Ikhtisar keamanan dan kepatuhan untuk Microsoft Discovery

Microsoft Discovery adalah platform AI agen perusahaan untuk penelitian ilmiah yang dibangun di atas infrastruktur cloud perusahaan Azure. Karena berjalan di Azure, Microsoft Discovery dirancang untuk beroperasi dalam kerangka kerja keamanan, kepatuhan, transparansi, dan tata kelola yang digunakan organisasi untuk mengelola lingkungan riset dan pengembangan (R&D) yang sensitif.

Artikel ini memberi peninjau keamanan, arsitek, dan pihak yang melakukan deployment satu titik awal untuk mengevaluasi Microsoft Discovery. Dokumen ini merangkum kontrol keamanan platform, menjelaskan model tanggung jawab bersama, dan memetakan kemampuan platform ke domain risiko dari kuesioner Shared Assessments Standardized Information Gathering (SIG), sebuah kuesioner yang umum digunakan untuk penilaian risiko pihak ketiga. Gunakan ini sebagai panduan untuk tinjauan keamanan, lalu ikuti artikel tertaut untuk rincian resmi pada tingkat kontrol. Untuk jawaban tingkat pertanyaan yang diatur berdasarkan domain SIG, lihat FAQ keamanan dan kepatuhan berbasis SIG.

Important

Artikel ini disediakan hanya untuk tujuan informasi. Ini tidak merupakan sertifikasi, keterbuktian, audit, atau jaminan kepatuhan, dan tidak berarti Microsoft Discovery telah disertifikasi atau diaudit secara independen terhadap kerangka kerja yang disebutkan di sini. Untuk daftar sertifikasi Microsoft yang terbaru, laporan audit, dan detail implementasi kontrol, gunakan Microsoft Trust Center dan Service Trust Portal.

Penerapan dan batas kepercayaan

Microsoft Discovery mendistribusikan sumber daya ke dalam langganan Azure dan tenant Microsoft Entra Anda sendiri, bukan langganan yang dikelola Microsoft. Saat Anda menyediakan workspace, superkomputer, atau rak buku, layanan tersebut membuat grup sumber daya terkelola (MRG) dalam langganan Anda yang menyimpan sumber daya backend yang dioperasikan atas nama Anda.

Model penerapan ini memiliki implikasi keamanan langsung:

  • Data pelanggan dan sumber daya yang menyimpannya tetap berada dalam batas langganan dan tenant Anda.
  • Anda memiliki konfigurasi identitas, jaringan, dan kontrol akses untuk lingkungan sekitar.
  • Anda membayar dan mengelola sumber daya Azure yang mendasarinya, dan Anda dapat menerapkan Azure Policy, pencatatan, dan pemantauan Anda sendiri.

Untuk model sumber daya dan aliran data, lihat Ikhtisar arsitektur layanan.

Model tanggung jawab bersama

Keamanan di Microsoft Discovery mengikuti model tanggung jawab bersama Azure. Tabel berikut menunjukkan bagaimana model tersebut diterapkan secara khusus pada deployment Discovery, mengingat sumber daya masuk ke langganan Anda.

Tanggung Jawab Microsoft Customer
Keamanan fisik dan platform pusat data Azure Bertanggung jawab Tidak bertanggung jawab
Pesawat kontrol dan operasi layanan terkelola Bertanggung jawab Tidak bertanggung jawab
Enkripsi data saat tersimpan (kunci default) dan saat ditransmisikan melalui jaringan backbone Azure Bertanggung jawab Tidak bertanggung jawab
Kontrol keamanan AI bawaan (penyaringan konten, pengamanan sistem) Bertanggung jawab Tidak bertanggung jawab
Konfigurasi langganan, jaringan virtual, dan firewall Tidak bertanggung jawab Bertanggung jawab
Tata kelola identitas dan penugasan peran dengan hak istimewa paling rendah Tidak bertanggung jawab Bertanggung jawab
Kunci yang dikelola pelanggan (jika dipilih), Key Vault, dan siklus hidup kunci Tidak bertanggung jawab Bertanggung jawab
Klasifikasi data dan perlindungan data sebelum dikonsumsi Tidak bertanggung jawab Bertanggung jawab
Mengaktifkan pencatatan, retensi, dan pemantauan audit dalam langganan Anda Tidak bertanggung jawab Bertanggung jawab
Kelangsungan bisnis dan replikasi sumber daya berstatus Tidak bertanggung jawab Bertanggung jawab

Untuk tanggung jawab khusus AI, lihat AI Bertanggung Jawab di Microsoft Discovery.

