Dettagli dell'iniziativa predefinita FedRAMP High Regulatory Compliance

L'articolo seguente illustra in dettaglio le modalità di mapping della definizione dell'iniziativa integrata di conformità alle normative di Criteri di Azure ai domini di conformità e ai controlli di FedRAMP High. Per altre informazioni su questo standard di conformità, vedere FedRAMP High. Per comprendere la Proprietà, esaminare il tipo di criterio e la responsabilità condivisa nel cloud.

I mapping seguenti fanno riferimento ai controlli FedRAMP High. Molti controlli vengono implementati con una definizione dell'iniziativa Criteri di Azure. Per esaminare la definizione dell'iniziativa completa, aprire Criteri nel portale di Azure e selezionare la pagina Definizioni. Quindi, trovare e selezionare la definizione dell'iniziativa predefinita di conformità alle normative FedRAMP High.

Importante

Ogni controllo tra quelli riportati di seguito è associato a una o più definizioni di Criteri di Azure. Questi criteri possono aiutare a valutare la conformità con il controllo. In molti casi tuttavia non si tratta di una corrispondenza uno-a-uno o completa tra un controllo e uno o più criteri. Di per sé, Conforme in Criteri di Azure si riferisce solo alle definizioni dei criteri e non garantisce che l'utente sia completamente conforme a tutti i requisiti di un controllo. Inoltre, in questo momento lo standard di conformità include controlli che non vengono gestiti da alcuna definizione di Criteri di Azure. La conformità in Criteri di Azure è quindi solo una visualizzazione parziale dello stato di conformità generale. Le associazioni tra domini di conformità, controlli e definizioni di Criteri di Azure per questo standard di conformità possono cambiare nel tempo. Per visualizzare la cronologia delle modifiche, vedere la cronologia dei commit di GitHub.

Controllo dell’accesso

Criteri e procedure di controllo degli accessi

ID: FedRAMP High AC-1 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Sviluppare criteri e procedure di controllo di accesso	CMA_0144 - Sviluppare criteri e procedure di controllo di accesso	Manuale, Disabilitato	1.1.0
Imporre criteri di controllo di accesso obbligatori e discrezionali	CMA_0246 - Imporre criteri di controllo di accesso obbligatori e discrezionali	Manuale, Disabilitato	1.1.0
Gestire criteri e procedure	CMA_0292 - Gestire criteri e procedure	Manuale, Disabilitato	1.1.0
Esaminare i criteri e le procedure di controllo degli accessi	CMA_0457 - Esaminare i criteri e le procedure di controllo degli accessi	Manuale, Disabilitato	1.1.0

Gestione degli account

ID: FedRAMP High AC-2 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Per la sottoscrizione devono essere designati al massimo 3 proprietari	È consigliabile designare fino a 3 proprietari della sottoscrizione in modo da ridurre la probabilità di violazione da parte di un proprietario compromesso.	AuditIfNotExists, Disabled	3.0.0
È consigliabile effettuare il provisioning di un amministratore di Azure Active Directory per i server SQL	Controlla il provisioning di un amministratore di Azure Active Directory per il server SQL per abilitare l'autenticazione di Azure AD. L'autenticazione di Azure AD consente una gestione semplificata delle autorizzazioni e una gestione centralizzata delle identità di utenti di database e di altri servizi Microsoft	AuditIfNotExists, Disabled	1.0.0
Le app del servizio app devono usare l'identità gestita	Usare un'identità gestita per la protezione avanzata dell'autenticazione	AuditIfNotExists, Disabled	3.0.0
Assegnare i gestori degli account	CMA_0015 - Assegnare i gestori degli account	Manuale, Disabilitato	1.1.0
Controllare l'utilizzo dei ruoli Controllo degli accessi in base al ruolo (RBAC) personalizzati	Controlla i ruoli predefiniti, ad esempio "Proprietario, Collaboratore, Lettore" invece che i ruoli Controllo degli accessi in base al ruolo personalizzati, che sono soggetti a errori. L'uso di ruoli personalizzati è considerato un'eccezione e richiede una revisione rigorosa e la modellazione delle minacce	Audit, Disabled	1.0.1
Controllare lo stato dell'account utente	CMA_0020 - Controllare lo stato dell'account utente	Manuale, Disabilitato	1.1.0
Le risorse di Servizi di Azure AI devono avere l'accesso alla chiave disabilitato (disabilitare l'autenticazione locale)	È consigliabile disabilitare l'accesso alla chiave (autenticazione locale) per la sicurezza. Azure OpenAI Studio, in genere usato in fase di sviluppo/test, richiede l'accesso alle chiavi e non funzionerà se l'accesso alla chiave è disabilitato. Dopo la disabilitazione, Microsoft Entra ID diventa l'unico metodo di accesso, che consente di mantenere il principio dei privilegi minimi e il controllo granulare. Per altre informazioni, vedere: https://aka.ms/AI/auth	Audit, Deny, Disabled	1.1.0
Gli account bloccati con autorizzazioni di proprietario nelle risorse di Azure devono essere rimossi	Gli account deprecati con autorizzazioni di proprietario devono essere rimossi dalla sottoscrizione. Gli account deprecati sono account a cui è stato bloccato l'accesso.	AuditIfNotExists, Disabled	1.0.0
Gli account bloccati con autorizzazioni di scrittura e lettura nelle risorse di Azure devono essere rimossi	È necessario rimuovere dalle sottoscrizioni gli account deprecati. Gli account deprecati sono account a cui è stato bloccato l'accesso.	AuditIfNotExists, Disabled	1.0.0
Definire e imporre le condizioni per gli account condivisi e di gruppo	CMA_0117 - Definire e imporre le condizioni per gli account condivisi e di gruppo	Manuale, Disabilitato	1.1.0
Definire i tipi di account del sistema informativo	CMA_0121 - Definire i tipi di account del sistema informativo	Manuale, Disabilitato	1.1.0
Documentare i privilegi di accesso	CMA_0186 - Documentare i privilegi di accesso	Manuale, Disabilitato	1.1.0
Stabilire le condizioni per l'appartenenza a ruoli	CMA_0269 - Stabilire le condizioni per l'appartenenza a ruoli	Manuale, Disabilitato	1.1.0
Le app per le funzioni devono usare l'identità gestita	Usare un'identità gestita per la protezione avanzata dell'autenticazione	AuditIfNotExists, Disabled	3.0.0
Gli account guest con autorizzazioni di proprietario nelle risorse di Azure devono essere rimossi	È necessario rimuovere dalla sottoscrizione gli account esterni con autorizzazioni di proprietario in modo da evitare l'accesso non monitorato.	AuditIfNotExists, Disabled	1.0.0
Gli account guest con autorizzazioni di lettura nelle risorse di Azure devono essere rimossi	È necessario rimuovere dalla sottoscrizione gli account esterni con privilegi di lettura in modo da evitare l'accesso non monitorato.	AuditIfNotExists, Disabled	1.0.0
Gli account guest con autorizzazioni di scrittura nelle risorse di Azure devono essere rimossi	È necessario rimuovere dalla sottoscrizione gli account esterni con privilegi di scrittura in modo da evitare l'accesso non monitorato.	AuditIfNotExists, Disabled	1.0.0
Monitorare l'attività dell'account	CMA_0377 - Monitorare l'attività dell'account	Manuale, Disabilitato	1.1.0
Notificare agli account manager degli account controllati dai clienti	CMA_C1009 - Notificare agli account manager degli account controllati dai clienti	Manuale, Disabilitato	1.1.0
Riemettere autenticatori per i gruppi e gli account modificati	CMA_0426 - Riemettere autenticatori per i gruppi e gli account modificati	Manuale, Disabilitato	1.1.0
Richiedere l'approvazione per la creazione di account	CMA_0431 - Richiedere l'approvazione per la creazione di account	Manuale, Disabilitato	1.1.0
Limitare l'accesso agli account con privilegi	CMA_0446 - Limitare l'accesso agli account con privilegi	Manuale, Disabilitato	1.1.0
Esaminare i log di provisioning account	CMA_0460 - Esaminare i log di provisioning account	Manuale, Disabilitato	1.1.0
Esaminare gli account utente	CMA_0480 - Esaminare gli account utente	Manuale, Disabilitato	1.1.0
I cluster di Service Fabric deve usare solo Azure Active Directory per l'autenticazione client	Controlla l'utilizzo dell'autenticazione client solo tramite Azure Active Directory in Service Fabric	Audit, Deny, Disabled	1.1.0

Gestione automatizzata degli account di sistema

ID: FedRAMP High AC-2 (1) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
È consigliabile effettuare il provisioning di un amministratore di Azure Active Directory per i server SQL	Controlla il provisioning di un amministratore di Azure Active Directory per il server SQL per abilitare l'autenticazione di Azure AD. L'autenticazione di Azure AD consente una gestione semplificata delle autorizzazioni e una gestione centralizzata delle identità di utenti di database e di altri servizi Microsoft	AuditIfNotExists, Disabled	1.0.0
Automatizzare la gestione degli account	CMA_0026 - Automatizzare la gestione degli account	Manuale, Disabilitato	1.1.0
Le risorse di Servizi di Azure AI devono avere l'accesso alla chiave disabilitato (disabilitare l'autenticazione locale)	È consigliabile disabilitare l'accesso alla chiave (autenticazione locale) per la sicurezza. Azure OpenAI Studio, in genere usato in fase di sviluppo/test, richiede l'accesso alle chiavi e non funzionerà se l'accesso alla chiave è disabilitato. Dopo la disabilitazione, Microsoft Entra ID diventa l'unico metodo di accesso, che consente di mantenere il principio dei privilegi minimi e il controllo granulare. Per altre informazioni, vedere: https://aka.ms/AI/auth	Audit, Deny, Disabled	1.1.0
Gestire gli account di sistema e amministratore	CMA_0368 - Gestire gli account di sistema e amministratore	Manuale, Disabilitato	1.1.0
Monitorare l'accesso nell'organizzazione	CMA_0376 - Monitorare l'accesso nell'organizzazione	Manuale, Disabilitato	1.1.0
Inviare una notifica per gli account non necessari	CMA_0383 - Inviare una notifica per gli account non necessari	Manuale, Disabilitato	1.1.0
I cluster di Service Fabric deve usare solo Azure Active Directory per l'autenticazione client	Controlla l'utilizzo dell'autenticazione client solo tramite Azure Active Directory in Service Fabric	Audit, Deny, Disabled	1.1.0

Disabilitare account inattivi

ID: FedRAMP High AC-2 (3) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Disabilitare gli autenticatori alla chiusura	CMA_0169 - Disabilitare gli autenticatori alla chiusura	Manuale, Disabilitato	1.1.0
Revocare i ruoli con privilegi in base alle esigenze	CMA_0483 - Revocare i ruoli con privilegi in base alle esigenze	Manuale, Disabilitato	1.1.0

Azioni di audit automatizzate

ID: FedRAMP High AC-2 (4) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Controllare lo stato dell'account utente	CMA_0020 - Controllare lo stato dell'account utente	Manuale, Disabilitato	1.1.0
Automatizzare la gestione degli account	CMA_0026 - Automatizzare la gestione degli account	Manuale, Disabilitato	1.1.0
Gestire gli account di sistema e amministratore	CMA_0368 - Gestire gli account di sistema e amministratore	Manuale, Disabilitato	1.1.0
Monitorare l'accesso nell'organizzazione	CMA_0376 - Monitorare l'accesso nell'organizzazione	Manuale, Disabilitato	1.1.0
Inviare una notifica per gli account non necessari	CMA_0383 - Inviare una notifica per gli account non necessari	Manuale, Disabilitato	1.1.0

Disconnessione per inattività

ID: FedRAMP High AC-2 (5) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Definire e applicare i criteri del log di inattività	CMA_C1017 - Definire e applicare i criteri del log di inattività	Manuale, Disabilitato	1.1.0

Schemi basati su ruoli

ID: FedRAMP High AC-2 (7) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
È consigliabile effettuare il provisioning di un amministratore di Azure Active Directory per i server SQL	Controlla il provisioning di un amministratore di Azure Active Directory per il server SQL per abilitare l'autenticazione di Azure AD. L'autenticazione di Azure AD consente una gestione semplificata delle autorizzazioni e una gestione centralizzata delle identità di utenti di database e di altri servizi Microsoft	AuditIfNotExists, Disabled	1.0.0
Controllare le funzioni con privilegi	CMA_0019 - Controllare le funzioni con privilegi	Manuale, Disabilitato	1.1.0
Controllare l'utilizzo dei ruoli Controllo degli accessi in base al ruolo (RBAC) personalizzati	Controlla i ruoli predefiniti, ad esempio "Proprietario, Collaboratore, Lettore" invece che i ruoli Controllo degli accessi in base al ruolo personalizzati, che sono soggetti a errori. L'uso di ruoli personalizzati è considerato un'eccezione e richiede una revisione rigorosa e la modellazione delle minacce	Audit, Disabled	1.0.1
Le risorse di Servizi di Azure AI devono avere l'accesso alla chiave disabilitato (disabilitare l'autenticazione locale)	È consigliabile disabilitare l'accesso alla chiave (autenticazione locale) per la sicurezza. Azure OpenAI Studio, in genere usato in fase di sviluppo/test, richiede l'accesso alle chiavi e non funzionerà se l'accesso alla chiave è disabilitato. Dopo la disabilitazione, Microsoft Entra ID diventa l'unico metodo di accesso, che consente di mantenere il principio dei privilegi minimi e il controllo granulare. Per altre informazioni, vedere: https://aka.ms/AI/auth	Audit, Deny, Disabled	1.1.0
Monitorare l'attività dell'account	CMA_0377 - Monitorare l'attività dell'account	Manuale, Disabilitato	1.1.0
Monitorare l'assegnazione di ruoli con privilegi	CMA_0378 - Monitorare l'assegnazione di ruoli con privilegi	Manuale, Disabilitato	1.1.0
Limitare l'accesso agli account con privilegi	CMA_0446 - Limitare l'accesso agli account con privilegi	Manuale, Disabilitato	1.1.0
Revocare i ruoli con privilegi in base alle esigenze	CMA_0483 - Revocare i ruoli con privilegi in base alle esigenze	Manuale, Disabilitato	1.1.0
I cluster di Service Fabric deve usare solo Azure Active Directory per l'autenticazione client	Controlla l'utilizzo dell'autenticazione client solo tramite Azure Active Directory in Service Fabric	Audit, Deny, Disabled	1.1.0
Usare Privileged Identity Management	CMA_0533 - Usare Privileged Identity Management	Manuale, Disabilitato	1.1.0

Restrizioni all'uso di account/gruppi condivisi

ID: FedRAMP High AC-2 (9) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Definire e imporre le condizioni per gli account condivisi e di gruppo	CMA_0117 - Definire e imporre le condizioni per gli account condivisi e di gruppo	Manuale, Disabilitato	1.1.0

Chiusura delle credenziali dell'account condiviso/di gruppo

ID: FedRAMP High AC-2 (10) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Terminare le credenziali dell'account controllato dal cliente	CMA_C1022 - Terminare le credenziali dell'account controllato dal cliente	Manuale, Disabilitato	1.1.0

Condizioni d'utilizzo

ID: FedRAMP High AC-2 (11) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Imporre l'utilizzo appropriato di tutti gli account	CMA_C1023 - Imporre l'utilizzo appropriato di tutti gli account	Manuale, Disabilitato	1.1.0

Monitoraggio/utilizzo atipico degli account

ID: FedRAMP High AC-2 (12) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
[Anteprima]: I cluster Kubernetes con abilitazione di Azure Arc dovrebbero avere installata l'estensione Microsoft Defender per il cloud	L'estensione Microsoft Defender for Cloud per Azure Arc fornisce la protezione dalle minacce per i cluster Kubernetes abilitati per Arc. L'estensione raccoglie i dati da tutti i nodi del cluster e li invia al back-end di Azure Defender per Kubernetes nel cloud per un'ulteriore analisi. Altre informazioni sono disponibili in https://docs.microsoft.com/azure/defender-for-cloud/defender-for-containers-enable?pivots=defender-for-container-arc.	AuditIfNotExists, Disabled	6.0.0-anteprima
Azure Defender per il Servizio app deve essere abilitato	Azure Defender per il Servizio app sfrutta la portata del cloud e la visibilità di Azure come provider di servizi cloud per monitorare gli attacchi alle app Web più comuni.	AuditIfNotExists, Disabled	1.0.3
Azure Defender per i server di database SQL di Azure deve essere abilitato	Azure Defender per SQL fornisce funzionalità per l'individuazione e la mitigazione di potenziali vulnerabilità del database, il rilevamento di attività anomale che possono indicare minacce ai database SQL e l'individuazione e la classificazione di dati sensibili.	AuditIfNotExists, Disabled	1.0.2
Azure Defender per Key Vault deve essere abilitato	Azure Defender per Key Vault fornisce un ulteriore livello di protezione e di intelligence per sulla sicurezza grazie al rilevamento di tentativi insoliti e potenzialmente dannosi di accesso o sfruttamento degli account di Key Vault.	AuditIfNotExists, Disabled	1.0.3
Defender di Azure per Resource Manager deve essere abilitato	Azure Defender per Resource Manager monitora automaticamente tutte le operazioni di gestione risorse eseguite nell'organizzazione. Azure Defender rileva minacce e avvisi relativi alle attività sospette. Altre informazioni sulle funzionalità di Azure Defender per Resource Manager sono disponibili all'indirizzo https://aka.ms/defender-for-resource-manager. L'abilitazione di questo piano di Azure Defender comporta degli addebiti. Informazioni sui dettagli sui prezzi per area nella pagina dei prezzi del Centro sicurezza: https://aka.ms/pricing-security-center.	AuditIfNotExists, Disabled	1.0.0
Azure Defender per i server deve essere abilitato	Azure Defender per i server fornisce protezione dalle minacce in tempo reale per i carichi di lavoro dei server e genera raccomandazioni per la protezione avanzata e avvisi sulle attività sospette.	AuditIfNotExists, Disabled	1.0.3
Azure Defender per i server SQL nelle macchine virtuali deve essere abilitato	Azure Defender per SQL fornisce funzionalità per l'individuazione e la mitigazione di potenziali vulnerabilità del database, il rilevamento di attività anomale che possono indicare minacce ai database SQL e l'individuazione e la classificazione di dati sensibili.	AuditIfNotExists, Disabled	1.0.2
Azure Defender per SQL deve essere abilitato per le Istanze gestite di SQL non protette	Controlla ogni istanza gestita di SQL senza Sicurezza dei dati avanzata.	AuditIfNotExists, Disabled	1.0.2
Le porte di gestione delle macchine virtuali devono essere protette tramite un controllo di accesso alla rete JIT	I possibili accessi JIT alla rete verranno monitorati dal Centro sicurezza di Azure che invierà i consigli corrispondenti	AuditIfNotExists, Disabled	3.0.0
Microsoft Defender per contenitori deve essere abilitato	Microsoft Defender per contenitori offre protezione avanzata, valutazione della vulnerabilità e protezione in fase di esecuzione per gli ambienti Kubernetes Azure, ibrido e multi-cloud.	AuditIfNotExists, Disabled	1.0.0
Microsoft Defender per archiviazione deve essere abilitato	Microsoft Defender per archiviazione rileva potenziali minacce per gli account di archiviazione. Consente di evitare i tre principali impatti sui dati e sul carico di lavoro: caricamenti di file dannosi, esfiltrazione di dati sensibili e danneggiamento dei dati. Il nuovo piano di Defender per archiviazione include l'analisi del malware e il rilevamento delle minacce per i dati sensibili. Questo piano fornisce anche una struttura prezzi stimabile (per account di archiviazione) per avere controllo sulla copertura e sui costi.	AuditIfNotExists, Disabled	1.0.0
Monitorare l'attività dell'account	CMA_0377 - Monitorare l'attività dell'account	Manuale, Disabilitato	1.1.0
Segnalare il comportamento atipico degli account utente	CMA_C1025 - Segnalare il comportamento atipico degli account utente	Manuale, Disabilitato	1.1.0

Disabilitare gli account per utenti ad alto rischio

ID: FedRAMP High AC-2 (13) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Disabilitare gli account utente che rappresentano un rischio significativo	CMA_C1026 - Disabilitare gli account utente che rappresentano un rischio significativo	Manuale, Disabilitato	1.1.0

