Sicherheits- und Compliance-Überblick für Microsoft Discovery

Microsoft Discovery ist eine Enterprise-Agentic-KI-Plattform für wissenschaftliche Forschung, die auf der Cloud-Infrastruktur von Azure basiert. Da es auf Azure läuft, ist Microsoft Discovery darauf ausgelegt, innerhalb der Sicherheits-, Compliance-, Transparenz- und Governance-Rahmenbedingungen zu arbeiten, die Organisationen zur Verwaltung sensibler Forschungs- und Entwicklungsumgebungen (F& E) verwenden.

Dieser Artikel gibt Sicherheitsprüfern, Architekten und Implementierern einen einzigen Ausgangspunkt für die Bewertung von Microsoft Discovery. Er fasst die Sicherheitskontrollen der Plattform zusammen, erklärt das Modell der geteilten Verantwortung und ordnet die Fähigkeiten der Plattform den Risikobereichen des Shared Assessments Standardized Information Gathering (SIG)- Fragebogens zu, einem häufig verwendeten Fragebogen für Risikobewertungen durch Dritte. Nutzen Sie es, um eine Sicherheitsüberprüfung zu leiten, und folgen Sie dann den verlinkten Artikeln für autoritative, kontrollbezogene Details. Für Antworten auf Fragenebene, geordnet nach SIG-Domäne, siehe die SIG-basierte FAQ zu Sicherheit und Compliance.

Important

Dieser Artikel dient ausschließlich Informationszwecken. Es stellt keine Zertifizierung, Beglaubigung, Prüfung oder Garantie der Einhaltung dar, und es bedeutet auch nicht, dass Microsoft Discovery anhand eines hier genannten Frameworks zertifiziert oder unabhängig geprüft wird. Für die aktuelle, maßgebliche Liste der Microsoft-Zertifizierungen, Auditberichte und Details zur Implementierung der Kontrolle verwenden Sie das Microsoft Trust Center und das Service Trust Portal.

Einsatz und Vertrauensgrenze

Microsoft Discovery stellt Ressourcen in Ihr eigenes Azure-Abonnement und Ihren Microsoft Entra-Tenant ein, nicht in ein von Microsoft verwaltetes Abonnement. Wenn Sie einen Arbeitsbereich, Supercomputer oder Bücherregal bereitstellen, erstellt der Dienst eine verwaltete Ressourcengruppe (MRG) in Ihrem Abo, die die Backend-Ressourcen speichert, die er für Sie betreibt.

Dieses Bereitstellungsmodell hat direkte Sicherheitsimplikationen:

  • Kundendaten und die Ressourcen, die sie speichern, bleiben innerhalb Ihrer Abonnement- und Mietergrenzen.
  • Sie sind für die Identitäts-, Netzwerk- und Zugriffskontrollkonfiguration der umgebenden Umgebung verantwortlich.
  • Du bezahlst und steuerst die zugrunde liegenden Azure-Ressourcen und kannst deine eigene Azure Policy, Logging und Überwachung anwenden.

Für das Ressourcenmodell und den Datenfluss siehe Übersicht der Servicearchitektur.

Modell für gemeinsame Verantwortung

Die Sicherheit in Microsoft Discovery folgt dem Azure-Modell der geteilten Verantwortung. Die folgende Tabelle zeigt, wie dieses Modell speziell auf eine Discovery-Implementierung angewendet wird, vorausgesetzt, Ressourcen landen in Ihrem Abo.

Verantwortung Microsoft Customer
Physische und plattformbezogene Sicherheit von Azure-Rechenzentren Zuständig Nicht verantwortlich
Steuerebene und Managed-Service-Betrieb Zuständig Nicht verantwortlich
Verschlüsselung von Daten in Ruhe (Standardschlüssel) und im Transport auf dem Azure-Backbone Zuständig Nicht verantwortlich
Integrierte KI-Sicherheitskontrollen (Inhaltsfilterung, Systemschutzmaßnahmen) Zuständig Nicht verantwortlich
Konfiguration von Abonnement, virtuellem Netzwerk und Firewall Nicht verantwortlich Zuständig
Identitätsverwaltung und Rollenzuweisungen mit minimalem Privilegium Nicht verantwortlich Zuständig
Kundenverwaltete Schlüssel (falls gewählt), Key Vault und Schlüssellebenszyklus Nicht verantwortlich Zuständig
Datenklassifikation und Schutz von Daten vor der Aufnahme Nicht verantwortlich Zuständig
Aktivieren von Audit-Protokollierung, -betreuung und -überwachung in Ihrem Abonnement Nicht verantwortlich Zuständig
Geschäftskontinuität und Replikation zustandsbehafteter Ressourcen Nicht verantwortlich Zuständig

Für KI-spezifische Aufgaben siehe Responsible AI in Microsoft Discovery.