Pemetaan domain kuesioner SIG

Kuesioner Pengumpulan Informasi Standar Penilaian Bersama (SIG) mengorganisasi pertanyaan risiko pihak ketiga ke dalam domain risiko. Tabel berikut memetakan setiap domain risiko SIG dengan cara Microsoft Discovery menanganinya dan di mana menemukan detail otoritatif, sehingga Anda dapat menyelesaikan penilaian SIG Lite atau SIG Core secara efisien. Domain yang dipenuhi oleh kontrol platform Azure yang diwariskan menunjukkan sumber utama kebenaran.

Domain risiko SIG Bagaimana Microsoft Discovery mengatasinya Reference
Manajemen Risiko Perusahaan Beroperasi di bawah tata kelola perusahaan Microsoft dengan manajemen terpusat, jejak audit, dan pos pemeriksaan pengawasan manusia. Pusat Kepercayaan Microsoft
Cloud Services Disediakan sebagai layanan Azure; sumber daya dapat didistribusikan ke langganan dan tenant Anda sendiri di bawah model tanggung jawab bersama Azure. Arsitektur layanan, tanggung jawab bersama
Manajemen Kepatuhan Dibangun di atas Azure; mewarisi kepatuhan platform Azure. Sertifikasi dan laporan audit dipublikasikan secara terpusat. Pusat Kepercayaan, Portal Kepercayaan Layanan
Access Control Autentikasi Microsoft Entra ID, Azure RBAC, peran bawaan dan tingkat proyek, serta identitas terkelola dengan hak istimewa terkecil. Penetapan peran, kontrol akses tingkat Project
Keamanan Aplikasi / Manajemen Aplikasi Dikembangkan di bawah Siklus Hidup Pengembangan Keamanan Microsoft; Anda mengamankan agen dan alat kustom yang Anda buat. Praktik terbaik AI yang bertanggung jawab
Kecerdasan Buatan Penyaringan konten Foundry Guardrails, kebijakan larangan penggunaan, landasan dan kutipan, serta evaluasi RAI. AI Bertanggung Jawab, Kode Etik
Manajemen Aset dan Informasi Data yang disimpan di langganan Anda melalui kontainer penyimpanan dan aset; Anda bertanggung jawab atas klasifikasi data. Penanganan data, aset penyimpanan
Jaminan Informasi Enkripsi data saat disimpan secara default (kunci yang dikelola Microsoft) dengan opsi kunci yang dikelola pelanggan; kunci diisolasi dari operator. Enkripsi data tidak aktif
Keamanan Server Backend berjalan di layanan terkelola Azure; penguatan dan patching platform ditangani sebagai bagian dari operasi Azure. Portal Kepercayaan Layanan
Keamanan Titik Akhir Tidak ada endpoint pelanggan di lapisan data terkelola; akses dilakukan melalui antarmuka dan API yang diamankan oleh Entra ID. Keamanan jaringan
Keamanan Jaringan Perimeter Keamanan Jaringan, titik akhir privat, injeksi jaringan virtual, dan akses data-plane secara privat secara default. Keamanan jaringan
Manajemen Operasi TI Log audit aplikasi, log aktivitas, dan log audit yang dapat dikonfigurasi pelanggan melalui Azure Monitor, dengan pelacakan ID korelasi. Observabilitas, Aktifkan pencatatan audit
Manajemen Insiden ID korelasi end-to-end untuk pelacakan; respons insiden platform dan notifikasi pelanggaran yang ditangani secara terpusat. ID Korelasi, Pusat Kepercayaan
Keamanan Siber / Manajemen Ancaman Berjalan pada layanan terkelola Azure yang mewarisi operasi deteksi ancaman dan keamanan Azure. Dasar-dasar keamanan Azure
Ketahanan Operasional Arsitektur layanan multiregion; pelanggan mereplikasi sumber daya stateful mereka sendiri untuk pemulihan bencana. Kelangsungan bisnis dan pemulihan bencana
Keamanan Fisik dan Lingkungan Disediakan oleh pusat data Azure dan diaudit secara independen sebagai bagian dari platform Azure. Portal Kepercayaan Layanan
Keamanan Sumber Daya Manusia Penyaringan personel, pelatihan, dan tata kelola akses Microsoft dikelola dan didokumentasikan secara terpusat. Portal Kepercayaan Layanan
Manajemen Risiko Rantai Pasokan / Manajemen Pihak Ke-N Dibangun di atas layanan Azure yang disebutkan; daftar subprosesor dan jaminan rantai pasokan dipublikasikan secara terpusat. Pusat Kepercayaan
Manajemen Privasi Sumber daya diterapkan di langganan Anda; wilayah bidang kontrol dan penerapan bidang data lintas wilayah mendukung residensi. Residensi data, privasi Trust Center

