Controles de cumplimiento normativo de Azure Policy para Azure RBAC
Azure Policy puede aplicar reglas para los recursos de Azure, con el fin de que la infraestructura cumpla con los estándares empresariales. Cumplimiento normativo de Azure Policy proporciona definiciones de iniciativas creadas y administradas por Microsoft, conocidas como integraciones, para los dominios de cumplimiento y los controles de seguridad relativos a distintos estándares de cumplimiento. En esta página se enumeran los dominios de cumplimiento y los controles de seguridad para el control de acceso basado en roles de Azure (Azure RBAC). Para que los recursos de Azure sean compatibles con el estándar específico, puede asignar las integraciones a un control de seguridad de manera individual.
El título de cada definición de directiva integrada se vincula a la definición de directiva en Azure Portal. Use el vínculo de la columna Versión de directiva para ver el origen en el repositorio de GitHub de Azure Policy.
Importante
Cada control está asociado a una o varias definiciones de Azure Policy. Estas directivas pueden ayudarle a evaluar el cumplimiento con el control. Sin embargo, con frecuencia no hay una correspondencia completa o exacta entre un control y una o varias directivas. Como tal, el término cumplimiento en Azure Policy solo se refiere a las propias directivas. Esto no garantiza una compatibilidad total con todos los requisitos de un control. Además, el estándar de cumplimiento incluye controles que no se abordan con las definiciones de Azure Policy en este momento. Por lo tanto, el cumplimiento en Azure Policy es solo una vista parcial del estado general de cumplimiento. Las asociaciones entre los controles y las definiciones de cumplimiento normativo de Azure Policy para estos estándares de cumplimiento pueden cambiar con el tiempo.
CIS Microsoft Azure Foundations Benchmark 2.0.0
A fin de revisar el modo en que las integraciones de Azure Policy disponibles para todos los servicios de Azure se asignan a esta norma de cumplimiento, vea Detalles del cumplimiento normativo de Azure Policy de CIS v2.0.0. Para más información sobre este estándar de cumplimiento, consulte CIS Microsoft Azure Foundations Benchmark.
| Domain | Id. de control | Título de control | Directiva (Azure Portal) |
Versión de la directiva (GitHub) |
|---|---|---|---|---|
| 1 | 1.23 | Asegúrese de que no existen roles de administrador de suscripciones personalizados | Auditar el uso de roles RBAC personalizados | 1.0.1 |
CMMC nivel 3
Para ver cómo se corresponden las integraciones de Azure Policy disponibles para todos los mapas de servicio de Azure con este estándar de cumplimiento, consulte Detalles de la iniciativa integrada de cumplimiento normativo CMMC nivel 3. Para más información sobre este estándar de cumplimiento, consulte Certificación del modelo de madurez de ciberseguridad (CMMC).
| Domain | Id. de control | Título de control | Directiva (Azure Portal) |
Versión de la directiva (GitHub) |
|---|---|---|---|---|
| Control de acceso | AC.3.018 | Impide que los usuarios sin privilegios ejecuten funciones con privilegios y capturen la ejecución de estas funciones en registros de auditoría. | Auditar el uso de roles RBAC personalizados | 1.0.1 |
FedRAMP High
Para revisar el modo en que las iniciativas integradas disponibles de Azure Policy de todos los servicios de Azure se asignan a este estándar de cumplimiento, consulte Cumplimiento normativo de Azure Policy: FedRAMP High. Para más información sobre este estándar de cumplimiento, consulte FedRAMP High.
| Domain | Id. de control | Título de control | Directiva (Azure Portal) |
Versión de la directiva (GitHub) |
|---|---|---|---|---|
| Control de acceso | AC-2 | Administración de cuentas | Auditar el uso de roles RBAC personalizados | 1.0.1 |
| Control de acceso | AC-2 (7) | Esquemas basados en roles | Auditar el uso de roles RBAC personalizados | 1.0.1 |
| Control de acceso | AC-6 | Privilegios mínimos | Auditar el uso de roles RBAC personalizados | 1.0.1 |
| Control de acceso | AC-6 (7) | Revisión de privilegios de usuario | Auditar el uso de roles RBAC personalizados | 1.0.1 |
FedRAMP Moderate
Para revisar el modo en que las iniciativas integradas disponibles de Azure Policy de todos los servicios de Azure se asignan a este estándar de cumplimiento, consulte Cumplimiento normativo de Azure Policy: FedRAMP Moderate. Para más información sobre este estándar de cumplimiento, consulte FedRAMP Moderate.