Applicazione dell'accesso

ID: FedRAMP High AC-3 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Per gli account con autorizzazioni di proprietario nelle risorse di Azure deve essere abilitata l'autenticazione a più fattori	È necessario abilitare Multi-Factor Authentication (MFA) per tutti gli account della sottoscrizione con autorizzazioni di proprietario per evitare una violazione di account o risorse.	AuditIfNotExists, Disabled	1.0.0
Per gli account con autorizzazioni di lettura nelle risorse di Azure deve essere abilitata l'autenticazione a più fattori	È necessario abilitare Multi-Factor Authentication (MFA) per tutti gli account della sottoscrizione con privilegi di lettura per evitare una violazione di account o risorse.	AuditIfNotExists, Disabled	1.0.0
Per gli account con autorizzazioni di scrittura nelle risorse di Azure deve essere abilitata l'autenticazione a più fattori	È necessario abilitare Multi-Factor Authentication (MFA) per tutti gli account della sottoscrizione con privilegi di scrittura per evitare una violazione di account o risorse.	AuditIfNotExists, Disabled	1.0.0
Aggiungi l'identità gestita assegnata dal sistema per abilitare le assegnazioni di Configurazione guest nelle macchine virtuali senza identità	Questo criterio aggiunge un'identità gestita assegnata dal sistema alle macchine virtuali ospitate in Azure supportate da Configurazione guest ma che non hanno un'identità gestita assegnata dal sistema. Un'identità gestita assegnata dal sistema è un prerequisito per tutte le assegnazioni di Configurazione guest e deve essere aggiunta ai computer prima di usare qualsiasi definizione di criteri di Configurazione guest. Per altre informazioni su Configurazione guest, vedere https://aka.ms/gcpol.	modify	4.1.0
Aggiungi l'identità gestita assegnata dal sistema per abilitare le assegnazioni di Configurazione guest nelle macchine virtuali con un'identità assegnata dall'utente	Questo criterio aggiunge un'identità gestita assegnata dal sistema alle macchine virtuali ospitate in Azure supportate da Configurazione guest e che hanno almeno un'identità assegnata dall'utente, ma non hanno un'identità gestita assegnata dal sistema. Un'identità gestita assegnata dal sistema è un prerequisito per tutte le assegnazioni di Configurazione guest e deve essere aggiunta ai computer prima di usare qualsiasi definizione di criteri di Configurazione guest. Per altre informazioni su Configurazione guest, vedere https://aka.ms/gcpol.	modify	4.1.0
È consigliabile effettuare il provisioning di un amministratore di Azure Active Directory per i server SQL	Controlla il provisioning di un amministratore di Azure Active Directory per il server SQL per abilitare l'autenticazione di Azure AD. L'autenticazione di Azure AD consente una gestione semplificata delle autorizzazioni e una gestione centralizzata delle identità di utenti di database e di altri servizi Microsoft	AuditIfNotExists, Disabled	1.0.0
Le app del servizio app devono usare l'identità gestita	Usare un'identità gestita per la protezione avanzata dell'autenticazione	AuditIfNotExists, Disabled	3.0.0
Controlla i computer Linux in cui sono presenti account senza password	Richiede che i prerequisiti vengano distribuiti nell'ambito dell'assegnazione dei criteri. Per informazioni dettagliate, vedere https://aka.ms/gcpol. I computer saranno non conformi se nei computer Linux sono presenti account senza password	AuditIfNotExists, Disabled	3.1.0
L'autenticazione alle macchine virtuali Linux deve richiedere chiavi SSH	Sebbene SSH stesso fornisca una connessione crittografata, l'uso di password con SSH lascia comunque la macchina virtuale vulnerabile agli attacchi di forza bruta. L'opzione più sicura per l'autenticazione in una macchina virtuale Linux di Azure tramite SSH è con una coppia di chiavi pubblica-privata, nota anche come chiavi SSH. Altre informazioni: https://docs.microsoft.com/azure/virtual-machines/linux/create-ssh-keys-detailed	AuditIfNotExists, Disabled	3.2.0
Autorizzare l'accesso alle informazioni e alle funzioni di sicurezza	CMA_0022 - Autorizzare l'accesso alle informazioni e alle funzioni di sicurezza	Manuale, Disabilitato	1.1.0
Autorizzare e gestire l'accesso	CMA_0023 - Autorizzare e gestire l'accesso	Manuale, Disabilitato	1.1.0
Le risorse di Servizi di Azure AI devono avere l'accesso alla chiave disabilitato (disabilitare l'autenticazione locale)	È consigliabile disabilitare l'accesso alla chiave (autenticazione locale) per la sicurezza. Azure OpenAI Studio, in genere usato in fase di sviluppo/test, richiede l'accesso alle chiavi e non funzionerà se l'accesso alla chiave è disabilitato. Dopo la disabilitazione, Microsoft Entra ID diventa l'unico metodo di accesso, che consente di mantenere il principio dei privilegi minimi e il controllo granulare. Per altre informazioni, vedere: https://aka.ms/AI/auth	Audit, Deny, Disabled	1.1.0
Distribuisci l'estensione Configurazione guest Linux per abilitare le assegnazioni di Configurazione guest nelle macchine virtuali Linux	Questo criterio distribuisce l'estensione Configurazione guest di Linux nelle macchine virtuali Linux ospitate in Azure supportate da Configurazione guest. L'estensione Configurazione guest di Linux è un prerequisito per tutte le assegnazioni di Configurazione guest di Linux e deve essere distribuita nelle macchine virtuali prima di usare qualsiasi definizione di criteri di Configurazione guest di Linux. Per altre informazioni su Configurazione guest, vedere https://aka.ms/gcpol.	deployIfNotExists	3.1.0
Imporre l'accesso logico	CMA_0245 - Imporre l'accesso logico	Manuale, Disabilitato	1.1.0
Imporre criteri di controllo di accesso obbligatori e discrezionali	CMA_0246 - Imporre criteri di controllo di accesso obbligatori e discrezionali	Manuale, Disabilitato	1.1.0
Le app per le funzioni devono usare l'identità gestita	Usare un'identità gestita per la protezione avanzata dell'autenticazione	AuditIfNotExists, Disabled	3.0.0
Richiedere l'approvazione per la creazione di account	CMA_0431 - Richiedere l'approvazione per la creazione di account	Manuale, Disabilitato	1.1.0
Esaminare gruppi di utenti e applicazioni con accesso a dati sensibili	CMA_0481 - Esaminare gruppi di utenti e applicazioni con accesso a dati sensibili	Manuale, Disabilitato	1.1.0
I cluster di Service Fabric deve usare solo Azure Active Directory per l'autenticazione client	Controlla l'utilizzo dell'autenticazione client solo tramite Azure Active Directory in Service Fabric	Audit, Deny, Disabled	1.1.0
È consigliabile eseguire la migrazione degli account di archiviazione alle nuove risorse di Azure Resource Manager	È possibile usare la nuova versione di Azure Resource Manager per gli account di archiviazione per fornire funzionalità di sicurezza migliorate, ad esempio controllo di accesso (controllo degli accessi in base al ruolo) più avanzato, controllo ottimizzato, distribuzione e governance basate su Azure Resource Manager, accesso alle identità gestite, accesso all'insieme di credenziali delle chiavi per i segreti, autenticazione basata su Azure AD e supporto di tag e gruppi di risorse per una gestione della sicurezza semplificata	Audit, Deny, Disabled	1.0.0
È consigliabile eseguire la migrazione delle macchine virtuali alle nuove risorse di Azure Resource Manager	Usare la nuova versione di Azure Resource Manager per le macchine virtuali per fornire funzionalità di sicurezza migliorate quali controllo di accesso (Controllo degli accessi in base al ruolo) più avanzato, controllo più accurato, distribuzione e governance basate su Azure Resource Manager, accesso alle identità gestite, accesso all'insieme di credenziali delle chiavi per i segreti, autenticazione basata su Azure AD e supporto di tag e gruppi di risorse per una gestione della sicurezza semplificata	Audit, Deny, Disabled	1.0.0

Applicazione del controllo dei flussi di informazioni

ID: FedRAMP High AC-4 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
[Anteprima]: tutto il traffico Internet deve essere instradato tramite il firewall di Azure distribuito	Il Centro sicurezza di Azure ha rilevato che alcune delle subnet non sono protette con un firewall di nuova generazione. Proteggere le subnet da potenziali minacce limitandone l'accesso tramite un firewall di Azure o un firewall di nuova generazione supportato	AuditIfNotExists, Disabled	3.0.0-preview
[Anteprima]: L'accesso pubblico agli account di archiviazione non deve essere consentito	L'accesso in lettura pubblico anonimo a contenitori e BLOB in Archiviazione di Azure è un metodo pratico per condividere i dati, ma potrebbe comportare rischi per la sicurezza. Per evitare violazioni dei dati provocate da accesso anonimo indesiderato, Microsoft consiglia di impedire l'accesso pubblico a un account di archiviazione, a meno che non sia richiesto dallo scenario.	audit, Audit, Deny, Deny, disabled, Disabled	3.1.0-anteprima
Le raccomandazioni per la protezione avanzata adattiva per la rete devono essere applicate alle macchine virtuali che si interfacciano a Internet	Centro sicurezza di Azure analizza i modelli di traffico delle macchine virtuali con connessione Internet e fornisce raccomandazioni sulle regole del gruppo di sicurezza di rete al fine di ridurre la superficie di attacco potenziale	AuditIfNotExists, Disabled	3.0.0
È consigliabile limitare tutte le porte di rete nei gruppi di sicurezza di rete associati alla macchina virtuale	Il Centro sicurezza di Azure ha identificato alcune regole in ingresso dei gruppi di sicurezza di rete eccessivamente permissive. Le regole in ingresso non devono consentire l'accesso da 'Tutti' gli intervalli o dagli intervalli 'Internet'. Ciò può consentire potenzialmente agli utenti malintenzionati di attaccare le risorse.	AuditIfNotExists, Disabled	3.0.0
I servizi di gestione API devono usare una rete virtuale	La distribuzione della rete virtuale di Azure offre protezione avanzata, isolamento e consente di inserire il servizio Gestione API in una rete instradabile non Internet di cui si controlla l'accesso. Queste reti possono quindi essere connesse alle reti locali usando varie tecnologie VPN, che consentono l'accesso ai servizi back-end all'interno della rete e/o in locale. Il portale per sviluppatori e il gateway dell'API possono essere configurati in modo che siano accessibili da Internet o solo all'interno della rete virtuale.	Audit, Deny, Disabled	1.0.2
Configurazione app deve usare un collegamento privato	Collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Il mapping degli endpoint privati alle sole istanze di Configurazione app anziché all'intero servizio, garantisce la protezione dai rischi di perdita dei dati. Per altre informazioni, vedere https://aka.ms/appconfig/private-endpoint.	AuditIfNotExists, Disabled	1.0.2
Le app del Servizio app non devono avere CORS configurato per consentire a ogni risorsa di accedere alle app	Condivisione di risorse tra le origini (CORS) non deve consentire a tutti i domini di accedere all'app. Consentire solo ai domini necessari di interagire con l'app.	AuditIfNotExists, Disabled	2.0.0
Gli intervalli IP autorizzati devono essere definiti nei servizi Kubernetes	Limita l'accesso all'API Gestione dei servizi Kubernetes concedendo l'accesso all'API solo agli indirizzi IP in intervalli specifici. È consigliabile limitare l'accesso agli intervalli IP autorizzati per garantire che solo le applicazioni provenienti da reti autorizzate possano accedere al cluster.	Audit, Disabled	2.0.1
Le risorse di Servizi di Azure AI devono limitare l'accesso alla rete	Limitando l'accesso alla rete, è possibile assicurarsi che solo le reti consentite possano accedere al servizio. A tale scopo, è possibile configurare le regole di rete in modo che solo le applicazioni provenienti da reti consentite possano accedere al servizio Azure per intelligenza artificiale.	Audit, Deny, Disabled	3.2.0
L'API di Azure per FHIR deve usare un collegamento privato	L'API di Azure per FHIR deve avere almeno una connessione a endpoint privato approvata. I client in una rete virtuale possono accedere in modo sicuro alle risorse con connessioni a endpoint privati tramite collegamenti privati. Per altre informazioni, vedere https://aka.ms/fhir-privatelink.	Audit, Disabled	1.0.0
La cache di Azure per Redis deve usare collegamenti privati	Collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. Eseguendo il mapping degli endpoint privati alle istanze di Cache Redis di Azure, i rischi di perdita dei dati vengono ridotti. Per altre informazioni, vedere https://docs.microsoft.com/azure/azure-cache-for-redis/cache-private-link.	AuditIfNotExists, Disabled	1.0.0
Il servizio Ricerca cognitiva di Azure deve usare uno SKU che supporta il collegamento privato	Con gli SKU supportati di Ricerca cognitiva di Azure, collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico all'origine o alla destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Eseguendo il mapping degli endpoint privati al servizio di ricerca, i rischi di perdita dei dati vengono ridotti. Per altre informazioni, vedere https://aka.ms/azure-cognitive-search/inbound-private-endpoints.	Audit, Deny, Disabled	1.0.0
I servizi di Ricerca cognitiva di Azure devono disabilitare l'accesso alla rete pubblica	La disabilitazione dell'accesso alla rete pubblica migliora la sicurezza assicurandosi che il servizio Ricerca cognitiva di Azure non sia esposto sulla rete Internet pubblica. La creazione di endpoint privati può limitare l'esposizione del servizio di ricerca. Per altre informazioni, vedere https://aka.ms/azure-cognitive-search/inbound-private-endpoints.	Audit, Deny, Disabled	1.0.0
I servizi di Ricerca cognitiva di Azure devono usare collegamenti privati	Collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Eseguendo il mapping di endpoint privati a Ricerca cognitiva di Azure, i rischi di perdita dei dati vengono ridotti. È possibile trovare altre informazioni sui collegamenti privati all’indirizzo: https://aka.ms/azure-cognitive-search/inbound-private-endpoints.	Audit, Disabled	1.0.0
Per gli account di Azure Cosmos DB devono essere definite regole del firewall	Le regole del firewall devono essere definite negli account Azure Cosmos DB per impedire il traffico proveniente da origini non autorizzate. Gli account per cui è definita almeno una regola IP con il filtro della rete virtuale abilitato vengono ritenuti conformi. Anche gli account che disabilitano l'accesso pubblico vengono ritenuti conformi.	Audit, Deny, Disabled	2.1.0
Azure Data Factory usare collegamenti privati	Collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Eseguendo il mapping degli endpoint privati ad Azure Data Factory, i rischi di perdita dei dati vengono ridotti. È possibile trovare altre informazioni sui collegamenti privati all’indirizzo: https://docs.microsoft.com/azure/data-factory/data-factory-private-link.	AuditIfNotExists, Disabled	1.0.0
I domini di Griglia di eventi di Azure devono usare collegamenti privati	Collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Mappando gli endpoint privati sul proprio dominio della Griglia di eventi invece che sull'intero servizio, sarà possibile essere protetti anche dai rischi di perdita di dati. Per altre informazioni, vedere https://aka.ms/privateendpoints.	Audit, Disabled	1.0.2
Gli argomenti di Griglia di eventi di Azure devono usare collegamenti privati	Collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Mappando gli endpoint privati sul vostro argomento della Griglia di eventi invece che sull'intero servizio, sarete protetti anche dai rischi di perdita di dati. Per altre informazioni, vedere https://aka.ms/privateendpoints.	Audit, Disabled	1.0.2
Sincronizzazione file di Azure deve usare collegamenti privati	La creazione di un endpoint privato per la risorsa Servizio di sincronizzazione archiviazione indicata consente di indirizzare la risorsa Servizio di sincronizzazione archiviazione dallo spazio indirizzi IP privati della rete dell'organizzazione, anziché attraverso l'endpoint pubblico accessibile tramite Internet. La creazione di un endpoint privato da sola non disabilita l'endpoint pubblico.	AuditIfNotExists, Disabled	1.0.0
Azure Key Vault deve avere il firewall abilitato	Abilitare il firewall dell'insieme di credenziali delle chiavi in modo che questo non sia accessibile per impostazione predefinita a nessun indirizzo IP pubblico. Facoltativamente, è possibile configurare intervalli IP specifici per limitare l'accesso a tali reti. Per altre informazioni, vedere: https://docs.microsoft.com/azure/key-vault/general/network-security	Audit, Deny, Disabled	3.2.1
Le istanze di Azure Key Vault devono usare collegamenti privati	Collegamento privato di Azure consente di connettere le reti virtuali ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Eseguendo il mapping degli endpoint privati all'insieme di credenziali delle chiavi, è possibile ridurre i rischi di perdita dei dati. È possibile trovare altre informazioni sui collegamenti privati all’indirizzo: https://aka.ms/akvprivatelink.	[parameters('audit_effect')]	1.2.1
Le aree di lavoro di Azure Machine Learning devono usare collegamenti privati	Collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Eseguendo il mapping degli endpoint privati alle aree di lavoro di Azure Machine Learning, i rischi di perdita dei dati vengono ridotti. È possibile trovare altre informazioni sui collegamenti privati all’indirizzo: https://docs.microsoft.com/azure/machine-learning/how-to-configure-private-link.	Audit, Disabled	1.0.0
Gli spazi dei nomi del bus di servizio devono usare collegamenti privati	Collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Eseguendo il mapping degli endpoint privati agli spazi dei nomi del bus di servizio, i rischi di perdita dei dati vengono ridotti. Per altre informazioni, vedere https://docs.microsoft.com/azure/service-bus-messaging/private-link-service.	AuditIfNotExists, Disabled	1.0.0
Il servizio Azure SignalR deve usare collegamenti privati	Collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Eseguendo il mapping degli endpoint privati alla risorsa del servizio Azure SignalR anziché all'intero servizio, si ridurranno i rischi di perdita dei dati. È possibile trovare altre informazioni sui collegamenti privati all’indirizzo: https://aka.ms/asrs/privatelink.	Audit, Disabled	1.0.0
Le area di lavoro Azure Synapse devono usare collegamenti privati	Collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Eseguendo il mapping degli endpoint privati all'area di lavoro di Azure Synapse, i rischi di perdita dei dati vengono ridotti. È possibile trovare altre informazioni sui collegamenti privati all’indirizzo: https://docs.microsoft.com/azure/synapse-analytics/security/how-to-connect-to-workspace-with-private-links.	Audit, Disabled	1.0.1
Il servizio Web PubSub di Azure deve usare collegamenti privati	Collegamento privato di Azure consente di connettere le reti virtuali ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Eseguendo il mapping di endpoint privati al servizio Web PubSub di Azure, è possibile ridurre i rischi di perdita dei dati. È possibile trovare altre informazioni sui collegamenti privati all’indirizzo: https://aka.ms/awps/privatelink.	Audit, Disabled	1.0.0
I Servizi cognitivi devono usare collegamenti privati	Collegamento privato di Azure consente di connettere le reti virtuali ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Eseguendo il mapping di endpoint privati a Servizi cognitivi, si ridurrà il rischio di una perdita di dati. È possibile trovare altre informazioni sui collegamenti privati all’indirizzo: https://go.microsoft.com/fwlink/?linkid=2129800.	Audit, Disabled	3.0.0
I registri contenitori non devono consentire l'accesso alla rete senza restrizioni	Per impostazione predefinita, i Registri Azure Container accettano le connessioni tramite Internet dagli host in qualsiasi rete. Per proteggere i registri da potenziali minacce, consentire l'accesso solo da specifici endpoint privati, indirizzi IP pubblici o intervalli di indirizzi. Se il Registro di sistema non dispone di regole di rete configurate, verrà visualizzato nelle risorse non integre. Per ulteriori informazioni sulle regole di rete per il Registro Azure Container, vedere: https://aka.ms/acr/privatelink,https://aka.ms/acr/portal/public-network e https://aka.ms/acr/vnet.	Audit, Deny, Disabled	2.0.0
I registri contenitori devono usare collegamenti privati	Collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Il mapping degli endpoint privati ai soli registri contenitori anziché all'intero servizio, garantisce la protezione dai rischi di perdita dei dati. Per altre informazioni, vedere https://aka.ms/acr/private-link.	Audit, Disabled	1.0.1
Controllare il flusso di informazioni	CMA_0079 - Controllare il flusso di informazioni	Manuale, Disabilitato	1.1.0
Gli account Cosmos DB devono usare collegamenti privati	Collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Eseguendo il mapping degli endpoint privati all'account CosmosDB, i rischi di perdita dei dati vengono ridotti. È possibile trovare altre informazioni sui collegamenti privati all’indirizzo: https://docs.microsoft.com/azure/cosmos-db/how-to-configure-private-endpoints.	Audit, Disabled	1.0.0
Le risorse di accesso al disco devono usare collegamenti privati	Collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Eseguendo il mapping di endpoint privati a diskAccesses, i rischi di perdita dei dati vengono ridotti. È possibile trovare altre informazioni sui collegamenti privati all’indirizzo: https://aka.ms/disksprivatelinksdoc.	AuditIfNotExists, Disabled	1.0.0
Utilizzare meccanismi di controllo di flusso delle informazioni crittografate	CMA_0211 - Utilizzare meccanismi di controllo di flusso delle informazioni crittografate	Manuale, Disabilitato	1.1.0
Gli spazi dei nomi dell'hub eventi devono usare collegamenti privati	Collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Eseguendo il mapping degli endpoint privati agli spazi dei nomi dell'hub eventi, i rischi di perdita dei dati vengono ridotti. Per altre informazioni, vedere https://docs.microsoft.com/azure/event-hubs/private-link-service.	AuditIfNotExists, Disabled	1.0.0
Le macchine virtuali con connessione Internet devono essere protette con i gruppi di sicurezza di rete	Protegge le macchine virtuali da potenziali minacce limitandone l'accesso con i gruppi di sicurezza di rete. Per altre informazioni sul controllo del traffico con i gruppi di sicurezza di rete, vedere https://aka.ms/nsg-doc	AuditIfNotExists, Disabled	3.0.0
Le istanze del servizio Device Provisioning in hub IoT devono usare collegamenti privati	Collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Eseguendo il mapping degli endpoint privati al servizio device provisioning in hub IoT, i rischi di perdita dei dati vengono ridotti. È possibile trovare altre informazioni sui collegamenti privati all’indirizzo: https://aka.ms/iotdpsvnet.	Audit, Disabled	1.0.0
L'inoltro IP nella macchina virtuale deve essere disabilitato	L'abilitazione dell'inoltro IP sulla scheda di rete di una macchina virtuale consente alla macchina virtuale di ricevere traffico indirizzato ad altre destinazioni. L'inoltro IP è richiesto raramente, ad esempio, quando si usa la macchina virtuale come appliance virtuale di rete, di conseguenza l'abilitazione di questa impostazione deve essere verificata dal team di sicurezza della rete.	AuditIfNotExists, Disabled	3.0.0
Le porte di gestione delle macchine virtuali devono essere protette tramite un controllo di accesso alla rete JIT	I possibili accessi JIT alla rete verranno monitorati dal Centro sicurezza di Azure che invierà i consigli corrispondenti	AuditIfNotExists, Disabled	3.0.0
È consigliabile chiudere le porte di gestione nelle macchine virtuali	Le porte di gestione remota aperte espongono la macchina virtuale a un rischio elevato derivante da attacchi di forza bruta basati su Internet per sottrarre le credenziali e ottenere l'accesso di amministratore alla macchina virtuale.	AuditIfNotExists, Disabled	3.0.0
Le macchine virtuali senza connessione Internet devono essere protette con i gruppi di sicurezza di rete	Protegge le macchine virtuali senza connessione Internet da potenziali minacce limitandone l'accesso con i gruppi di sicurezza di rete. Per altre informazioni sul controllo del traffico con i gruppi di sicurezza di rete, vedere https://aka.ms/nsg-doc	AuditIfNotExists, Disabled	3.0.0
Le connessioni endpoint privato nel database SQL di Azure devono essere abilitate	Le connessioni endpoint privato impongono la comunicazione sicura tramite l'abilitazione della connettività privata al database SQL di Azure.	Audit, Disabled	1.1.0
L'endpoint privato deve essere abilitato per i server MariaDB	Le connessioni endpoint privato impongono una comunicazione sicura tramite l'abilitazione della connettività privata al database di Azure per MariaDB. Configurare una connessione endpoint privato per consentire l'accesso al traffico proveniente solo da reti note e impedire l'accesso da tutti gli altri indirizzi IP, inclusi quelli all'interno di Azure.	AuditIfNotExists, Disabled	1.0.2
L'endpoint privato deve essere abilitato per i server MySQL	Le connessioni endpoint privato impongono una comunicazione sicura tramite l'abilitazione della connettività privata al database di Azure per MySQL. Configurare una connessione endpoint privato per consentire l'accesso al traffico proveniente solo da reti note e impedire l'accesso da tutti gli altri indirizzi IP, inclusi quelli all'interno di Azure.	AuditIfNotExists, Disabled	1.0.2
L'endpoint privato deve essere abilitato per i server PostgreSQL	Le connessioni endpoint privato impongono una comunicazione sicura tramite l'abilitazione della connettività privata al database di Azure per PostgreSQL. Configurare una connessione endpoint privato per consentire l'accesso al traffico proveniente solo da reti note e impedire l'accesso da tutti gli altri indirizzi IP, inclusi quelli all'interno di Azure.	AuditIfNotExists, Disabled	1.0.2
L'accesso alla rete pubblica nel database SQL di Azure deve essere disabilitato	La disabilitazione della proprietà di accesso alla rete pubblica migliora la sicurezza, in quanto garantisce che al database SQL di Azure sia possibile accedere solo da un endpoint privato. Questa configurazione nega tutti gli accessi che corrispondono alle regole del firewall basate su indirizzo IP o rete virtuale.	Audit, Deny, Disabled	1.1.0
L'accesso alla rete pubblica deve essere disabilitato per i server MariaDB	Disabilita la proprietà di accesso alla rete pubblica per migliorare la sicurezza e garantire che al database di Azure per MariaDB sia possibile accedere solo da un endpoint privato. Questa configurazione disabilita l'accesso da tutti gli spazi indirizzi pubblici non compresi nell'intervallo di indirizzi IP di Azure e nega tutti gli accessi che corrispondono alle regole del firewall basate su indirizzo IP o rete virtuale.	Audit, Deny, Disabled	2.0.0
L'accesso alla rete pubblica deve essere disabilitato per i server MySQL	Disabilita la proprietà di accesso alla rete pubblica per migliorare la sicurezza e garantire che al database di Azure per MySQL sia possibile accedere solo da un endpoint privato. Questa configurazione disabilita l'accesso da tutti gli spazi indirizzi pubblici non compresi nell'intervallo di indirizzi IP di Azure e nega tutti gli accessi che corrispondono alle regole del firewall basate su indirizzo IP o rete virtuale.	Audit, Deny, Disabled	2.0.0
L'accesso alla rete pubblica deve essere disabilitato per i server PostgreSQL	Disabilita la proprietà di accesso alla rete pubblica per migliorare la sicurezza e garantire che al database di Azure per PostgreSQL sia possibile accedere solo da un endpoint privato. Questa configurazione disabilita l'accesso da tutti gli spazi indirizzi pubblici non compresi nell'intervallo di indirizzi IP di Azure e nega tutti gli accessi che corrispondono alle regole del firewall basate su indirizzo IP o rete virtuale.	Audit, Deny, Disabled	2.0.1
Gli account di archiviazione devono limitare l'accesso alla rete	L'accesso di rete agli account di archiviazione deve essere limitato. Configurare regole di rete in modo che l'account di archiviazione sia accessibile solo alle applicazioni provenienti da reti consentite. Per consentire le connessioni da client Internet o locali specifici, è possibile concedere l'accesso al traffico da reti virtuali di Azure specifiche o a intervalli di indirizzi IP Internet pubblici	Audit, Deny, Disabled	1.1.1
Gli account di archiviazione devono limitare l'accesso alla rete usando regole di rete virtuale	Protegge gli account di archiviazione da potenziali minacce usando le regole di rete virtuale come metodo preferito anziché il filtro basato su IP. La disabilitazione del filtro basato su IP, impedisce agli indirizzi IP pubblici di accedere agli account di archiviazione.	Audit, Deny, Disabled	1.0.1
Gli account di archiviazione devono usare collegamenti privati	Collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Eseguendo il mapping degli endpoint privati all’account di archiviazione, i rischi di perdita dei dati vengono ridotti. È possibile trovare altre informazioni sui collegamenti privati all’indirizzo: https://aka.ms/azureprivatelinkoverview	AuditIfNotExists, Disabled	2.0.0
Le subnet devono essere associate a un gruppo di sicurezza di rete	È possibile proteggere la subnet dalle minacce potenziali limitando l'accesso alla subnet con un gruppo di sicurezza di rete. I gruppi di sicurezza di rete contengono un elenco di regole ACL (elenco di controllo di accesso) che consentono o negano il traffico di rete alla subnet.	AuditIfNotExists, Disabled	3.0.0
I modelli di Image Builder per macchine virtuali devono usare un collegamento privato	Collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Eseguendo il mapping di endpoint privati alla compilazione di risorse di Image Builder della macchina virtuale, i rischi di perdita dei dati vengono ridotti. È possibile trovare altre informazioni sui collegamenti privati all’indirizzo: https://docs.microsoft.com/azure/virtual-machines/linux/image-builder-networking#deploy-using-an-existing-vnet.	Audit, Disabled, Deny	1.1.0