SIG-Fragebogen-Domänenkarte

Der Fragebogen „Shared Assessments Standardized Information Gathering (SIG)“ gliedert Fragen zu Risiken durch Dritte nach Risikobereichen. Die folgende Tabelle ordnet jede SIG-Risikodomäne zu, wie Microsoft Discovery sie behandelt und wo man maßgebliche Details finden kann, sodass Sie eine SIG Lite- oder SIG Core-Bewertung effizient abschließen können. Domänen, die durch vererbte Azure-Plattformkontrollen erfüllt werden, verweisen auf die zentralen Quellen der Wahrheit.

SIG-Risikobereich Wie Microsoft Discovery damit umgeht Referenz
Unternehmensrisikomanagement Betrieben unter Microsoft Enterprise Governance mit zentralem Management, Audit-Trails und menschlichen Kontrollpunkten. Microsoft Trust Center
Cloud Services Bereitgestellt als Azure-Dienst; Ressourcen werden im Rahmen des Azure-Shared-Responsibility-Modells in Ihr eigenes Abonnement und Tenant bereitgestellt. Servicearchitektur, geteilte Verantwortung
Complianceverwaltung Gebaut auf Azure; erbt die Azure-Plattform-Compliance. Zertifizierungen und Prüfungsberichte werden zentral veröffentlicht. Trust Center, Service Trust Portal
Access Control Microsoft Entra ID-Authentifizierung, Azure RBAC, integrierte und projektbezogene Rollen sowie verwaltete Identitäten mit minimalem Privileg. Rollenzuweisungen, Zugriffskontrolle auf Project-Ebene
Anwendungssicherheit / Anwendungsmanagement Entwickelt im Rahmen des Security Development Lifecycle von Microsoft; Sie sichern die benutzerdefinierten Agenten und Tools, die Sie entwickeln. Verantwortungsbewusste KI-Best Practices
Künstliche Intelligenz Foundry Guardrails-Inhaltsfilterung, Richtlinie zur untersagten Nutzung, Grounding und Quellenangaben sowie RAI-Bewertungen. Responsible AI,Verhaltenskodex
Vermögens- und Informationsmanagement Daten, die in Ihrem Abonnement über Speichercontainer und Assets gespeichert sind; Sie besitzen die Datenklassifizierung. Datenverarbeitung, Speichervermögen
Informationssicherung Verschlüsselung im Ruhezustand standardmäßig (von Microsoft verwaltete Schlüssel) mit optionalen, vom Kunden verwalteten Schlüsseln; Schlüsselisolierung von Operatoren. Datenverschlüsselung im Ruhezustand
Server-Sicherheit Backend läuft auf Azure-Managed Services; Platform Hardening und Patching werden im Rahmen der Azure-Operationen durchgeführt. Servicevertrauensportal
Endpunktsicherheit Keine Kundenendpunkte in der verwalteten Datenebene; der Zugriff erfolgt über Entra ID-gesicherte Schnittstellen und APIs. Netzwerksicherheit
Netzwerksicherheit Netzwerksicherheitsperimeter, private Endpunkte, Einschleusung in virtuelle Netzwerke und standardmäßig privater Zugriff auf die Datenebene. Netzwerksicherheit
IT-Betriebsmanagement Anwendungs-, Aktivitäts- und kundenkonfigurierbare Audit-Logs über Azure Monitor mit Korrelations-ID-Verfolgung. Observability, Audit-Protokollierung aktivieren
Vorfallverwaltung Durchgängige Korrelations-IDs für die Nachverfolgung; Reaktion auf Sicherheitsvorfälle der Plattform und Meldung von Sicherheitsverletzungen werden zentral abgewickelt. Korrelations-IDs, Trust Center
Cybersicherheit / Bedrohungsmanagement Läuft auf Azure-Managed Services, die Azure-Bedrohungserkennung und Sicherheitsoperationen übernehmen. Grundlegende Azure-Sicherheitsinformationen
Operative Resilienz Servicearchitektur für mehrere Regionen; Kunden replizieren ihre eigenen zustandsbehafteten Ressourcen für die Notfallwiederherstellung. Geschäftskontinuität und Notfallwiederherstellung
Physische und Umweltsicherheit Bereitgestellt von Azure-Rechenzentren und unabhängig geprüft als Teil der Azure-Plattform. Servicevertrauensportal
Sicherheit im Personalwesen Microsoft-Personalkontrolle, Schulungen und Zugriffsverwaltung wurden zentral durchgeführt und dokumentiert. Servicevertrauensportal
Risikomanagement der Lieferkette / Nth-Party Management Basierend auf benannten Azure-Diensten; Subprozessorliste und Lieferkettensicherung wurden zentral veröffentlicht. Trust Center
Datenschutzverwaltung Ressourcen werden in Ihrem Abonnement bereitgestellt; Steuerungsebenenregionen und regionsübergreifende Bereitstellung der Datenebene unterstützen die Datenresidenz. Datenresidenz,Datenschutz im Trust Center

