verfügung. Weitere Informationen finden Sie unter https://aka.ms/kubepolicydoc. | überprüfen, Überprüfung, verweigern, Verweigerung, deaktiviert, Deaktivierung | 5.2.0 |
Container in einem Kubernetes-Cluster dürfen nur zulässige AppArmor-Profile verwenden | Hiermit wird sichergestellt, dass Container nur zugelassene AppArmor-Profile in einem Kubernetes-Cluster verwenden dürfen. Diese Richtlinie ist für Kubernetes Service (AKS) allgemein verfügbar und steht für Kubernetes mit Azure Arc-Unterstützung als Vorschauversion zur Verfügung. Weitere Informationen finden Sie unter https://aka.ms/kubepolicydoc. | überprüfen, Überprüfung, verweigern, Verweigerung, deaktiviert, Deaktivierung | 6.2.0 |
Container in einem Kubernetes-Cluster dürfen nur zulässige Funktionen verwenden | Hiermit wird durch eine Einschränkung von Funktionen die Angriffsfläche von Containern in einem Kubernetes-Cluster verringert. Diese Empfehlung ist Bestandteil von CIS 5.2.8 und CIS 5.2.9, mit denen die Sicherheit Ihrer Kubernetes-Umgebungen verbessert werden soll. Diese Richtlinie ist für Kubernetes Service (AKS) allgemein verfügbar und steht für Kubernetes mit Azure Arc-Unterstützung als Vorschauversion zur Verfügung. Weitere Informationen finden Sie unter https://aka.ms/kubepolicydoc. | überprüfen, Überprüfung, verweigern, Verweigerung, deaktiviert, Deaktivierung | 6.2.0 |
Container in einem Kubernetes-Cluster dürfen nur zugelassene Images verwenden | Hiermit werden Images aus vertrauenswürdigen Registrierungen verwendet. So wird das Risiko einer Einführung unbekannter Schwachstellen, Sicherheitsprobleme und schädlicher Images für Ihren Kubernetes-Clusters verringert. Weitere Informationen finden Sie unter https://aka.ms/kubepolicydoc. | überprüfen, Überprüfung, verweigern, Verweigerung, deaktiviert, Deaktivierung | 9.3.0 |
Container im Kubernetes-Cluster müssen mit einem schreibgeschützten Stammdateisystem ausgeführt werden | Hiermit werden Container mit einem schreibgeschützten Stammdateisystem ausgeführt. So werden Container vor Änderungen zur Laufzeit geschützt, bei denen in einem Kubernetes-Cluster schädliche Binärdateien in PATH eingefügt werden. Diese Richtlinie ist für Kubernetes Service (AKS) allgemein verfügbar und steht für Kubernetes mit Azure Arc-Unterstützung als Vorschauversion zur Verfügung. Weitere Informationen finden Sie unter https://aka.ms/kubepolicydoc. | überprüfen, Überprüfung, verweigern, Verweigerung, deaktiviert, Deaktivierung | 6.3.0 |
Für hostPath-Volumes von Pods in einem Kubernetes-Cluster dürfen nur zulässige Hostpfade verwendet werden | Hiermit wird die Bereitstellung von Pod HostPath-Volumes auf die zugelassenen Hostpfade in einem Kubernetes-Cluster beschränkt. Diese Richtlinie ist für Kubernetes Service (AKS) und Azure Arc-fähiges Kubernetes allgemein verfügbar. Weitere Informationen finden Sie unter https://aka.ms/kubepolicydoc. | überprüfen, Überprüfung, verweigern, Verweigerung, deaktiviert, Deaktivierung | 6.2.0 |
Pods und Container in einem Kubernetes-Cluster dürfen nur mit genehmigten Benutzer- und Gruppen-IDs ausgeführt werden | Hiermit werden die IDs für Benutzer, primäre Gruppen, zusätzliche Gruppen und Dateisystemgruppen gesteuert, die Pods und Container zur Ausführung in einem Kubernetes-Cluster verwenden können. Diese Richtlinie ist für Kubernetes Service (AKS) allgemein verfügbar und steht für Kubernetes mit Azure Arc-Unterstützung als Vorschauversion zur Verfügung. Weitere Informationen finden Sie unter https://aka.ms/kubepolicydoc. | überprüfen, Überprüfung, verweigern, Verweigerung, deaktiviert, Deaktivierung | 6.2.0 |
Pods im Kubernetes-Cluster dürfen nur genehmigte Hostnetzwerke und Portbereiche verwenden | Schränken Sie den Podzugriff auf das Hostnetzwerk und den zulässigen Hostportbereich in einem Kubernetes-Cluster ein. Diese Empfehlung ist Teil von CIS 5.2.4, um die Sicherheit Ihrer Kubernetes-Umgebungen zu verbessern. Diese Richtlinie ist für Kubernetes Service (AKS) allgemein verfügbar und steht für Kubernetes mit Azure Arc-Unterstützung als Vorschauversion zur Verfügung. Weitere Informationen finden Sie unter https://aka.ms/kubepolicydoc. | überprüfen, Überprüfung, verweigern, Verweigerung, deaktiviert, Deaktivierung | 6.2.0 |
Kubernetes-Clusterdienste dürfen nur an zugelassenen Ports lauschen | Hiermit wird erzwungen, dass Dienste nur an zugelassenen Ports lauschen können, um den Zugriff auf den Kubernetes-Cluster abzusichern. Diese Richtlinie ist für Kubernetes Service (AKS) allgemein verfügbar und steht für Kubernetes mit Azure Arc-Unterstützung als Vorschauversion zur Verfügung. Weitere Informationen finden Sie unter https://aka.ms/kubepolicydoc. | überprüfen, Überprüfung, verweigern, Verweigerung, deaktiviert, Deaktivierung | 8.2.0 |
Kubernetes-Cluster dürfen keine privilegierten Container zulassen | Hiermit wird verhindert, dass privilegierte Container in einem Kubernetes-Cluster erstellt werden. Diese Empfehlung ist Bestandteil von CIS 5.2.1, mit dem die Sicherheit Ihrer Kubernetes-Umgebungen verbessert werden soll. Diese Richtlinie ist für Kubernetes Service (AKS) allgemein verfügbar und steht für Kubernetes mit Azure Arc-Unterstützung als Vorschauversion zur Verfügung. Weitere Informationen finden Sie unter https://aka.ms/kubepolicydoc. | überprüfen, Überprüfung, verweigern, Verweigerung, deaktiviert, Deaktivierung | 9.2.0 |
Für Kubernetes-Cluster muss die automatische Bereitstellung von API-Anmeldeinformationen deaktiviert werden | Deaktivieren Sie die automatische Bereitstellung von API-Anmeldeinformationen, damit eine potenziell kompromittierte Podressource keine API-Befehle für Kubernetes-Cluster ausführen kann. Weitere Informationen finden Sie unter https://aka.ms/kubepolicydoc. | überprüfen, Überprüfung, verweigern, Verweigerung, deaktiviert, Deaktivierung | 4.2.0 |
Kubernetes-Cluster dürfen keine Rechteausweitung zulassen | Hiermit wird verhindert, dass Container mit einer Rechteausweitung auf „Root“ in einem Kubernetes-Cluster ausgeführt werden. Diese Empfehlung ist Bestandteil von CIS 5.2.5, mit dem die Sicherheit Ihrer Kubernetes-Umgebungen verbessert werden soll. Diese Richtlinie ist für Kubernetes Service (AKS) allgemein verfügbar und steht für Kubernetes mit Azure Arc-Unterstützung als Vorschauversion zur Verfügung. Weitere Informationen finden Sie unter https://aka.ms/kubepolicydoc. | überprüfen, Überprüfung, verweigern, Verweigerung, deaktiviert, Deaktivierung | 7.2.0 |
Kubernetes-Cluster sollten keine CAP_SYS_ADMIN-Sicherheitsfunktionen gewähren | Schränken Sie CAP_SYS_ADMIN-Linux-Funktionen ein, um die Angriffsfläche Ihrer Container zu verringern. Weitere Informationen finden Sie unter https://aka.ms/kubepolicydoc. | überprüfen, Überprüfung, verweigern, Verweigerung, deaktiviert, Deaktivierung | 5.1.0 |
Kubernetes-Cluster dürfen nicht den Standardnamespace verwenden | Verhindern Sie die Verwendung des Standardnamespace in Kubernetes-Clustern, um ConfigMap-, Pod-, Geheimnis-, Dienst- und Dienstkontoressourcen vor einem nicht autorisierten Zugriff zu schützen. Weitere Informationen finden Sie unter https://aka.ms/kubepolicydoc. | überprüfen, Überprüfung, verweigern, Verweigerung, deaktiviert, Deaktivierung | 4.2.0 |
Linux-Computer müssen die Anforderungen der Azure Compute-Sicherheitsbaseline erfüllen. | Erfordert, dass die erforderlichen Komponenten im Bereich der Richtlinienzuweisung bereitgestellt werden. Ausführliche Informationen finden Sie unter https://aka.ms/gcpol. Computer sind nicht konform, wenn der Computer für eine der Empfehlungen in der Azure Compute-Sicherheitsbaseline nicht richtig konfiguriert ist. | AuditIfNotExists, Disabled | 2.2.0 |
Verwalten von Gateways | CMA_0363 – Gateways verwalten | Manuell, deaktiviert | 1.1.0 |
Es dürfen nur genehmigte VM-Erweiterungen installiert werden | Diese Richtlinie regelt die nicht genehmigten VM-Erweiterungen. | Audit, Deny, Disabled | 1.0.0 |
Trendanalyse für Bedrohungen ausführen | CMA_0389 – Trendanalyse für Bedrohungen ausführen | Manuell, deaktiviert | 1.1.0 |
Sicherheitsrisikoüberprüfungen ausführen | CMA_0393 – Sicherheitsrisikoüberprüfungen ausführen | Manuell, deaktiviert | 1.1.0 |
Bericht zu Schadsoftwareerkennungen wöchentlich überprüfen | CMA_0475 – Bericht zu Schadsoftwareerkennungen wöchentlich überprüfen | Manuell, deaktiviert | 1.1.0 |
Bedrohungsschutzstatus wöchentlich überprüfen | CMA_0479 – Bedrohungsschutzstatus wöchentlich überprüfen | Manuell, deaktiviert | 1.1.0 |
Speicherkonten sollten Zugriff von vertrauenswürdigen Microsoft-Diensten zulassen | Einige Microsoft-Dienste, die mit Speicherkonten interagieren, agieren von Netzwerken aus, denen nicht mithilfe von Netzwerkregeln Zugriff gewährt werden kann. Lassen Sie für vertrauenswürdige Microsoft-Dienste die Umgehung der Netzwerkregeln zu, damit solche Dienste ordnungsgemäß funktionieren. Diese Dienste verwenden dann eine strenge Authentifizierung, um auf das Speicherkonto zuzugreifen. | Audit, Deny, Disabled | 1.0.0 |
Virendefinitionen aktualisieren | CMA_0517 – Virendefinitionen aktualisieren | Manuell, deaktiviert | 1.1.0 |
Software-, Firmware- und Informationsintegrität bestätigen | CMA_0542 – Software-, Firmware- und Informationsintegrität bestätigen | Manuell, deaktiviert | 1.1.0 |
Systemdiagnosedaten anzeigen und konfigurieren | CMA_0544 – Systemdiagnosedaten anzeigen und konfigurieren | Manuell, deaktiviert | 1.1.0 |
