Resumen de seguridad y cumplimiento para Microsoft Discovery

Microsoft Discovery es una plataforma de IA agente empresarial para investigación científica basada en la infraestructura cloud empresarial de Azure. Al funcionar en Azure, Microsoft Discovery está diseñado para operar dentro de los marcos de seguridad, cumplimiento, transparencia y gobernanza que las organizaciones utilizan para gestionar entornos sensibles de investigación y desarrollo (R& D).

Este artículo ofrece a revisores, arquitectos y despleguadores de seguridad un punto de partida único para evaluar Microsoft Discovery. Resume los controles de seguridad de la plataforma, explica el modelo de responsabilidad compartida y mapea las capacidades de la plataforma a los dominios de riesgo del cuestionario de Recopilación de Información Estandarizada ( SIG) de Evaluaciones Compartidas, un cuestionario comúnmente utilizado para evaluaciones de riesgos de terceros. Úsalo como guía en una revisión de seguridad y, a continuación, consulta los artículos vinculados para obtener información detallada y fiable sobre cada control. Para respuestas a nivel de pregunta organizadas por dominio SIG, consulte las preguntas frecuentes sobre seguridad y cumplimiento basadas en SIG.

Important

Este artículo se proporciona únicamente con fines informativos. No constituye una certificación, atestado, auditoría ni garantía de cumplimiento, ni implica que Microsoft Discovery esté certificado o auditado de forma independiente según ningún marco referenciado aquí. Para la lista actual y autorizada de certificaciones de Microsoft, informes de auditoría y detalles de implementación de control, utilice el Centro de Confianza de Microsoft y el Portal de Confianza de Servicios.

Despliegue y límite de confianza

Microsoft Discovery despliega recursos en tu propia suscripción de Azure y en el tenant de Microsoft Entra, no en una suscripción gestionada por Microsoft. Cuando provisionas un espacio de trabajo, superordenador o estantería, el servicio crea un grupo de recursos gestionados (MRG) en tu suscripción que almacena los recursos de backend que opera en tu nombre.

Este modelo de despliegue tiene implicaciones directas de seguridad:

  • Los datos de los clientes y los recursos que los almacenan permanecen dentro de los límites de su suscripción y de su inquilino.
  • Eres propietario de la identidad, la red y la configuración de control de acceso para el entorno circundante.
  • Pagas y gestionas los recursos subyacentes de Azure, y puedes aplicar tu propia Azure Policy, registro y monitorización.

Para el modelo de recursos y el flujo de datos, véase Resumen de la arquitectura del servicio.

Modelo de responsabilidad compartida

La seguridad en Microsoft Discovery sigue el modelo de responsabilidad compartida de Azure. La siguiente tabla muestra cómo ese modelo se aplica específicamente a un despliegue de Discovery, siempre que los recursos se integren en tu suscripción.

Responsabilidad Microsoft Customer
Seguridad física y de plataforma de los centros de datos de Azure Responsable No responsable
Plano de control y operación de servicio gestionado Responsable No responsable
Cifrado de datos en reposo (claves predeterminadas) y en tránsito en la columna vertebral de Azure Responsable No responsable
Controles de seguridad integrados por IA (filtrado de contenido, salvaguardas del sistema) Responsable No responsable
Suscripción, red virtual y configuración del cortafuegos No responsable Responsable
Gobernanza de identidad y asignaciones de roles de menor privilegio No responsable Responsable
Claves gestionadas por el cliente (si se elige), Key Vault y ciclo de vida de la clave No responsable Responsable
Clasificación de datos y protección de datos antes de la ingestión No responsable Responsable
Habilitar el registro, retención y monitorización de auditorías en tu suscripción No responsable Responsable
Continuidad del negocio y replicación de recursos con estado No responsable Responsable

Para responsabilidades específicas de IA, véase IA responsable en Microsoft Discovery.

Mapa de dominios de cuestionarios SIG

El cuestionario Standardized Information Gathering (SIG) de Shared Assessments organiza las preguntas sobre riesgos de terceros en dominios de riesgo. La siguiente tabla mapea cada dominio de riesgo SIG a cómo Microsoft Discovery lo aborda y dónde encontrar detalles autorizados, para que puedas completar una evaluación SIG Lite o SIG Core de forma eficiente. Los dominios que cumplen los controles heredados de la plataforma de Azure apuntan a las fuentes centrales de información veraz.