Filtri dei criteri di sicurezza

ID: FedRAMP High AC-4 (8) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Controllo del flusso di informazioni tramite filtri dei criteri di sicurezza	CMA_C1029 - Controllo del flusso di informazioni tramite filtri dei criteri di sicurezza	Manuale, Disabilitato	1.1.0

Separazione fisica/logica dei flussi di informazioni

ID: FedRAMP High AC-4 (21) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Controllare il flusso di informazioni	CMA_0079 - Controllare il flusso di informazioni	Manuale, Disabilitato	1.1.0
Stabilire gli standard di configurazione del firewall e del router	CMA_0272 - Stabilire gli standard di configurazione del firewall e del router	Manuale, Disabilitato	1.1.0
Stabilire la segmentazione della rete per l'ambiente dei dati dei titolari di carte	CMA_0273 - Stabilire la segmentazione della rete per l'ambiente dei dati dei titolari di carte	Manuale, Disabilitato	1.1.0
Identificare e gestire gli scambi di informazioni downstream	CMA_0298 - Identificare e gestire gli scambi di informazioni downstream	Manuale, Disabilitato	1.1.0

Separazione dei compiti

ID: FedRAMP High AC-5 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Definire le autorizzazioni di accesso per supportare la separazione dei compiti	CMA_0116 - Definire le autorizzazioni di accesso per supportare la separazione dei compiti	Manuale, Disabilitato	1.1.0
Documentare la separazione dei compiti	CMA_0204 - Documentare la separazione dei compiti	Manuale, Disabilitato	1.1.0
Separare i compiti delle persone	CMA_0492 - Separare i compiti delle persone	Manuale, Disabilitato	1.1.0
Alla sottoscrizione deve essere assegnato più di un proprietario	È consigliabile designare più di un proprietario di sottoscrizione per assicurare la ridondanza dell'accesso amministratore.	AuditIfNotExists, Disabled	3.0.0

Privilegi minimi

ID: FedRAMP High AC-6 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Per la sottoscrizione devono essere designati al massimo 3 proprietari	È consigliabile designare fino a 3 proprietari della sottoscrizione in modo da ridurre la probabilità di violazione da parte di un proprietario compromesso.	AuditIfNotExists, Disabled	3.0.0
Controllare l'utilizzo dei ruoli Controllo degli accessi in base al ruolo (RBAC) personalizzati	Controlla i ruoli predefiniti, ad esempio "Proprietario, Collaboratore, Lettore" invece che i ruoli Controllo degli accessi in base al ruolo personalizzati, che sono soggetti a errori. L'uso di ruoli personalizzati è considerato un'eccezione e richiede una revisione rigorosa e la modellazione delle minacce	Audit, Disabled	1.0.1
Progettare un modello di controllo degli accessi	CMA_0129 - Progettare un modello di controllo degli accessi	Manuale, Disabilitato	1.1.0
Utilizzare l'accesso con privilegi minimi	CMA_0212 - Utilizzare l'accesso con privilegi minimi	Manuale, Disabilitato	1.1.0

Autorizzare l'accesso alle funzioni di sicurezza

ID: FedRAMP High AC-6 (1) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Autorizzare l'accesso alle informazioni e alle funzioni di sicurezza	CMA_0022 - Autorizzare l'accesso alle informazioni e alle funzioni di sicurezza	Manuale, Disabilitato	1.1.0
Autorizzare e gestire l'accesso	CMA_0023 - Autorizzare e gestire l'accesso	Manuale, Disabilitato	1.1.0
Imporre criteri di controllo di accesso obbligatori e discrezionali	CMA_0246 - Imporre criteri di controllo di accesso obbligatori e discrezionali	Manuale, Disabilitato	1.1.0

Account con privilegi

ID: FedRAMP High AC-6 (5) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Limitare l'accesso agli account con privilegi	CMA_0446 - Limitare l'accesso agli account con privilegi	Manuale, Disabilitato	1.1.0

Revisione dei privilegi utente

ID: FedRAMP High AC-6 (7) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Per la sottoscrizione devono essere designati al massimo 3 proprietari	È consigliabile designare fino a 3 proprietari della sottoscrizione in modo da ridurre la probabilità di violazione da parte di un proprietario compromesso.	AuditIfNotExists, Disabled	3.0.0
Controllare l'utilizzo dei ruoli Controllo degli accessi in base al ruolo (RBAC) personalizzati	Controlla i ruoli predefiniti, ad esempio "Proprietario, Collaboratore, Lettore" invece che i ruoli Controllo degli accessi in base al ruolo personalizzati, che sono soggetti a errori. L'uso di ruoli personalizzati è considerato un'eccezione e richiede una revisione rigorosa e la modellazione delle minacce	Audit, Disabled	1.0.1
Riassegnare o rimuovere i privilegi utente in base alle esigenze	CMA_C1040 - Riassegnare o rimuovere i privilegi utente in base alle esigenze	Manuale, Disabilitato	1.1.0
Esaminare i privilegi utente	CMA_C1039 - Esaminare i privilegi utente	Manuale, Disabilitato	1.1.0

Livelli di privilegi per l'esecuzione di codice

ID: FedRAMP High AC-6 (8) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Imporre privilegi di esecuzione del software	CMA_C1041 - Imporre i privilegi di esecuzione del software	Manuale, Disabilitato	1.1.0

Controllo dell'uso delle funzioni privilegiate

ID: FedRAMP High AC-6 (9) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Controllare le funzioni con privilegi	CMA_0019 - Controllare le funzioni con privilegi	Manuale, Disabilitato	1.1.0
Eseguire un'analisi full-text dei comandi con privilegi registrati	CMA_0056 - Eseguire un'analisi full-text dei comandi con privilegi registrati	Manuale, Disabilitato	1.1.0
Monitorare l'assegnazione di ruoli con privilegi	CMA_0378 - Monitorare l'assegnazione di ruoli con privilegi	Manuale, Disabilitato	1.1.0
Limitare l'accesso agli account con privilegi	CMA_0446 - Limitare l'accesso agli account con privilegi	Manuale, Disabilitato	1.1.0
Revocare i ruoli con privilegi in base alle esigenze	CMA_0483 - Revocare i ruoli con privilegi in base alle esigenze	Manuale, Disabilitato	1.1.0
Usare Privileged Identity Management	CMA_0533 - Usare Privileged Identity Management	Manuale, Disabilitato	1.1.0

Tentativi di accesso non riusciti

ID: FedRAMP High AC-7 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Imporre un limite di tentativi di accesso non riuscito consecutivi	CMA_C1044 - Imporre un limite di tentativi di accesso non riuscito consecutivi	Manuale, Disabilitato	1.1.0

Controllo delle sessioni simultanee

ID: FedRAMP High AC-10 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Definire e applicare il limite di sessioni simultanee	CMA_C1050 - Definire e applicare il limite di sessioni simultanee	Manuale, Disabilitato	1.1.0

Terminazione della sessione

ID: FedRAMP High AC-12 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Terminare automaticamente la sessione utente	CMA_C1054 - Terminare automaticamente la sessione utente	Manuale, Disabilitato	1.1.0

Disconnessioni avviate dall'utente/visualizzazione di messaggi

ID: FedRAMP High AC-12 (1) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Visualizzare un messaggio di disconnessione esplicito	CMA_C1056 - Visualizzare un messaggio di disconnessione esplicito	Manuale, Disabilitato	1.1.0
Fornire la funzionalità di disconnessione	CMA_C1055 - Fornire la funzionalità di disconnessione	Manuale, Disabilitato	1.1.0

Azioni consentite senza identificazione o autenticazione

ID: FedRAMP High AC-14 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Identificare le azioni consentite senza autenticazione	CMA_0295 - Identificare le azioni consentite senza autenticazione	Manuale, Disabilitato	1.1.0

Accesso remoto

ID: FedRAMP High AC-17 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Aggiungi l'identità gestita assegnata dal sistema per abilitare le assegnazioni di Configurazione guest nelle macchine virtuali senza identità	Questo criterio aggiunge un'identità gestita assegnata dal sistema alle macchine virtuali ospitate in Azure supportate da Configurazione guest ma che non hanno un'identità gestita assegnata dal sistema. Un'identità gestita assegnata dal sistema è un prerequisito per tutte le assegnazioni di Configurazione guest e deve essere aggiunta ai computer prima di usare qualsiasi definizione di criteri di Configurazione guest. Per altre informazioni su Configurazione guest, vedere https://aka.ms/gcpol.	modify	4.1.0
Aggiungi l'identità gestita assegnata dal sistema per abilitare le assegnazioni di Configurazione guest nelle macchine virtuali con un'identità assegnata dall'utente	Questo criterio aggiunge un'identità gestita assegnata dal sistema alle macchine virtuali ospitate in Azure supportate da Configurazione guest e che hanno almeno un'identità assegnata dall'utente, ma non hanno un'identità gestita assegnata dal sistema. Un'identità gestita assegnata dal sistema è un prerequisito per tutte le assegnazioni di Configurazione guest e deve essere aggiunta ai computer prima di usare qualsiasi definizione di criteri di Configurazione guest. Per altre informazioni su Configurazione guest, vedere https://aka.ms/gcpol.	modify	4.1.0
Configurazione app deve usare un collegamento privato	Collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Il mapping degli endpoint privati alle sole istanze di Configurazione app anziché all'intero servizio, garantisce la protezione dai rischi di perdita dei dati. Per altre informazioni, vedere https://aka.ms/appconfig/private-endpoint.	AuditIfNotExists, Disabled	1.0.2
Per le app del Servizio app il debug remoto deve essere disattivato	Il debug remoto richiede l'apertura delle porte in ingresso in un'app per il servizio app. Il debug remoto deve essere disattivato.	AuditIfNotExists, Disabled	2.0.0
Controlla i computer Linux che consentono connessioni remote da account senza password	Richiede che i prerequisiti vengano distribuiti nell'ambito dell'assegnazione dei criteri. Per informazioni dettagliate, vedere https://aka.ms/gcpol. I computer saranno non conformi se i computer Linux consentono connessioni remote da account senza password	AuditIfNotExists, Disabled	3.1.0
Autorizzare l'accesso remoto	CMA_0024 - Autorizzare l'accesso remoto	Manuale, Disabilitato	1.1.0
L'API di Azure per FHIR deve usare un collegamento privato	L'API di Azure per FHIR deve avere almeno una connessione a endpoint privato approvata. I client in una rete virtuale possono accedere in modo sicuro alle risorse con connessioni a endpoint privati tramite collegamenti privati. Per altre informazioni, vedere https://aka.ms/fhir-privatelink.	Audit, Disabled	1.0.0
La cache di Azure per Redis deve usare collegamenti privati	Collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. Eseguendo il mapping degli endpoint privati alle istanze di Cache Redis di Azure, i rischi di perdita dei dati vengono ridotti. Per altre informazioni, vedere https://docs.microsoft.com/azure/azure-cache-for-redis/cache-private-link.	AuditIfNotExists, Disabled	1.0.0
Il servizio Ricerca cognitiva di Azure deve usare uno SKU che supporta il collegamento privato	Con gli SKU supportati di Ricerca cognitiva di Azure, collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico all'origine o alla destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Eseguendo il mapping degli endpoint privati al servizio di ricerca, i rischi di perdita dei dati vengono ridotti. Per altre informazioni, vedere https://aka.ms/azure-cognitive-search/inbound-private-endpoints.	Audit, Deny, Disabled	1.0.0
I servizi di Ricerca cognitiva di Azure devono usare collegamenti privati	Collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Eseguendo il mapping di endpoint privati a Ricerca cognitiva di Azure, i rischi di perdita dei dati vengono ridotti. È possibile trovare altre informazioni sui collegamenti privati all’indirizzo: https://aka.ms/azure-cognitive-search/inbound-private-endpoints.	Audit, Disabled	1.0.0
Azure Data Factory usare collegamenti privati	Collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Eseguendo il mapping degli endpoint privati ad Azure Data Factory, i rischi di perdita dei dati vengono ridotti. È possibile trovare altre informazioni sui collegamenti privati all’indirizzo: https://docs.microsoft.com/azure/data-factory/data-factory-private-link.	AuditIfNotExists, Disabled	1.0.0
I domini di Griglia di eventi di Azure devono usare collegamenti privati	Collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Mappando gli endpoint privati sul proprio dominio della Griglia di eventi invece che sull'intero servizio, sarà possibile essere protetti anche dai rischi di perdita di dati. Per altre informazioni, vedere https://aka.ms/privateendpoints.	Audit, Disabled	1.0.2
Gli argomenti di Griglia di eventi di Azure devono usare collegamenti privati	Collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Mappando gli endpoint privati sul vostro argomento della Griglia di eventi invece che sull'intero servizio, sarete protetti anche dai rischi di perdita di dati. Per altre informazioni, vedere https://aka.ms/privateendpoints.	Audit, Disabled	1.0.2
Sincronizzazione file di Azure deve usare collegamenti privati	La creazione di un endpoint privato per la risorsa Servizio di sincronizzazione archiviazione indicata consente di indirizzare la risorsa Servizio di sincronizzazione archiviazione dallo spazio indirizzi IP privati della rete dell'organizzazione, anziché attraverso l'endpoint pubblico accessibile tramite Internet. La creazione di un endpoint privato da sola non disabilita l'endpoint pubblico.	AuditIfNotExists, Disabled	1.0.0
Le istanze di Azure Key Vault devono usare collegamenti privati	Collegamento privato di Azure consente di connettere le reti virtuali ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Eseguendo il mapping degli endpoint privati all'insieme di credenziali delle chiavi, è possibile ridurre i rischi di perdita dei dati. È possibile trovare altre informazioni sui collegamenti privati all’indirizzo: https://aka.ms/akvprivatelink.	[parameters('audit_effect')]	1.2.1
Le aree di lavoro di Azure Machine Learning devono usare collegamenti privati	Collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Eseguendo il mapping degli endpoint privati alle aree di lavoro di Azure Machine Learning, i rischi di perdita dei dati vengono ridotti. È possibile trovare altre informazioni sui collegamenti privati all’indirizzo: https://docs.microsoft.com/azure/machine-learning/how-to-configure-private-link.	Audit, Disabled	1.0.0
Gli spazi dei nomi del bus di servizio devono usare collegamenti privati	Collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Eseguendo il mapping degli endpoint privati agli spazi dei nomi del bus di servizio, i rischi di perdita dei dati vengono ridotti. Per altre informazioni, vedere https://docs.microsoft.com/azure/service-bus-messaging/private-link-service.	AuditIfNotExists, Disabled	1.0.0
Il servizio Azure SignalR deve usare collegamenti privati	Collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Eseguendo il mapping degli endpoint privati alla risorsa del servizio Azure SignalR anziché all'intero servizio, si ridurranno i rischi di perdita dei dati. È possibile trovare altre informazioni sui collegamenti privati all’indirizzo: https://aka.ms/asrs/privatelink.	Audit, Disabled	1.0.0
Azure Spring Cloud deve usare l'aggiunta alla rete	Le istanze di Azure Spring Cloud devono usare l'aggiunta alla rete virtuale per gli scopi seguenti: 1. Isolare Azure Spring Cloud da Internet. 2. Consentire ad Azure Spring Cloud di interagire con i sistemi nei data center locali o con il servizio Azure in altre reti virtuali. 3. Consentire ai clienti di controllare le comunicazioni di rete in ingresso e in uscita per Azure Spring Cloud.	Audit, Disabled, Deny	1.2.0
Le area di lavoro Azure Synapse devono usare collegamenti privati	Collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Eseguendo il mapping degli endpoint privati all'area di lavoro di Azure Synapse, i rischi di perdita dei dati vengono ridotti. È possibile trovare altre informazioni sui collegamenti privati all’indirizzo: https://docs.microsoft.com/azure/synapse-analytics/security/how-to-connect-to-workspace-with-private-links.	Audit, Disabled	1.0.1
Il servizio Web PubSub di Azure deve usare collegamenti privati	Collegamento privato di Azure consente di connettere le reti virtuali ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Eseguendo il mapping di endpoint privati al servizio Web PubSub di Azure, è possibile ridurre i rischi di perdita dei dati. È possibile trovare altre informazioni sui collegamenti privati all’indirizzo: https://aka.ms/awps/privatelink.	Audit, Disabled	1.0.0
I Servizi cognitivi devono usare collegamenti privati	Collegamento privato di Azure consente di connettere le reti virtuali ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Eseguendo il mapping di endpoint privati a Servizi cognitivi, si ridurrà il rischio di una perdita di dati. È possibile trovare altre informazioni sui collegamenti privati all’indirizzo: https://go.microsoft.com/fwlink/?linkid=2129800.	Audit, Disabled	3.0.0
I registri contenitori devono usare collegamenti privati	Collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Il mapping degli endpoint privati ai soli registri contenitori anziché all'intero servizio, garantisce la protezione dai rischi di perdita dei dati. Per altre informazioni, vedere https://aka.ms/acr/private-link.	Audit, Disabled	1.0.1
Gli account Cosmos DB devono usare collegamenti privati	Collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Eseguendo il mapping degli endpoint privati all'account CosmosDB, i rischi di perdita dei dati vengono ridotti. È possibile trovare altre informazioni sui collegamenti privati all’indirizzo: https://docs.microsoft.com/azure/cosmos-db/how-to-configure-private-endpoints.	Audit, Disabled	1.0.0
Distribuisci l'estensione Configurazione guest Linux per abilitare le assegnazioni di Configurazione guest nelle macchine virtuali Linux	Questo criterio distribuisce l'estensione Configurazione guest di Linux nelle macchine virtuali Linux ospitate in Azure supportate da Configurazione guest. L'estensione Configurazione guest di Linux è un prerequisito per tutte le assegnazioni di Configurazione guest di Linux e deve essere distribuita nelle macchine virtuali prima di usare qualsiasi definizione di criteri di Configurazione guest di Linux. Per altre informazioni su Configurazione guest, vedere https://aka.ms/gcpol.	deployIfNotExists	3.1.0
Distribuisci l'estensione Configurazione guest Windows per abilitare le assegnazioni di Configurazione guest nelle macchine virtuali Windows	Questo criterio distribuisce l'estensione Configurazione guest di Windows nelle macchine virtuali Windows ospitate in Azure supportate da Configurazione guest. L'estensione Configurazione guest di Windows è un prerequisito per tutte le assegnazioni di Configurazione guest di Windows e deve essere distribuita nelle macchine virtuali prima di usare qualsiasi definizione di criteri di Configurazione guest di Windows. Per altre informazioni su Configurazione guest, vedere https://aka.ms/gcpol.	deployIfNotExists	1.2.0
Le risorse di accesso al disco devono usare collegamenti privati	Collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Eseguendo il mapping di endpoint privati a diskAccesses, i rischi di perdita dei dati vengono ridotti. È possibile trovare altre informazioni sui collegamenti privati all’indirizzo: https://aka.ms/disksprivatelinksdoc.	AuditIfNotExists, Disabled	1.0.0
Documentare la formazione sulla mobilità	CMA_0191 - Documentare la formazione sulla mobilità	Manuale, Disabilitato	1.1.0
Documentare le linee guida di accesso remoto	CMA_0196 - Documentare le linee guida di accesso remoto	Manuale, Disabilitato	1.1.0
Gli spazi dei nomi dell'hub eventi devono usare collegamenti privati	Collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Eseguendo il mapping degli endpoint privati agli spazi dei nomi dell'hub eventi, i rischi di perdita dei dati vengono ridotti. Per altre informazioni, vedere https://docs.microsoft.com/azure/event-hubs/private-link-service.	AuditIfNotExists, Disabled	1.0.0
Le app per le funzioni devono avere il debug remoto disattivato	Il debug remoto richiede che vengano aperte le porte in ingresso nelle app per le funzioni. Il debug remoto deve essere disattivato.	AuditIfNotExists, Disabled	2.0.0
Implementare i controlli per proteggere i siti di lavoro alternativi	CMA_0315 - Implementare i controlli per proteggere siti di lavoro alternativi	Manuale, Disabilitato	1.1.0
Le istanze del servizio Device Provisioning in hub IoT devono usare collegamenti privati	Collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Eseguendo il mapping degli endpoint privati al servizio device provisioning in hub IoT, i rischi di perdita dei dati vengono ridotti. È possibile trovare altre informazioni sui collegamenti privati all’indirizzo: https://aka.ms/iotdpsvnet.	Audit, Disabled	1.0.0
Le connessioni endpoint privato nel database SQL di Azure devono essere abilitate	Le connessioni endpoint privato impongono la comunicazione sicura tramite l'abilitazione della connettività privata al database SQL di Azure.	Audit, Disabled	1.1.0
L'endpoint privato deve essere abilitato per i server MariaDB	Le connessioni endpoint privato impongono una comunicazione sicura tramite l'abilitazione della connettività privata al database di Azure per MariaDB. Configurare una connessione endpoint privato per consentire l'accesso al traffico proveniente solo da reti note e impedire l'accesso da tutti gli altri indirizzi IP, inclusi quelli all'interno di Azure.	AuditIfNotExists, Disabled	1.0.2
L'endpoint privato deve essere abilitato per i server MySQL	Le connessioni endpoint privato impongono una comunicazione sicura tramite l'abilitazione della connettività privata al database di Azure per MySQL. Configurare una connessione endpoint privato per consentire l'accesso al traffico proveniente solo da reti note e impedire l'accesso da tutti gli altri indirizzi IP, inclusi quelli all'interno di Azure.	AuditIfNotExists, Disabled	1.0.2
L'endpoint privato deve essere abilitato per i server PostgreSQL	Le connessioni endpoint privato impongono una comunicazione sicura tramite l'abilitazione della connettività privata al database di Azure per PostgreSQL. Configurare una connessione endpoint privato per consentire l'accesso al traffico proveniente solo da reti note e impedire l'accesso da tutti gli altri indirizzi IP, inclusi quelli all'interno di Azure.	AuditIfNotExists, Disabled	1.0.2
Fornire training sulla privacy	CMA_0415 - Fornire formazione sulla privacy	Manuale, Disabilitato	1.1.0
Gli account di archiviazione devono limitare l'accesso alla rete	L'accesso di rete agli account di archiviazione deve essere limitato. Configurare regole di rete in modo che l'account di archiviazione sia accessibile solo alle applicazioni provenienti da reti consentite. Per consentire le connessioni da client Internet o locali specifici, è possibile concedere l'accesso al traffico da reti virtuali di Azure specifiche o a intervalli di indirizzi IP Internet pubblici	Audit, Deny, Disabled	1.1.1
Gli account di archiviazione devono usare collegamenti privati	Collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Eseguendo il mapping degli endpoint privati all’account di archiviazione, i rischi di perdita dei dati vengono ridotti. È possibile trovare altre informazioni sui collegamenti privati all’indirizzo: https://aka.ms/azureprivatelinkoverview	AuditIfNotExists, Disabled	2.0.0
I modelli di Image Builder per macchine virtuali devono usare un collegamento privato	Collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Eseguendo il mapping di endpoint privati alla compilazione di risorse di Image Builder della macchina virtuale, i rischi di perdita dei dati vengono ridotti. È possibile trovare altre informazioni sui collegamenti privati all’indirizzo: https://docs.microsoft.com/azure/virtual-machines/linux/image-builder-networking#deploy-using-an-existing-vnet.	Audit, Disabled, Deny	1.1.0