| Domain | Id. de control | Título de control | Directiva (Azure Portal) |
Versión de la directiva (GitHub) |
|---|---|---|---|---|
| Control de acceso | AC-2 | Administración de cuentas | Auditar el uso de roles RBAC personalizados | 1.0.1 |
| Control de acceso | AC-2 (7) | Esquemas basados en roles | Auditar el uso de roles RBAC personalizados | 1.0.1 |
| Control de acceso | AC-6 | Privilegios mínimos | Auditar el uso de roles RBAC personalizados | 1.0.1 |
HIPAA/HITRUST 9.2
Con el fin de revisar el modo en que las integraciones de Azure Policy disponibles para los servicios de Azure siguen este estándar de cumplimiento, consulte Cumplimiento normativo de Azure Policy: HIPAA/HITRUST 9.2. Para más información acerca de este estándar de cumplimiento, consulte HIPAA/HITRUST 9.2.
| Domain | Id. de control | Título de control | Directiva (Azure Portal) |
Versión de la directiva (GitHub) |
|---|---|---|---|---|
| 11 Access Control | 1148.01c2System.78-01.c | 1148.01c2System.78-01.c 01.02 Acceso autorizado a sistemas de información | Auditar el uso de roles RBAC personalizados | 1.0.1 |
| 12 Registros de auditoría y supervisión | 1230.09c2Organizational.1-09.c | 1230.09c2Organizational.1-09.c 09.01 Procedimientos operativos documentados | Auditar el uso de roles RBAC personalizados | 1.0.1 |
IRS 1075, septiembre de 2016
Para revisar cómo las integraciones de Azure Policy disponibles para todos los servicios de Azure se asignan a este estándar de cumplimiento, consulte Cumplimiento normativo de Azure Policy: IRS 1075, septiembre de 2016. Para más información sobre este estándar de cumplimiento, consulte este artículo acerca de IRS 1075, septiembre de 2016.
| Domain | Id. de control | Título de control | Directiva (Azure Portal) |
Versión de la directiva (GitHub) |
|---|---|---|---|---|
| Control de acceso | 9.3.1.2 | Administración de cuentas (AC-2) | Auditar el uso de roles RBAC personalizados | 1.0.1 |
ISO 27001:2013
Si desea ver la correspondencia que existe entre las integraciones de Azure Policy disponibles para todos los servicios de Azure y este estándar de cumplimiento, consulte este artículo sobre el cumplimiento normativo de Azure Policy: ISO 27001:2013. Para más información sobre este estándar de cumplimiento, consulte ISO 27001:2013.
| Domain | Id. de control | Título de control | Directiva (Azure Portal) |
Versión de la directiva (GitHub) |
|---|---|---|---|---|
| Control de acceso | 9.2.3 | Administración de los derechos de acceso con privilegios | Auditar el uso de roles RBAC personalizados | 1.0.1 |
Pruebas comparativas de seguridad de Microsoft Cloud
El punto de referencia de seguridad en la nube de Microsoft proporciona recomendaciones sobre cómo puede proteger sus soluciones de nube en Azure. Para ver la asignación completa de este servicio al punto de referencia de seguridad en la nube de Microsoft, consulte Archivos de asignación de Azure Security Benchmark.
Para revisar el modo en que las integraciones de Azure Policy disponibles para todos los servicios de Azure se corresponden a este estándar de cumplimiento, consulte Cumplimiento normativo de Azure Policy: punto de referencia de seguridad en la nube de Microsoft.