Note

Der SIG-Fragebogen umfasst auch einen Bereich für Umwelt, Soziales und Unternehmensführung (ESG). Microsoft behandelt ESG auf Unternehmensebene; siehe das Microsoft Trust Center und die Microsoft Sustainability and Corporate Responsibility Ressourcen statt der Produktdokumentation von Microsoft Discovery.

Steuerungsrahmen-Abbildungen

Wenn Ihre Organisation auf einem anderen Framework als SIG standardisiert, bauen Sie keinen Übergang aus dieser Dokumentation auf. Microsoft veröffentlicht Framework-Mappings, Zertifizierungsumfange und Audit-Beweise zentral. Siehe Compliance-Leitlinien für Microsoft Discovery für Informationen darüber, welche Kontrollen Sie in Discovery bewerten, welche Kontrollen Sie von Azure übernehmen und welche autoritative Quelle jede Frage beantwortet.

Identitäts- und Zugriffsverwaltung

Microsoft Discovery authentifiziert Benutzer über Microsoft Entra ID und autorisiert Aktionen über Azure RBAC. Spezifisch für Discovery ist das Rollenmodell: eingebaute Plattformrollen (wie Platform Administrator, Platform Contributor und Platform Reader), Projektrollen, die Untersuchungen isolieren, und ressourcenspezifische Rollen für den Zugang mit minimalen Privilegien.

Service-to-Service-Zugriff verwendet benutzerdefinierte verwaltete Identitäten , die Sie in Ihrem eigenen Abonnement erstellen und steuern, anstatt Geheimnisse oder Verbindungszeichen. Discovery definiert separate Identitäts-Slots, sodass Sie separaten Identitäten Rollen mit begrenztem Geltungsbereich zuweisen und die Ausführung von Agenten-Tools auf die dafür erforderlichen Berechtigungen beschränken können.

Erfahren Sie mehr:

Datenschutz und Verschlüsselung

Microsoft Discovery verwendet Azure-Datenverschlüsselung im Ruhemodus, die automatisch und transparent aktiviert wird. Die Discovery-spezifische Entscheidung ist das Schlüsselmodell:

  • Microsoft-verwaltete Schlüssel (Standard): keine Kundenaktion erforderlich.
  • Kundenverwaltete Schlüssel (CMK): verfügbar für Arbeitsbereiche, Supercomputer und Bücherregalressourcen. Du musst CMK zur Ressourcenerstellung wählen; das Modell kann danach nicht mehr geändert werden.

Service-Operatoren, Ingenieure und Unterstützungspersonal können nicht auf Verschlüsselungsschlüssel zugreifen. Weitere Informationen finden Sie unter Datenverschlüsselung im Ruhestand.

Netzwerksicherheit

Microsoft Discovery kombiniert drei Azure-Netzwerkkontrollen und aktiviert die Netzwerkhärtung standardmäßig für Arbeitsbereiche und Bookshelves, die mit der API-Version 2026-02-01-preview oder höher verwaltet werden:

  • Netzwerksicherheitsperimeter beschränken verwaltete Ressourcen so, dass nur autorisierte Discovery-Komponenten sie erreichen können.
  • Private Endpunkte leiten Arbeitsflächen- und Bücherregal-Datenplane-API-Verkehr über das Microsoft-Backbone.
  • Die virtuelle Netzwerk-Injektion führt Workspace-Plattform-Dienste und Agenten innerhalb Ihres virtuellen Netzwerks aus, in Subnetzen, die Sie bereitstellen und delegieren.

Important

Netzwerksicherheitsperimeter sind noch nicht in allen Regionen und für alle Azure-Ressourcentypen verfügbar. Stellen Sie sicher, dass Ihre Bereitstellung in einer Region stattfindet, die Netzwerksicherheitsperimeter unterstützt.