VM-Erweiterung „Gastkonfiguration“ muss mit einer systemseitig zugewiesenen verwalteten Identität bereitgestellt werden | Für die Gastkonfigurationserweiterung wird eine systemseitig zugewiesene verwaltete Identität benötigt. Virtuelle Azure-Computer im Rahmen dieser Richtlinie sind nicht konform, wenn die Erweiterung „Gastkonfiguration“ auf ihnen installiert ist, sie aber über keine systemseitig zugewiesene verwaltete Identität verfügen. Weitere Informationen finden Sie unter https://aka.ms/gcpol. | AuditIfNotExists, Disabled | 1.0.1 |
Windows-Computer müssen die Anforderungen der Azure Compute-Sicherheitsbaseline erfüllen | Erfordert, dass die erforderlichen Komponenten im Bereich der Richtlinienzuweisung bereitgestellt werden. Ausführliche Informationen finden Sie unter https://aka.ms/gcpol. Computer sind nicht konform, wenn der Computer für eine der Empfehlungen in der Azure Compute-Sicherheitsbaseline nicht richtig konfiguriert ist. | AuditIfNotExists, Disabled | 2.0.0 |
Systemvorgänge
Erkennung und Überwachung neuer Sicherheitsrisiken
ID: SOC 2, Typ 2 CC7.1 Besitz: Freigegeben
Name (Azure-Portal) |
BESCHREIBUNG | Auswirkungen | Version (GitHub) |
---|---|---|---|
Auf Ihren virtuellen Computern muss eine Lösung zur Sicherheitsrisikobewertung installiert werden | Überwacht VMs, um zu ermitteln, ob eine unterstützte Lösung zur Sicherheitsrisikobewertung ausgeführt wird. Eine Kernkomponente jedes Cyberrisikos und jedes Sicherheitsprogramms ist die Identifizierung und Analyse von Sicherheitsrisiken. Der Standard-Tarif von Azure Security Center umfasst das Überprüfen von Sicherheitsrisiken für Ihre virtuellen Computer ohne zusätzliche Kosten. Darüber hinaus kann Azure Security Center dieses Tool automatisch für Sie bereitstellen. | AuditIfNotExists, Disabled | 3.0.0 |
Aktionen für nicht kompatible Geräte konfigurieren | CMA_0062 – Aktionen für nicht kompatible Geräte konfigurieren | Manuell, deaktiviert | 1.1.0 |
Basisplankonfigurationen entwickeln und verwalten | CMA_0153 – Basisplankonfigurationen entwickeln und verwalten | Manuell, deaktiviert | 1.1.0 |
Erkennung von Netzwerkgeräten aktivieren | CMA_0220 – Erkennung von Netzwerkgeräten aktivieren | Manuell, deaktiviert | 1.1.0 |
Einstellungen für die Sicherheitskonfiguration erzwingen | CMA_0249 – Einstellungen für die Sicherheitskonfiguration erzwingen | Manuell, deaktiviert | 1.1.0 |
Konfigurationssteuerungsgremium einrichten | CMA_0254 – Konfigurationssteuerungsgremium einrichten | Manuell, deaktiviert | 1.1.0 |
Konfigurationsverwaltungsplan einrichten und dokumentieren | CMA_0264 – Konfigurationsverwaltungsplan einrichten und dokumentieren | Manuell, deaktiviert | 1.1.0 |
Tool für die automatisierte Konfigurationsverwaltung implementieren | CMA_0311 – Tool für die automatisierte Konfigurationsverwaltung implementieren | Manuell, deaktiviert | 1.1.0 |
Sicherheitsrisikoüberprüfungen ausführen | CMA_0393 – Sicherheitsrisikoüberprüfungen ausführen | Manuell, deaktiviert | 1.1.0 |
Informationssystemfehler korrigieren | CMA_0427 – Informationssystemfehler korrigieren | Manuell, deaktiviert | 1.1.0 |
Automatisierte Benachrichtigungen für neue und beliebte Cloudanwendungen in Ihrer Organisation festlegen | CMA_0495 – Automatisierte Benachrichtigungen für neue und beliebte Cloudanwendungen in Ihrer Organisation festlegen | Manuell, deaktiviert | 1.1.0 |
Software-, Firmware- und Informationsintegrität bestätigen | CMA_0542 – Software-, Firmware- und Informationsintegrität bestätigen | Manuell, deaktiviert | 1.1.0 |
Systemdiagnosedaten anzeigen und konfigurieren | CMA_0544 – Systemdiagnosedaten anzeigen und konfigurieren | Manuell, deaktiviert | 1.1.0 |
Für SQL Managed Instance muss eine Sicherheitsrisikobewertung aktiviert sein | Hiermit wird jede SQL Managed Instance-Instanz überwacht, für die keine regelmäßige Sicherheitsrisikobewertung durchgeführt wird. Die Sicherheitsrisikobewertung kann Sie dabei unterstützen, potenzielle Sicherheitsrisiken für Datenbanken zu erkennen, nachzuverfolgen und zu beheben. | AuditIfNotExists, Disabled | 1.0.1 |
Für Ihre SQL Server-Instanzen muss eine Sicherheitsrisikobewertung aktiviert sein | Hiermit werden Azure SQL Server-Instanzen überwacht, für die die Sicherheitsrisikobewertung nicht ordnungsgemäß konfiguriert ist. Die Sicherheitsrisikobewertung kann Sie dabei unterstützen, potenzielle Sicherheitsrisiken für Datenbanken zu erkennen, nachzuverfolgen und zu beheben. | AuditIfNotExists, Disabled | 3.0.0 |
Überwachen von Systemkomponenten auf ungewöhnliches Verhalten
ID: SOC 2, Typ 2 CC7.2 Besitz: Freigegeben
Name (Azure-Portal) |
BESCHREIBUNG | Auswirkungen | Version (GitHub) |
---|---|---|---|
[Vorschau]: Für Azure Arc-fähige Kubernetes-Cluster muss die Microsoft Defender für Cloud-Erweiterung installiert sein. | Die Microsoft Defender für Cloud-Erweiterung für Azure Arc bietet Bedrohungsschutz für Ihre Arc-fähigen Kubernetes-Cluster. Die Erweiterung sammelt Daten von allen Knoten im Cluster und sendet sie zur weiteren Analyse an das Azure Defender für Kubernetes-Back-End in der Cloud. Weitere Informationen finden Sie unter https://docs.microsoft.com/azure/defender-for-cloud/defender-for-containers-enable?pivots=defender-for-container-arc. | AuditIfNotExists, Disabled | 6.0.0-preview |
Für bestimmte administrative Vorgänge muss eine Aktivitätsprotokollwarnung vorliegen | Diese Richtlinie überwacht bestimmte administrative Vorgänge ohne Konfiguration von Aktivitätsprotokollwarnungen. | AuditIfNotExists, Disabled | 1.0.0 |
Für bestimmte Richtlinienvorgänge muss eine Aktivitätsprotokollwarnung vorliegen | Diese Richtlinie überwacht bestimmte Richtlinienvorgänge ohne Konfiguration von Aktivitätsprotokollwarnungen. | AuditIfNotExists, Disabled | 3.0.0 |
Für bestimmte Sicherheitsvorgänge muss eine Aktivitätsprotokollwarnung vorliegen | Diese Richtlinie überwacht bestimmte Sicherheitsvorgänge ohne Konfiguration von Aktivitätsprotokollwarnungen. | AuditIfNotExists, Disabled | 1.0.0 |
Azure Defender für App Service sollte aktiviert werden | Azure Defender für App Service nutzt die Skalierbarkeit der Cloud und die Transparenz von Azure als Cloudanbieter, um eine Überwachung auf gängige Web-App-Angriffe durchzuführen. | AuditIfNotExists, Disabled | 1.0.3 |
Azure Defender für Azure SQL-Datenbank-Server sollte aktiviert werden | Azure Defender für SQL bietet Funktionen zur Aufdeckung und Entschärfung potenzieller Sicherheitsrisiken für Datenbanken, zur Erkennung anomaler Aktivitäten, die auf eine Bedrohung in SQL-Datenbank-Instanzen hinweisen könnten, sowie zur Ermittlung und Klassifizierung vertraulicher Daten. | AuditIfNotExists, Disabled | 1.0.2 |
Azure Defender für Key Vault sollte aktiviert werden | Azure Defender für Key Vault bietet eine zusätzliche Schutzebene und Security Intelligence, indem ungewöhnliche und potenziell schädliche Zugriffs- und Exploitversuche für Key Vault-Konten ermittelt werden. | AuditIfNotExists, Disabled | 1.0.3 |
Azure Defender für relationale Open-Source-Datenbanken sollte aktiviert sein | Azure Defender für relationale Open-Source-Datenbanken erkennt anormale Aktivitäten, die auf ungewöhnliche und potenziell schädliche Zugriffsversuche auf oder Exploits von Datenbanken hinweisen. Weitere Informationen zu den Funktionen von Azure Defender für relationale Open-Source-Datenbanken finden Sie unter https://aka.ms/AzDforOpenSourceDBsDocu. Wichtig: Wenn Sie diesen Plan aktivieren, entstehen Gebühren für den Schutz Ihrer relationalen Open-Source-Datenbanken. Weitere Informationen zu den Preisen finden Sie in der Security Center-Preisübersicht unter https://aka.ms/pricing-security-center. | AuditIfNotExists, Disabled | 1.0.0 |
Azure Defender für Resource Manager muss aktiviert sein | Azure Defender für Resource Manager überwacht automatisch die Ressourcenverwaltungsvorgänge in Ihrer Organisation. Azure Defender erkennt Bedrohungen und warnt Sie bei verdächtigen Aktivitäten. Weitere Informationen zu den Funktionen von Azure Defender für Resource Manager erhalten Sie unter https://aka.ms/defender-for-resource-manager. Bei Aktivierung dieses Azure Defender-Plans fallen Gebühren an. Weitere Informationen zu den Preisen pro Region finden Sie in der Security Center-Preisübersicht unter https://aka.ms/pricing-security-center. | AuditIfNotExists, Disabled | 1.0.0 |
Azure Defender für Server sollte aktiviert werden | Azure Defender für Server verfügt über einen Echtzeitbedrohungsschutz für Server und generiert Empfehlungen zur Härtung sowie Warnungen vor verdächtigen Aktivitäten. | AuditIfNotExists, Disabled | 1.0.3 |
Azure Defender für SQL-Server auf Computern sollte aktiviert werden | Azure Defender für SQL bietet Funktionen zur Aufdeckung und Entschärfung potenzieller Sicherheitsrisiken für Datenbanken, zur Erkennung anomaler Aktivitäten, die auf eine Bedrohung in SQL-Datenbank-Instanzen hinweisen könnten, sowie zur Ermittlung und Klassifizierung vertraulicher Daten. | AuditIfNotExists, Disabled | 1.0.2 |
Azure Defender für SQL sollte für nicht geschützte Azure SQL Server aktiviert werden | Überwachen von SQL-Servern ohne Advanced Data Security | AuditIfNotExists, Disabled | 2.0.1 |
Azure Defender für SQL muss für nicht geschützte verwaltete SQL-Instanzen aktiviert sein | Hiermit wird jede SQL Managed Instance-Instanz ohne Advanced Data Security überwacht. | AuditIfNotExists, Disabled | 1.0.2 |