| Domain | Id. de control | Título de control | Directiva (Azure Portal) |
Versión de la directiva (GitHub) |
|---|---|---|---|---|
| Acceso con privilegios | PA-7 | Seguimiento del principio Just Enough Administration (privilegio mínimo) | Auditar el uso de roles RBAC personalizados | 1.0.1 |
| registro y detección de amenazas | LT-1 | Habilitación de capacidades de detección de amenazas | El aprovisionamiento automático dirigido al servidor SQL debería estar habilitado para el plan de servidores SQL en máquinas | 1.0.0 |
| registro y detección de amenazas | LT-2 | Habilitación de la detección de amenazas para la administración de identidades y accesos | El aprovisionamiento automático dirigido al servidor SQL debería estar habilitado para el plan de servidores SQL en máquinas | 1.0.0 |
| Respuesta a los incidentes | IR-3 | Detección y análisis: creación de incidentes en función de alertas de alta calidad | El aprovisionamiento automático dirigido al servidor SQL debería estar habilitado para el plan de servidores SQL en máquinas | 1.0.0 |
| Respuesta a los incidentes | AIR-5 | Detección y análisis: clasificación de incidentes por orden de prioridad | El aprovisionamiento automático dirigido al servidor SQL debería estar habilitado para el plan de servidores SQL en máquinas | 1.0.0 |
NIST SP 800-171 R2
Para revisar el modo en que las integraciones de Azure Policy disponibles para todos los servicios de Azure se corresponden a este estándar de cumplimiento, consulte Cumplimiento normativo de Azure Policy: NIST SP 800-171 R2. Para más información acerca de este estándar normativo, consulte NIST SP 800-171 R2.
| Domain | Id. de control | Título de control | Directiva (Azure Portal) |
Versión de la directiva (GitHub) |
|---|---|---|---|---|
| Control de acceso | 3.1.1 | Limita el acceso del sistema a los usuarios autorizados, los procesos que actúan en nombre de los usuarios autorizados y los dispositivos (incluidos otros sistemas). | Auditar el uso de roles RBAC personalizados | 1.0.1 |
| Control de acceso | 3.1.2 | Limitar el acceso del sistema a los tipos de transacciones y funciones que pueden ejecutar los usuarios autorizados. | Auditar el uso de roles RBAC personalizados | 1.0.1 |
| Control de acceso | 3.1.5 | Utiliza el principio de privilegios mínimos, incluidas las cuentas con privilegios y funciones de seguridad específicas. | Auditar el uso de roles RBAC personalizados | 1.0.1 |
NIST SP 800-53 Rev. 4
Para revisar el modo en que las iniciativas integradas disponibles de Azure Policy de todos los servicios de Azure se asignan a este estándar de cumplimiento, consulte Detalles de la iniciativa integrada del cumplimiento normativo de NIST SP 800-53 R4. Para más información sobre este estándar de cumplimiento, consulte NIST SP 800-53 Rev. 4.
| Domain | Id. de control | Título de control | Directiva (Azure Portal) |
Versión de la directiva (GitHub) |
|---|---|---|---|---|
| Control de acceso | AC-2 | Administración de cuentas | Auditar el uso de roles RBAC personalizados | 1.0.1 |
| Control de acceso | AC-2 (7) | Esquemas basados en roles | Auditar el uso de roles RBAC personalizados | 1.0.1 |
| Control de acceso | AC-6 | Privilegios mínimos | Auditar el uso de roles RBAC personalizados | 1.0.1 |
| Control de acceso | AC-6 (7) | Revisión de privilegios de usuario | Auditar el uso de roles RBAC personalizados | 1.0.1 |
NIST SP 800-53 Rev. 5
Para revisar el modo en que las iniciativas integradas disponibles de Azure Policy de todos los servicios de Azure se asignan a este estándar de cumplimiento, consulte Detalles de la iniciativa integrada del cumplimiento normativo de NIST SP 800-53 R5. Para más información sobre este estándar de cumplimiento, consulte NIST SP 800-53 Rev. 5.