Dominio de riesgo SIG Cómo lo aborda Microsoft Discovery Reference
Administración de riesgos empresariales Operado bajo la gobernanza empresarial de Microsoft con gestión centralizada, registros de auditoría y puntos de control de supervisión humana. Centro de confianza de Microsoft
Cloud Services Entregado como un servicio de Azure; los recursos se despliegan en tu propia suscripción y tenant bajo el modelo de responsabilidad compartida de Azure. Arquitectura de servicios, responsabilidad compartida
Administración de cumplimiento Construido sobre Azure; hereda el cumplimiento de la plataforma Azure. Las certificaciones e informes de auditoría se publican de forma centralizada. Centro de Fideicomiso, Portal de Fideicomisos de Servicio
Access Control Autenticación Microsoft Entra ID, Azure RBAC, roles integrados y a nivel de proyecto, e identidades gestionadas con el menor privilegio. Asignaciones de roles, control de acceso a nivel de Project
Seguridad de aplicaciones / Gestión de aplicaciones Desarrollado bajo el ciclo de vida de desarrollo de seguridad de Microsoft; proteges los agentes personalizados y herramientas que creas. Mejores prácticas de IA responsable
Inteligencia artificial Filtrado de contenidos de Foundry Guardrails, directiva de usos prohibidos, sanciones y citaciones, y evaluaciones RAI. IA responsable, código de conducta
Gestión de Activos e Información Datos almacenados en tu suscripción a través de contenedores y activos de almacenamiento; tú eres el responsable de la clasificación de datos. Gestión de datos, activos de almacenamiento
Garantía de la Información Cifrado en reposo por defecto (claves gestionadas por Microsoft) con claves opcionales gestionadas por el cliente; aislamiento de claves de los operadores. Cifrado de datos en reposo
Seguridad del servidor El backend se ejecuta en servicios gestionados de Azure; el endurecimiento de plataformas y el parcheo se gestionan como parte de las operaciones de Azure. Portal de confianza de servicios
seguridad de los puntos de conexión No hay puntos de conexión de cliente en el plano de datos administrado; el acceso se realiza a través de interfaces y API protegidas mediante Entra ID. Seguridad de red
Seguridad de redes Perímetros de Seguridad de Red, puntos finales privados, inyección virtual de red y acceso privado por defecto al plano de datos. Seguridad de red
Gestión de Operaciones de TI Registros de auditoría de aplicación, actividad y configurados por el cliente a través de Azure Monitor, con seguimiento mediante ID de correlación. Observabilidad, Habilitar el registro de auditoría
Administración de incidentes IDs de correlación de extremo a extremo para rastreo; respuesta a incidentes de plataforma y notificación de brechas gestionadas de forma centralizada. Identificadores de correlación, Centro de confianza
Ciberseguridad / Gestión de amenazas Se ejecuta en servicios gestionados de Azure que heredan las operaciones de detección y seguridad de amenazas de Azure. Fundamentos de seguridad de Azure
Resiliencia operativa Arquitectura de servicio multirregión; los clientes replican sus propios recursos con estado para la recuperación ante desastres. Continuidad empresarial y recuperación ante desastres
Seguridad física y ambiental Proporcionado por centros de datos de Azure y auditado de forma independiente como parte de la plataforma Azure. Portal de confianza de servicios
Seguridad de Recursos Humanos La selección, la formación y la gobernanza del acceso del personal de Microsoft se gestionaban y documentaban de forma centralizada. Portal de confianza de servicios
Administración de riesgos de la cadena de suministro / Administración de terceros Construido sobre servicios de Azure nombrados; lista de subprocesadores y aseguramiento de la cadena de suministro publicados centralmente. Centro de confianza
Administración de privacidad Los recursos se despliegan en tu suscripción; las regiones del plano de control y el despliegue de planos de datos entre regiones soportan la residencia. Residencia de datos, Privacidad del Centro de confianza

Note

El cuestionario SIG también incluye un ámbito de Medio Ambiente, Social y Gobernanza (ESG). Microsoft aborda la ESG a nivel corporativo; consulta el Microsoft Trust Center y los recursos de sostenibilidad y responsabilidad corporativa de Microsoft en lugar de la documentación del producto Microsoft Discovery.

Mapeos del marco de control

Si tu organización estandariza en un framework distinto a SIG, no reconstruyas un paso de peatones a partir de esta documentación. Microsoft publica de forma centralizada los mapeos de marcos, los ámbitos de certificación y las pruebas de auditoría. Consulta la guía de cumplimiento para Microsoft Discovery para obtener información sobre qué controles evalúas en Discovery, cuáles heredas de Azure y qué fuente autorizada responde a cada pregunta.

Administración de identidades y acceso

Microsoft Discovery autentica a los usuarios a través de Microsoft Entra ID y autoriza acciones a través de Azure RBAC. Lo específico de Discovery es el modelo de roles: roles de plataforma integrados (como Administrador de la plataforma, Colaborador de la plataforma y Lector de la plataforma), roles a nivel de proyecto que aíslan las investigaciones y roles específicos para cada recurso para un acceso de mínimo privilegio.

El acceso de servicio a servicio utiliza identidades gestionadas asignadas por el usuario que tú creas y controlas en tu propia suscripción, en lugar de secretos o cadenas de conexión. Discovery define ranuras de identidad distintas, así que puedes asignar identidades separadas con roles definidos y limitar la ejecución de la herramienta de agente a los permisos que necesite.