Für den Azure Kubernetes Service-Cluster sollte das Defender-Profil aktiviert sein | Microsoft Defender für Container bietet cloudnative Kubernetes-Sicherheitsfunktionen wie Umgebungshärtung, Workloadschutz und Laufzeitschutz. Wenn Sie SecurityProfile.AzureDefender in Ihrem Azure Kubernetes Service-Cluster aktivieren, wird ein Agent in Ihrem Cluster bereitgestellt, um Sicherheitsereignisdaten zu sammeln. Weitere Informationen zu Microsoft Defender für Container finden Sie unter https://docs.microsoft.com/azure/defender-for-cloud/defender-for-containers-introduction?tabs=defender-for-container-arch-aks. | Audit, Disabled | 2.0.1 |
Netzwerkdienste erkennen, die nicht autorisiert oder genehmigt wurden | CMA_C1700 – Netzwerkdienste erkennen, die nicht autorisiert oder genehmigt wurden | Manuell, deaktiviert | 1.1.0 |
Überwachungsverarbeitungsaktivitäten steuern und überwachen | CMA_0289 – Überwachungsverarbeitungsaktivitäten steuern und überwachen | Manuell, deaktiviert | 1.1.0 |
Microsoft Defender für Container sollte aktiviert sein | Microsoft Defender für Container bietet Härtung, Sicherheitsrisikobewertung und Laufzeitschutz für Ihre Azure-, Hybrid- und Multi-Cloud-Kubernetes-Umgebungen. | AuditIfNotExists, Disabled | 1.0.0 |
Microsoft Defender für Storage muss aktiviert sein. | Microsoft Defender for Storage erkennt potenzielle Bedrohungen für Ihre Speicherkonten. Es hilft, die drei wichtigsten Auswirkungen auf Ihre Daten und Ihren Workload zu verhindern: Upload von Schadsoftware, Exfiltration vertraulicher Daten und Datenbeschädigung. Der neue Defender for Storage-Plan umfasst die Überprüfung auf Schadsoftware und die Bedrohungserkennung für vertrauliche Daten. Diese Plan bietet auch eine vorhersagbare Preisstruktur (pro Speicherkonto), sodass Sie Kosten und Abdeckung immer im Blick haben. | AuditIfNotExists, Disabled | 1.0.0 |
Trendanalyse für Bedrohungen ausführen | CMA_0389 – Trendanalyse für Bedrohungen ausführen | Manuell, deaktiviert | 1.1.0 |
Windows Defender Exploit Guard muss auf Ihren Computern aktiviert sein | Von Windows Defender Exploit Guard wird der Gastkonfigurations-Agent von Azure Policy verwendet. Exploit Guard verfügt über vier Komponenten für die Absicherung von Geräten gegen viele verschiedene Angriffsvektoren und Blockierungsverhalten, mit denen bei Angriffen mit Schadsoftware häufig zu rechnen ist. Darüber hinaus ermöglichen diese Komponenten es Unternehmen, zwischen Sicherheitsrisiken und Produktivitätsanforderungen abzuwägen (nur Windows). | AuditIfNotExists, Disabled | 2.0.0 |
Erkennung von Sicherheitsvorfällen
ID: SOC 2, Typ 2 CC7.3 Besitz: Freigegeben
Name (Azure-Portal) |
BESCHREIBUNG | Auswirkungen | Version (GitHub) |
---|---|---|---|
Richtlinien und Prozeduren zur Reaktion auf Vorfälle überprüfen und aktualisieren | CMA_C1352 – Richtlinien und Prozeduren zur Reaktion auf Vorfälle überprüfen und aktualisieren | Manuell, deaktiviert | 1.1.0 |
Reaktion auf Sicherheitsvorfälle
ID: SOC 2, Typ 2 CC7.4 Besitz: Freigegeben
Name (Azure-Portal) |
BESCHREIBUNG | Auswirkungen | Version (GitHub) |
---|---|---|---|
Informationssicherheitsereignisse bewerten | CMA_0013 – Informationssicherheitsereignisse bewerten | Manuell, deaktiviert | 1.1.0 |
Notfallpläne mit zugehörigen Plänen koordinieren | CMA_0086 – Notfallpläne mit zugehörigen Plänen koordinieren | Manuell, deaktiviert | 1.1.0 |
Entwickeln eines Plans für die Reaktion auf Sicherheitsvorfälle | CMA_0145 – Plan zur Reaktion auf Vorfälle entwickeln | Manuell, deaktiviert | 1.1.0 |
Sicherheitsvorkehrungen entwickeln | CMA_0161 – Sicherheitsvorkehrungen entwickeln | Manuell, deaktiviert | 1.1.0 |
E-Mail-Benachrichtigung zu Warnungen mit hohem Schweregrad muss aktiviert sein | Aktivieren Sie E-Mail-Benachrichtigungen für Warnungen mit hohem Schweregrad in Security Center, um sicherzustellen, dass die relevanten Personen in Ihrer Organisation benachrichtigt werden, wenn es für eines Ihrer Abonnements zu einer potenziellen Sicherheitsverletzung gekommen ist. | AuditIfNotExists, Disabled | 1.2.0 |
E-Mail-Benachrichtigung des Abonnementbesitzers bei Warnungen mit hohem Schweregrad muss aktiviert sein | Legen Sie E-Mail-Benachrichtigungen für Abonnementbesitzer für Warnungen mit hohem Schweregrad in Security Center fest, um sicherzustellen, dass Ihre Abonnementbesitzer benachrichtigt werden, wenn es für ihr Abonnement zu einer potenziellen Sicherheitsverletzung gekommen ist. | AuditIfNotExists, Disabled | 2.1.0 |
Netzwerkschutz aktivieren | CMA_0238 – Netzwerkschutz aktivieren | Manuell, deaktiviert | 1.1.0 |
Kontaminierte Informationen eliminieren | CMA_0253 – Kontaminierte Informationen eliminieren | Manuell, deaktiviert | 1.1.0 |
Aktionen als Reaktion auf Informationslecks ausführen | CMA_0281 – Aktionen als Reaktion auf Informationslecks ausführen | Manuell, deaktiviert | 1.1.0 |
Identifizierung von Vorfallsklassen und ergriffene Aktionen | CMA_C1365: Identifizierung von Vorfallsklassen und ergriffene Aktionen | Manuell, deaktiviert | 1.1.0 |
Vorfallbearbeitung implementieren | CMA_0318 – Vorfallbearbeitung implementieren | Manuell, deaktiviert | 1.1.0 |
Dynamische Rekonfiguration der vom Kunden bereitgestellten Ressourcen einbeziehen | CMA_C1364 – Dynamische Rekonfiguration der vom Kunden bereitgestellten Ressourcen einbeziehen | Manuell, deaktiviert | 1.1.0 |
Plan zur Reaktion auf Vorfälle beibehalten | CMA_0352 – Plan zur Reaktion auf Vorfälle beibehalten | Manuell, deaktiviert | 1.1.0 |
Network Watcher muss aktiviert sein | Network Watcher ist ein regionaler Dienst, mit dem Sie Bedingungen auf der Ebene von Netzwerkszenarien in Azure überwachen und diagnostizieren können. Die Überwachung auf Szenarioebene erlaubt die umfassende Diagnose von Problemen auf Netzwerkebene. Es muss eine Network Watcher-Ressourcengruppe in jeder Region erstellt werden, in der ein virtuelles Netzwerk vorhanden ist. Wenn eine Network Watcher-Ressourcengruppe in einer bestimmten Region nicht verfügbar ist, wird eine Warnung angezeigt. | AuditIfNotExists, Disabled | 3.0.0 |
Trendanalyse für Bedrohungen ausführen | CMA_0389 – Trendanalyse für Bedrohungen ausführen | Manuell, deaktiviert | 1.1.0 |
In Abonnements sollte eine Kontakt-E-Mail-Adresse für Sicherheitsprobleme angegeben sein. | Legen Sie eine für die Sicherheit zuständige Kontaktperson fest, die E-Mail-Benachrichtigungen von Security Center erhalten soll, um sicherzustellen, dass die relevanten Personen in Ihrer Organisation benachrichtigt werden, wenn es für eines Ihrer Abonnements zu einer potenziellen Sicherheitsverletzung gekommen ist. | AuditIfNotExists, Disabled | 1.0.1 |
Eingeschränkte Benutzer anzeigen und untersuchen | CMA_0545 – Eingeschränkte Benutzer anzeigen und untersuchen | Manuell, deaktiviert | 1.1.0 |
Wiederherstellung nach identifizierten Sicherheitsvorfällen
ID: SOC 2, Typ 2 CC7.5 Besitz: Freigegeben
Name (Azure-Portal) |
BESCHREIBUNG | Auswirkungen | Version (GitHub) |
---|---|---|---|
Informationssicherheitsereignisse bewerten | CMA_0013 – Informationssicherheitsereignisse bewerten | Manuell, deaktiviert | 1.1.0 |
Testen von Reaktionen auf Vorfälle durchführen | CMA_0060: Durchführung von Tests zur Reaktion auf Vorfälle | Manuell, deaktiviert | 1.1.0 |
Notfallpläne mit zugehörigen Plänen koordinieren | CMA_0086 – Notfallpläne mit zugehörigen Plänen koordinieren | Manuell, deaktiviert | 1.1.0 |
Koordinieren mit externen Organisationen, um eine organisationsübergreifende Perspektive zu erreichen | CMA_C1368: Koordinieren mit externen Organisationen, um eine organisationsübergreifende Perspektive zu gewinnen | Manuell, deaktiviert | 1.1.0 |
Entwickeln eines Plans für die Reaktion auf Sicherheitsvorfälle | CMA_0145 – Plan zur Reaktion auf Vorfälle entwickeln | Manuell, deaktiviert | 1.1.0 |
Sicherheitsvorkehrungen entwickeln | CMA_0161 – Sicherheitsvorkehrungen entwickeln | Manuell, deaktiviert | 1.1.0 |
E-Mail-Benachrichtigung zu Warnungen mit hohem Schweregrad muss aktiviert sein | Aktivieren Sie E-Mail-Benachrichtigungen für Warnungen mit hohem Schweregrad in Security Center, um sicherzustellen, dass die relevanten Personen in Ihrer Organisation benachrichtigt werden, wenn es für eines Ihrer Abonnements zu einer potenziellen Sicherheitsverletzung gekommen ist. | AuditIfNotExists, Disabled | 1.2.0 |
E-Mail-Benachrichtigung des Abonnementbesitzers bei Warnungen mit hohem Schweregrad muss aktiviert sein | Legen Sie E-Mail-Benachrichtigungen für Abonnementbesitzer für Warnungen mit hohem Schweregrad in Security Center fest, um sicherzustellen, dass Ihre Abonnementbesitzer benachrichtigt werden, wenn es für ihr Abonnement zu einer potenziellen Sicherheitsverletzung gekommen ist. | AuditIfNotExists, Disabled | 2.1.0 |
Netzwerkschutz aktivieren | CMA_0238 – Netzwerkschutz aktivieren | Manuell, deaktiviert | 1.1.0 |
Kontaminierte Informationen eliminieren | CMA_0253 – Kontaminierte Informationen eliminieren | Manuell, deaktiviert | 1.1.0 |
Informationssicherheitsprogramm einrichten | CMA_0263 – Informationssicherheitsprogramm einrichten | Manuell, deaktiviert | 1.1.0 |
Aktionen als Reaktion auf Informationslecks ausführen | CMA_0281 – Aktionen als Reaktion auf Informationslecks ausführen | Manuell, deaktiviert | 1.1.0 |
Vorfallbearbeitung implementieren | CMA_0318 – Vorfallbearbeitung implementieren | Manuell, deaktiviert | 1.1.0 |
Plan zur Reaktion auf Vorfälle beibehalten | CMA_0352 – Plan zur Reaktion auf Vorfälle beibehalten | Manuell, deaktiviert | 1.1.0 |