| Domain | Id. de control | Título de control | Directiva (Azure Portal) |
Versión de la directiva (GitHub) |
|---|---|---|---|---|
| Control de acceso | AC-2 | Administración de cuentas | Auditar el uso de roles RBAC personalizados | 1.0.1 |
| Control de acceso | AC-2 (7) | Cuentas de usuario con privilegios | Auditar el uso de roles RBAC personalizados | 1.0.1 |
| Control de acceso | AC-6 | Privilegios mínimos | Auditar el uso de roles RBAC personalizados | 1.0.1 |
| Control de acceso | AC-6 (7) | Revisión de privilegios de usuario | Auditar el uso de roles RBAC personalizados | 1.0.1 |
Tema de la nube de NL BIO
Para revisar cómo se asignan los complementos de Azure Policy disponibles para todos los servicios de Azure a esta norma de cumplimiento, consulte Detalles del cumplimiento normativo de Azure Policy para Tema de la nube de NL BIO. Para obtener más información sobre esta norma de cumplimiento, consulte Base de referencia de la seguridad de la información de ciberseguridad de Administración pública: Gobierno digital (digitaleoverheid.nl).
| Domain | Id. de control | Título de control | Directiva (Azure Portal) |
Versión de la directiva (GitHub) |
|---|---|---|---|---|
| Separación de datos de U.07.3: características de administración | U.07.3 | U.07.3: los privilegios para ver o modificar datos de CSC o claves de cifrado se conceden de forma controlada y se registra el uso. | Auditar el uso de roles RBAC personalizados | 1.0.1 |
| Acceso a los servicios y datos de TI U.10.2: usuarios | U.10.2 | Bajo la responsabilidad del CSP, se concede acceso a los administradores. | Auditar el uso de roles RBAC personalizados | 1.0.1 |
| Acceso a los servicios y datos de TI U.10.3 : usuarios | U.10.3 | Solo los usuarios con equipos autenticados pueden acceder a los servicios y datos de TI. | Auditar el uso de roles RBAC personalizados | 1.0.1 |
| Acceso a los servicios y datos de TI U.10.5 : competente | U.10.5 | El acceso a los servicios y datos de TI está limitado por medidas técnicas y ha sido implementado. | Auditar el uso de roles RBAC personalizados | 1.0.1 |
PCI DSS 3.2.1
Para revisar la correspondencia que existe entre las integraciones de Azure Policy disponibles para todos los servicios de Azure y este estándar de cumplimiento, consulte PCI DSS 3.2.1. Para más información sobre este estándar de cumplimiento, consulte PCI DSS 3.2.1.
| Domain | Id. de control | Título de control | Directiva (Azure Portal) |
Versión de la directiva (GitHub) |
|---|---|---|---|---|
| Requisito 3 | 3.2 | Requisito 3.2 de PCI DSS | Auditar el uso de roles RBAC personalizados | 1.0.1 |
| Requisito 7 | 7.2.1 | Requisito 7.2.1 de PCI DSS | Auditar el uso de roles RBAC personalizados | 1.0.1 |
| Requisito 8 | 8.3.1 | Requisito 8.3.1 de PCI DSS | Auditar el uso de roles RBAC personalizados | 1.0.1 |
PCI DSS v4.0
Para revisar el modo en que las integraciones de Azure Policy disponibles para todos los servicios de Azure se asignan a este estándar de cumplimiento, consulte Detalles del cumplimiento normativo de Azure Policy de PCI DSS v4.0. Para más información sobre este estándar de cumplimiento, vea PCI DSS v4.0.
| Domain | Id. de control | Título de control | Directiva (Azure Portal) |
Versión de la directiva (GitHub) |
|---|---|---|---|---|
| Requisito 03: Proteger los datos de la cuenta almacenada | 3.3.3 | Los datos de autenticación confidencial (SAD) no se almacenan después de la autorización | Auditar el uso de roles RBAC personalizados | 1.0.1 |
| Requisito 07: Restringir el acceso a los componentes del sistema y a los datos de titulares de tarjetas por necesidad empresarial | 7.3.1 | El acceso a los componentes y datos del sistema se administra a través de un sistema de control de acceso | Auditar el uso de roles RBAC personalizados | 1.0.1 |
| Requisito 08: Identificar usuarios y autenticar el acceso a los componentes del sistema | 8.4.1 | La autenticación multifactor (MFA) se implementa para proteger el acceso a CDE | Auditar el uso de roles RBAC personalizados | 1.0.1 |
Banco de la Reserva de la India: marco informático para NBFC
Para revisar la correspondencia entre las integraciones de Azure Policy disponibles para todos los servicios de Azure y este estándar de cumplimiento, vea Cumplimiento normativo de Azure Policy: Banco de la Reserva de la India: marco informático para NBFC. Para obtener más información sobre este estándar de cumplimiento, consulte Banco de la Reserva de la India: marco informático para NBFC.