Aprende más:

Protección y cifrado de datos

Microsoft Discovery utiliza cifrado de datos de Azure en reposo, habilitado de forma automática y transparente. La decisión específica de Discovery es el modelo clave:

  • Claves gestionadas por Microsoft (por defecto): no se requiere ninguna acción del cliente.
  • Claves gestionadas por el cliente (CMK): disponibles para recursos de espacio de trabajo, superordenador y estantería. Debes elegir CMK en el momento de crear recursos; el modelo no puede cambiarse después.

Los operadores de servicio, ingenieros y personal de soporte no pueden acceder a las claves de cifrado. Para más información, véase Cifrado de datos en reposo.

Seguridad de red

Microsoft Discovery superpone tres controles de red de Azure y permite el endurecimiento de red por defecto para espacios de trabajo y estanterías gestionados con la 2026-02-01-preview versión API y posteriores:

  • Los perímetros de seguridad de red restringen los recursos gestionados para que solo los componentes autorizados de Discovery puedan acceder a ellos.
  • Puntos de conexión privados encaminan el tráfico de la API del plano de datos del espacio de trabajo y de bookshelf a través de la red troncal de Microsoft.
  • La inyección de red virtual ejecuta servicios y agentes de plataforma de espacio de trabajo dentro de tu red virtual, en subredes que provisionas y delegas.

Important

Los perímetros de seguridad de red aún no están disponibles en todas las regiones ni para todos los tipos de recursos de Azure. Asegúrate de que tu despliegue se realiza en una región que soporte perímetros de seguridad de red.

Para requisitos de red específicos de despliegue y orientación de configuración, véase Seguridad de red, Redes virtuales y subredes, y Despliegue endurecido de red de extremo a extremo.

Registro, supervisión y auditoría

Microsoft Discovery se integra con Azure Monitor y muestra tres categorías de registros:

  • Los registros de aplicaciones se recopilan automáticamente en un espacio de trabajo dedicado de Log Analytics dentro del MRG de cada recurso.
  • Los registros de actividad registran las operaciones del plano de control en los recursos de Discovery.
  • Los registros de auditoría se habilitan mediante la configuración de diagnóstico y se exportan a una cuenta de almacenamiento o a un espacio de trabajo de Log Analytics de tu propiedad para la retención a largo plazo.

Los IDs de correlación te permiten rastrear una operación de principio a fin entre componentes de la plataforma. Para más información, consulte Observabilidad y Habilitar el registro de auditorías.

Seguridad en IA y IA responsable

Microsoft Discovery sigue el estándar de IA responsable de Microsoft. Los controles de seguridad incluyen el filtrado de contenido de Foundry Guardrails, aplicado de forma predeterminada a los modelos creados en Discovery, la fundamentación con citas y las protecciones a nivel de sistema. La plataforma aplica una política de uso prohibido (por ejemplo, no desarrollar armas ni evitar sistemas de seguridad) y se evalúa para garantizar su seguridad y estabilidad antes de cada lanzamiento.

Para más información, consulte IA responsable en Microsoft Discovery, Tarjeta de plataforma y Código de conducta.

Continuidad de la actividad y recuperación de desastres

Microsoft Discovery utiliza una arquitectura multirregión altamente disponible diseñada para evitar puntos únicos de fallo en sus componentes de servicio. El servicio no replica automáticamente el estado del cliente entre implementaciones regionales, por lo que debe replicar sus propios recursos con estado para cumplir sus objetivos de recuperación. Para más información, vea Continuidad empresarial y recuperación ante desastres.

Ubicación de almacenamiento de datos

El plano de control Microsoft Discovery está disponible en el este de Estados Unidos, Suecia Central y sur del Reino Unido. Los recursos gestionados de grupos de recursos (plano de datos) pueden desplegarse en otras regiones mediante despliegue interregional, lo que puede ayudarte a cumplir con los requisitos de residencia o capacidad de datos. Seleccionas las regiones de Azure para estos recursos de plano de datos en tu suscripción. Para la declaración actual y autorizada de los compromisos de residencia y gestión de datos de Microsoft, consulte el Centro de Confianza de Microsoft y los términos aplicables de su producto Microsoft.

Cumplimiento y certificaciones

Microsoft Discovery está construido sobre Azure y hereda las operaciones de seguridad y la postura de cumplimiento de la plataforma Azure y los servicios gestionados que utiliza (como Azure Storage, Azure Kubernetes Service, Búsqueda de Azure AI y Azure Key Vault). Microsoft publica sus certificaciones, informes de auditoría (por ejemplo, SOC e ISO) y mapeos de control de forma centralizada en lugar de por servicio.

Para evaluar el cumplimiento en tu situación:

Contenido relacionado

  • Última actualización el