Für bereitstellungsspezifische Netzwerkanforderungen und Konfigurationshinweise siehe Netzwerksicherheit, Virtuelle Netzwerke und Subnetze sowie End-to-End-netzwerkgefestigte Bereitstellung.

Protokollierung, Überwachung und Prüfung

Microsoft Discovery integriert sich mit Azure Monitor und zeigt drei Log-Kategorien hervor:

  • Anwendungsprotokolle werden automatisch in einem dedizierten Log Analytics-Arbeitsbereich innerhalb des MRG jeder Ressource erfasst.
  • Aktivitätsprotokolle dokumentieren Steuerungsebenenoperationen auf Discovery-Ressourcen.
  • Audit-Logs werden über Diagnoseeinstellungen aktiviert und in ein Speicherkonto oder einen Log Analytics-Arbeitsbereich exportiert, den Sie besitzen, um langfristige Aufbewahrung zu gewährleisten.

Korrelations-IDs ermöglichen es Ihnen, eine Operation von Ende zu Ende über Plattformkomponenten hinweg nachzuverfolgen. Weitere Informationen finden Sie in Observability und Audit-Protokollierung aktivieren.

KI-Sicherheit und verantwortungsvolle KI

Microsoft Discovery folgt dem Microsoft Responsible AI Standard. Zu den Sicherheitskontrollen gehören die standardmäßig auf in Discovery erstellte Modelle angewendete Inhaltsfilterung durch Foundry Guardrails, Grounding mit Quellenangaben und Schutzmaßnahmen auf Systemebene. Die Plattform setzt eine Richtlinie zu unzulässigen Nutzungen durch (zum Beispiel keine Waffenentwicklung und kein Umgehen von Sicherheitssystemen) und wird vor jeder Veröffentlichung auf Sicherheit und Fundiertheit geprüft.

Weitere Informationen finden Sie unter Responsible AI in Microsoft Discovery, Platform Card und Code of Conduct.

Geschäftskontinuität und Notfallwiederherstellung

Microsoft Discovery verwendet eine hochverfügbare, multiregionale Architektur, die darauf ausgelegt ist, Einzelausfallpunkte in seinen Servicekomponenten zu vermeiden. Der Dienst repliziert den Kundenzustand nicht automatisch zwischen regionalen Bereitstellungen, daher müssen Sie Ihre eigenen zustandsbehafteten Ressourcen replizieren, um Ihre Wiederherstellungsziele zu erfüllen. Weitere Informationen finden Sie unter Business Continuity & Disaster Recovery.

Datenresidenz

Die Microsoft-Discovery-Kontrollebene ist in USA, Osten, Schweden, Mitte und Vereinigtes Königreich, Süden, verfügbar. Ressourcen der verwalteten Ressourcengruppe (Datenebene) können durch eine regionsübergreifende Bereitstellung in anderen Regionen bereitgestellt werden, wodurch Sie Anforderungen an die Datenresidenz oder Kapazität erfüllen können. Sie wählen die Azure-Regionen für diese Data-Plane-Ressourcen in Ihrem Abonnement aus. Für die aktuelle, maßgebliche Erklärung zu den Verpflichtungen zur Datenresidenz und Datenverarbeitung von Microsoft siehe das Microsoft Trust Center und die entsprechenden Produktbedingungen von Microsoft.

Compliance und Zertifizierungen

Microsoft Discovery basiert auf Azure und übernimmt die Sicherheitsoperationen und die Compliance-Haltung der Azure-Plattform sowie der von ihr genutzten verwalteten Dienste (wie Azure Storage, Azure Kubernetes Service, Azure KI-Suche und Azure Key Vault). Microsoft veröffentlicht seine Zertifizierungen, Auditberichte (zum Beispiel SOC und ISO) und Kontrollzuordnungen zentral und nicht dienstspezifisch.

Um die Einhaltung für Ihr Szenario zu bewerten:

  • Überprüfen Sie das Microsoft Trust Center auf Compliance-Angebote und deren Anwendung auf Azure-Dienste.
  • Laden Sie Prüfungsberichte und Kontrolldokumentationen vom Service Trust Portal herunter.
  • Verwenden Sie Complianceleitfaden, um die Kontrollen, die Sie in Discovery bewerten, von den Kontrollen zu trennen, die Sie von Azure erben.

Verwandte Inhalte

  • Zuletzt aktualisiert um