| Domain | Id. de control | Título de control | Directiva (Azure Portal) |
Versión de la directiva (GitHub) |
|---|---|---|---|---|
| Información y ciberseguridad | 3.1.a | Identificación y clasificación de recursos de información-3.1 | Auditar el uso de roles RBAC personalizados | 1.0.1 |
| Información y ciberseguridad | 3.1.f | Maker-checker-3.1 | Auditar el uso de roles RBAC personalizados | 1.0.1 |
Banco de la Reserva de la India: marco informático para bancos, v2016
Para revisar el modo en que las integraciones de Azure Policy disponibles para todos los servicios de Azure se asignan a este estándar de cumplimiento, consulte Cumplimiento normativo de Azure Policy: RBI ITF Banks v2016. Para obtener más información sobre este estándar de cumplimiento, consulte: RBI ITF Banks v2016 (PDF).
| Domain | Id. de control | Título de control | Directiva (Azure Portal) |
Versión de la directiva (GitHub) |
|---|---|---|---|---|
| Administración o control de acceso de usuarios | Administración y control de acceso de usuarios-8.1 | Auditar el uso de roles RBAC personalizados | 1.0.1 |
RMIT Malasia
Para revisar la correspondencia entre las integraciones de Azure Policy disponibles para todos los servicios de Azure y este estándar de cumplimiento, consulte Cumplimiento normativo de Azure Policy: RMIT Malasia. Para más información sobre este estándar de cumplimiento, vea RMIT Malasia.
| Domain | Id. de control | Título de control | Directiva (Azure Portal) |
Versión de la directiva (GitHub) |
|---|---|---|---|---|
| Control de acceso | 10,55 | Access Control: 10.55 | Auditar el uso de roles RBAC personalizados | 1.0.1 |
| Control de acceso | 10.60 | Access Control: 10.60 | Auditar el uso de roles RBAC personalizados | 1.0.1 |
| Control de acceso | 10.62 | Access Control: 10.62 | Auditar el uso de roles RBAC personalizados | 1.0.1 |
España ENS
A fin de revisar el modo en que las integraciones de Azure Policy disponibles para todos los servicios de Azure se asignan a esta norma de cumplimiento, consulte Detalles del cumplimiento normativo de Azure Policy para España ENS. Para más información sobre este estándar de cumplimiento, consulte CCN-STIC 884.
| Domain | Id. de control | Título de control | Directiva (Azure Portal) |
Versión de la directiva (GitHub) |
|---|---|---|---|---|
| Medidas de protección | mp.s.2 | Protección de los servicios | Auditar el uso de roles RBAC personalizados | 1.0.1 |
| Marco operativo | op.acc.1 | Control de acceso | Auditar el uso de roles RBAC personalizados | 1.0.1 |
| Marco operativo | op.acc.3 | Control de acceso | Auditar el uso de roles RBAC personalizados | 1.0.1 |
| Marco operativo | op.acc.4 | Control de acceso | Auditar el uso de roles RBAC personalizados | 1.0.1 |
| Marco operativo | op.acc.5 | Control de acceso | Auditar el uso de roles RBAC personalizados | 1.0.1 |
Controles de sistema y organización (SOC) 2
Para examinar la forma en que los elementos integrados de Azure Policy disponibles para todos los servicios de Azure se asignan a este estándar de cumplimiento, consulte Detalles de la iniciativa integrada de cumplimiento normativo de Controles de organización y sistema (SOC) 2. Para más información sobre este estándar de cumplimiento, consulte Controles de organización y sistema (SOC) 2.
| Domain | Id. de control | Título de control | Directiva (Azure Portal) |
Versión de la directiva (GitHub) |
|---|---|---|---|---|
| Controles de acceso lógicos y físicos | CC6.3 | Acceso basado en roles y privilegios mínimos | Auditar el uso de roles RBAC personalizados | 1.0.1 |
Pasos siguientes
- Obtenga más información sobre el cumplimiento normativo de Azure Policy.
- Los elementos integrados se pueden encontrar en el repositorio de GitHub de Azure Policy.