Network Watcher muss aktiviert sein | Network Watcher ist ein regionaler Dienst, mit dem Sie Bedingungen auf der Ebene von Netzwerkszenarien in Azure überwachen und diagnostizieren können. Die Überwachung auf Szenarioebene erlaubt die umfassende Diagnose von Problemen auf Netzwerkebene. Es muss eine Network Watcher-Ressourcengruppe in jeder Region erstellt werden, in der ein virtuelles Netzwerk vorhanden ist. Wenn eine Network Watcher-Ressourcengruppe in einer bestimmten Region nicht verfügbar ist, wird eine Warnung angezeigt. | AuditIfNotExists, Disabled | 3.0.0 |
Trendanalyse für Bedrohungen ausführen | CMA_0389 – Trendanalyse für Bedrohungen ausführen | Manuell, deaktiviert | 1.1.0 |
Simulationsangriffe ausführen | CMA_0486: Ausführen von Simulationsangriffen | Manuell, deaktiviert | 1.1.0 |
In Abonnements sollte eine Kontakt-E-Mail-Adresse für Sicherheitsprobleme angegeben sein. | Legen Sie eine für die Sicherheit zuständige Kontaktperson fest, die E-Mail-Benachrichtigungen von Security Center erhalten soll, um sicherzustellen, dass die relevanten Personen in Ihrer Organisation benachrichtigt werden, wenn es für eines Ihrer Abonnements zu einer potenziellen Sicherheitsverletzung gekommen ist. | AuditIfNotExists, Disabled | 1.0.1 |
Eingeschränkte Benutzer anzeigen und untersuchen | CMA_0545 – Eingeschränkte Benutzer anzeigen und untersuchen | Manuell, deaktiviert | 1.1.0 |
Change Management
Änderungen an Infrastruktur, Daten und Software
ID: SOC 2, Typ 2 CC8.1 Besitz: Freigegeben
Name (Azure-Portal) |
BESCHREIBUNG | Auswirkungen | Version (GitHub) |
---|---|---|---|
[Veraltet]: Für Funktions-Apps sollte „Clientzertifikate (eingehende Clientzertifikate)“ aktiviert sein | Mithilfe von Clientzertifikaten kann die App ein Zertifikat für eingehende Anforderungen anfordern. Nur Clients mit gültigen Zertifikaten können auf die App zugreifen. Diese Richtlinie wurde durch eine neue Richtlinie mit demselben Namen ersetzt, da HTTP 2.0 keine Clientzertifikate unterstützt. | Audit, Disabled | 3.1.0-deprecated |
[Vorschau]: Für unterstützte Linux-VMs muss die Erweiterung für den Gastnachweis installiert sein | Installieren Sie auf unterstützten Linux-VMs die Erweiterung für den Gastnachweis, damit Azure Security Center die Startintegrität proaktiv nachweisen und überwachen kann. Nach der Installation erfolgt der Nachweis der Startintegrität per Remotenachweis. Diese Bewertung gilt für Linux-VMs des Typs „Vertrauenswürdiger Start“ und „Vertraulich“. | AuditIfNotExists, Disabled | 6.0.0-preview |
[Vorschau]: Für unterstützte Linux-VM-Skalierungsgruppen muss die Erweiterung für den Gastnachweis installiert sein | Installieren Sie in unterstützten Linux-VM-Skalierungsgruppen die Erweiterung für den Gastnachweis, damit Azure Security Center die Startintegrität proaktiv nachweisen und überwachen kann. Nach der Installation erfolgt der Nachweis der Startintegrität per Remotenachweis. Diese Bewertung gilt für Linux-VM-Skalierungsgruppen des Typs „Vertrauenswürdiger Start“ und „Vertraulich“. | AuditIfNotExists, Disabled | 5.1.0-preview |
[Vorschau]: Für unterstützte Windows-VMs muss die Erweiterung für den Gastnachweis installiert sein | Installieren Sie auf unterstützten VMs die Erweiterung für den Gastnachweis, damit Azure Security Center die Startintegrität proaktiv nachweisen und überwachen kann. Nach der Installation erfolgt der Nachweis der Startintegrität per Remotenachweis. Diese Bewertung gilt für Windows-VMs des Typs „Vertrauenswürdiger Start“ und „Vertraulich“. | AuditIfNotExists, Disabled | 4.0.0-preview |
[Vorschau]: Für unterstützte Windows-VM-Skalierungsgruppen muss die Erweiterung für den Gastnachweis installiert sein | Installieren Sie in unterstützten VM-Skalierungsgruppen die Erweiterung für den Gastnachweis, damit Azure Security Center die Startintegrität proaktiv nachweisen und überwachen kann. Nach der Installation erfolgt der Nachweis der Startintegrität per Remotenachweis. Diese Bewertung gilt für Windows-VM-Skalierungsgruppen des Typs „Vertrauenswürdiger Start“ und „Vertraulich“. | AuditIfNotExists, Disabled | 3.1.0-preview |
[Vorschau]: Für unterstützte Windows-VMs muss der sichere Neustart aktiviert sein | Die Aktivierung von „Sicherer Start“ auf unterstützten virtuellen Computern dient als Schutz vor schädlichen und nicht autorisierten Änderungen der Startkette. Nach der Aktivierung ist nur die Ausführung von vertrauenswürdigen Bootloadern, Kerneln und Kerneltreibern zulässig. Diese Bewertung gilt für Windows-VMs des Typs „Vertrauenswürdiger Start“ und „Vertraulich“. | Audit, Disabled | 4.0.0-preview |
[Vorschau]: Für unterstützte VMs muss ein virtuelles TPM-Gerät aktiviert werden | Aktivieren Sie ein virtuelles TPM-Gerät auf unterstützten virtuellen Computern, um die Nutzung von „Kontrollierter Start“ und anderen Sicherheitsfeatures des Betriebssystems zu ermöglichen, für die TPM erforderlich ist. Nach der Aktivierung kann ein virtuelles TPM verwendet werden, um die Startintegrität nachzuweisen. Diese Bewertung gilt nur für vertrauenswürdige startfähige VMs. | Audit, Disabled | 2.0.0-preview |
App Service-Apps sollten „Client-Zertifikate (eingehende Client-Zertifikate)“ aktiviert haben | Mithilfe von Clientzertifikaten kann die App ein Zertifikat für eingehende Anforderungen anfordern. Nur Clients mit einem gültigen Zertifikat können auf die App zugreifen. Diese Richtlinie gilt für Apps mit HTTP-Version 1.1. | AuditIfNotExists, Disabled | 1.0.0 |
Für App Service-Apps sollte das Remotedebuggen deaktiviert sein | Für das Remotedebuggen müssen bei einer App Service-App eingehende Ports geöffnet werden. Das Remotedebuggen muss deaktiviert werden. | AuditIfNotExists, Disabled | 2.0.0 |
Für App Service-Apps sollte CORS nicht so konfiguriert sein, dass jede Ressource auf Ihre Apps zugreifen kann | Cross-Origin Resource Sharing (CORS) sollte nicht allen Domänen den Zugriff auf Ihre App ermöglichen. Erlauben Sie nur erforderlichen Domains, mit Ihrer App zu interagieren. | AuditIfNotExists, Disabled | 2.0.0 |
App Service-Apps sollten die neueste „HTTP-Version“ verwenden | Für HTTP werden in regelmäßigen Abständen neue Versionen herausgegeben – entweder zum Beheben von Sicherheitsmängeln oder zum Bereitstellen neuer Funktionen. Verwenden Sie die aktuelle HTTP-Version für Web-Apps, um von Sicherheitsfixes (falls vorhanden) und/oder neuen Funktionen der neuesten Version zu profitieren. | AuditIfNotExists, Disabled | 4.0.0 |
Virtuelle Computer überwachen, die keine verwalteten Datenträger verwenden | Diese Richtlinie überwacht virtuelle Computer, die keine verwalteten Datenträger verwenden. | Überwachung | 1.0.0 |
Für Azure Arc-fähige Kubernetes-Cluster sollte die Azure Policy-Erweiterung installiert sein | Die Azure Policy-Erweiterung für Azure Arc bietet zentrale und konsistente Erzwingungs- und Schutzfunktionen für Ihre Kubernetes-Cluster mit Arc-Unterstützung. Weitere Informationen finden Sie unter https://aka.ms/akspolicydoc. | AuditIfNotExists, Disabled | 1.1.0 |
Das Azure Policy-Add-On für den Kubernetes-Dienst (AKS) muss auf Ihren Clustern installiert und aktiviert sein. | Das Azure Policy-Add-On für den Kubernetes-Dienst (AKS) erweitert Gatekeeper v3, einen OPA-Webhook (Open Policy Agent) für die Zugangssteuerung, um umfassende Durchsetzungen und Schutzvorrichtungen für Ihre Cluster zentral und konsistent anzuwenden. | Audit, Disabled | 1.0.2 |
Sicherheitsauswirkungsanalyse durchführen | CMA_0057 – Sicherheitsauswirkungsanalyse durchführen | Manuell, deaktiviert | 1.1.0 |
Aktionen für nicht kompatible Geräte konfigurieren | CMA_0062 – Aktionen für nicht kompatible Geräte konfigurieren | Manuell, deaktiviert | 1.1.0 |
Standard für Sicherheitsrisikomanagement entwickeln und verwalten | CMA_0152 – Standard für Sicherheitsrisikomanagement entwickeln und verwalten | Manuell, deaktiviert | 1.1.0 |
Basisplankonfigurationen entwickeln und verwalten | CMA_0153 – Basisplankonfigurationen entwickeln und verwalten | Manuell, deaktiviert | 1.1.0 |
Einstellungen für die Sicherheitskonfiguration erzwingen | CMA_0249 – Einstellungen für die Sicherheitskonfiguration erzwingen | Manuell, deaktiviert | 1.1.0 |
Konfigurationssteuerungsgremium einrichten | CMA_0254 – Konfigurationssteuerungsgremium einrichten | Manuell, deaktiviert | 1.1.0 |
Risikomanagementstrategie einrichten | CMA_0258 – Risikomanagementstrategie einrichten | Manuell, deaktiviert | 1.1.0 |
Konfigurationsverwaltungsplan einrichten und dokumentieren | CMA_0264 – Konfigurationsverwaltungsplan einrichten und dokumentieren | Manuell, deaktiviert | 1.1.0 |
Änderungssteuerungsprozesse einrichten und dokumentieren | CMA_0265 – Änderungssteuerungsprozesse einrichten und dokumentieren | Manuell, deaktiviert | 1.1.0 |
Konfigurationsverwaltungsanforderungen für Entwickler einrichten | CMA_0270 – Konfigurationsverwaltungsanforderungen für Entwickler einrichten | Manuell, deaktiviert | 1.1.0 |
Für Funktions-Apps sollte das Remotedebuggen deaktiviert sein | Für das Remotedebuggen müssen bei Funktions-Apps eingehende Ports geöffnet werden. Das Remotedebuggen muss deaktiviert werden. | AuditIfNotExists, Disabled | 2.0.0 |
Für Funktions-Apps sollte CORS nicht so konfiguriert sein, dass jede Ressource auf Ihre Apps zugreifen kann | CORS (Cross-Origin Resource Sharing) darf nicht allen Domänen Zugriff auf Ihre Funktions-App erteilen. Gestatten Sie nur erforderlichen Domänen die Interaktion mit Ihrer Funktions-App. | AuditIfNotExists, Disabled | 2.0.0 |