Monitoraggio/controllo automatizzato

ID: FedRAMP High AC-17 (1) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Aggiungi l'identità gestita assegnata dal sistema per abilitare le assegnazioni di Configurazione guest nelle macchine virtuali senza identità	Questo criterio aggiunge un'identità gestita assegnata dal sistema alle macchine virtuali ospitate in Azure supportate da Configurazione guest ma che non hanno un'identità gestita assegnata dal sistema. Un'identità gestita assegnata dal sistema è un prerequisito per tutte le assegnazioni di Configurazione guest e deve essere aggiunta ai computer prima di usare qualsiasi definizione di criteri di Configurazione guest. Per altre informazioni su Configurazione guest, vedere https://aka.ms/gcpol.	modify	4.1.0
Aggiungi l'identità gestita assegnata dal sistema per abilitare le assegnazioni di Configurazione guest nelle macchine virtuali con un'identità assegnata dall'utente	Questo criterio aggiunge un'identità gestita assegnata dal sistema alle macchine virtuali ospitate in Azure supportate da Configurazione guest e che hanno almeno un'identità assegnata dall'utente, ma non hanno un'identità gestita assegnata dal sistema. Un'identità gestita assegnata dal sistema è un prerequisito per tutte le assegnazioni di Configurazione guest e deve essere aggiunta ai computer prima di usare qualsiasi definizione di criteri di Configurazione guest. Per altre informazioni su Configurazione guest, vedere https://aka.ms/gcpol.	modify	4.1.0
Configurazione app deve usare un collegamento privato	Collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Il mapping degli endpoint privati alle sole istanze di Configurazione app anziché all'intero servizio, garantisce la protezione dai rischi di perdita dei dati. Per altre informazioni, vedere https://aka.ms/appconfig/private-endpoint.	AuditIfNotExists, Disabled	1.0.2
Per le app del Servizio app il debug remoto deve essere disattivato	Il debug remoto richiede l'apertura delle porte in ingresso in un'app per il servizio app. Il debug remoto deve essere disattivato.	AuditIfNotExists, Disabled	2.0.0
Controlla i computer Linux che consentono connessioni remote da account senza password	Richiede che i prerequisiti vengano distribuiti nell'ambito dell'assegnazione dei criteri. Per informazioni dettagliate, vedere https://aka.ms/gcpol. I computer saranno non conformi se i computer Linux consentono connessioni remote da account senza password	AuditIfNotExists, Disabled	3.1.0
L'API di Azure per FHIR deve usare un collegamento privato	L'API di Azure per FHIR deve avere almeno una connessione a endpoint privato approvata. I client in una rete virtuale possono accedere in modo sicuro alle risorse con connessioni a endpoint privati tramite collegamenti privati. Per altre informazioni, vedere https://aka.ms/fhir-privatelink.	Audit, Disabled	1.0.0
La cache di Azure per Redis deve usare collegamenti privati	Collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. Eseguendo il mapping degli endpoint privati alle istanze di Cache Redis di Azure, i rischi di perdita dei dati vengono ridotti. Per altre informazioni, vedere https://docs.microsoft.com/azure/azure-cache-for-redis/cache-private-link.	AuditIfNotExists, Disabled	1.0.0
Il servizio Ricerca cognitiva di Azure deve usare uno SKU che supporta il collegamento privato	Con gli SKU supportati di Ricerca cognitiva di Azure, collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico all'origine o alla destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Eseguendo il mapping degli endpoint privati al servizio di ricerca, i rischi di perdita dei dati vengono ridotti. Per altre informazioni, vedere https://aka.ms/azure-cognitive-search/inbound-private-endpoints.	Audit, Deny, Disabled	1.0.0
I servizi di Ricerca cognitiva di Azure devono usare collegamenti privati	Collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Eseguendo il mapping di endpoint privati a Ricerca cognitiva di Azure, i rischi di perdita dei dati vengono ridotti. È possibile trovare altre informazioni sui collegamenti privati all’indirizzo: https://aka.ms/azure-cognitive-search/inbound-private-endpoints.	Audit, Disabled	1.0.0
Azure Data Factory usare collegamenti privati	Collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Eseguendo il mapping degli endpoint privati ad Azure Data Factory, i rischi di perdita dei dati vengono ridotti. È possibile trovare altre informazioni sui collegamenti privati all’indirizzo: https://docs.microsoft.com/azure/data-factory/data-factory-private-link.	AuditIfNotExists, Disabled	1.0.0
I domini di Griglia di eventi di Azure devono usare collegamenti privati	Collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Mappando gli endpoint privati sul proprio dominio della Griglia di eventi invece che sull'intero servizio, sarà possibile essere protetti anche dai rischi di perdita di dati. Per altre informazioni, vedere https://aka.ms/privateendpoints.	Audit, Disabled	1.0.2
Gli argomenti di Griglia di eventi di Azure devono usare collegamenti privati	Collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Mappando gli endpoint privati sul vostro argomento della Griglia di eventi invece che sull'intero servizio, sarete protetti anche dai rischi di perdita di dati. Per altre informazioni, vedere https://aka.ms/privateendpoints.	Audit, Disabled	1.0.2
Sincronizzazione file di Azure deve usare collegamenti privati	La creazione di un endpoint privato per la risorsa Servizio di sincronizzazione archiviazione indicata consente di indirizzare la risorsa Servizio di sincronizzazione archiviazione dallo spazio indirizzi IP privati della rete dell'organizzazione, anziché attraverso l'endpoint pubblico accessibile tramite Internet. La creazione di un endpoint privato da sola non disabilita l'endpoint pubblico.	AuditIfNotExists, Disabled	1.0.0
Le istanze di Azure Key Vault devono usare collegamenti privati	Collegamento privato di Azure consente di connettere le reti virtuali ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Eseguendo il mapping degli endpoint privati all'insieme di credenziali delle chiavi, è possibile ridurre i rischi di perdita dei dati. È possibile trovare altre informazioni sui collegamenti privati all’indirizzo: https://aka.ms/akvprivatelink.	[parameters('audit_effect')]	1.2.1
Le aree di lavoro di Azure Machine Learning devono usare collegamenti privati	Collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Eseguendo il mapping degli endpoint privati alle aree di lavoro di Azure Machine Learning, i rischi di perdita dei dati vengono ridotti. È possibile trovare altre informazioni sui collegamenti privati all’indirizzo: https://docs.microsoft.com/azure/machine-learning/how-to-configure-private-link.	Audit, Disabled	1.0.0
Gli spazi dei nomi del bus di servizio devono usare collegamenti privati	Collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Eseguendo il mapping degli endpoint privati agli spazi dei nomi del bus di servizio, i rischi di perdita dei dati vengono ridotti. Per altre informazioni, vedere https://docs.microsoft.com/azure/service-bus-messaging/private-link-service.	AuditIfNotExists, Disabled	1.0.0
Il servizio Azure SignalR deve usare collegamenti privati	Collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Eseguendo il mapping degli endpoint privati alla risorsa del servizio Azure SignalR anziché all'intero servizio, si ridurranno i rischi di perdita dei dati. È possibile trovare altre informazioni sui collegamenti privati all’indirizzo: https://aka.ms/asrs/privatelink.	Audit, Disabled	1.0.0
Azure Spring Cloud deve usare l'aggiunta alla rete	Le istanze di Azure Spring Cloud devono usare l'aggiunta alla rete virtuale per gli scopi seguenti: 1. Isolare Azure Spring Cloud da Internet. 2. Consentire ad Azure Spring Cloud di interagire con i sistemi nei data center locali o con il servizio Azure in altre reti virtuali. 3. Consentire ai clienti di controllare le comunicazioni di rete in ingresso e in uscita per Azure Spring Cloud.	Audit, Disabled, Deny	1.2.0
Le area di lavoro Azure Synapse devono usare collegamenti privati	Collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Eseguendo il mapping degli endpoint privati all'area di lavoro di Azure Synapse, i rischi di perdita dei dati vengono ridotti. È possibile trovare altre informazioni sui collegamenti privati all’indirizzo: https://docs.microsoft.com/azure/synapse-analytics/security/how-to-connect-to-workspace-with-private-links.	Audit, Disabled	1.0.1
Il servizio Web PubSub di Azure deve usare collegamenti privati	Collegamento privato di Azure consente di connettere le reti virtuali ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Eseguendo il mapping di endpoint privati al servizio Web PubSub di Azure, è possibile ridurre i rischi di perdita dei dati. È possibile trovare altre informazioni sui collegamenti privati all’indirizzo: https://aka.ms/awps/privatelink.	Audit, Disabled	1.0.0
I Servizi cognitivi devono usare collegamenti privati	Collegamento privato di Azure consente di connettere le reti virtuali ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Eseguendo il mapping di endpoint privati a Servizi cognitivi, si ridurrà il rischio di una perdita di dati. È possibile trovare altre informazioni sui collegamenti privati all’indirizzo: https://go.microsoft.com/fwlink/?linkid=2129800.	Audit, Disabled	3.0.0
I registri contenitori devono usare collegamenti privati	Collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Il mapping degli endpoint privati ai soli registri contenitori anziché all'intero servizio, garantisce la protezione dai rischi di perdita dei dati. Per altre informazioni, vedere https://aka.ms/acr/private-link.	Audit, Disabled	1.0.1
Gli account Cosmos DB devono usare collegamenti privati	Collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Eseguendo il mapping degli endpoint privati all'account CosmosDB, i rischi di perdita dei dati vengono ridotti. È possibile trovare altre informazioni sui collegamenti privati all’indirizzo: https://docs.microsoft.com/azure/cosmos-db/how-to-configure-private-endpoints.	Audit, Disabled	1.0.0
Distribuisci l'estensione Configurazione guest Linux per abilitare le assegnazioni di Configurazione guest nelle macchine virtuali Linux	Questo criterio distribuisce l'estensione Configurazione guest di Linux nelle macchine virtuali Linux ospitate in Azure supportate da Configurazione guest. L'estensione Configurazione guest di Linux è un prerequisito per tutte le assegnazioni di Configurazione guest di Linux e deve essere distribuita nelle macchine virtuali prima di usare qualsiasi definizione di criteri di Configurazione guest di Linux. Per altre informazioni su Configurazione guest, vedere https://aka.ms/gcpol.	deployIfNotExists	3.1.0
Distribuisci l'estensione Configurazione guest Windows per abilitare le assegnazioni di Configurazione guest nelle macchine virtuali Windows	Questo criterio distribuisce l'estensione Configurazione guest di Windows nelle macchine virtuali Windows ospitate in Azure supportate da Configurazione guest. L'estensione Configurazione guest di Windows è un prerequisito per tutte le assegnazioni di Configurazione guest di Windows e deve essere distribuita nelle macchine virtuali prima di usare qualsiasi definizione di criteri di Configurazione guest di Windows. Per altre informazioni su Configurazione guest, vedere https://aka.ms/gcpol.	deployIfNotExists	1.2.0
Le risorse di accesso al disco devono usare collegamenti privati	Collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Eseguendo il mapping di endpoint privati a diskAccesses, i rischi di perdita dei dati vengono ridotti. È possibile trovare altre informazioni sui collegamenti privati all’indirizzo: https://aka.ms/disksprivatelinksdoc.	AuditIfNotExists, Disabled	1.0.0
Gli spazi dei nomi dell'hub eventi devono usare collegamenti privati	Collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Eseguendo il mapping degli endpoint privati agli spazi dei nomi dell'hub eventi, i rischi di perdita dei dati vengono ridotti. Per altre informazioni, vedere https://docs.microsoft.com/azure/event-hubs/private-link-service.	AuditIfNotExists, Disabled	1.0.0
Le app per le funzioni devono avere il debug remoto disattivato	Il debug remoto richiede che vengano aperte le porte in ingresso nelle app per le funzioni. Il debug remoto deve essere disattivato.	AuditIfNotExists, Disabled	2.0.0
Le istanze del servizio Device Provisioning in hub IoT devono usare collegamenti privati	Collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Eseguendo il mapping degli endpoint privati al servizio device provisioning in hub IoT, i rischi di perdita dei dati vengono ridotti. È possibile trovare altre informazioni sui collegamenti privati all’indirizzo: https://aka.ms/iotdpsvnet.	Audit, Disabled	1.0.0
Monitorare l'accesso nell'organizzazione	CMA_0376 - Monitorare l'accesso nell'organizzazione	Manuale, Disabilitato	1.1.0
Le connessioni endpoint privato nel database SQL di Azure devono essere abilitate	Le connessioni endpoint privato impongono la comunicazione sicura tramite l'abilitazione della connettività privata al database SQL di Azure.	Audit, Disabled	1.1.0
L'endpoint privato deve essere abilitato per i server MariaDB	Le connessioni endpoint privato impongono una comunicazione sicura tramite l'abilitazione della connettività privata al database di Azure per MariaDB. Configurare una connessione endpoint privato per consentire l'accesso al traffico proveniente solo da reti note e impedire l'accesso da tutti gli altri indirizzi IP, inclusi quelli all'interno di Azure.	AuditIfNotExists, Disabled	1.0.2
L'endpoint privato deve essere abilitato per i server MySQL	Le connessioni endpoint privato impongono una comunicazione sicura tramite l'abilitazione della connettività privata al database di Azure per MySQL. Configurare una connessione endpoint privato per consentire l'accesso al traffico proveniente solo da reti note e impedire l'accesso da tutti gli altri indirizzi IP, inclusi quelli all'interno di Azure.	AuditIfNotExists, Disabled	1.0.2
L'endpoint privato deve essere abilitato per i server PostgreSQL	Le connessioni endpoint privato impongono una comunicazione sicura tramite l'abilitazione della connettività privata al database di Azure per PostgreSQL. Configurare una connessione endpoint privato per consentire l'accesso al traffico proveniente solo da reti note e impedire l'accesso da tutti gli altri indirizzi IP, inclusi quelli all'interno di Azure.	AuditIfNotExists, Disabled	1.0.2
Gli account di archiviazione devono limitare l'accesso alla rete	L'accesso di rete agli account di archiviazione deve essere limitato. Configurare regole di rete in modo che l'account di archiviazione sia accessibile solo alle applicazioni provenienti da reti consentite. Per consentire le connessioni da client Internet o locali specifici, è possibile concedere l'accesso al traffico da reti virtuali di Azure specifiche o a intervalli di indirizzi IP Internet pubblici	Audit, Deny, Disabled	1.1.1
Gli account di archiviazione devono usare collegamenti privati	Collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Eseguendo il mapping degli endpoint privati all’account di archiviazione, i rischi di perdita dei dati vengono ridotti. È possibile trovare altre informazioni sui collegamenti privati all’indirizzo: https://aka.ms/azureprivatelinkoverview	AuditIfNotExists, Disabled	2.0.0
I modelli di Image Builder per macchine virtuali devono usare un collegamento privato	Collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Eseguendo il mapping di endpoint privati alla compilazione di risorse di Image Builder della macchina virtuale, i rischi di perdita dei dati vengono ridotti. È possibile trovare altre informazioni sui collegamenti privati all’indirizzo: https://docs.microsoft.com/azure/virtual-machines/linux/image-builder-networking#deploy-using-an-existing-vnet.	Audit, Disabled, Deny	1.1.0

Protezione della riservatezza/integrità con la crittografia

ID: FedRAMP High AC-17 (2) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Inviare agli utenti una notifica di accesso al sistema	CMA_0382 - Inviare agli utenti una notifica di accesso al sistema	Manuale, Disabilitato	1.1.0
Proteggere i dati in movimento mediante la crittografia	CMA_0403 - Proteggere i dati in movimento mediante la crittografia	Manuale, Disabilitato	1.1.0

Punti di controllo degli accessi gestiti

ID: FedRAMP High AC-17 (3) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Indirizzare il traffico tramite i punti di accesso di rete gestita	CMA_0484 - Indirizzare il traffico tramite i punti di accesso di rete gestita	Manuale, Disabilitato	1.1.0

Comandi/Accessi privilegiati

ID: FedRAMP High AC-17 (4) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Autorizzare l'accesso remoto	CMA_0024 - Autorizzare l'accesso remoto	Manuale, Disabilitato	1.1.0
Autorizzare l'accesso remoto ai comandi con privilegi	CMA_C1064 - Autorizzare l'accesso remoto ai comandi con privilegi	Manuale, Disabilitato	1.1.0
Documentare le linee guida di accesso remoto	CMA_0196 - Documentare le linee guida di accesso remoto	Manuale, Disabilitato	1.1.0
Implementare i controlli per proteggere i siti di lavoro alternativi	CMA_0315 - Implementare i controlli per proteggere siti di lavoro alternativi	Manuale, Disabilitato	1.1.0
Fornire formazione sulla privacy	CMA_0415 - Fornire formazione sulla privacy	Manuale, Disabilitato	1.1.0

Disconnettere/Disabilitare accesso

ID: FedRAMP High AC-17 (9) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Fornire la possibilità di disconnettere o disabilitare l'accesso remoto	CMA_C1066 - Consentire di disconnettere o disabilitare l'accesso remoto	Manuale, Disabilitato	1.1.0

Accesso wireless

ID: FedRAMP High AC-18 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Documentare e implementare le linee guida per l'accesso wireless	CMA_0190 - Documentare e implementare le linee guida per l'accesso wireless	Manuale, Disabilitato	1.1.0
Proteggere l'accesso wireless	CMA_0411 - Proteggere l'accesso wireless	Manuale, Disabilitato	1.1.0

Autenticazione e crittografia

ID: FedRAMP High AC-18 (1) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Documentare e implementare le linee guida per l'accesso wireless	CMA_0190 - Documentare e implementare le linee guida per l'accesso wireless	Manuale, Disabilitato	1.1.0
Identificare e autenticare i dispositivi di rete	CMA_0296 - Identificare e autenticare i dispositivi di rete	Manuale, Disabilitato	1.1.0
Proteggere l'accesso wireless	CMA_0411 - Proteggere l'accesso wireless	Manuale, Disabilitato	1.1.0

Controllo degli accessi per dispositivi mobili

ID: FedRAMP High AC-19 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Definire i requisiti per i dispositivi mobili	CMA_0122 - Definire i requisiti per i dispositivi mobili	Manuale, Disabilitato	1.1.0

Crittografia basata su contenitore/dispositivo completo

ID: FedRAMP High AC-19 (5) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Definire i requisiti per i dispositivi mobili	CMA_0122 - Definire i requisiti per i dispositivi mobili	Manuale, Disabilitato	1.1.0
Proteggere i dati in movimento mediante la crittografia	CMA_0403 - Proteggere i dati in movimento mediante la crittografia	Manuale, Disabilitato	1.1.0

Uso di sistemi informatici esterni

ID: FedRAMP High AC-20 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Stabilire i termini e le condizioni per l'accesso alle risorse	CMA_C1076 - Stabilire i termini e le condizioni per l'accesso alle risorse	Manuale, Disabilitato	1.1.0
Stabilire i termini e le condizioni per l'elaborazione delle risorse	CMA_C1077 - Stabilire i termini e le condizioni per l'elaborazione delle risorse	Manuale, Disabilitato	1.1.0

Limiti per l'uso autorizzato

ID: FedRAMP High AC-20 (1) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Verificare i controlli di sicurezza per i sistemi informativi esterni	CMA_0541 - Verificare i controlli di sicurezza per i sistemi informativi esterni	Manuale, Disabilitato	1.1.0

Dispositivi di archiviazione portatili

ID: FedRAMP High AC-20 (2) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Bloccare i processi non attendibili e non firmati eseguiti da USB	CMA_0050 - Bloccare i processi non attendibili e non firmati eseguiti da USB	Manuale, Disabilitato	1.1.0
Controllare l'utilizzo dei dispositivi di archiviazione portabili	CMA_0083 - Controllare l'utilizzo dei dispositivi di archiviazione portabili	Manuale, Disabilitato	1.1.0
Implementare i controlli per proteggere tutti i supporti	CMA_0314 - Implementare i controlli per proteggere tutti i supporti	Manuale, Disabilitato	1.1.0

Condivisione delle informazioni

ID: FedRAMP High AC-21 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Automatizzare le decisioni di condivisione delle informazioni	CMA_0028 - Automatizzare le decisioni di condivisione delle informazioni	Manuale, Disabilitato	1.1.0
Facilitare la condivisione delle informazioni	CMA_0284 - Facilitare la condivisione delle informazioni	Manuale, Disabilitato	1.1.0

Contenuto accessibile pubblicamente

ID: FedRAMP High AC-22 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Designare il personale autorizzato per pubblicare le informazioni accessibili pubblicamente	CMA_C1083 - Designare il personale autorizzato per pubblicare le informazioni accessibili pubblicamente	Manuale, Disabilitato	1.1.0
Esaminare il contenuto prima di pubblicare informazioni pubblicamente accessibili	CMA_C1085 - Esaminare il contenuto prima di pubblicare informazioni pubblicamente accessibili	Manuale, Disabilitato	1.1.0
Rivedere il contenuto accessibile pubblicamente per informazioni non pubbliche	CMA_C1086 - Rivedere il contenuto accessibile pubblicamente per informazioni non pubbliche	Manuale, Disabilitato	1.1.0
Formare il personale sulla divulgazione di informazioni non pubbliche	CMA_C1084 - Formare il personale sulla divulgazione di informazioni non pubbliche	Manuale, Disabilitato	1.1.0

Consapevolezza e training

Criteri e procedure per la consapevolezza della sicurezza e il training

ID: FedRAMP High AT-1 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Documentare le attività di formazione sulla sicurezza e sulla privacy	CMA_0198 - Documentare le attività di formazione sulla sicurezza e sulla privacy	Manuale, Disabilitato	1.1.0
Aggiornare i criteri di sicurezza delle informazioni	CMA_0518 - Aggiornare i criteri di sicurezza delle informazioni	Manuale, Disabilitato	1.1.0