Note

Kuesioner SIG juga mencakup domain Lingkungan, Sosial, dan Tata Kelola (ESG). Microsoft menangani ESG di tingkat korporasi; lihat Microsoft Trust Center dan sumber daya keberlanjutan serta tanggung jawab perusahaan Microsoft, bukan dokumentasi produk Microsoft Discovery.

Pemetaan kerangka kerja kontrol

Jika organisasi Anda menstandarisasi pada framework selain SIG, jangan membangun ulang crosswalk dari dokumentasi ini. Microsoft menerbitkan pemetaan kerangka kerja, cakupan sertifikasi, dan bukti audit secara terpusat. Lihat Panduan Kepatuhan untuk Microsoft Discovery untuk informasi tentang kontrol mana yang Anda nilai di Discovery, kontrol mana yang Anda warisi dari Azure, dan sumber otoritatif mana yang menjawab setiap pertanyaan.

Pengelolaan identitas dan akses

Microsoft Discovery mengautentikasi pengguna melalui Microsoft Entra ID dan mengotorisasi tindakan melalui Azure RBAC. Yang spesifik dari Discovery adalah model peran: peran platform bawaan (seperti Platform Administrator, Platform Contributor, dan Platform Reader), peran tingkat proyek yang mengisolasi investigasi, dan peran khusus sumber daya untuk akses dengan hak istimewa paling sedikit.

Akses layanan-ke-layanan menggunakan identitas terkelola yang diberikan pengguna yang Anda buat dan kendalikan dalam langganan Anda sendiri, bukan rahasia atau string koneksi. Discovery mendefinisikan slot identitas yang berbeda, sehingga Anda dapat menetapkan identitas terpisah dengan peran terbatas dan menjaga eksekusi alat agen tetap terbatas pada izin yang dibutuhkan.

Pelajari lebih lanjut:

Perlindungan dan enkripsi data

Microsoft Discovery menggunakan enkripsi data Azure saat disimpan, yang diaktifkan secara otomatis dan transparan. Keputusan khusus Discovery adalah model kunci:

  • Kunci yang dikelola Microsoft (default): tidak diperlukan tindakan pelanggan.
  • Kunci yang dikelola pelanggan (CMK): tersedia untuk sumber daya ruang kerja, superkomputer, dan rak buku. Anda harus memilih CMK saat pembuatan sumber daya; model tidak dapat diubah setelahnya.

Operator layanan, insinyur, dan personel pendukung tidak dapat mengakses kunci enkripsi. Untuk informasi lebih lanjut, lihat Enkripsi data saat diam-diam.

Keamanan jaringan

Microsoft Discovery menerapkan tiga lapis kontrol jaringan Azure dan mengaktifkan penguatan jaringan secara default untuk ruang kerja dan pustaka yang dikelola dengan versi API 2026-02-01-preview dan yang lebih baru:

  • Perimeter keamanan jaringan membatasi sumber daya yang dikelola sehingga hanya komponen Discovery yang diotorisasi yang dapat menjangkaunya.
  • Titik akhir privat merutekan lalu lintas API bidang data workspace dan bookshelf melalui backbone Microsoft.
  • Injeksi jaringan virtual menjalankan layanan dan agen platform workspace di dalam jaringan virtual Anda, di subnet yang Anda sediakan dan delegasikan.