Funktions-Apps sollten die neueste „HTTP Version“ verwenden | Für HTTP werden in regelmäßigen Abständen neue Versionen herausgegeben – entweder zum Beheben von Sicherheitsmängeln oder zum Bereitstellen neuer Funktionen. Verwenden Sie die aktuelle HTTP-Version für Web-Apps, um von Sicherheitsfixes (falls vorhanden) und/oder neuen Funktionen der neuesten Version zu profitieren. | AuditIfNotExists, Disabled | 4.0.0 |
Die Erweiterung „Gastkonfiguration“ muss auf Ihren Computern installiert sein. | Installieren Sie die Erweiterung „Gastkonfiguration“, um eine sichere Konfiguration gastsysteminterner Einstellungen Ihres Computers zu gewährleisten. Von der Erweiterung werden unter anderem gastsysteminterne Einstellungen wie die Konfiguration des Betriebssystems, die Konfiguration oder das Vorhandensein einer Anwendung sowie Umgebungseinstellungen überwacht. Nach der Installation sind gastinterne Richtlinien verfügbar, z. B. „Windows Defender Exploit Guard muss aktiviert sein“. Weitere Informationen finden Sie unter https://aka.ms/gcpol. | AuditIfNotExists, Disabled | 1.0.3 |
Tool für die automatisierte Konfigurationsverwaltung implementieren | CMA_0311 – Tool für die automatisierte Konfigurationsverwaltung implementieren | Manuell, deaktiviert | 1.1.0 |
CPU- und Arbeitsspeicherressourcen für Container in einem Kubernetes-Cluster dürfen die angegebenen Limits nicht überschreiten | Hiermit werden Ressourcenlimits für Container-CPU und Arbeitsspeicher erzwungen, um Ressourcenauslastungsangriffe in einem Kubernetes-Cluster zu verhindern. Diese Richtlinie ist für Kubernetes Service (AKS) allgemein verfügbar und steht für Kubernetes mit Azure Arc-Unterstützung als Vorschauversion zur Verfügung. Weitere Informationen finden Sie unter https://aka.ms/kubepolicydoc. | überprüfen, Überprüfung, verweigern, Verweigerung, deaktiviert, Deaktivierung | 9.3.0 |
Container im Kubernetes-Cluster dürfen den Namespace für Hostprozess-ID oder Host-IPC nicht freigeben | Hiermit wird verhindert, dass Podcontainer die Namespaces für Hostprozess-ID und Host-IPC in einem Kubernetes-Cluster freigeben. Diese Empfehlung ist Bestandteil von CIS 5.2.2 und CIS 5.2.3, mit denen die Sicherheit Ihrer Kubernetes-Umgebungen verbessert werden soll. Diese Richtlinie ist für Kubernetes Service (AKS) allgemein verfügbar und steht für Kubernetes mit Azure Arc-Unterstützung als Vorschauversion zur Verfügung. Weitere Informationen finden Sie unter https://aka.ms/kubepolicydoc. | überprüfen, Überprüfung, verweigern, Verweigerung, deaktiviert, Deaktivierung | 5.2.0 |
Container in einem Kubernetes-Cluster dürfen nur zulässige AppArmor-Profile verwenden | Hiermit wird sichergestellt, dass Container nur zugelassene AppArmor-Profile in einem Kubernetes-Cluster verwenden dürfen. Diese Richtlinie ist für Kubernetes Service (AKS) allgemein verfügbar und steht für Kubernetes mit Azure Arc-Unterstützung als Vorschauversion zur Verfügung. Weitere Informationen finden Sie unter https://aka.ms/kubepolicydoc. | überprüfen, Überprüfung, verweigern, Verweigerung, deaktiviert, Deaktivierung | 6.2.0 |
Container in einem Kubernetes-Cluster dürfen nur zulässige Funktionen verwenden | Hiermit wird durch eine Einschränkung von Funktionen die Angriffsfläche von Containern in einem Kubernetes-Cluster verringert. Diese Empfehlung ist Bestandteil von CIS 5.2.8 und CIS 5.2.9, mit denen die Sicherheit Ihrer Kubernetes-Umgebungen verbessert werden soll. Diese Richtlinie ist für Kubernetes Service (AKS) allgemein verfügbar und steht für Kubernetes mit Azure Arc-Unterstützung als Vorschauversion zur Verfügung. Weitere Informationen finden Sie unter https://aka.ms/kubepolicydoc. | überprüfen, Überprüfung, verweigern, Verweigerung, deaktiviert, Deaktivierung | 6.2.0 |
Container in einem Kubernetes-Cluster dürfen nur zugelassene Images verwenden | Hiermit werden Images aus vertrauenswürdigen Registrierungen verwendet. So wird das Risiko einer Einführung unbekannter Schwachstellen, Sicherheitsprobleme und schädlicher Images für Ihren Kubernetes-Clusters verringert. Weitere Informationen finden Sie unter https://aka.ms/kubepolicydoc. | überprüfen, Überprüfung, verweigern, Verweigerung, deaktiviert, Deaktivierung | 9.3.0 |
Container im Kubernetes-Cluster müssen mit einem schreibgeschützten Stammdateisystem ausgeführt werden | Hiermit werden Container mit einem schreibgeschützten Stammdateisystem ausgeführt. So werden Container vor Änderungen zur Laufzeit geschützt, bei denen in einem Kubernetes-Cluster schädliche Binärdateien in PATH eingefügt werden. Diese Richtlinie ist für Kubernetes Service (AKS) allgemein verfügbar und steht für Kubernetes mit Azure Arc-Unterstützung als Vorschauversion zur Verfügung. Weitere Informationen finden Sie unter https://aka.ms/kubepolicydoc. | überprüfen, Überprüfung, verweigern, Verweigerung, deaktiviert, Deaktivierung | 6.3.0 |
Für hostPath-Volumes von Pods in einem Kubernetes-Cluster dürfen nur zulässige Hostpfade verwendet werden | Hiermit wird die Bereitstellung von Pod HostPath-Volumes auf die zugelassenen Hostpfade in einem Kubernetes-Cluster beschränkt. Diese Richtlinie ist für Kubernetes Service (AKS) und Azure Arc-fähiges Kubernetes allgemein verfügbar. Weitere Informationen finden Sie unter https://aka.ms/kubepolicydoc. | überprüfen, Überprüfung, verweigern, Verweigerung, deaktiviert, Deaktivierung | 6.2.0 |
Pods und Container in einem Kubernetes-Cluster dürfen nur mit genehmigten Benutzer- und Gruppen-IDs ausgeführt werden | Hiermit werden die IDs für Benutzer, primäre Gruppen, zusätzliche Gruppen und Dateisystemgruppen gesteuert, die Pods und Container zur Ausführung in einem Kubernetes-Cluster verwenden können. Diese Richtlinie ist für Kubernetes Service (AKS) allgemein verfügbar und steht für Kubernetes mit Azure Arc-Unterstützung als Vorschauversion zur Verfügung. Weitere Informationen finden Sie unter https://aka.ms/kubepolicydoc. | überprüfen, Überprüfung, verweigern, Verweigerung, deaktiviert, Deaktivierung | 6.2.0 |
Pods im Kubernetes-Cluster dürfen nur genehmigte Hostnetzwerke und Portbereiche verwenden | Schränken Sie den Podzugriff auf das Hostnetzwerk und den zulässigen Hostportbereich in einem Kubernetes-Cluster ein. Diese Empfehlung ist Teil von CIS 5.2.4, um die Sicherheit Ihrer Kubernetes-Umgebungen zu verbessern. Diese Richtlinie ist für Kubernetes Service (AKS) allgemein verfügbar und steht für Kubernetes mit Azure Arc-Unterstützung als Vorschauversion zur Verfügung. Weitere Informationen finden Sie unter https://aka.ms/kubepolicydoc. | überprüfen, Überprüfung, verweigern, Verweigerung, deaktiviert, Deaktivierung | 6.2.0 |
Kubernetes-Clusterdienste dürfen nur an zugelassenen Ports lauschen | Hiermit wird erzwungen, dass Dienste nur an zugelassenen Ports lauschen können, um den Zugriff auf den Kubernetes-Cluster abzusichern. Diese Richtlinie ist für Kubernetes Service (AKS) allgemein verfügbar und steht für Kubernetes mit Azure Arc-Unterstützung als Vorschauversion zur Verfügung. Weitere Informationen finden Sie unter https://aka.ms/kubepolicydoc. | überprüfen, Überprüfung, verweigern, Verweigerung, deaktiviert, Deaktivierung | 8.2.0 |
Kubernetes-Cluster dürfen keine privilegierten Container zulassen | Hiermit wird verhindert, dass privilegierte Container in einem Kubernetes-Cluster erstellt werden. Diese Empfehlung ist Bestandteil von CIS 5.2.1, mit dem die Sicherheit Ihrer Kubernetes-Umgebungen verbessert werden soll. Diese Richtlinie ist für Kubernetes Service (AKS) allgemein verfügbar und steht für Kubernetes mit Azure Arc-Unterstützung als Vorschauversion zur Verfügung. Weitere Informationen finden Sie unter https://aka.ms/kubepolicydoc. | überprüfen, Überprüfung, verweigern, Verweigerung, deaktiviert, Deaktivierung | 9.2.0 |
Für Kubernetes-Cluster muss die automatische Bereitstellung von API-Anmeldeinformationen deaktiviert werden | Deaktivieren Sie die automatische Bereitstellung von API-Anmeldeinformationen, damit eine potenziell kompromittierte Podressource keine API-Befehle für Kubernetes-Cluster ausführen kann. Weitere Informationen finden Sie unter https://aka.ms/kubepolicydoc. | überprüfen, Überprüfung, verweigern, Verweigerung, deaktiviert, Deaktivierung | 4.2.0 |
Kubernetes-Cluster dürfen keine Rechteausweitung zulassen | Hiermit wird verhindert, dass Container mit einer Rechteausweitung auf „Root“ in einem Kubernetes-Cluster ausgeführt werden. Diese Empfehlung ist Bestandteil von CIS 5.2.5, mit dem die Sicherheit Ihrer Kubernetes-Umgebungen verbessert werden soll. Diese Richtlinie ist für Kubernetes Service (AKS) allgemein verfügbar und steht für Kubernetes mit Azure Arc-Unterstützung als Vorschauversion zur Verfügung. Weitere Informationen finden Sie unter https://aka.ms/kubepolicydoc. | überprüfen, Überprüfung, verweigern, Verweigerung, deaktiviert, Deaktivierung | 7.2.0 |
Kubernetes-Cluster sollten keine CAP_SYS_ADMIN-Sicherheitsfunktionen gewähren | Schränken Sie CAP_SYS_ADMIN-Linux-Funktionen ein, um die Angriffsfläche Ihrer Container zu verringern. Weitere Informationen finden Sie unter https://aka.ms/kubepolicydoc. | überprüfen, Überprüfung, verweigern, Verweigerung, deaktiviert, Deaktivierung | 5.1.0 |
Kubernetes-Cluster dürfen nicht den Standardnamespace verwenden | Verhindern Sie die Verwendung des Standardnamespace in Kubernetes-Clustern, um ConfigMap-, Pod-, Geheimnis-, Dienst- und Dienstkontoressourcen vor einem nicht autorisierten Zugriff zu schützen. Weitere Informationen finden Sie unter https://aka.ms/kubepolicydoc. | überprüfen, Überprüfung, verweigern, Verweigerung, deaktiviert, Deaktivierung | 4.2.0 |