Formazione per la sensibilizzazione in materia di sicurezza

ID: FedRAMP High AT-2 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Erogare formazione periodica di sensibilizzazione sulla sicurezza	CMA_C1091 - Erogare formazione periodica di sensibilizzazione sulla sicurezza	Manuale, Disabilitato	1.1.0
Erogare la formazione sulla sicurezza per i nuovi utenti	CMA_0419 - Erogare la formazione sulla sicurezza per i nuovi utenti	Manuale, Disabilitato	1.1.0
Fornire una training aggiornata sulla sensibilizzazione sulla sicurezza	CMA_C1090 - Fornire una formazione aggiornata sulla sensibilizzazione sulla sicurezza	Manuale, Disabilitato	1.1.0

Minaccia interna

ID: FedRAMP High AT-2 (2) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Fornire training sulla sicurezza per le minacce interne	CMA_0417 - Fornire formazione sulla consapevolezza della sicurezza per le minacce interne	Manuale, Disabilitato	1.1.0

Formazione in materia di sicurezza basata sui ruoli

ID: FedRAMP High AT-3 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Erogare formazione periodica sulla sicurezza basata sui ruoli	CMA_C1095 - Erogare formazione periodica sulla sicurezza basata sui ruoli	Manuale, Disabilitato	1.1.0
Erogare formazione sulla sicurezza basata sui ruoli	CMA_C1094 - Fornisci formazione sulla sicurezza basata sui ruoli	Manuale, Disabilitato	1.1.0
Fornire la formazione sulla sicurezza prima di concedere l'accesso	CMA_0418 - Erogare la formazione sulla sicurezza prima di concedere l'accesso	Manuale, Disabilitato	1.1.0

Esercizi pratici

ID: FedRAMP High AT-3 (3) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Fornire esercizi pratici basati sul ruolo	CMA_C1096 - Fornire esercizi pratici basati sul ruolo	Manuale, Disabilitato	1.1.0

Comunicazioni sospette e comportamento di sistema anomalo

ID: FedRAMP High AT-3 (4) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Fornire training basata sui ruoli su attività sospette	CMA_C1097 - Fornire formazione basata sui ruoli su attività sospette	Manuale, Disabilitato	1.1.0

Record della formazione in materia di sicurezza

ID: FedRAMP High AT-4 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Documentare le attività di formazione sulla sicurezza e sulla privacy	CMA_0198 - Documentare le attività di formazione sulla sicurezza e sulla privacy	Manuale, Disabilitato	1.1.0
Monitorare il completamento della formazione sulla sicurezza e sulla privacy	CMA_0379 - Monitorare il completamento della formazione sulla sicurezza e sulla privacy	Manuale, Disabilitato	1.1.0
Conservare i record sulla formazione	CMA_0456 - Conservare i record sulla formazione	Manuale, Disabilitato	1.1.0

Controllo e responsabilità

Criteri e procedure di audit e responsabilità

ID: FedRAMP High AU-1 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Sviluppare criteri e procedure di controllo e responsabilità	CMA_0154 - Sviluppare criteri e procedure di controllo e responsabilità	Manuale, Disabilitato	1.1.0
Sviluppare criteri e procedure di sicurezza delle informazioni	CMA_0158 - Sviluppare criteri e procedure di sicurezza delle informazioni	Manuale, Disabilitato	1.1.0
Gestire criteri e procedure	CMA_0292 - Gestire criteri e procedure	Manuale, Disabilitato	1.1.0
Aggiornare i criteri di sicurezza delle informazioni	CMA_0518 - Aggiornare i criteri di sicurezza delle informazioni	Manuale, Disabilitato	1.1.0

Eventi di controllo

ID: FedRAMP High AU-2 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Determinare gli eventi controllabili	CMA_0137 - Determinare gli eventi controllabili	Manuale, Disabilitato	1.1.0

Recensioni e aggiornamenti

ID: FedRAMP High AU-2 (3) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Rivedere e aggiornare gli eventi definiti in AU-02	CMA_C1106 - Rivedere e aggiornare gli eventi definiti in AU-02	Manuale, Disabilitato	1.1.0

Contenuto dei record di audit

ID: FedRAMP High AU-3 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Determinare gli eventi controllabili	CMA_0137 - Determinare gli eventi controllabili	Manuale, Disabilitato	1.1.0

Informazioni di audit aggiuntive

ID: FedRAMP High AU-3 (1) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Configurare le funzionalità di audit di Azure	CMA_C1108 - Configurare le funzionalità di audit di Azure	Manuale, Disabilitato	1.1.1

Capacità dell'archiviazione di controllo

ID: FedRAMP High AU-4 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Gestire e monitorare le attività di elaborazione dei controlli	CMA_0289 - Gestire e monitorare le attività di elaborazione dei controlli	Manuale, Disabilitato	1.1.0

Risposta a errori di elaborazione di audit

ID: FedRAMP High AU-5 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Gestire e monitorare le attività di elaborazione dei controlli	CMA_0289 - Gestire e monitorare le attività di elaborazione dei controlli	Manuale, Disabilitato	1.1.0

Avvisi in tempo reale

ID: FedRAMP High AU-5 (2) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Fornire avvisi in tempo reale per errori relativi a eventi di controllo	CMA_C1114 - Fornire avvisi in tempo reale per errori relativi a eventi di controllo	Manuale, Disabilitato	1.1.0

Verifica, analisi e report di controllo

ID: FedRAMP High AU-6 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
[Anteprima]: I cluster Kubernetes con abilitazione di Azure Arc dovrebbero avere installata l'estensione Microsoft Defender per il cloud	L'estensione Microsoft Defender for Cloud per Azure Arc fornisce la protezione dalle minacce per i cluster Kubernetes abilitati per Arc. L'estensione raccoglie i dati da tutti i nodi del cluster e li invia al back-end di Azure Defender per Kubernetes nel cloud per un'ulteriore analisi. Altre informazioni sono disponibili in https://docs.microsoft.com/azure/defender-for-cloud/defender-for-containers-enable?pivots=defender-for-container-arc.	AuditIfNotExists, Disabled	6.0.0-anteprima
[Anteprima]: È consigliabile installare l'agente di raccolta di dati del traffico di rete nelle macchine virtuali Linux	Centro sicurezza usa Microsoft Dependency Agent per raccogliere i dati sul traffico di rete dalle macchine virtuali di Azure per abilitare funzionalità di protezione della rete avanzate, ad esempio la visualizzazione del traffico sulla mappa di rete, le raccomandazioni di protezione avanzata della rete e minacce alla rete specifiche.	AuditIfNotExists, Disabled	1.0.2-anteprima
[Anteprima] È consigliabile installare l'agente di raccolta di dati del traffico di rete nelle macchine virtuali Windows	Centro sicurezza usa Microsoft Dependency Agent per raccogliere i dati sul traffico di rete dalle macchine virtuali di Azure per abilitare funzionalità di protezione della rete avanzate, ad esempio la visualizzazione del traffico sulla mappa di rete, le raccomandazioni di protezione avanzata della rete e minacce alla rete specifiche.	AuditIfNotExists, Disabled	1.0.2-anteprima
Azure Defender per il Servizio app deve essere abilitato	Azure Defender per il Servizio app sfrutta la portata del cloud e la visibilità di Azure come provider di servizi cloud per monitorare gli attacchi alle app Web più comuni.	AuditIfNotExists, Disabled	1.0.3
Azure Defender per i server di database SQL di Azure deve essere abilitato	Azure Defender per SQL fornisce funzionalità per l'individuazione e la mitigazione di potenziali vulnerabilità del database, il rilevamento di attività anomale che possono indicare minacce ai database SQL e l'individuazione e la classificazione di dati sensibili.	AuditIfNotExists, Disabled	1.0.2
Azure Defender per Key Vault deve essere abilitato	Azure Defender per Key Vault fornisce un ulteriore livello di protezione e di intelligence per sulla sicurezza grazie al rilevamento di tentativi insoliti e potenzialmente dannosi di accesso o sfruttamento degli account di Key Vault.	AuditIfNotExists, Disabled	1.0.3
Defender di Azure per Resource Manager deve essere abilitato	Azure Defender per Resource Manager monitora automaticamente tutte le operazioni di gestione risorse eseguite nell'organizzazione. Azure Defender rileva minacce e avvisi relativi alle attività sospette. Altre informazioni sulle funzionalità di Azure Defender per Resource Manager sono disponibili all'indirizzo https://aka.ms/defender-for-resource-manager. L'abilitazione di questo piano di Azure Defender comporta degli addebiti. Informazioni sui dettagli sui prezzi per area nella pagina dei prezzi del Centro sicurezza: https://aka.ms/pricing-security-center.	AuditIfNotExists, Disabled	1.0.0
Azure Defender per i server deve essere abilitato	Azure Defender per i server fornisce protezione dalle minacce in tempo reale per i carichi di lavoro dei server e genera raccomandazioni per la protezione avanzata e avvisi sulle attività sospette.	AuditIfNotExists, Disabled	1.0.3
Azure Defender per i server SQL nelle macchine virtuali deve essere abilitato	Azure Defender per SQL fornisce funzionalità per l'individuazione e la mitigazione di potenziali vulnerabilità del database, il rilevamento di attività anomale che possono indicare minacce ai database SQL e l'individuazione e la classificazione di dati sensibili.	AuditIfNotExists, Disabled	1.0.2
Azure Defender per SQL deve essere abilitato per i server Azure SQL non protetti	Controlla server SQL senza Sicurezza dei dati avanzata	AuditIfNotExists, Disabled	2.0.1
Azure Defender per SQL deve essere abilitato per le Istanze gestite di SQL non protette	Controlla ogni istanza gestita di SQL senza Sicurezza dei dati avanzata.	AuditIfNotExists, Disabled	1.0.2
Correlare i record di controllo	CMA_0087 - Correlare i record di controllo	Manuale, Disabilitato	1.1.0
Stabilire i requisiti per la revisione e i report di controllo	CMA_0277 - Stabilire i requisiti per la revisione e i report di controllo	Manuale, Disabilitato	1.1.0
Integrare revisione, analisi e report di controllo	CMA_0339 - Integrare la revisione, l'analisi e il report di controllo	Manuale, Disabilitato	1.1.0
Integrare Cloud App Security con un sistema SIEM	CMA_0340 - Integrare Cloud App Security con un sistema SIEM	Manuale, Disabilitato	1.1.0
Microsoft Defender per contenitori deve essere abilitato	Microsoft Defender per contenitori offre protezione avanzata, valutazione della vulnerabilità e protezione in fase di esecuzione per gli ambienti Kubernetes Azure, ibrido e multi-cloud.	AuditIfNotExists, Disabled	1.0.0
Microsoft Defender per archiviazione deve essere abilitato	Microsoft Defender per archiviazione rileva potenziali minacce per gli account di archiviazione. Consente di evitare i tre principali impatti sui dati e sul carico di lavoro: caricamenti di file dannosi, esfiltrazione di dati sensibili e danneggiamento dei dati. Il nuovo piano di Defender per archiviazione include l'analisi del malware e il rilevamento delle minacce per i dati sensibili. Questo piano fornisce anche una struttura prezzi stimabile (per account di archiviazione) per avere controllo sulla copertura e sui costi.	AuditIfNotExists, Disabled	1.0.0
È consigliabile abilitare Network Watcher	Network Watcher è un servizio a livello di area che permette di monitorare e diagnosticare le condizioni al livello di scenario di rete da, verso e all'interno di Azure. Il monitoraggio a livello di scenario permette di diagnosticare i problemi in una visualizzazione completa a livello di rete. È necessario creare un gruppo di risorse network watcher in ogni area in cui è presente una rete virtuale. Un avviso è abilitato se un gruppo di risorse network watcher non è disponibile in una determinata area.	AuditIfNotExists, Disabled	3.0.0
Esaminare i log di provisioning account	CMA_0460 - Esaminare i log di provisioning account	Manuale, Disabilitato	1.1.0
Rivedere le assegnazioni degli amministratori ogni settimana	CMA_0461 - Rivedere le assegnazioni degli amministratori ogni settimana	Manuale, Disabilitato	1.1.0
Rivedere i dati di audit	CMA_0466 - Rivedere i dati di audit	Manuale, Disabilitato	1.1.0
Esaminare la panoramica del report sulle identità cloud	CMA_0468 - Esaminare la panoramica del report sulle identità cloud	Manuale, Disabilitato	1.1.0
Esaminare gli eventi di accesso controllato alle cartelle	CMA_0471 - Esaminare gli eventi di accesso controllato alle cartelle	Manuale, Disabilitato	1.1.0
Esaminare le attività relative a file e cartelle	CMA_0473 - Esaminare le attività relative a file e cartelle	Manuale, Disabilitato	1.1.0
Rivedere le modifiche del gruppo di ruoli ogni settimana	CMA_0476 - Rivedere le modifiche del gruppo di ruoli ogni settimana	Manuale, Disabilitato	1.1.0

Integrazione processi

ID: FedRAMP High AU-6 (1) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Correlare i record di controllo	CMA_0087 - Correlare i record di controllo	Manuale, Disabilitato	1.1.0
Stabilire i requisiti per la revisione e i report di controllo	CMA_0277 - Stabilire i requisiti per la revisione e i report di controllo	Manuale, Disabilitato	1.1.0
Integrare revisione, analisi e report di controllo	CMA_0339 - Integrare la revisione, l'analisi e il report di controllo	Manuale, Disabilitato	1.1.0
Integrare Cloud App Security con un sistema SIEM	CMA_0340 - Integrare Cloud App Security con un sistema SIEM	Manuale, Disabilitato	1.1.0
Esaminare i log di provisioning account	CMA_0460 - Esaminare i log di provisioning account	Manuale, Disabilitato	1.1.0
Rivedere le assegnazioni degli amministratori ogni settimana	CMA_0461 - Rivedere le assegnazioni degli amministratori ogni settimana	Manuale, Disabilitato	1.1.0
Rivedere i dati di audit	CMA_0466 - Rivedere i dati di audit	Manuale, Disabilitato	1.1.0
Esaminare la panoramica del report sulle identità cloud	CMA_0468 - Esaminare la panoramica del report sulle identità cloud	Manuale, Disabilitato	1.1.0
Esaminare gli eventi di accesso controllato alle cartelle	CMA_0471 - Esaminare gli eventi di accesso controllato alle cartelle	Manuale, Disabilitato	1.1.0
Esaminare le attività relative a file e cartelle	CMA_0473 - Esaminare le attività relative a file e cartelle	Manuale, Disabilitato	1.1.0
Rivedere le modifiche del gruppo di ruoli ogni settimana	CMA_0476 - Rivedere le modifiche del gruppo di ruoli ogni settimana	Manuale, Disabilitato	1.1.0

Repository di audit correlati

ID: FedRAMP High AU-6 (3) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Correlare i record di controllo	CMA_0087 - Correlare i record di controllo	Manuale, Disabilitato	1.1.0
Integrare Cloud App Security con un sistema SIEM	CMA_0340 - Integrare Cloud App Security con un sistema SIEM	Manuale, Disabilitato	1.1.0

Revisione centrale e analisi

ID: FedRAMP High AU-6 (4) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
[Anteprima]: I cluster Kubernetes con abilitazione di Azure Arc dovrebbero avere installata l'estensione Microsoft Defender per il cloud	L'estensione Microsoft Defender for Cloud per Azure Arc fornisce la protezione dalle minacce per i cluster Kubernetes abilitati per Arc. L'estensione raccoglie i dati da tutti i nodi del cluster e li invia al back-end di Azure Defender per Kubernetes nel cloud per un'ulteriore analisi. Altre informazioni sono disponibili in https://docs.microsoft.com/azure/defender-for-cloud/defender-for-containers-enable?pivots=defender-for-container-arc.	AuditIfNotExists, Disabled	6.0.0-anteprima
[Anteprima]: L'estensione di Log Analytics deve essere installata nelle macchine virtuali Linux in Azure Arc	Questo criterio controlla le macchine virtuali Linux in Azure Arc in cui non è installata l'estensione di Log Analytics.	AuditIfNotExists, Disabled	1.0.1-preview
[Anteprima]: L'estensione di Log Analytics deve essere installata nelle macchine virtuali Windows in Azure Arc	Questo criterio controlla le macchine virtuali Windows in Azure Arc in cui non è installata l'estensione di Log Analytics.	AuditIfNotExists, Disabled	1.0.1-preview
[Anteprima] È consigliabile installare l'agente di raccolta di dati del traffico di rete nella macchina virtuale Linux	Centro sicurezza usa Microsoft Dependency Agent per raccogliere i dati sul traffico di rete dalle macchine virtuali di Azure per abilitare funzionalità di protezione della rete avanzate, ad esempio la visualizzazione del traffico sulla mappa di rete, le raccomandazioni di protezione avanzata della rete e minacce alla rete specifiche.	AuditIfNotExists, Disabled	1.0.2-anteprima
[Anteprima] È consigliabile installare l'agente di raccolta di dati del traffico di rete nelle macchine virtuali Windows	Centro sicurezza usa Microsoft Dependency Agent per raccogliere i dati sul traffico di rete dalle macchine virtuali di Azure per abilitare funzionalità di protezione della rete avanzate, ad esempio la visualizzazione del traffico sulla mappa di rete, le raccomandazioni di protezione avanzata della rete e minacce alla rete specifiche.	AuditIfNotExists, Disabled	1.0.2-anteprima
I log delle risorse devono essere abilitati per le app del servizio app	Controllare l'abilitazione dei log delle risorse nell'app. Ciò consente di ricreare la traccia delle attività per scopi di analisi se si verifica un evento imprevisto della sicurezza o la rete viene compromessa.	AuditIfNotExists, Disabled	2.0.1
È consigliabile abilitare il controllo in SQL Server	Abilitare il controllo in SQL Server per verificare le attività del database in tutti i database sul server e salvarle in un log di controllo.	AuditIfNotExists, Disabled	2.0.0
È consigliabile abilitare il provisioning automatico dell'agente di Log Analytics nella sottoscrizione	Per monitorare le minacce e le vulnerabilità della sicurezza, Centro sicurezza di Azure raccoglie i dati dalle macchine virtuali di Azure. I dati vengono raccolti dall'agente di Log Analytics, precedentemente noto come Microsoft Monitoring Agent (MMA), che esegue la lettura di varie configurazioni relative alla sicurezza e log eventi dalla macchina virtuale e copia i dati nell'area di lavoro Log Analytics per l'analisi. È consigliabile abilitare il provisioning automatico per distribuire automaticamente l'agente in tutte le macchine virtuali di Azure supportate e in tutte le nuove macchine virtuali che vengono create.	AuditIfNotExists, Disabled	1.0.1
Azure Defender per il Servizio app deve essere abilitato	Azure Defender per il Servizio app sfrutta la portata del cloud e la visibilità di Azure come provider di servizi cloud per monitorare gli attacchi alle app Web più comuni.	AuditIfNotExists, Disabled	1.0.3
Azure Defender per i server di database SQL di Azure deve essere abilitato	Azure Defender per SQL fornisce funzionalità per l'individuazione e la mitigazione di potenziali vulnerabilità del database, il rilevamento di attività anomale che possono indicare minacce ai database SQL e l'individuazione e la classificazione di dati sensibili.	AuditIfNotExists, Disabled	1.0.2
Azure Defender per Key Vault deve essere abilitato	Azure Defender per Key Vault fornisce un ulteriore livello di protezione e di intelligence per sulla sicurezza grazie al rilevamento di tentativi insoliti e potenzialmente dannosi di accesso o sfruttamento degli account di Key Vault.	AuditIfNotExists, Disabled	1.0.3
Defender di Azure per Resource Manager deve essere abilitato	Azure Defender per Resource Manager monitora automaticamente tutte le operazioni di gestione risorse eseguite nell'organizzazione. Azure Defender rileva minacce e avvisi relativi alle attività sospette. Altre informazioni sulle funzionalità di Azure Defender per Resource Manager sono disponibili all'indirizzo https://aka.ms/defender-for-resource-manager. L'abilitazione di questo piano di Azure Defender comporta degli addebiti. Informazioni sui dettagli sui prezzi per area nella pagina dei prezzi del Centro sicurezza: https://aka.ms/pricing-security-center.	AuditIfNotExists, Disabled	1.0.0
Azure Defender per i server deve essere abilitato	Azure Defender per i server fornisce protezione dalle minacce in tempo reale per i carichi di lavoro dei server e genera raccomandazioni per la protezione avanzata e avvisi sulle attività sospette.	AuditIfNotExists, Disabled	1.0.3
Azure Defender per i server SQL nelle macchine virtuali deve essere abilitato	Azure Defender per SQL fornisce funzionalità per l'individuazione e la mitigazione di potenziali vulnerabilità del database, il rilevamento di attività anomale che possono indicare minacce ai database SQL e l'individuazione e la classificazione di dati sensibili.	AuditIfNotExists, Disabled	1.0.2
Azure Defender per SQL deve essere abilitato per i server Azure SQL non protetti	Controlla server SQL senza Sicurezza dei dati avanzata	AuditIfNotExists, Disabled	2.0.1
Azure Defender per SQL deve essere abilitato per le Istanze gestite di SQL non protette	Controlla ogni istanza gestita di SQL senza Sicurezza dei dati avanzata.	AuditIfNotExists, Disabled	1.0.2
L'estensione Configurazione guest deve essere installata nei computer	Per garantire configurazioni sicure delle impostazioni guest del computer, installare l'estensione Configurazione guest. Le impostazioni in guest monitorate dall'estensione includono la configurazione del sistema operativo, della configurazione o della presenza dell'applicazione e delle impostazioni dell'ambiente. Dopo l'installazione, saranno disponibili i criteri nei guest, ad esempio "È consigliabile abilitare Windows Defender Exploit Guard". Per ulteriori informazioni, vedi https://aka.ms/gcpol.	AuditIfNotExists, Disabled	1.0.3
Microsoft Defender per contenitori deve essere abilitato	Microsoft Defender per contenitori offre protezione avanzata, valutazione della vulnerabilità e protezione in fase di esecuzione per gli ambienti Kubernetes Azure, ibrido e multi-cloud.	AuditIfNotExists, Disabled	1.0.0
Microsoft Defender per archiviazione deve essere abilitato	Microsoft Defender per archiviazione rileva potenziali minacce per gli account di archiviazione. Consente di evitare i tre principali impatti sui dati e sul carico di lavoro: caricamenti di file dannosi, esfiltrazione di dati sensibili e danneggiamento dei dati. Il nuovo piano di Defender per archiviazione include l'analisi del malware e il rilevamento delle minacce per i dati sensibili. Questo piano fornisce anche una struttura prezzi stimabile (per account di archiviazione) per avere controllo sulla copertura e sui costi.	AuditIfNotExists, Disabled	1.0.0
È consigliabile abilitare Network Watcher	Network Watcher è un servizio a livello di area che permette di monitorare e diagnosticare le condizioni al livello di scenario di rete da, verso e all'interno di Azure. Il monitoraggio a livello di scenario permette di diagnosticare i problemi in una visualizzazione completa a livello di rete. È necessario creare un gruppo di risorse network watcher in ogni area in cui è presente una rete virtuale. Un avviso è abilitato se un gruppo di risorse network watcher non è disponibile in una determinata area.	AuditIfNotExists, Disabled	3.0.0
I log delle risorse devono essere abilitati in Azure Data Lake Store	Controllare l'abilitazione dei log delle risorse. consentendo di ricreare la traccia delle attività da usare a fini di controllo se si verifica un problema di sicurezza o se la rete viene compromessa	AuditIfNotExists, Disabled	5.0.0
I log delle risorse devono essere abilitati in Analisi di flusso di Azure	Controllare l'abilitazione dei log delle risorse. consentendo di ricreare la traccia delle attività da usare a fini di controllo se si verifica un problema di sicurezza o se la rete viene compromessa	AuditIfNotExists, Disabled	5.0.0
I log delle risorse devono essere abilitati negli account Batch	Controllare l'abilitazione dei log delle risorse. consentendo di ricreare la traccia delle attività da usare a fini di controllo se si verifica un problema di sicurezza o se la rete viene compromessa	AuditIfNotExists, Disabled	5.0.0
I log delle risorse devono essere abilitati in Data Lake Analytics	Controllare l'abilitazione dei log delle risorse. consentendo di ricreare la traccia delle attività da usare a fini di controllo se si verifica un problema di sicurezza o se la rete viene compromessa	AuditIfNotExists, Disabled	5.0.0
I log delle risorse devono essere abilitati nell'hub eventi	Controllare l'abilitazione dei log delle risorse. consentendo di ricreare la traccia delle attività da usare a fini di controllo se si verifica un problema di sicurezza o se la rete viene compromessa	AuditIfNotExists, Disabled	5.0.0
I log delle risorse devono essere abilitati nell'hub IoT	Controllare l'abilitazione dei log delle risorse. consentendo di ricreare la traccia delle attività da usare a fini di controllo se si verifica un problema di sicurezza o se la rete viene compromessa	AuditIfNotExists, Disabled	3.1.0
I log delle risorse devono essere abilitati in Key Vault	Controllare l'abilitazione dei log delle risorse. consentendo di ricreare la traccia delle attività da usare a fini di controllo se si verifica un problema di sicurezza o se la rete viene compromessa	AuditIfNotExists, Disabled	5.0.0
I log delle risorse devono essere abilitati in App per la logica	Controllare l'abilitazione dei log delle risorse. consentendo di ricreare la traccia delle attività da usare a fini di controllo se si verifica un problema di sicurezza o se la rete viene compromessa	AuditIfNotExists, Disabled	5.1.0
I log delle risorse devono essere abilitati nei servizi di ricerca	Controllare l'abilitazione dei log delle risorse. consentendo di ricreare la traccia delle attività da usare a fini di controllo se si verifica un problema di sicurezza o se la rete viene compromessa	AuditIfNotExists, Disabled	5.0.0
I log delle risorse devono essere abilitati nel bus di servizio	Controllare l'abilitazione dei log delle risorse. consentendo di ricreare la traccia delle attività da usare a fini di controllo se si verifica un problema di sicurezza o se la rete viene compromessa	AuditIfNotExists, Disabled	5.0.0
L'estensione Configurazione guest delle macchine virtuali deve essere distribuita con un'identità gestita assegnata dal sistema	L'estensione Configurazione guest richiede un'identità gestita assegnata al sistema. Le macchine virtuali di Azure nell'ambito di questo criterio saranno non conformi se l'estensione Configurazione guest è installata ma non dispone di un'identità gestita assegnata dal sistema. Per altre informazioni: https://aka.ms/gcpol	AuditIfNotExists, Disabled	1.0.1