Important

Perimeter keamanan jaringan belum tersedia di semua wilayah dan untuk semua jenis sumber daya Azure. Pastikan penerapan Anda berada di wilayah yang mendukung perimeter keamanan jaringan.

Untuk persyaratan jaringan spesifik dan panduan konfigurasi, lihat Keamanan jaringan, Jaringan virtual dan subnet, serta Penerapan jaringan yang diperkuat secara end-to-end.

Pencatatan, pemantauan, dan audit

Microsoft Discovery terintegrasi dengan Azure Monitor dan menampilkan tiga kategori log:

  • Log aplikasi dikumpulkan secara otomatis di ruang kerja Log Analytics khusus di dalam MRG masing-masing sumber daya.
  • Log aktivitas merekam operasi pada bidang kontrol di sumber daya Discovery.
  • Log audit bersifat opsional dan dapat diaktifkan melalui pengaturan diagnostik, lalu diekspor ke akun penyimpanan atau ruang kerja Log Analytics milik Anda untuk retensi jangka panjang.

Correlation ID memungkinkan Anda melacak operasi secara end-to-end di seluruh komponen platform. Untuk informasi lebih lanjut, lihat Observabilitas dan Aktifkan pencatatan audit.

Keamanan AI dan AI yang bertanggung jawab

Microsoft Discovery mengikuti Standar Microsoft Responsible AI. Kontrol keamanan mencakup pemfilteran konten Foundry Guardrails yang secara bawaan diterapkan pada model yang dibuat di Discovery, grounding dengan kutipan sumber, dan pengamanan tingkat sistem. Platform ini menegakkan kebijakan penggunaan terlarang (misalnya, tidak ada pengembangan senjata dan tidak ada sistem keselamatan yang dilewati) dan dievaluasi untuk keamanan serta kestabilan sebelum setiap pelepasan.

Untuk informasi lebih lanjut, lihat AI Bertanggung Jawab dalam Microsoft Discovery, Kartu Platform, dan Kode Etik.

Kelangsungan bisnis dan pemulihan bencana

Microsoft Discovery menggunakan arsitektur multiregion yang sangat tersedia dan dirancang untuk menghindari titik kegagalan tunggal pada komponen layanannya. Layanan ini tidak secara otomatis mereplikasi status pelanggan di antara penerapan regional, sehingga Anda perlu mereplikasi sendiri sumber daya yang menyimpan status untuk memenuhi sasaran pemulihan Anda. Untuk informasi selengkapnya, lihat Kelangsungan bisnis dan pemulihan bencana.

Lokasi penyimpanan data

Pesawat kontrol Microsoft Discovery tersedia di East US, Sweden Central, dan UK South. Sumber daya dalam grup sumber daya terkelola (data-plane) dapat disebarkan ke wilayah lain melalui penyebaran lintas wilayah, yang dapat membantu Anda memenuhi persyaratan residensi data atau kapasitas. Anda memilih wilayah Azure untuk sumber daya data-plane ini dalam langganan Anda. Untuk pernyataan otoritatif terkini mengenai komitmen residensi data dan penanganan data Microsoft, lihat Microsoft Trust Center dan ketentuan produk Microsoft yang relevan.

Kepatuhan dan sertifikasi

Microsoft Discovery dibangun di atas Azure dan mewarisi operasi keamanan serta postur kepatuhan dari platform Azure dan layanan terkelola yang digunakan (seperti Azure Storage, Azure Kubernetes Service, Pencarian Azure AI, dan Azure Key Vault). Microsoft menerbitkan sertifikasi, laporan audit (misalnya, SOC dan ISO), serta pemetaan kontrol secara terpusat, bukan per layanan.

Untuk mengevaluasi kepatuhan sesuai skenario Anda:

  • Tinjau Microsoft Trust Center untuk penawaran kepatuhan dan bagaimana penerapannya pada layanan Azure.
  • Unduh laporan audit dan dokumentasi kontrol dari Service Trust Portal.
  • Gunakan panduan Kepatuhan untuk memisahkan kontrol yang Anda nilai di Discovery dari kontrol yang Anda warisi dari Azure.

Konten terkait

  • Terakhir diperbarui pada