Linux-Computer müssen die Anforderungen der Azure Compute-Sicherheitsbaseline erfüllen. | Erfordert, dass die erforderlichen Komponenten im Bereich der Richtlinienzuweisung bereitgestellt werden. Ausführliche Informationen finden Sie unter https://aka.ms/gcpol. Computer sind nicht konform, wenn der Computer für eine der Empfehlungen in der Azure Compute-Sicherheitsbaseline nicht richtig konfiguriert ist. | AuditIfNotExists, Disabled | 2.2.0 |
Es dürfen nur genehmigte VM-Erweiterungen installiert werden | Diese Richtlinie regelt die nicht genehmigten VM-Erweiterungen. | Audit, Deny, Disabled | 1.0.0 |
Datenschutzauswirkungsbewertung durchführen | CMA_0387 – Datenschutzauswirkungsbewertung durchführen | Manuell, deaktiviert | 1.1.0 |
Risikobewertung durchführen | CMA_0388 – Risikobewertung durchführen | Manuell, deaktiviert | 1.1.0 |
Überprüfung für Konfigurationsänderungssteuerung ausführen | CMA_0390 – Überprüfung für Konfigurationsänderungssteuerung ausführen | Manuell, deaktiviert | 1.1.0 |
Speicherkonten sollten Zugriff von vertrauenswürdigen Microsoft-Diensten zulassen | Einige Microsoft-Dienste, die mit Speicherkonten interagieren, agieren von Netzwerken aus, denen nicht mithilfe von Netzwerkregeln Zugriff gewährt werden kann. Lassen Sie für vertrauenswürdige Microsoft-Dienste die Umgehung der Netzwerkregeln zu, damit solche Dienste ordnungsgemäß funktionieren. Diese Dienste verwenden dann eine strenge Authentifizierung, um auf das Speicherkonto zuzugreifen. | Audit, Deny, Disabled | 1.0.0 |
VM-Erweiterung „Gastkonfiguration“ muss mit einer systemseitig zugewiesenen verwalteten Identität bereitgestellt werden | Für die Gastkonfigurationserweiterung wird eine systemseitig zugewiesene verwaltete Identität benötigt. Virtuelle Azure-Computer im Rahmen dieser Richtlinie sind nicht konform, wenn die Erweiterung „Gastkonfiguration“ auf ihnen installiert ist, sie aber über keine systemseitig zugewiesene verwaltete Identität verfügen. Weitere Informationen finden Sie unter https://aka.ms/gcpol. | AuditIfNotExists, Disabled | 1.0.1 |
Windows-Computer müssen die Anforderungen der Azure Compute-Sicherheitsbaseline erfüllen | Erfordert, dass die erforderlichen Komponenten im Bereich der Richtlinienzuweisung bereitgestellt werden. Ausführliche Informationen finden Sie unter https://aka.ms/gcpol. Computer sind nicht konform, wenn der Computer für eine der Empfehlungen in der Azure Compute-Sicherheitsbaseline nicht richtig konfiguriert ist. | AuditIfNotExists, Disabled | 2.0.0 |
Risikominderung
Aktivitäten zur Risikominderung
ID: SOC 2, Typ 2 CC9.1 Besitz: Freigegeben
Name (Azure-Portal) |
BESCHREIBUNG | Auswirkungen | Version (GitHub) |
---|---|---|---|
Ermitteln der Informationsschutzanforderungen | CMA_C1750: Ermitteln der Informationsschutzanforderungen | Manuell, deaktiviert | 1.1.0 |
Risikomanagementstrategie einrichten | CMA_0258 – Risikomanagementstrategie einrichten | Manuell, deaktiviert | 1.1.0 |
Risikobewertung durchführen | CMA_0388 – Risikobewertung durchführen | Manuell, deaktiviert | 1.1.0 |
Risikomanagement von Anbietern und Geschäftspartner*innen
ID: SOC 2, Typ 2 CC9.2 Besitz: Freigegeben
Name (Azure-Portal) |
BESCHREIBUNG | Auswirkungen | Version (GitHub) |
---|---|---|---|
Risiko in Drittanbieterbeziehungen bewerten | CMA_0014 – Risiko in Drittanbieterbeziehungen bewerten | Manuell, deaktiviert | 1.1.0 |
Anforderungen für die Bereitstellung von Waren und Dienstleistungen definieren | CMA_0126 – Anforderungen für die Bereitstellung von Waren und Dienstleistungen definieren | Manuell, deaktiviert | 1.1.0 |
Aufgaben von Auftragsverarbeitern definieren | CMA_0127 – Aufgaben von Auftragsverarbeitern definieren | Manuell, deaktiviert | 1.1.0 |
Vertragliche Lieferantenverpflichtungen festlegen | CMA_0140 – Vertragliche Lieferantenverpflichtungen festlegen | Manuell, deaktiviert | 1.1.0 |
Akzeptanzkriterien für Kaufverträge dokumentieren | CMA_0187 – Akzeptanzkriterien für Kaufverträge dokumentieren | Manuell, deaktiviert | 1.1.0 |
Schutz personenbezogener Daten in Kaufverträgen dokumentieren | CMA_0194 – Schutz personenbezogener Daten in Kaufverträgen dokumentieren | Manuell, deaktiviert | 1.1.0 |
Schutz von Sicherheitsinformationen in Kaufverträgen dokumentieren | CMA_0195 – Schutz von Sicherheitsinformationen in Kaufverträgen dokumentieren | Manuell, deaktiviert | 1.1.0 |
Anforderungen für die Verwendung freigegebener Daten in Verträgen dokumentieren | CMA_0197 – Anforderungen für die Verwendung freigegebener Daten in Verträgen dokumentieren | Manuell, deaktiviert | 1.1.0 |
Sicherheitsüberprüfungsanforderungen in Kaufverträgen dokumentieren | CMA_0199 – Sicherheitsüberprüfungsanforderungen in Kaufverträgen dokumentieren | Manuell, deaktiviert | 1.1.0 |
Sicherheitsdokumentationsanforderungen in Kaufverträgen dokumentieren | CMA_0200 – Sicherheitsdokumentationsanforderungen in Kaufverträgen dokumentieren | Manuell, deaktiviert | 1.1.0 |
Sicherheitsfunktionsanforderungen in Kaufverträgen dokumentieren | CMA_0201 – Sicherheitsfunktionsanforderungen in Kaufverträgen dokumentieren | Manuell, deaktiviert | 1.1.0 |
Sicherheitsstärkeanforderungen in Kaufverträgen dokumentieren | CMA_0203 – Sicherheitsstärkeanforderungen in Kaufverträgen dokumentieren | Manuell, deaktiviert | 1.1.0 |
Umgebung des Informationssystems in Kaufverträgen dokumentieren | CMA_0205 – Umgebung des Informationssystems in Kaufverträgen dokumentieren | Manuell, deaktiviert | 1.1.0 |
Schutz von Karteninhaberdaten in Verträgen von Drittanbietern dokumentieren | CMA_0207 – Schutz von Karteninhaberdaten in Verträgen von Drittanbietern dokumentieren | Manuell, deaktiviert | 1.1.0 |
Richtlinien für das Risikomanagement der Lieferkette einrichten | CMA_0275 – Richtlinien für das Risikomanagement der Lieferkette einrichten | Manuell, deaktiviert | 1.1.0 |
Sicherheitsanforderungen für Mitarbeiter von Drittanbietern einrichten | CMA_C1529 – Öffentliche Verfügbarkeit der Informationen zum Datenschutzprogramm sicherstellen | Manuell, deaktiviert | 1.1.0 |
Drittanbieterkonformität überwachen | CMA_C1533 – Drittanbieterkonformität überwachen | Manuell, deaktiviert | 1.1.0 |
Offenlegungen personenbezogener Informationen an Dritte aufzeichnen | CMA_0422 – Offenlegungen personenbezogener Informationen an Dritte aufzeichnen | Manuell, deaktiviert | 1.1.0 |
Drittanbieter zur Einhaltung von Richtlinien und Verfahren für die Personalsicherheit auffordern | CMA_C1530 – Drittanbieter zur Einhaltung von Richtlinien und Verfahren für die Personalsicherheit auffordern | Manuell, deaktiviert | 1.1.0 |
Mitarbeiter zur Freigabe personenbezogener Informationen und deren Folgen schulen | CMA_C1871 – Mitarbeiter zur Freigabe personenbezogener Informationen und deren Folgen trainieren | Manuell, deaktiviert | 1.1.0 |
Zusätzliche Kriterien für den Datenschutz
Datenschutzbestimmungen
ID: SOC 2, Typ 2 P1.1 Besitz: Freigegeben
Name (Azure-Portal) |
BESCHREIBUNG | Auswirkungen | Version (GitHub) |
---|---|---|---|
Datenschutzrichtlinie dokumentieren und verteilen | CMA_0188 – Datenschutzrichtlinie dokumentieren und verteilen | Manuell, deaktiviert | 1.1.0 |
Öffentliche Verfügbarkeit der Informationen zum Datenschutzprogramm sicherstellen | CMA_C1867 – Öffentliche Verfügbarkeit der Informationen zum Datenschutzprogramm sicherstellen | Manuell, deaktiviert | 1.1.0 |
Datenschutzhinweis-Bereitstellungsmethoden implementieren | CMA_0324 – Datenschutzhinweis-Bereitstellungsmethoden implementieren | Manuell, deaktiviert | 1.1.0 |
Datenschutzhinweis bereitstellen | CMA_0414 – Datenschutzhinweis bereitstellen | Manuell, deaktiviert | 1.1.0 |
Bereitstellen von Datenschutzhinweisen für die Öffentlichkeit und für Einzelpersonen | CMA_C1861: Bereitstellen von Datenschutzhinweisen für die Öffentlichkeit und für Einzelpersonen | Manuell, deaktiviert | 1.1.0 |
Zustimmung zum Datenschutz
ID: SOC 2, Typ 2 P2.1 Besitz: Freigegeben
Name (Azure-Portal) |
BESCHREIBUNG | Auswirkungen | Version (GitHub) |
---|---|---|---|
Mitarbeiterakzeptanz der Datenschutzanforderungen dokumentieren | CMA_0193 – Mitarbeiterakzeptanz der Datenschutzanforderungen dokumentieren | Manuell, deaktiviert | 1.1.0 |
Datenschutzhinweis-Bereitstellungsmethoden implementieren | CMA_0324 – Datenschutzhinweis-Bereitstellungsmethoden implementieren | Manuell, deaktiviert | 1.1.0 |
Zustimmung vor der Erhebung oder Verarbeitung personenbezogener Daten einholen | CMA_0385 – Zustimmung vor der Erhebung oder Verarbeitung personenbezogener Daten einholen | Manuell, deaktiviert | 1.1.0 |
Datenschutzhinweis bereitstellen | CMA_0414 – Datenschutzhinweis bereitstellen | Manuell, deaktiviert | 1.1.0 |
Konsistente Erfassung personenbezogener Daten
ID: SOC 2, Typ 2 P3.1 Besitz: Freigegeben
Name (Azure-Portal) |
BESCHREIBUNG | Auswirkungen | Version (GitHub) |
---|---|---|---|
Bestimmen der rechtlichen Befugnis für die Erfassung personenbezogener Daten (PII) | CMA_C1800 – Bestimmen der rechtlichen Befugnis für die Erfassung personenbezogener Daten (PII) | Manuell, deaktiviert | 1.1.0 |
Dokumentieren des Prozesses zum Sicherstellen der Integrität personenbezogener Informationen | CMA_C1827: Dokumentieren des Prozesses zum Sicherstellen der Integrität personenbezogener Informationen | Manuell, deaktiviert | 1.1.0 |
Regelmäßiges Auswerten und Überprüfen personenbezogener Informationen | CMA_C1832: Regelmäßiges Auswerten und Überprüfen personenbezogener Informationen | Manuell, deaktiviert | 1.1.0 |