Integrazione/scansione e funzionalità di monitoraggio

ID: FedRAMP High AU-6 (5) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
[Anteprima]: I cluster Kubernetes con abilitazione di Azure Arc dovrebbero avere installata l'estensione Microsoft Defender per il cloud	L'estensione Microsoft Defender for Cloud per Azure Arc fornisce la protezione dalle minacce per i cluster Kubernetes abilitati per Arc. L'estensione raccoglie i dati da tutti i nodi del cluster e li invia al back-end di Azure Defender per Kubernetes nel cloud per un'ulteriore analisi. Altre informazioni sono disponibili in https://docs.microsoft.com/azure/defender-for-cloud/defender-for-containers-enable?pivots=defender-for-container-arc.	AuditIfNotExists, Disabled	6.0.0-anteprima
[Anteprima]: L'estensione di Log Analytics deve essere installata nelle macchine virtuali Linux in Azure Arc	Questo criterio controlla le macchine virtuali Linux in Azure Arc in cui non è installata l'estensione di Log Analytics.	AuditIfNotExists, Disabled	1.0.1-preview
[Anteprima]: L'estensione di Log Analytics deve essere installata nelle macchine virtuali Windows in Azure Arc	Questo criterio controlla le macchine virtuali Windows in Azure Arc in cui non è installata l'estensione di Log Analytics.	AuditIfNotExists, Disabled	1.0.1-preview
[Anteprima] È consigliabile installare l'agente di raccolta di dati del traffico di rete nella macchina virtuale Linux	Centro sicurezza usa Microsoft Dependency Agent per raccogliere i dati sul traffico di rete dalle macchine virtuali di Azure per abilitare funzionalità di protezione della rete avanzate, ad esempio la visualizzazione del traffico sulla mappa di rete, le raccomandazioni di protezione avanzata della rete e minacce alla rete specifiche.	AuditIfNotExists, Disabled	1.0.2-anteprima
[Anteprima] È consigliabile installare l'agente di raccolta di dati del traffico di rete nelle macchine virtuali Windows	Centro sicurezza usa Microsoft Dependency Agent per raccogliere i dati sul traffico di rete dalle macchine virtuali di Azure per abilitare funzionalità di protezione della rete avanzate, ad esempio la visualizzazione del traffico sulla mappa di rete, le raccomandazioni di protezione avanzata della rete e minacce alla rete specifiche.	AuditIfNotExists, Disabled	1.0.2-anteprima
I log delle risorse devono essere abilitati per le app del servizio app	Controllare l'abilitazione dei log delle risorse nell'app. Ciò consente di ricreare la traccia delle attività per scopi di analisi se si verifica un evento imprevisto della sicurezza o la rete viene compromessa.	AuditIfNotExists, Disabled	2.0.1
È consigliabile abilitare il controllo in SQL Server	Abilitare il controllo in SQL Server per verificare le attività del database in tutti i database sul server e salvarle in un log di controllo.	AuditIfNotExists, Disabled	2.0.0
È consigliabile abilitare il provisioning automatico dell'agente di Log Analytics nella sottoscrizione	Per monitorare le minacce e le vulnerabilità della sicurezza, Centro sicurezza di Azure raccoglie i dati dalle macchine virtuali di Azure. I dati vengono raccolti dall'agente di Log Analytics, precedentemente noto come Microsoft Monitoring Agent (MMA), che esegue la lettura di varie configurazioni relative alla sicurezza e log eventi dalla macchina virtuale e copia i dati nell'area di lavoro Log Analytics per l'analisi. È consigliabile abilitare il provisioning automatico per distribuire automaticamente l'agente in tutte le macchine virtuali di Azure supportate e in tutte le nuove macchine virtuali che vengono create.	AuditIfNotExists, Disabled	1.0.1
Azure Defender per il Servizio app deve essere abilitato	Azure Defender per il Servizio app sfrutta la portata del cloud e la visibilità di Azure come provider di servizi cloud per monitorare gli attacchi alle app Web più comuni.	AuditIfNotExists, Disabled	1.0.3
Azure Defender per i server di database SQL di Azure deve essere abilitato	Azure Defender per SQL fornisce funzionalità per l'individuazione e la mitigazione di potenziali vulnerabilità del database, il rilevamento di attività anomale che possono indicare minacce ai database SQL e l'individuazione e la classificazione di dati sensibili.	AuditIfNotExists, Disabled	1.0.2
Azure Defender per Key Vault deve essere abilitato	Azure Defender per Key Vault fornisce un ulteriore livello di protezione e di intelligence per sulla sicurezza grazie al rilevamento di tentativi insoliti e potenzialmente dannosi di accesso o sfruttamento degli account di Key Vault.	AuditIfNotExists, Disabled	1.0.3
Defender di Azure per Resource Manager deve essere abilitato	Azure Defender per Resource Manager monitora automaticamente tutte le operazioni di gestione risorse eseguite nell'organizzazione. Azure Defender rileva minacce e avvisi relativi alle attività sospette. Altre informazioni sulle funzionalità di Azure Defender per Resource Manager sono disponibili all'indirizzo https://aka.ms/defender-for-resource-manager. L'abilitazione di questo piano di Azure Defender comporta degli addebiti. Informazioni sui dettagli sui prezzi per area nella pagina dei prezzi del Centro sicurezza: https://aka.ms/pricing-security-center.	AuditIfNotExists, Disabled	1.0.0
Azure Defender per i server deve essere abilitato	Azure Defender per i server fornisce protezione dalle minacce in tempo reale per i carichi di lavoro dei server e genera raccomandazioni per la protezione avanzata e avvisi sulle attività sospette.	AuditIfNotExists, Disabled	1.0.3
Azure Defender per i server SQL nelle macchine virtuali deve essere abilitato	Azure Defender per SQL fornisce funzionalità per l'individuazione e la mitigazione di potenziali vulnerabilità del database, il rilevamento di attività anomale che possono indicare minacce ai database SQL e l'individuazione e la classificazione di dati sensibili.	AuditIfNotExists, Disabled	1.0.2
Azure Defender per SQL deve essere abilitato per i server Azure SQL non protetti	Controlla server SQL senza Sicurezza dei dati avanzata	AuditIfNotExists, Disabled	2.0.1
Azure Defender per SQL deve essere abilitato per le Istanze gestite di SQL non protette	Controlla ogni istanza gestita di SQL senza Sicurezza dei dati avanzata.	AuditIfNotExists, Disabled	1.0.2
L'estensione Configurazione guest deve essere installata nei computer	Per garantire configurazioni sicure delle impostazioni guest del computer, installare l'estensione Configurazione guest. Le impostazioni in guest monitorate dall'estensione includono la configurazione del sistema operativo, della configurazione o della presenza dell'applicazione e delle impostazioni dell'ambiente. Dopo l'installazione, saranno disponibili i criteri nei guest, ad esempio "È consigliabile abilitare Windows Defender Exploit Guard". Per ulteriori informazioni, vedi https://aka.ms/gcpol.	AuditIfNotExists, Disabled	1.0.3
Integrare l'analisi dei record di controllo	CMA_C1120 - Integrare l'analisi dei record di controllo	Manuale, Disabilitato	1.1.0
Microsoft Defender per contenitori deve essere abilitato	Microsoft Defender per contenitori offre protezione avanzata, valutazione della vulnerabilità e protezione in fase di esecuzione per gli ambienti Kubernetes Azure, ibrido e multi-cloud.	AuditIfNotExists, Disabled	1.0.0
Microsoft Defender per archiviazione deve essere abilitato	Microsoft Defender per archiviazione rileva potenziali minacce per gli account di archiviazione. Consente di evitare i tre principali impatti sui dati e sul carico di lavoro: caricamenti di file dannosi, esfiltrazione di dati sensibili e danneggiamento dei dati. Il nuovo piano di Defender per archiviazione include l'analisi del malware e il rilevamento delle minacce per i dati sensibili. Questo piano fornisce anche una struttura prezzi stimabile (per account di archiviazione) per avere controllo sulla copertura e sui costi.	AuditIfNotExists, Disabled	1.0.0
È consigliabile abilitare Network Watcher	Network Watcher è un servizio a livello di area che permette di monitorare e diagnosticare le condizioni al livello di scenario di rete da, verso e all'interno di Azure. Il monitoraggio a livello di scenario permette di diagnosticare i problemi in una visualizzazione completa a livello di rete. È necessario creare un gruppo di risorse network watcher in ogni area in cui è presente una rete virtuale. Un avviso è abilitato se un gruppo di risorse network watcher non è disponibile in una determinata area.	AuditIfNotExists, Disabled	3.0.0
I log delle risorse devono essere abilitati in Azure Data Lake Store	Controllare l'abilitazione dei log delle risorse. consentendo di ricreare la traccia delle attività da usare a fini di controllo se si verifica un problema di sicurezza o se la rete viene compromessa	AuditIfNotExists, Disabled	5.0.0
I log delle risorse devono essere abilitati in Analisi di flusso di Azure	Controllare l'abilitazione dei log delle risorse. consentendo di ricreare la traccia delle attività da usare a fini di controllo se si verifica un problema di sicurezza o se la rete viene compromessa	AuditIfNotExists, Disabled	5.0.0
I log delle risorse devono essere abilitati negli account Batch	Controllare l'abilitazione dei log delle risorse. consentendo di ricreare la traccia delle attività da usare a fini di controllo se si verifica un problema di sicurezza o se la rete viene compromessa	AuditIfNotExists, Disabled	5.0.0
I log delle risorse devono essere abilitati in Data Lake Analytics	Controllare l'abilitazione dei log delle risorse. consentendo di ricreare la traccia delle attività da usare a fini di controllo se si verifica un problema di sicurezza o se la rete viene compromessa	AuditIfNotExists, Disabled	5.0.0
I log delle risorse devono essere abilitati nell'hub eventi	Controllare l'abilitazione dei log delle risorse. consentendo di ricreare la traccia delle attività da usare a fini di controllo se si verifica un problema di sicurezza o se la rete viene compromessa	AuditIfNotExists, Disabled	5.0.0
I log delle risorse devono essere abilitati nell'hub IoT	Controllare l'abilitazione dei log delle risorse. consentendo di ricreare la traccia delle attività da usare a fini di controllo se si verifica un problema di sicurezza o se la rete viene compromessa	AuditIfNotExists, Disabled	3.1.0
I log delle risorse devono essere abilitati in Key Vault	Controllare l'abilitazione dei log delle risorse. consentendo di ricreare la traccia delle attività da usare a fini di controllo se si verifica un problema di sicurezza o se la rete viene compromessa	AuditIfNotExists, Disabled	5.0.0
I log delle risorse devono essere abilitati in App per la logica	Controllare l'abilitazione dei log delle risorse. consentendo di ricreare la traccia delle attività da usare a fini di controllo se si verifica un problema di sicurezza o se la rete viene compromessa	AuditIfNotExists, Disabled	5.1.0
I log delle risorse devono essere abilitati nei servizi di ricerca	Controllare l'abilitazione dei log delle risorse. consentendo di ricreare la traccia delle attività da usare a fini di controllo se si verifica un problema di sicurezza o se la rete viene compromessa	AuditIfNotExists, Disabled	5.0.0
I log delle risorse devono essere abilitati nel bus di servizio	Controllare l'abilitazione dei log delle risorse. consentendo di ricreare la traccia delle attività da usare a fini di controllo se si verifica un problema di sicurezza o se la rete viene compromessa	AuditIfNotExists, Disabled	5.0.0
L'estensione Configurazione guest delle macchine virtuali deve essere distribuita con un'identità gestita assegnata dal sistema	L'estensione Configurazione guest richiede un'identità gestita assegnata al sistema. Le macchine virtuali di Azure nell'ambito di questo criterio saranno non conformi se l'estensione Configurazione guest è installata ma non dispone di un'identità gestita assegnata dal sistema. Per altre informazioni: https://aka.ms/gcpol	AuditIfNotExists, Disabled	1.0.1

Azioni consentite

ID: FedRAMP High AU-6 (7) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Specificare le azioni consentite associate alle informazioni di audit del cliente	CMA_C1122 - Specificare le azioni consentite associate alle informazioni di controllo del cliente	Manuale, Disabilitato	1.1.0

Regolazione del livello di audit

ID: FedRAMP High AU-6 (10) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Modificare il livello di revisione, analisi e creazione di report di audit	CMA_C1123 - Regolare il livello di revisione, analisi e creazione di report di controllo	Manuale, Disabilitato	1.1.0

Riduzione del controllo e generazione di report

ID: FedRAMP High AU-7 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Assicurarsi che i record di audit non vengano modificati	CMA_C1125 - Verificare che i record di controllo non vengano modificati	Manuale, Disabilitato	1.1.0
Fornire la funzionalità di revisione, analisi e creazione di report di audit	CMA_C1124 - Fornire la funzionalità di revisione, analisi e creazione di report di controllo	Manuale, Disabilitato	1.1.0

Elaborazione automatica

ID: FedRAMP High AU-7 (1) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Fornire capacità per elaborare i record di audit controllati dal cliente	CMA_C1126 - Fornire capacità per elaborare i record di controllo controllati dal cliente	Manuale, Disabilitato	1.1.0

Timestamp

ID: FedRAMP High AU-8 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Usa orologi di sistema per i record di audit	CMA_0535 - Utilizzare orologi di sistema per i record di audit	Manuale, Disabilitato	1.1.0

Sincronizzazione con fonte ora autorevole

ID: FedRAMP High AU-8 (1) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Usa orologi di sistema per i record di audit	CMA_0535 - Utilizzare orologi di sistema per i record di audit	Manuale, Disabilitato	1.1.0

Protezione delle informazioni di audit

ID: FedRAMP High AU-9 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Abilitare l'autorizzazione doppia o congiunta	CMA_0226 - Abilitare l'autorizzazione doppia o congiunta	Manuale, Disabilitato	1.1.0
Proteggere le informazioni di audit	CMA_0401 - Proteggere le informazioni di audit	Manuale, Disabilitato	1.1.0

Controllare il backup in sistemi/componenti fisici separati

ID: FedRAMP High AU-9 (2) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Stabilire criteri e procedure di backup	CMA_0268 - Stabilire criteri e procedure di backup	Manuale, Disabilitato	1.1.0

Protezione crittografica

ID: FedRAMP High AU-9 (3) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Mantenere l'integrità del sistema di controllo	CMA_C1133: mantenere l'integrità del sistema di controllo	Manuale, Disabilitato	1.1.0

Accesso per sottoinsieme di utenti privilegiati

ID: FedRAMP High AU-9 (4) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Proteggere le informazioni di audit	CMA_0401 - Proteggere le informazioni di audit	Manuale, Disabilitato	1.1.0

Non ripudio

ID: FedRAMP High AU-10 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Stabilire i requisiti per la firma elettronica e i certificati	CMA_0271 - Stabilire i requisiti per la firma elettronica e i certificati	Manuale, Disabilitato	1.1.0

Conservazione dei record di controllo

ID: FedRAMP High AU-11 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Rispettare i periodi di conservazione definiti	CMA_0004 - Rispettare i periodi di conservazione definiti	Manuale, Disabilitato	1.1.0
Mantenere criteri e procedure di sicurezza	CMA_0454 - Mantenere criteri e procedure di sicurezza	Manuale, Disabilitato	1.1.0
Conservare i dati degli utenti terminati	CMA_0455 - Conservare i dati degli utenti terminati	Manuale, Disabilitato	1.1.0
I server SQL con il controllo nella destinazione dell'account di archiviazione devono essere configurati con un periodo di conservazione di 90 giorni o superiore	Ai fini dell'indagine degli eventi imprevisti, è consigliabile impostare la conservazione dei dati per il controllo di SQL Server sulla destinazione dell'account di archiviazione su almeno 90 giorni. Verificare di soddisfare le regole di conservazione necessarie per le aree in cui si lavora. Ciò è talvolta necessario per la conformità agli standard normativi.	AuditIfNotExists, Disabled	3.0.0