Zustimmung vor der Erhebung oder Verarbeitung personenbezogener Daten einholen | CMA_0385 – Zustimmung vor der Erhebung oder Verarbeitung personenbezogener Daten einholen | Manuell, deaktiviert | 1.1.0 |
Explizite Zustimmung zu personenbezogenen Daten
ID: SOC 2, Typ 2 P3.2 Besitz: Freigegeben
Name (Azure-Portal) |
BESCHREIBUNG | Auswirkungen | Version (GitHub) |
---|---|---|---|
Erfassen von personenbezogenen Daten (PII) direkt von der Person | CMA_C1822 – Erfassen von personenbezogenen Daten (PII) direkt von der Person | Manuell, deaktiviert | 1.1.0 |
Zustimmung vor der Erhebung oder Verarbeitung personenbezogener Daten einholen | CMA_0385 – Zustimmung vor der Erhebung oder Verarbeitung personenbezogener Daten einholen | Manuell, deaktiviert | 1.1.0 |
Verwendung personenbezogener Daten
ID: SOC 2, Typ 2 P4.1 Besitz: Freigegeben
Name (Azure-Portal) |
BESCHREIBUNG | Auswirkungen | Version (GitHub) |
---|---|---|---|
Rechtliche Grundlage für die Verarbeitung personenbezogener Daten dokumentieren | CMA_0206 – Rechtliche Grundlage für die Verarbeitung personenbezogener Daten dokumentieren | Manuell, deaktiviert | 1.1.0 |
Datenschutzhinweis-Bereitstellungsmethoden implementieren | CMA_0324 – Datenschutzhinweis-Bereitstellungsmethoden implementieren | Manuell, deaktiviert | 1.1.0 |
Zustimmung vor der Erhebung oder Verarbeitung personenbezogener Daten einholen | CMA_0385 – Zustimmung vor der Erhebung oder Verarbeitung personenbezogener Daten einholen | Manuell, deaktiviert | 1.1.0 |
Datenschutzhinweis bereitstellen | CMA_0414 – Datenschutzhinweis bereitstellen | Manuell, deaktiviert | 1.1.0 |
Kommunikation einschränken | CMA_0449 – Kommunikation einschränken | Manuell, deaktiviert | 1.1.0 |
Aufbewahrung personenbezogener Daten
ID: SOC 2, Typ 2 P4.2 Besitz: Freigegeben
Name (Azure-Portal) |
BESCHREIBUNG | Auswirkungen | Version (GitHub) |
---|---|---|---|
Festgelegte Aufbewahrungszeiträume einhalten | CMA_0004 – Festgelegte Aufbewahrungszeiträume einhalten | Manuell, deaktiviert | 1.1.0 |
Dokumentieren des Prozesses zum Sicherstellen der Integrität personenbezogener Informationen | CMA_C1827: Dokumentieren des Prozesses zum Sicherstellen der Integrität personenbezogener Informationen | Manuell, deaktiviert | 1.1.0 |
Entsorgung personenbezogener Daten
ID: SOC 2, Typ 2 P4.3 Besitz: Freigegeben
Name (Azure-Portal) |
BESCHREIBUNG | Auswirkungen | Version (GitHub) |
---|---|---|---|
Dispositionsüberprüfung durchführen | CMA_0391 – Dispositionsüberprüfung durchführen | Manuell, deaktiviert | 1.1.0 |
Löschung der personenbezogene Daten am Ende der Verarbeitung überprüfen | CMA_0540 – Löschung der personenbezogene Daten am Ende der Verarbeitung überprüfen | Manuell, deaktiviert | 1.1.0 |
Zugriff auf personenbezogene Daten
ID: SOC 2, Typ 2 P5.1 Besitz: Freigegeben
Name (Azure-Portal) |
BESCHREIBUNG | Auswirkungen | Version (GitHub) |
---|---|---|---|
Methoden für Consumer-Anforderungen implementieren | CMA_0319 – Methoden für Consumer-Anforderungen implementieren | Manuell, deaktiviert | 1.1.0 |
Regeln und Vorschriften für den Zugriff auf Datenschutzerklärungsdatensätze veröffentlichen | CMA_C1847 – Regeln und Vorschriften für den Zugriff auf Datenschutzerklärungsdatensätze veröffentlichen | Manuell, deaktiviert | 1.1.0 |
Korrektur personenbezogener Daten
ID: SOC 2, Typ 2 P5.2 Besitz: Freigegeben
Name (Azure-Portal) |
BESCHREIBUNG | Auswirkungen | Version (GitHub) |
---|---|---|---|
Antworten auf Berichtigungsanforderungen | CMA_0442 – Antworten auf Berichtigungsanforderungen | Manuell, deaktiviert | 1.1.0 |
Offenlegung personenbezogener Daten durch Drittanbieter
ID: SOC 2, Typ 2 P6.1 Besitz: Freigegeben
Name (Azure-Portal) |
BESCHREIBUNG | Auswirkungen | Version (GitHub) |
---|---|---|---|
Aufgaben von Auftragsverarbeitern definieren | CMA_0127 – Aufgaben von Auftragsverarbeitern definieren | Manuell, deaktiviert | 1.1.0 |
Vertragliche Lieferantenverpflichtungen festlegen | CMA_0140 – Vertragliche Lieferantenverpflichtungen festlegen | Manuell, deaktiviert | 1.1.0 |
Akzeptanzkriterien für Kaufverträge dokumentieren | CMA_0187 – Akzeptanzkriterien für Kaufverträge dokumentieren | Manuell, deaktiviert | 1.1.0 |
Schutz personenbezogener Daten in Kaufverträgen dokumentieren | CMA_0194 – Schutz personenbezogener Daten in Kaufverträgen dokumentieren | Manuell, deaktiviert | 1.1.0 |
Schutz von Sicherheitsinformationen in Kaufverträgen dokumentieren | CMA_0195 – Schutz von Sicherheitsinformationen in Kaufverträgen dokumentieren | Manuell, deaktiviert | 1.1.0 |
Anforderungen für die Verwendung freigegebener Daten in Verträgen dokumentieren | CMA_0197 – Anforderungen für die Verwendung freigegebener Daten in Verträgen dokumentieren | Manuell, deaktiviert | 1.1.0 |
Sicherheitsüberprüfungsanforderungen in Kaufverträgen dokumentieren | CMA_0199 – Sicherheitsüberprüfungsanforderungen in Kaufverträgen dokumentieren | Manuell, deaktiviert | 1.1.0 |
Sicherheitsdokumentationsanforderungen in Kaufverträgen dokumentieren | CMA_0200 – Sicherheitsdokumentationsanforderungen in Kaufverträgen dokumentieren | Manuell, deaktiviert | 1.1.0 |
Sicherheitsfunktionsanforderungen in Kaufverträgen dokumentieren | CMA_0201 – Sicherheitsfunktionsanforderungen in Kaufverträgen dokumentieren | Manuell, deaktiviert | 1.1.0 |
Sicherheitsstärkeanforderungen in Kaufverträgen dokumentieren | CMA_0203 – Sicherheitsstärkeanforderungen in Kaufverträgen dokumentieren | Manuell, deaktiviert | 1.1.0 |
Umgebung des Informationssystems in Kaufverträgen dokumentieren | CMA_0205 – Umgebung des Informationssystems in Kaufverträgen dokumentieren | Manuell, deaktiviert | 1.1.0 |
Schutz von Karteninhaberdaten in Verträgen von Drittanbietern dokumentieren | CMA_0207 – Schutz von Karteninhaberdaten in Verträgen von Drittanbietern dokumentieren | Manuell, deaktiviert | 1.1.0 |
Datenschutzanforderungen für Auftragnehmer und Dienstanbieter festlegen | CMA_C1810 – Datenschutzanforderungen für Auftragnehmer und Dienstanbieter festlegen | Manuell, deaktiviert | 1.1.0 |
Offenlegungen personenbezogener Informationen an Dritte aufzeichnen | CMA_0422 – Offenlegungen personenbezogener Informationen an Dritte aufzeichnen | Manuell, deaktiviert | 1.1.0 |
Mitarbeiter zur Freigabe personenbezogener Informationen und deren Folgen schulen | CMA_C1871 – Mitarbeiter zur Freigabe personenbezogener Informationen und deren Folgen trainieren | Manuell, deaktiviert | 1.1.0 |
Autorisierte Offenlegung von Datensätzen mit personenbezogenen Daten
ID: SOC 2, Typ 2 P6.2 Besitz: Freigegeben
Name (Azure-Portal) |
BESCHREIBUNG | Auswirkungen | Version (GitHub) |
---|---|---|---|
Genaue Buchhaltung über die Weitergabe von Informationen führen | CMA_C1818: Genaue Buchhaltung über die Weitergabe von Informationen führen | Manuell, deaktiviert | 1.1.0 |
Nicht autorisierte Offenlegung von Datensätzen mit personenbezogenen Daten
ID: SOC 2, Typ 2 P6.3 Besitz: Freigegeben
Name (Azure-Portal) |
BESCHREIBUNG | Auswirkungen | Version (GitHub) |
---|---|---|---|
Genaue Buchhaltung über die Weitergabe von Informationen führen | CMA_C1818: Genaue Buchhaltung über die Weitergabe von Informationen führen | Manuell, deaktiviert | 1.1.0 |
Vereinbarungen mit Drittanbietern
ID: SOC 2, Typ 2 P6.4 Besitz: Freigegeben
Name (Azure-Portal) |
BESCHREIBUNG | Auswirkungen | Version (GitHub) |
---|---|---|---|
Aufgaben von Auftragsverarbeitern definieren | CMA_0127 – Aufgaben von Auftragsverarbeitern definieren | Manuell, deaktiviert | 1.1.0 |
Benachrichtigung über autorisierte Offenlegung durch Dritte
ID: SOC 2, Typ 2 P6.5 Besitz: Freigegeben
Name (Azure-Portal) |
BESCHREIBUNG | Auswirkungen | Version (GitHub) |
---|---|---|---|
Vertragliche Lieferantenverpflichtungen festlegen | CMA_0140 – Vertragliche Lieferantenverpflichtungen festlegen | Manuell, deaktiviert | 1.1.0 |
Akzeptanzkriterien für Kaufverträge dokumentieren | CMA_0187 – Akzeptanzkriterien für Kaufverträge dokumentieren | Manuell, deaktiviert | 1.1.0 |
Schutz personenbezogener Daten in Kaufverträgen dokumentieren | CMA_0194 – Schutz personenbezogener Daten in Kaufverträgen dokumentieren | Manuell, deaktiviert | 1.1.0 |
Schutz von Sicherheitsinformationen in Kaufverträgen dokumentieren | CMA_0195 – Schutz von Sicherheitsinformationen in Kaufverträgen dokumentieren | Manuell, deaktiviert | 1.1.0 |
Anforderungen für die Verwendung freigegebener Daten in Verträgen dokumentieren | CMA_0197 – Anforderungen für die Verwendung freigegebener Daten in Verträgen dokumentieren | Manuell, deaktiviert | 1.1.0 |
Sicherheitsüberprüfungsanforderungen in Kaufverträgen dokumentieren | CMA_0199 – Sicherheitsüberprüfungsanforderungen in Kaufverträgen dokumentieren | Manuell, deaktiviert | 1.1.0 |
Sicherheitsdokumentationsanforderungen in Kaufverträgen dokumentieren | CMA_0200 – Sicherheitsdokumentationsanforderungen in Kaufverträgen dokumentieren | Manuell, deaktiviert | 1.1.0 |
Sicherheitsfunktionsanforderungen in Kaufverträgen dokumentieren | CMA_0201 – Sicherheitsfunktionsanforderungen in Kaufverträgen dokumentieren | Manuell, deaktiviert | 1.1.0 |
Sicherheitsstärkeanforderungen in Kaufverträgen dokumentieren | CMA_0203 – Sicherheitsstärkeanforderungen in Kaufverträgen dokumentieren | Manuell, deaktiviert | 1.1.0 |
Umgebung des Informationssystems in Kaufverträgen dokumentieren | CMA_0205 – Umgebung des Informationssystems in Kaufverträgen dokumentieren | Manuell, deaktiviert | 1.1.0 |