Generazione di controllo

ID: FedRAMP High AU-12 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
[Anteprima]: I cluster Kubernetes con abilitazione di Azure Arc dovrebbero avere installata l'estensione Microsoft Defender per il cloud	L'estensione Microsoft Defender for Cloud per Azure Arc fornisce la protezione dalle minacce per i cluster Kubernetes abilitati per Arc. L'estensione raccoglie i dati da tutti i nodi del cluster e li invia al back-end di Azure Defender per Kubernetes nel cloud per un'ulteriore analisi. Altre informazioni sono disponibili in https://docs.microsoft.com/azure/defender-for-cloud/defender-for-containers-enable?pivots=defender-for-container-arc.	AuditIfNotExists, Disabled	6.0.0-anteprima
[Anteprima]: L'estensione di Log Analytics deve essere installata nelle macchine virtuali Linux in Azure Arc	Questo criterio controlla le macchine virtuali Linux in Azure Arc in cui non è installata l'estensione di Log Analytics.	AuditIfNotExists, Disabled	1.0.1-preview
[Anteprima]: L'estensione di Log Analytics deve essere installata nelle macchine virtuali Windows in Azure Arc	Questo criterio controlla le macchine virtuali Windows in Azure Arc in cui non è installata l'estensione di Log Analytics.	AuditIfNotExists, Disabled	1.0.1-preview
[Anteprima] È consigliabile installare l'agente di raccolta di dati del traffico di rete nella macchina virtuale Linux	Centro sicurezza usa Microsoft Dependency Agent per raccogliere i dati sul traffico di rete dalle macchine virtuali di Azure per abilitare funzionalità di protezione della rete avanzate, ad esempio la visualizzazione del traffico sulla mappa di rete, le raccomandazioni di protezione avanzata della rete e minacce alla rete specifiche.	AuditIfNotExists, Disabled	1.0.2-anteprima
[Anteprima] È consigliabile installare l'agente di raccolta di dati del traffico di rete nelle macchine virtuali Windows	Centro sicurezza usa Microsoft Dependency Agent per raccogliere i dati sul traffico di rete dalle macchine virtuali di Azure per abilitare funzionalità di protezione della rete avanzate, ad esempio la visualizzazione del traffico sulla mappa di rete, le raccomandazioni di protezione avanzata della rete e minacce alla rete specifiche.	AuditIfNotExists, Disabled	1.0.2-anteprima
I log delle risorse devono essere abilitati per le app del servizio app	Controllare l'abilitazione dei log delle risorse nell'app. Ciò consente di ricreare la traccia delle attività per scopi di analisi se si verifica un evento imprevisto della sicurezza o la rete viene compromessa.	AuditIfNotExists, Disabled	2.0.1
Controllare le funzioni con privilegi	CMA_0019 - Controllare le funzioni con privilegi	Manuale, Disabilitato	1.1.0
Controllare lo stato dell'account utente	CMA_0020 - Controllare lo stato dell'account utente	Manuale, Disabilitato	1.1.0
È consigliabile abilitare il controllo in SQL Server	Abilitare il controllo in SQL Server per verificare le attività del database in tutti i database sul server e salvarle in un log di controllo.	AuditIfNotExists, Disabled	2.0.0
È consigliabile abilitare il provisioning automatico dell'agente di Log Analytics nella sottoscrizione	Per monitorare le minacce e le vulnerabilità della sicurezza, Centro sicurezza di Azure raccoglie i dati dalle macchine virtuali di Azure. I dati vengono raccolti dall'agente di Log Analytics, precedentemente noto come Microsoft Monitoring Agent (MMA), che esegue la lettura di varie configurazioni relative alla sicurezza e log eventi dalla macchina virtuale e copia i dati nell'area di lavoro Log Analytics per l'analisi. È consigliabile abilitare il provisioning automatico per distribuire automaticamente l'agente in tutte le macchine virtuali di Azure supportate e in tutte le nuove macchine virtuali che vengono create.	AuditIfNotExists, Disabled	1.0.1
Azure Defender per il Servizio app deve essere abilitato	Azure Defender per il Servizio app sfrutta la portata del cloud e la visibilità di Azure come provider di servizi cloud per monitorare gli attacchi alle app Web più comuni.	AuditIfNotExists, Disabled	1.0.3
Azure Defender per i server di database SQL di Azure deve essere abilitato	Azure Defender per SQL fornisce funzionalità per l'individuazione e la mitigazione di potenziali vulnerabilità del database, il rilevamento di attività anomale che possono indicare minacce ai database SQL e l'individuazione e la classificazione di dati sensibili.	AuditIfNotExists, Disabled	1.0.2
Azure Defender per Key Vault deve essere abilitato	Azure Defender per Key Vault fornisce un ulteriore livello di protezione e di intelligence per sulla sicurezza grazie al rilevamento di tentativi insoliti e potenzialmente dannosi di accesso o sfruttamento degli account di Key Vault.	AuditIfNotExists, Disabled	1.0.3
Defender di Azure per Resource Manager deve essere abilitato	Azure Defender per Resource Manager monitora automaticamente tutte le operazioni di gestione risorse eseguite nell'organizzazione. Azure Defender rileva minacce e avvisi relativi alle attività sospette. Altre informazioni sulle funzionalità di Azure Defender per Resource Manager sono disponibili all'indirizzo https://aka.ms/defender-for-resource-manager. L'abilitazione di questo piano di Azure Defender comporta degli addebiti. Informazioni sui dettagli sui prezzi per area nella pagina dei prezzi del Centro sicurezza: https://aka.ms/pricing-security-center.	AuditIfNotExists, Disabled	1.0.0
Azure Defender per i server deve essere abilitato	Azure Defender per i server fornisce protezione dalle minacce in tempo reale per i carichi di lavoro dei server e genera raccomandazioni per la protezione avanzata e avvisi sulle attività sospette.	AuditIfNotExists, Disabled	1.0.3
Azure Defender per i server SQL nelle macchine virtuali deve essere abilitato	Azure Defender per SQL fornisce funzionalità per l'individuazione e la mitigazione di potenziali vulnerabilità del database, il rilevamento di attività anomale che possono indicare minacce ai database SQL e l'individuazione e la classificazione di dati sensibili.	AuditIfNotExists, Disabled	1.0.2
Azure Defender per SQL deve essere abilitato per i server Azure SQL non protetti	Controlla server SQL senza Sicurezza dei dati avanzata	AuditIfNotExists, Disabled	2.0.1
Azure Defender per SQL deve essere abilitato per le Istanze gestite di SQL non protette	Controlla ogni istanza gestita di SQL senza Sicurezza dei dati avanzata.	AuditIfNotExists, Disabled	1.0.2
Determinare gli eventi controllabili	CMA_0137 - Determinare gli eventi controllabili	Manuale, Disabilitato	1.1.0
L'estensione Configurazione guest deve essere installata nei computer	Per garantire configurazioni sicure delle impostazioni guest del computer, installare l'estensione Configurazione guest. Le impostazioni in guest monitorate dall'estensione includono la configurazione del sistema operativo, della configurazione o della presenza dell'applicazione e delle impostazioni dell'ambiente. Dopo l'installazione, saranno disponibili i criteri nei guest, ad esempio "È consigliabile abilitare Windows Defender Exploit Guard". Per ulteriori informazioni, vedi https://aka.ms/gcpol.	AuditIfNotExists, Disabled	1.0.3
Microsoft Defender per contenitori deve essere abilitato	Microsoft Defender per contenitori offre protezione avanzata, valutazione della vulnerabilità e protezione in fase di esecuzione per gli ambienti Kubernetes Azure, ibrido e multi-cloud.	AuditIfNotExists, Disabled	1.0.0
Microsoft Defender per archiviazione deve essere abilitato	Microsoft Defender per archiviazione rileva potenziali minacce per gli account di archiviazione. Consente di evitare i tre principali impatti sui dati e sul carico di lavoro: caricamenti di file dannosi, esfiltrazione di dati sensibili e danneggiamento dei dati. Il nuovo piano di Defender per archiviazione include l'analisi del malware e il rilevamento delle minacce per i dati sensibili. Questo piano fornisce anche una struttura prezzi stimabile (per account di archiviazione) per avere controllo sulla copertura e sui costi.	AuditIfNotExists, Disabled	1.0.0
È consigliabile abilitare Network Watcher	Network Watcher è un servizio a livello di area che permette di monitorare e diagnosticare le condizioni al livello di scenario di rete da, verso e all'interno di Azure. Il monitoraggio a livello di scenario permette di diagnosticare i problemi in una visualizzazione completa a livello di rete. È necessario creare un gruppo di risorse network watcher in ogni area in cui è presente una rete virtuale. Un avviso è abilitato se un gruppo di risorse network watcher non è disponibile in una determinata area.	AuditIfNotExists, Disabled	3.0.0
I log delle risorse devono essere abilitati in Azure Data Lake Store	Controllare l'abilitazione dei log delle risorse. consentendo di ricreare la traccia delle attività da usare a fini di controllo se si verifica un problema di sicurezza o se la rete viene compromessa	AuditIfNotExists, Disabled	5.0.0
I log delle risorse devono essere abilitati in Analisi di flusso di Azure	Controllare l'abilitazione dei log delle risorse. consentendo di ricreare la traccia delle attività da usare a fini di controllo se si verifica un problema di sicurezza o se la rete viene compromessa	AuditIfNotExists, Disabled	5.0.0
I log delle risorse devono essere abilitati negli account Batch	Controllare l'abilitazione dei log delle risorse. consentendo di ricreare la traccia delle attività da usare a fini di controllo se si verifica un problema di sicurezza o se la rete viene compromessa	AuditIfNotExists, Disabled	5.0.0
I log delle risorse devono essere abilitati in Data Lake Analytics	Controllare l'abilitazione dei log delle risorse. consentendo di ricreare la traccia delle attività da usare a fini di controllo se si verifica un problema di sicurezza o se la rete viene compromessa	AuditIfNotExists, Disabled	5.0.0
I log delle risorse devono essere abilitati nell'hub eventi	Controllare l'abilitazione dei log delle risorse. consentendo di ricreare la traccia delle attività da usare a fini di controllo se si verifica un problema di sicurezza o se la rete viene compromessa	AuditIfNotExists, Disabled	5.0.0
I log delle risorse devono essere abilitati nell'hub IoT	Controllare l'abilitazione dei log delle risorse. consentendo di ricreare la traccia delle attività da usare a fini di controllo se si verifica un problema di sicurezza o se la rete viene compromessa	AuditIfNotExists, Disabled	3.1.0
I log delle risorse devono essere abilitati in Key Vault	Controllare l'abilitazione dei log delle risorse. consentendo di ricreare la traccia delle attività da usare a fini di controllo se si verifica un problema di sicurezza o se la rete viene compromessa	AuditIfNotExists, Disabled	5.0.0
I log delle risorse devono essere abilitati in App per la logica	Controllare l'abilitazione dei log delle risorse. consentendo di ricreare la traccia delle attività da usare a fini di controllo se si verifica un problema di sicurezza o se la rete viene compromessa	AuditIfNotExists, Disabled	5.1.0
I log delle risorse devono essere abilitati nei servizi di ricerca	Controllare l'abilitazione dei log delle risorse. consentendo di ricreare la traccia delle attività da usare a fini di controllo se si verifica un problema di sicurezza o se la rete viene compromessa	AuditIfNotExists, Disabled	5.0.0
I log delle risorse devono essere abilitati nel bus di servizio	Controllare l'abilitazione dei log delle risorse. consentendo di ricreare la traccia delle attività da usare a fini di controllo se si verifica un problema di sicurezza o se la rete viene compromessa	AuditIfNotExists, Disabled	5.0.0
Rivedere i dati di audit	CMA_0466 - Rivedere i dati di audit	Manuale, Disabilitato	1.1.0
L'estensione Configurazione guest delle macchine virtuali deve essere distribuita con un'identità gestita assegnata dal sistema	L'estensione Configurazione guest richiede un'identità gestita assegnata al sistema. Le macchine virtuali di Azure nell'ambito di questo criterio saranno non conformi se l'estensione Configurazione guest è installata ma non dispone di un'identità gestita assegnata dal sistema. Per altre informazioni: https://aka.ms/gcpol	AuditIfNotExists, Disabled	1.0.1

Audit trail a livello di sistema/con correlazione al tempo

ID: FedRAMP High AU-12 (1) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
[Anteprima]: I cluster Kubernetes con abilitazione di Azure Arc dovrebbero avere installata l'estensione Microsoft Defender per il cloud	L'estensione Microsoft Defender for Cloud per Azure Arc fornisce la protezione dalle minacce per i cluster Kubernetes abilitati per Arc. L'estensione raccoglie i dati da tutti i nodi del cluster e li invia al back-end di Azure Defender per Kubernetes nel cloud per un'ulteriore analisi. Altre informazioni sono disponibili in https://docs.microsoft.com/azure/defender-for-cloud/defender-for-containers-enable?pivots=defender-for-container-arc.	AuditIfNotExists, Disabled	6.0.0-anteprima
[Anteprima]: L'estensione di Log Analytics deve essere installata nelle macchine virtuali Linux in Azure Arc	Questo criterio controlla le macchine virtuali Linux in Azure Arc in cui non è installata l'estensione di Log Analytics.	AuditIfNotExists, Disabled	1.0.1-preview
[Anteprima]: L'estensione di Log Analytics deve essere installata nelle macchine virtuali Windows in Azure Arc	Questo criterio controlla le macchine virtuali Windows in Azure Arc in cui non è installata l'estensione di Log Analytics.	AuditIfNotExists, Disabled	1.0.1-preview
[Anteprima] È consigliabile installare l'agente di raccolta di dati del traffico di rete nella macchina virtuale Linux	Centro sicurezza usa Microsoft Dependency Agent per raccogliere i dati sul traffico di rete dalle macchine virtuali di Azure per abilitare funzionalità di protezione della rete avanzate, ad esempio la visualizzazione del traffico sulla mappa di rete, le raccomandazioni di protezione avanzata della rete e minacce alla rete specifiche.	AuditIfNotExists, Disabled	1.0.2-anteprima
[Anteprima] È consigliabile installare l'agente di raccolta di dati del traffico di rete nelle macchine virtuali Windows	Centro sicurezza usa Microsoft Dependency Agent per raccogliere i dati sul traffico di rete dalle macchine virtuali di Azure per abilitare funzionalità di protezione della rete avanzate, ad esempio la visualizzazione del traffico sulla mappa di rete, le raccomandazioni di protezione avanzata della rete e minacce alla rete specifiche.	AuditIfNotExists, Disabled	1.0.2-anteprima
I log delle risorse devono essere abilitati per le app del servizio app	Controllare l'abilitazione dei log delle risorse nell'app. Ciò consente di ricreare la traccia delle attività per scopi di analisi se si verifica un evento imprevisto della sicurezza o la rete viene compromessa.	AuditIfNotExists, Disabled	2.0.1
È consigliabile abilitare il controllo in SQL Server	Abilitare il controllo in SQL Server per verificare le attività del database in tutti i database sul server e salvarle in un log di controllo.	AuditIfNotExists, Disabled	2.0.0
È consigliabile abilitare il provisioning automatico dell'agente di Log Analytics nella sottoscrizione	Per monitorare le minacce e le vulnerabilità della sicurezza, Centro sicurezza di Azure raccoglie i dati dalle macchine virtuali di Azure. I dati vengono raccolti dall'agente di Log Analytics, precedentemente noto come Microsoft Monitoring Agent (MMA), che esegue la lettura di varie configurazioni relative alla sicurezza e log eventi dalla macchina virtuale e copia i dati nell'area di lavoro Log Analytics per l'analisi. È consigliabile abilitare il provisioning automatico per distribuire automaticamente l'agente in tutte le macchine virtuali di Azure supportate e in tutte le nuove macchine virtuali che vengono create.	AuditIfNotExists, Disabled	1.0.1
Azure Defender per il Servizio app deve essere abilitato	Azure Defender per il Servizio app sfrutta la portata del cloud e la visibilità di Azure come provider di servizi cloud per monitorare gli attacchi alle app Web più comuni.	AuditIfNotExists, Disabled	1.0.3
Azure Defender per i server di database SQL di Azure deve essere abilitato	Azure Defender per SQL fornisce funzionalità per l'individuazione e la mitigazione di potenziali vulnerabilità del database, il rilevamento di attività anomale che possono indicare minacce ai database SQL e l'individuazione e la classificazione di dati sensibili.	AuditIfNotExists, Disabled	1.0.2
Azure Defender per Key Vault deve essere abilitato	Azure Defender per Key Vault fornisce un ulteriore livello di protezione e di intelligence per sulla sicurezza grazie al rilevamento di tentativi insoliti e potenzialmente dannosi di accesso o sfruttamento degli account di Key Vault.	AuditIfNotExists, Disabled	1.0.3
Defender di Azure per Resource Manager deve essere abilitato	Azure Defender per Resource Manager monitora automaticamente tutte le operazioni di gestione risorse eseguite nell'organizzazione. Azure Defender rileva minacce e avvisi relativi alle attività sospette. Altre informazioni sulle funzionalità di Azure Defender per Resource Manager sono disponibili all'indirizzo https://aka.ms/defender-for-resource-manager. L'abilitazione di questo piano di Azure Defender comporta degli addebiti. Informazioni sui dettagli sui prezzi per area nella pagina dei prezzi del Centro sicurezza: https://aka.ms/pricing-security-center.	AuditIfNotExists, Disabled	1.0.0
Azure Defender per i server deve essere abilitato	Azure Defender per i server fornisce protezione dalle minacce in tempo reale per i carichi di lavoro dei server e genera raccomandazioni per la protezione avanzata e avvisi sulle attività sospette.	AuditIfNotExists, Disabled	1.0.3
Azure Defender per i server SQL nelle macchine virtuali deve essere abilitato	Azure Defender per SQL fornisce funzionalità per l'individuazione e la mitigazione di potenziali vulnerabilità del database, il rilevamento di attività anomale che possono indicare minacce ai database SQL e l'individuazione e la classificazione di dati sensibili.	AuditIfNotExists, Disabled	1.0.2
Azure Defender per SQL deve essere abilitato per i server Azure SQL non protetti	Controlla server SQL senza Sicurezza dei dati avanzata	AuditIfNotExists, Disabled	2.0.1
Azure Defender per SQL deve essere abilitato per le Istanze gestite di SQL non protette	Controlla ogni istanza gestita di SQL senza Sicurezza dei dati avanzata.	AuditIfNotExists, Disabled	1.0.2
Compilare i record di audit nel controllo a livello di sistema	CMA_C1140 - Compilare i record di audit nel controllo a livello di sistema	Manuale, Disabilitato	1.1.0
L'estensione Configurazione guest deve essere installata nei computer	Per garantire configurazioni sicure delle impostazioni guest del computer, installare l'estensione Configurazione guest. Le impostazioni in guest monitorate dall'estensione includono la configurazione del sistema operativo, della configurazione o della presenza dell'applicazione e delle impostazioni dell'ambiente. Dopo l'installazione, saranno disponibili i criteri nei guest, ad esempio "È consigliabile abilitare Windows Defender Exploit Guard". Per ulteriori informazioni, vedi https://aka.ms/gcpol.	AuditIfNotExists, Disabled	1.0.3
Microsoft Defender per contenitori deve essere abilitato	Microsoft Defender per contenitori offre protezione avanzata, valutazione della vulnerabilità e protezione in fase di esecuzione per gli ambienti Kubernetes Azure, ibrido e multi-cloud.	AuditIfNotExists, Disabled	1.0.0
Microsoft Defender per archiviazione deve essere abilitato	Microsoft Defender per archiviazione rileva potenziali minacce per gli account di archiviazione. Consente di evitare i tre principali impatti sui dati e sul carico di lavoro: caricamenti di file dannosi, esfiltrazione di dati sensibili e danneggiamento dei dati. Il nuovo piano di Defender per archiviazione include l'analisi del malware e il rilevamento delle minacce per i dati sensibili. Questo piano fornisce anche una struttura prezzi stimabile (per account di archiviazione) per avere controllo sulla copertura e sui costi.	AuditIfNotExists, Disabled	1.0.0
È consigliabile abilitare Network Watcher	Network Watcher è un servizio a livello di area che permette di monitorare e diagnosticare le condizioni al livello di scenario di rete da, verso e all'interno di Azure. Il monitoraggio a livello di scenario permette di diagnosticare i problemi in una visualizzazione completa a livello di rete. È necessario creare un gruppo di risorse network watcher in ogni area in cui è presente una rete virtuale. Un avviso è abilitato se un gruppo di risorse network watcher non è disponibile in una determinata area.	AuditIfNotExists, Disabled	3.0.0
I log delle risorse devono essere abilitati in Azure Data Lake Store	Controllare l'abilitazione dei log delle risorse. consentendo di ricreare la traccia delle attività da usare a fini di controllo se si verifica un problema di sicurezza o se la rete viene compromessa	AuditIfNotExists, Disabled	5.0.0
I log delle risorse devono essere abilitati in Analisi di flusso di Azure	Controllare l'abilitazione dei log delle risorse. consentendo di ricreare la traccia delle attività da usare a fini di controllo se si verifica un problema di sicurezza o se la rete viene compromessa	AuditIfNotExists, Disabled	5.0.0
I log delle risorse devono essere abilitati negli account Batch	Controllare l'abilitazione dei log delle risorse. consentendo di ricreare la traccia delle attività da usare a fini di controllo se si verifica un problema di sicurezza o se la rete viene compromessa	AuditIfNotExists, Disabled	5.0.0
I log delle risorse devono essere abilitati in Data Lake Analytics	Controllare l'abilitazione dei log delle risorse. consentendo di ricreare la traccia delle attività da usare a fini di controllo se si verifica un problema di sicurezza o se la rete viene compromessa	AuditIfNotExists, Disabled	5.0.0
I log delle risorse devono essere abilitati nell'hub eventi	Controllare l'abilitazione dei log delle risorse. consentendo di ricreare la traccia delle attività da usare a fini di controllo se si verifica un problema di sicurezza o se la rete viene compromessa	AuditIfNotExists, Disabled	5.0.0
I log delle risorse devono essere abilitati nell'hub IoT	Controllare l'abilitazione dei log delle risorse. consentendo di ricreare la traccia delle attività da usare a fini di controllo se si verifica un problema di sicurezza o se la rete viene compromessa	AuditIfNotExists, Disabled	3.1.0
I log delle risorse devono essere abilitati in Key Vault	Controllare l'abilitazione dei log delle risorse. consentendo di ricreare la traccia delle attività da usare a fini di controllo se si verifica un problema di sicurezza o se la rete viene compromessa	AuditIfNotExists, Disabled	5.0.0
I log delle risorse devono essere abilitati in App per la logica	Controllare l'abilitazione dei log delle risorse. consentendo di ricreare la traccia delle attività da usare a fini di controllo se si verifica un problema di sicurezza o se la rete viene compromessa	AuditIfNotExists, Disabled	5.1.0
I log delle risorse devono essere abilitati nei servizi di ricerca	Controllare l'abilitazione dei log delle risorse. consentendo di ricreare la traccia delle attività da usare a fini di controllo se si verifica un problema di sicurezza o se la rete viene compromessa	AuditIfNotExists, Disabled	5.0.0
I log delle risorse devono essere abilitati nel bus di servizio	Controllare l'abilitazione dei log delle risorse. consentendo di ricreare la traccia delle attività da usare a fini di controllo se si verifica un problema di sicurezza o se la rete viene compromessa	AuditIfNotExists, Disabled	5.0.0
L'estensione Configurazione guest delle macchine virtuali deve essere distribuita con un'identità gestita assegnata dal sistema	L'estensione Configurazione guest richiede un'identità gestita assegnata al sistema. Le macchine virtuali di Azure nell'ambito di questo criterio saranno non conformi se l'estensione Configurazione guest è installata ma non dispone di un'identità gestita assegnata dal sistema. Per altre informazioni: https://aka.ms/gcpol	AuditIfNotExists, Disabled	1.0.1

Modifiche apportate da utenti autorizzati

ID: FedRAMP High AU-12 (3) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Fornire la possibilità di estendere o limitare il controllo sulle risorse distribuite dal cliente	CMA_C1141 - Offrire la possibilità di estendere o limitare il controllo sulle risorse distribuite dal cliente	Manuale, Disabilitato	1.1.0

Valutazione della sicurezza e autorizzazione

Criteri e procedure di valutazione della sicurezza e autorizzazione

ID: FedRAMP High CA-1 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Rivedere criteri e procedure di valutazione e autorizzazione della sicurezza	CMA_C1143 - Rivedere criteri e procedure di valutazione e autorizzazione della sicurezza	Manuale, Disabilitato	1.1.0

Valutazione della sicurezza

ID: FedRAMP High CA-2 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Valutare i controlli di sicurezza	CMA_C1145 - Valutare i controlli di sicurezza	Manuale, Disabilitato	1.1.0
Recapitare i risultati della valutazione della sicurezza	CMA_C1147 - Recapitare i risultati della valutazione della sicurezza	Manuale, Disabilitato	1.1.0
Sviluppare un piano di valutazione della sicurezza	CMA_C1144 - Sviluppare un piano di valutazione della sicurezza	Manuale, Disabilitato	1.1.0
Generare il report di valutazione della sicurezza	CMA_C1146 - Generare il report di valutazione della sicurezza	Manuale, Disabilitato	1.1.0

Valutatori indipendenti

ID: FedRAMP High CA-2 (1) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Usare valutatori indipendenti per eseguire valutazioni del controllo di sicurezza	CMA_C1148 - Usare valutatori indipendenti per eseguire valutazioni del controllo di sicurezza	Manuale, Disabilitato	1.1.0

Valutazioni specializzate

ID: FedRAMP High CA-2 (2) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Selezionare test aggiuntivi per le valutazioni dei controlli di sicurezza	CMA_C1149 - Selezionare test aggiuntivi per le valutazioni dei controlli di sicurezza	Manuale, Disabilitato	1.1.0

Organizzazioni esterne

ID: FedRAMP High CA-2 (3) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Accettare i risultati della valutazione	CMA_C1150 - Accettare i risultati della valutazione	Manuale, Disabilitato	1.1.0

Interconnessioni del sistema

ID: FedRAMP High CA-3 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Richiedere contratti di sicurezza per l'interconnessione	CMA_C1151 - Richiedere contratti di sicurezza per l'interconnessione	Manuale, Disabilitato	1.1.0
Aggiornare i contratti di sicurezza interconnessione	CMA_0519 - Aggiornare i contratti di sicurezza interconnessione	Manuale, Disabilitato	1.1.0

Connessioni non classificate del sistema di sicurezza non nazionale

ID: FedRAMP High CA-3 (3) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Implementare la protezione del limite del sistema	CMA_0328 - Implementare la protezione del limite del sistema	Manuale, Disabilitato	1.1.0

Restrizioni sulle connessioni del sistema esterno

ID: FedRAMP High CA-3 (5) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Applicare restrizioni alle interconnessioni dei sistemi esterni	CMA_C1155 - Applicare restrizioni alle interconnessioni dei sistemi esterni	Manuale, Disabilitato	1.1.0

Piano di azione e attività cardine

ID: FedRAMP High CA-5 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Sviluppare POA&M	CMA_C1156 - Sviluppare POA&M	Manuale, Disabilitato	1.1.0
Aggiornare elementi POA&M	CMA_C1157 - Aggiornare gli elementi POA&M	Manuale, Disabilitato	1.1.0

Autorizzazione di sicurezza

ID: FedRAMP High CA-6 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Assegnare un ufficiale di autorizzazione (AO)	CMA_C1158 - Assegnare un ufficiale di autorizzazione (AO)	Manuale, Disabilitato	1.1.0
Accertarsi che le risorse siano autorizzate	CMA_C1159 - Accertarsi che le risorse siano autorizzate	Manuale, Disabilitato	1.1.0
Aggiornare l'autorizzazione di sicurezza	CMA_C1160 - Aggiornare l'autorizzazione di sicurezza	Manuale, Disabilitato	1.1.0

Monitoraggio continuo

ID: FedRAMP High CA-7 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Configurare l'elenco elementi consentiti per il rilevamento	CMA_0068 - Configurare l'elenco elementi consentiti per il rilevamento	Manuale, Disabilitato	1.1.0
Abilitare i sensori per la soluzione di sicurezza degli endpoint	CMA_0514 - Abilitare i sensori per la soluzione di sicurezza degli endpoint	Manuale, Disabilitato	1.1.0
Sottoporsi a una revisione indipendente della sicurezza	CMA_0515 - Sottoporsi a una revisione indipendente della sicurezza	Manuale, Disabilitato	1.1.0