Schutz von Karteninhaberdaten in Verträgen von Drittanbietern dokumentieren | CMA_0207 – Schutz von Karteninhaberdaten in Verträgen von Drittanbietern dokumentieren | Manuell, deaktiviert | 1.1.0 |
Informationssicherheit und Schutz personenbezogener Daten | CMA_0332: Informationssicherheit und Schutz personenbezogener Daten | Manuell, deaktiviert | 1.1.0 |
Benachrichtigung über Datenschutzvorfälle
ID: SOC 2, Typ 2 P6.6 Besitz: Freigegeben
Name (Azure-Portal) |
BESCHREIBUNG | Auswirkungen | Version (GitHub) |
---|---|---|---|
Entwickeln eines Plans für die Reaktion auf Sicherheitsvorfälle | CMA_0145 – Plan zur Reaktion auf Vorfälle entwickeln | Manuell, deaktiviert | 1.1.0 |
Informationssicherheit und Schutz personenbezogener Daten | CMA_0332: Informationssicherheit und Schutz personenbezogener Daten | Manuell, deaktiviert | 1.1.0 |
Verantwortung für Offenlegung personenbezogener Daten
ID: SOC 2, Typ 2 P6.7 Besitz: Freigegeben
Name (Azure-Portal) |
BESCHREIBUNG | Auswirkungen | Version (GitHub) |
---|---|---|---|
Datenschutzhinweis-Bereitstellungsmethoden implementieren | CMA_0324 – Datenschutzhinweis-Bereitstellungsmethoden implementieren | Manuell, deaktiviert | 1.1.0 |
Genaue Buchhaltung über die Weitergabe von Informationen führen | CMA_C1818: Genaue Buchhaltung über die Weitergabe von Informationen führen | Manuell, deaktiviert | 1.1.0 |
Buchhaltung über die Offenlegungen auf Anforderung zur Verfügung stellen | CMA_C1820: Buchhaltung über die Offenlegungen auf Anforderung zur Verfügung stellen | Manuell, deaktiviert | 1.1.0 |
Datenschutzhinweis bereitstellen | CMA_0414 – Datenschutzhinweis bereitstellen | Manuell, deaktiviert | 1.1.0 |
Kommunikation einschränken | CMA_0449 – Kommunikation einschränken | Manuell, deaktiviert | 1.1.0 |
Qualität personenbezogener Daten
ID: SOC 2, Typ 2 P7.1 Besitz: Freigegeben
Name (Azure-Portal) |
BESCHREIBUNG | Auswirkungen | Version (GitHub) |
---|---|---|---|
Überprüfen der Qualität und Integrität von personenbezogenen Informationen | CMA_C1821: Überprüfen der Qualität und Integrität von personenbezogenen Informationen | Manuell, deaktiviert | 1.1.0 |
Herausgeben von Richtlinien zur Gewährleistung der Datenqualität und Integrität | CMA_C1824: Herausgeben von Richtlinien zur Gewährleistung der Datenqualität und Integrität | Manuell, deaktiviert | 1.1.0 |
Überprüfen ungenauer oder veralteter personenbezogener Daten (PII) | CMA_C1823 – Überprüfen ungenauer oder veralteter personenbezogener Daten (PII) | Manuell, deaktiviert | 1.1.0 |
Verwaltung von Datenschutzbeschwerden und Complianceverwaltung
ID: SOC 2, Typ 2 P8.1 Besitz: Freigegeben
Name (Azure-Portal) |
BESCHREIBUNG | Auswirkungen | Version (GitHub) |
---|---|---|---|
Beschwerdeverfahren zum Datenschutz dokumentieren und implementieren | CMA_0189 – Beschwerdeverfahren zum Datenschutz dokumentieren und implementieren | Manuell, deaktiviert | 1.1.0 |
Regelmäßiges Auswerten und Überprüfen personenbezogener Informationen | CMA_C1832: Regelmäßiges Auswerten und Überprüfen personenbezogener Informationen | Manuell, deaktiviert | 1.1.0 |
Informationssicherheit und Schutz personenbezogener Daten | CMA_0332: Informationssicherheit und Schutz personenbezogener Daten | Manuell, deaktiviert | 1.1.0 |
Rechtzeitige Reaktion auf Beschwerden, Bedenken oder Fragen | CMA_C1853 – Rechtzeitige Reaktion auf Beschwerden, Bedenken oder Fragen | Manuell, deaktiviert | 1.1.0 |
Mitarbeiter zur Freigabe personenbezogener Informationen und deren Folgen schulen | CMA_C1871 – Mitarbeiter zur Freigabe personenbezogener Informationen und deren Folgen trainieren | Manuell, deaktiviert | 1.1.0 |
Zusätzliche Kriterien für die Verarbeitungsintegrität
Datenverarbeitungsdefinitionen
ID: SOC 2, Typ 2 PI1.1 Besitz: Freigegeben
Name (Azure-Portal) |
BESCHREIBUNG | Auswirkungen | Version (GitHub) |
---|---|---|---|
Datenschutzhinweis-Bereitstellungsmethoden implementieren | CMA_0324 – Datenschutzhinweis-Bereitstellungsmethoden implementieren | Manuell, deaktiviert | 1.1.0 |
Datenschutzhinweis bereitstellen | CMA_0414 – Datenschutzhinweis bereitstellen | Manuell, deaktiviert | 1.1.0 |
Kommunikation einschränken | CMA_0449 – Kommunikation einschränken | Manuell, deaktiviert | 1.1.0 |
Systemeingaben über Vollständigkeit und Genauigkeit
ID: SOC 2, Typ 2 PI1.2 Besitz: Freigegeben
Name (Azure-Portal) |
BESCHREIBUNG | Auswirkungen | Version (GitHub) |
---|---|---|---|
Überprüfung der Informationseingabe durchführen | CMA_C1723 – Überprüfung der Informationseingabe durchführen | Manuell, deaktiviert | 1.1.0 |
Systemverarbeitung
ID: SOC 2, Typ 2 PI1.3 Besitz: Freigegeben
Name (Azure-Portal) |
BESCHREIBUNG | Auswirkungen | Version (GitHub) |
---|---|---|---|
Physischen Zugriff steuern | CMA_0081 – Physischen Zugriff steuern | Manuell, deaktiviert | 1.1.0 |
Fehlermeldungen generieren | CMA_C1724 – Fehlermeldungen generieren | Manuell, deaktiviert | 1.1.0 |
Eingabe, Ausgabe, Verarbeitung und Speicherung von Daten verwalten | CMA_0369 – Eingabe, Ausgabe, Verarbeitung und Speicherung von Daten verwalten | Manuell, deaktiviert | 1.1.0 |
Überprüfung der Informationseingabe durchführen | CMA_C1723 – Überprüfung der Informationseingabe durchführen | Manuell, deaktiviert | 1.1.0 |
Bezeichnungsaktivitäten und Analysen überprüfen | CMA_0474 – Bezeichnungsaktivitäten und Analysen überprüfen | Manuell, deaktiviert | 1.1.0 |
Systemausgabe ist vollständig, genau und rechtzeitig
ID: SOC 2, Typ 2 PI1.4 Besitz: Freigegeben
Name (Azure-Portal) |
BESCHREIBUNG | Auswirkungen | Version (GitHub) |
---|---|---|---|
Physischen Zugriff steuern | CMA_0081 – Physischen Zugriff steuern | Manuell, deaktiviert | 1.1.0 |
Eingabe, Ausgabe, Verarbeitung und Speicherung von Daten verwalten | CMA_0369 – Eingabe, Ausgabe, Verarbeitung und Speicherung von Daten verwalten | Manuell, deaktiviert | 1.1.0 |
Bezeichnungsaktivitäten und Analysen überprüfen | CMA_0474 – Bezeichnungsaktivitäten und Analysen überprüfen | Manuell, deaktiviert | 1.1.0 |
Eingaben und Ausgaben vollständig, genau und rechtzeitig speichern
ID: SOC 2, Typ 2 PI1.5 Besitz: Freigegeben
Name (Azure-Portal) |
BESCHREIBUNG | Auswirkungen | Version (GitHub) |
---|---|---|---|
Azure Backup muss für Virtual Machines aktiviert sein. | Schützen Sie Ihre Azure Virtual Machines-Instanzen, indem Sie Azure Backup aktivieren. Azure Backup ist eine sichere und kostengünstige Lösung zum Schutz von Daten für Azure. | AuditIfNotExists, Disabled | 3.0.0 |
Physischen Zugriff steuern | CMA_0081 – Physischen Zugriff steuern | Manuell, deaktiviert | 1.1.0 |
Sicherungsrichtlinien und -prozeduren einrichten | CMA_0268 – Sicherungsrichtlinien und -prozeduren einrichten | Manuell, deaktiviert | 1.1.0 |
Georedundante Sicherung muss für Azure Database for MariaDB aktiviert sein | Mit Azure Database for MariaDB können Sie die Redundanzoption für Ihren Datenbankserver auswählen. Sie kann auf einen georedundanten Sicherungsspeicher festgelegt werden, in dem die Daten nicht nur in der Region gespeichert werden, in der Ihr Server gehostet wird, sondern auch in eine gekoppelte Region repliziert werden, um die Wiederherstellungsoption bei einem Regionsausfall bereitzustellen. Das Konfigurieren von georedundantem Speicher für die Sicherung ist nur während der Erstellung des Servers zulässig. | Audit, Disabled | 1.0.1 |
Georedundante Sicherung muss für Azure Database for MySQL aktiviert sein | Mit Azure Database for MySQL können Sie die Redundanzoption für Ihren Datenbankserver auswählen. Sie kann auf einen georedundanten Sicherungsspeicher festgelegt werden, in dem die Daten nicht nur in der Region gespeichert werden, in der Ihr Server gehostet wird, sondern auch in eine gekoppelte Region repliziert werden, um die Wiederherstellungsoption bei einem Regionsausfall bereitzustellen. Das Konfigurieren von georedundantem Speicher für die Sicherung ist nur während der Erstellung des Servers zulässig. | Audit, Disabled | 1.0.1 |
Georedundante Sicherung muss für Azure Database for PostgreSQL aktiviert sein | Mit Azure Database for PostgreSQL können Sie die Redundanzoption für Ihren Datenbankserver auswählen. Sie kann auf einen georedundanten Sicherungsspeicher festgelegt werden, in dem die Daten nicht nur in der Region gespeichert werden, in der Ihr Server gehostet wird, sondern auch in eine gekoppelte Region repliziert werden, um die Wiederherstellungsoption bei einem Regionsausfall bereitzustellen. Das Konfigurieren von georedundantem Speicher für die Sicherung ist nur während der Erstellung des Servers zulässig. | Audit, Disabled | 1.0.1 |
Steuerelemente zum Sichern aller Medien implementieren | CMA_0314 – Steuerelemente zum Sichern aller Medien implementieren | Manuell, deaktiviert | 1.1.0 |
Eingabe, Ausgabe, Verarbeitung und Speicherung von Daten verwalten | CMA_0369 – Eingabe, Ausgabe, Verarbeitung und Speicherung von Daten verwalten | Manuell, deaktiviert | 1.1.0 |
Bezeichnungsaktivitäten und Analysen überprüfen | CMA_0474 – Bezeichnungsaktivitäten und Analysen überprüfen | Manuell, deaktiviert | 1.1.0 |
Sicherungsinformationen separat speichern | CMA_C1293 – Sicherungsinformationen separat speichern | Manuell, deaktiviert | 1.1.0 |
Nächste Schritte
Weitere Artikel über Azure Policy:
- Übersicht über die Einhaltung gesetzlicher Bestimmungen.
- Weitere Informationen finden Sie unter Struktur der Initiativendefinition.
- Sehen Sie sich weitere Beispiele unter Azure Policy-Beispiele an.
- Lesen Sie Grundlegendes zu Richtlinienauswirkungen.
- Erfahren Sie, wie Sie nicht konforme Ressourcen korrigieren können.