Valutazione indipendente

ID: FedRAMP High CA-7 (1) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Usare valutatori indipendenti per il monitoraggio continuo	CMA_C1168 - Usare valutatori indipendenti per il monitoraggio continuo	Manuale, Disabilitato	1.1.0

Analisi delle tendenze

ID: FedRAMP High CA-7 (3) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Analizzare i dati ottenuti dal monitoraggio continuo	CMA_C1169 - Analizzare i dati ottenuti dal monitoraggio continuo	Manuale, Disabilitato	1.1.0

Agente di penetrazione o team indipendente

ID: FedRAMP High CA-8 (1) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Impiegare un team indipendente per i test di penetrazione	CMA_C1171 - Impiegare un team indipendente per i test di penetrazione	Manuale, Disabilitato	1.1.0

Connessioni di sistema interne

ID: FedRAMP High CA-9 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Controllare la conformità alla privacy e alla sicurezza prima di stabilire connessioni interne	CMA_0053 - Controllare la conformità alla privacy e alla sicurezza prima di stabilire connessioni interne	Manuale, Disabilitato	1.1.0

Gestione della configurazione

Procedure e criteri di gestione della configurazione

ID: FedRAMP High CM-1 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Esaminare e aggiornare i criteri e le procedure di gestione della configurazione	CMA_C1175 - Esaminare e aggiornare i criteri e le procedure di gestione della configurazione	Manuale, Disabilitato	1.1.0

Configurazione di base

ID: FedRAMP High CM-2 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Configurare le azioni per i dispositivi non conformi	CMA_0062: configurare le azioni per i dispositivi non conformi	Manuale, Disabilitato	1.1.0
Sviluppare e gestire le configurazioni di base	CMA_0153 - Sviluppare e gestire le configurazioni di base	Manuale, Disabilitato	1.1.0
Imporre le impostazioni della configurazione della sicurezza	CMA_0249 - Imporre le impostazioni della configurazione della sicurezza	Manuale, Disabilitato	1.1.0
Stabilire un comitato di controllo della configurazione	CMA_0254: stabilire un comitato di controllo della configurazione	Manuale, Disabilitato	1.1.0
Definire e documentare un piano di gestione della configurazione	CMA_0264 - Definire e documentare un piano di gestione della configurazione	Manuale, Disabilitato	1.1.0
Implementare uno strumento di gestione della configurazione automatizzato	CMA_0311 - Implementare uno strumento di gestione della configurazione automatizzato	Manuale, Disabilitato	1.1.0

Supporto dell'automazione per accuratezza/valuta

ID: FedRAMP High CM-2 (2) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Configurare le azioni per i dispositivi non conformi	CMA_0062: configurare le azioni per i dispositivi non conformi	Manuale, Disabilitato	1.1.0
Sviluppare e gestire le configurazioni di base	CMA_0153 - Sviluppare e gestire le configurazioni di base	Manuale, Disabilitato	1.1.0
Imporre le impostazioni della configurazione della sicurezza	CMA_0249 - Imporre le impostazioni della configurazione della sicurezza	Manuale, Disabilitato	1.1.0
Stabilire un comitato di controllo della configurazione	CMA_0254: stabilire un comitato di controllo della configurazione	Manuale, Disabilitato	1.1.0
Definire e documentare un piano di gestione della configurazione	CMA_0264 - Definire e documentare un piano di gestione della configurazione	Manuale, Disabilitato	1.1.0
Implementare uno strumento di gestione della configurazione automatizzato	CMA_0311 - Implementare uno strumento di gestione della configurazione automatizzato	Manuale, Disabilitato	1.1.0

Conservazione delle configurazioni precedenti

ID: FedRAMP High CM-2 (3) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Mantenere le versioni precedenti delle configurazioni di base	CMA_C1181 - Mantenere le versioni precedenti delle configurazioni di base	Manuale, Disabilitato	1.1.0

Configurare sistemi, componenti o dispositivi per le aree ad alto rischio

ID: FedRAMP High CM-2 (7) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Accertarsi che le misure di sicurezza non siano necessarie quando i singoli utenti tornano	CMA_C1183 - Accertati che le misure di sicurezza non siano necessarie quando i singoli utenti tornano	Manuale, Disabilitato	1.1.0
Non consentire ai sistemi informativi di essere associati a singoli utenti	CMA_C1182 - Non consentire ai sistemi informativi di essere associati a singoli utenti	Manuale, Disabilitato	1.1.0

Controllo delle modifiche della configurazione

ID: FedRAMP High CM-3 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Eseguire un'analisi dell'impatto sulla sicurezza	CMA_0057 - Eseguire un'analisi dell'impatto sulla sicurezza	Manuale, Disabilitato	1.1.0
Sviluppare e mantenere uno standard di gestione delle vulnerabilità	CMA_0152 - Sviluppare e mantenere uno standard di gestione delle vulnerabilità	Manuale, Disabilitato	1.1.0
Definire una strategia di gestione dei rischi	CMA_0258 - Definire una strategia di gestione dei rischi	Manuale, Disabilitato	1.1.0
Stabilire e documentare i processi di controllo delle modifiche	CMA_0265 - Stabilire e documentare i processi di controllo delle modifiche	Manuale, Disabilitato	1.1.0
Stabilire i requisiti di gestione della configurazione per gli sviluppatori	CMA_0270 - Stabilire i requisiti di gestione della configurazione per gli sviluppatori	Manuale, Disabilitato	1.1.0
Eseguire una valutazione dell'impatto sulla privacy	CMA_0387 - Eseguire una valutazione dell'impatto sulla privacy	Manuale, Disabilitato	1.1.0
Eseguire una valutazione dei rischi	CMA_0388 - Eseguire una valutazione dei rischi	Manuale, Disabilitato	1.1.0
Eseguire il controllo per la verifica delle modifiche di configurazione	CMA_0390 - Eseguire il controllo per la verifica delle modifiche di configurazione	Manuale, Disabilitato	1.1.0

Documento/notifica/proibizione delle modifiche automatizzate

ID: FedRAMP High CM-3 (1) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Automatizzare la richiesta di approvazione per le modifiche proposte	CMA_C1192 - Automatizzare la richiesta di approvazione per le modifiche proposte	Manuale, Disabilitato	1.1.0
Automatizzare l'implementazione delle notifiche di modifiche approvate	CMA_C1196 - Automatizzare l'implementazione delle notifiche di modifiche approvate	Manuale, Disabilitato	1.1.0
Automatizzare il processo per documentare le modifiche implementate	CMA_C1195 - Automatizzare il processo per documentare le modifiche implementate	Manuale, Disabilitato	1.1.0
Automatizzare il processo per evidenziare le proposte di modifica non presentate	CMA_C1193 - Automatizzare il processo per evidenziare le proposte di modifica non presentate	Manuale, Disabilitato	1.1.0
Automatizzare il processo per impedire l'implementazione di modifiche non approvate	CMA_C1194 - Automatizzare il processo per impedire l'implementazione di modifiche non approvate	Manuale, Disabilitato	1.1.0
Automatizzare le modifiche documentate proposte	CMA_C1191 - Automatizzare le modifiche documentate proposte	Manuale, Disabilitato	1.1.0

Test/Convalida/Modifiche documento

ID: FedRAMP High CM-3 (2) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Stabilire e documentare i processi di controllo delle modifiche	CMA_0265 - Stabilire e documentare i processi di controllo delle modifiche	Manuale, Disabilitato	1.1.0
Stabilire i requisiti di gestione della configurazione per gli sviluppatori	CMA_0270 - Stabilire i requisiti di gestione della configurazione per gli sviluppatori	Manuale, Disabilitato	1.1.0
Eseguire il controllo per la verifica delle modifiche di configurazione	CMA_0390 - Eseguire il controllo per la verifica delle modifiche di configurazione	Manuale, Disabilitato	1.1.0

Rappresentante della sicurezza

ID: FedRAMP High CM-3 (4) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Assegnare un rappresentante della sicurezza delle informazioni al controllo delle modifiche	CMA_C1198 - Assegnare un rappresentante della sicurezza delle informazioni per il controllo delle modifiche	Manuale, Disabilitato	1.1.0

Gestione della crittografia

ID: FedRAMP High CM-3 (6) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Accertarsi che i meccanismi di crittografia siano nella gestione della configurazione	CMA_C1199 - Accertarsi che i meccanismi di crittografia siano nella gestione della configurazione	Manuale, Disabilitato	1.1.0

Analisi dell'impatto sulla sicurezza

ID: FedRAMP High CM-4 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Eseguire un'analisi dell'impatto sulla sicurezza	CMA_0057 - Eseguire un'analisi dell'impatto sulla sicurezza	Manuale, Disabilitato	1.1.0
Sviluppare e mantenere uno standard di gestione delle vulnerabilità	CMA_0152 - Sviluppare e mantenere uno standard di gestione delle vulnerabilità	Manuale, Disabilitato	1.1.0
Definire una strategia di gestione dei rischi	CMA_0258 - Definire una strategia di gestione dei rischi	Manuale, Disabilitato	1.1.0
Stabilire e documentare i processi di controllo delle modifiche	CMA_0265 - Stabilire e documentare i processi di controllo delle modifiche	Manuale, Disabilitato	1.1.0
Stabilire i requisiti di gestione della configurazione per gli sviluppatori	CMA_0270 - Stabilire i requisiti di gestione della configurazione per gli sviluppatori	Manuale, Disabilitato	1.1.0
Eseguire una valutazione dell'impatto sulla privacy	CMA_0387 - Eseguire una valutazione dell'impatto sulla privacy	Manuale, Disabilitato	1.1.0
Eseguire una valutazione dei rischi	CMA_0388 - Eseguire una valutazione dei rischi	Manuale, Disabilitato	1.1.0
Eseguire il controllo per la verifica delle modifiche di configurazione	CMA_0390 - Eseguire il controllo per la verifica delle modifiche di configurazione	Manuale, Disabilitato	1.1.0

Ambienti di test separati

ID: FedRAMP High CM-4 (1) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Eseguire un'analisi dell'impatto sulla sicurezza	CMA_0057 - Eseguire un'analisi dell'impatto sulla sicurezza	Manuale, Disabilitato	1.1.0
Stabilire e documentare i processi di controllo delle modifiche	CMA_0265 - Stabilire e documentare i processi di controllo delle modifiche	Manuale, Disabilitato	1.1.0
Stabilire i requisiti di gestione della configurazione per gli sviluppatori	CMA_0270 - Stabilire i requisiti di gestione della configurazione per gli sviluppatori	Manuale, Disabilitato	1.1.0
Eseguire una valutazione dell'impatto sulla privacy	CMA_0387 - Eseguire una valutazione dell'impatto sulla privacy	Manuale, Disabilitato	1.1.0
Eseguire il controllo per la verifica delle modifiche di configurazione	CMA_0390 - Eseguire il controllo per la verifica delle modifiche di configurazione	Manuale, Disabilitato	1.1.0

Restrizioni di accesso per le modifiche

ID: FedRAMP High CM-5 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Stabilire e documentare i processi di controllo delle modifiche	CMA_0265 - Stabilire e documentare i processi di controllo delle modifiche	Manuale, Disabilitato	1.1.0

Applicazione e controllo automatizzati dell'accesso

ID: FedRAMP High CM-5 (1) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Applicare e controllare le restrizioni di accesso	CMA_C1203 - Applicare e controllare le restrizioni di accesso	Manuale, Disabilitato	1.1.0

Rivedere le modifiche di sistema

ID: FedRAMP High CM-5 (2) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Verificare se sono presenti modifiche non autorizzate	CMA_C1204 - Verificare se sono presenti modifiche non autorizzate	Manuale, Disabilitato	1.1.0

Componenti firmati

ID: FedRAMP High CM-5 (3) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Limitare l'installazione non autorizzata di software e firmware	CMA_C1205 - Limitare l'installazione non autorizzata di software e firmware	Manuale, Disabilitato	1.1.0

Limitare i privilegi di produzione/operativi

ID: FedRAMP High CM-5 (5) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Limitare i privilegi per apportare modifiche nell'ambiente di produzione	CMA_C1206 - Limitare i privilegi per apportare modifiche nell'ambiente di produzione	Manuale, Disabilitato	1.1.0
Rivedere e rivalutare i privilegi	CMA_C1207 - Rivedere e rivalutare i privilegi	Manuale, Disabilitato	1.1.0

Impostazioni di configurazione

ID: FedRAMP High CM-6 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Per le app del servizio app deve essere abilitata l'opzione Certificati client (Certificati client in ingresso)	I certificati client consentono all'app di richiedere un certificato per le richieste in ingresso. Solo i client con un certificato valido potranno raggiungere l'app. Questo criterio si applica alle app con versione Http impostata su 1.1.	AuditIfNotExists, Disabled	1.0.0
Per le app del servizio app il debug remoto deve essere disattivato	Il debug remoto richiede l'apertura delle porte in ingresso in un'app per il servizio app. Il debug remoto deve essere disattivato.	AuditIfNotExists, Disabled	2.0.0
Le app del Servizio app non devono avere CORS configurato per consentire a ogni risorsa di accedere alle app	Condivisione di risorse tra le origini (CORS) non deve consentire a tutti i domini di accedere all'app. Consentire solo ai domini necessari di interagire con l'app.	AuditIfNotExists, Disabled	2.0.0
Il componente aggiuntivo Criteri di Azure per il servizio Azure Kubernetes deve essere installato e abilitato nei cluster	Il componente aggiuntivo Criteri di Azure per il servizio Azure Kubernetes estende Gatekeeper v3, un webhook del controller di ammissione per Open Policy Agent (OPA), per applicare le tutele e misure di sicurezza su larga scala per i cluster in modo centralizzato e coerente.	Audit, Disabled	1.0.2
Imporre le impostazioni della configurazione della sicurezza	CMA_0249 - Imporre le impostazioni della configurazione della sicurezza	Manuale, Disabilitato	1.1.0
Per le app per le funzioni deve essere abilitata l'opzione Certificati client (certificati client in ingresso)	I certificati client consentono all'app di richiedere un certificato per le richieste in ingresso. Solo i client con un certificato valido potranno raggiungere l'app. Questo criterio si applica alle app con versione Http impostata su 1.1.	AuditIfNotExists, Disabled	1.0.0
Le app per le funzioni devono avere il debug remoto disattivato	Il debug remoto richiede che vengano aperte le porte in ingresso nelle app per le funzioni. Il debug remoto deve essere disattivato.	AuditIfNotExists, Disabled	2.0.0
Le app per le funzioni non devono avere CORS configurato per consentire a ogni risorsa di accedere alle app	Condivisione risorse tra le origini (CORS) non deve consentire a tutti i domini di accedere all'app per le funzioni. Consentire solo ai domini necessari di interagire con l'app per le funzioni dell'utente.	AuditIfNotExists, Disabled	2.0.0
Le risorse CPU e memoria dei contenitori nel cluster Kubernetes non devono superare i limiti specificati	Applicare i limiti delle risorse di CPU e memoria dei contenitori per evitare attacchi di esaurimento delle risorse in un cluster Kubernetes. Questo criterio è generalmente disponibile per Kubernetes Service (AKS) e in anteprima per Kubernetes abilitato ad Azure Arc. Per ulteriori informazioni, vedere https://aka.ms/kubepolicydoc.	audit, Audit, Deny, Deny, disabled, Disabled	9.2.0
I contenitori del cluster Kubernetes non devono condividere lo spazio dei nomi IPC host o ID processo host	Bloccare i contenitori pod dalla condivisione dello spazio dei nomi dell'ID del processo host e dello spazio dei nomi IPC dell'host in un cluster Kubernetes. Questa raccomandazione fa parte di CIS 5.2.2 e CIS 5.2.3, destinati a migliorare la sicurezza degli ambienti Kubernetes. Questo criterio è generalmente disponibile per Kubernetes Service (AKS) e in anteprima per Kubernetes abilitato ad Azure Arc. Per ulteriori informazioni, vedere https://aka.ms/kubepolicydoc.	audit, Audit, Deny, Deny, disabled, Disabled	5.1.0
I contenitori del cluster Kubernetes devono usare solo i profili AppArmor consentiti	I contenitori devono usare solo i profili AppArmor consentiti in un cluster Kubernetes. Questo criterio è generalmente disponibile per Kubernetes Service (AKS) e in anteprima per Kubernetes abilitato ad Azure Arc. Per ulteriori informazioni, vedere https://aka.ms/kubepolicydoc.	audit, Audit, Deny, Deny, disabled, Disabled	6.1.1
I contenitori del cluster Kubernetes devono usare solo i privilegi consentiti	Limitare le funzionalità per ridurre la superficie di attacco dei contenitori in un cluster Kubernetes. Questa raccomandazione fa parte di CIS 5.2.8 e CIS 5.2.9, destinati a migliorare la sicurezza degli ambienti Kubernetes. Questo criterio è generalmente disponibile per Kubernetes Service (AKS) e in anteprima per Kubernetes abilitato ad Azure Arc. Per ulteriori informazioni, vedere https://aka.ms/kubepolicydoc.	audit, Audit, Deny, Deny, disabled, Disabled	6.1.0
I contenitori del cluster Kubernetes devono usare solo le immagini consentite	Usare immagini di registri attendibili per ridurre il rischio di esposizione del cluster Kubernetes a vulnerabilità sconosciute, problemi di sicurezza e immagini dannose. Per ulteriori informazioni, vedere https://aka.ms/kubepolicydoc.	audit, Audit, Deny, Deny, disabled, Disabled	9.2.0
I contenitori del cluster Kubernetes devono essere eseguiti con un file system radice di sola lettura	Eseguire contenitori con un file system radice di sola lettura per proteggersi dalle modifiche in fase di esecuzione con file binari dannosi aggiunti a PATH in un cluster Kubernetes. Questo criterio è generalmente disponibile per Kubernetes Service (AKS) e in anteprima per Kubernetes abilitato ad Azure Arc. Per ulteriori informazioni, vedere https://aka.ms/kubepolicydoc.	audit, Audit, Deny, Deny, disabled, Disabled	6.2.0
I volumi hostPath dei pod del cluster Kubernetes devono usare solo i percorsi host consentiti	Limitare i montaggi del volume HostPath dei pod ai percorsi host consentiti in un cluster Kubernetes. Questo criterio è generalmente disponibile per Kubernetes Service (AKS) e per Kubernetes abilitato ad Azure Arc. Per ulteriori informazioni, vedere https://aka.ms/kubepolicydoc.	audit, Audit, Deny, Deny, disabled, Disabled	6.1.1
I pod e i contenitori del cluster Kubernetes devono essere eseguiti solo con ID utente e gruppo approvati	Controllare gli ID degli utenti, dei gruppi primari, dei gruppi supplementari e dei gruppi di file system che i pod e i container possono usare per funzionare in un cluster Kubernetes. Questo criterio è generalmente disponibile per Kubernetes Service (AKS) e in anteprima per Kubernetes abilitato ad Azure Arc. Per ulteriori informazioni, vedere https://aka.ms/kubepolicydoc.	audit, Audit, Deny, Deny, disabled, Disabled	6.1.1
I pod del cluster Kubernetes devono usare solo la rete host e l'intervallo di porte approvati	Limitare l'accesso dei pod alla rete host e all'intervallo di porte host consentito in un cluster Kubernetes. Questa raccomandazione fa parte di CIS 5.2.4, progettato per migliorare la sicurezza degli ambienti Kubernetes. Questo criterio è generalmente disponibile per Kubernetes Service (AKS) e in anteprima per Kubernetes abilitato ad Azure Arc. Per ulteriori informazioni, vedere https://aka.ms/kubepolicydoc.	audit, Audit, Deny, Deny, disabled, Disabled	6.1.0
Il cluster Kubernetes deve rimanere in ascolto solo sulle porte consentite	Limitare i servizi per l'ascolto solo sulle porte consentite per proteggere l'accesso al cluster Kubernetes. Questo criterio è generalmente disponibile per Kubernetes Service (AKS) e in anteprima per Kubernetes abilitato ad Azure Arc. Per ulteriori informazioni, vedere https://aka.ms/kubepolicydoc.	audit, Audit, Deny, Deny, disabled, Disabled	8.1.0
Il cluster Kubernetes non deve consentire contenitori con privilegi	Non consentire la creazione di contenitori privilegiati in un cluster Kubernetes. Questo consiglio fa parte di CIS 5.2.1, destinato a migliorare la sicurezza degli ambienti Kubernetes. Questo criterio è generalmente disponibile per Kubernetes Service (AKS) e in anteprima per Kubernetes abilitato ad Azure Arc. Per ulteriori informazioni, vedere https://aka.ms/kubepolicydoc.	audit, Audit, Deny, Deny, disabled, Disabled	9.1.0
I cluster Kubernetes non devono consentire l'escalation dei privilegi dei contenitori	Non consentire l'esecuzione dei contenitori con escalation dei privilegi alla radice in un cluster Kubernetes. Questa raccomandazione fa parte di CIS 5.2.5, progettato per migliorare la sicurezza degli ambienti Kubernetes. Questo criterio è generalmente disponibile per Kubernetes Service (AKS) e in anteprima per Kubernetes abilitato ad Azure Arc. Per ulteriori informazioni, vedere https://aka.ms/kubepolicydoc.	audit, Audit, Deny, Deny, disabled, Disabled	7.1.0
I computer Linux devono soddisfare i requisiti per la baseline di sicurezza di Calcolo di Azure	Richiede che i prerequisiti vengano distribuiti nell'ambito dell'assegnazione dei criteri. Per informazioni dettagliate, vedere https://aka.ms/gcpol. I computer non sono conformi se il computer non è configurato correttamente per una delle raccomandazioni nella baseline di sicurezza di calcolo di Azure.	AuditIfNotExists, Disabled	2.2.0
Correggere i difetti del sistema informativo	CMA_0427 - Correggere i difetti del sistema informativo	Manuale, Disabilitato	1.1.0
I computer Windows devono soddisfare i requisiti della baseline di sicurezza di Calcolo di Azure	Richiede che i prerequisiti vengano distribuiti nell'ambito dell'assegnazione dei criteri. Per informazioni dettagliate, vedere https://aka.ms/gcpol. I computer non sono conformi se il computer non è configurato correttamente per una delle raccomandazioni nella baseline di sicurezza di calcolo di Azure.	AuditIfNotExists, Disabled	2.0.0

Gestione centralizzata automatizzata/applicazione/verifica

ID: FedRAMP High CM-6 (1) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Imporre le impostazioni della configurazione della sicurezza	CMA_0249 - Imporre le impostazioni della configurazione della sicurezza	Manuale, Disabilitato	1.1.0
Gestire la conformità dei fornitori di servizi cloud	CMA_0290 - Gestire la conformità dei provider di servizi cloud	Manuale, Disabilitato	1.1.0
Visualizzare e configurare i dati di diagnostica del sistema	CMA_0544 - Visualizzare e configurare i dati di diagnostica del sistema	Manuale, Disabilitato	1.1.0

Funzionalità minima

ID: FedRAMP High CM-7 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
I controlli applicazioni adattivi per la definizione delle applicazioni sicure devono essere abilitati nei computer	Abilita i controlli applicazioni per definire l'elenco delle applicazioni sicure note in esecuzione nei computer e avvisare l'utente quando vengono eseguite altre applicazioni. In questo modo si rafforza la protezione dei computer dal malware. Per semplificare il processo di configurazione e gestione delle regole, il Centro sicurezza usa Machine Learning per analizzare le applicazioni in esecuzione in ogni computer e suggerire l'elenco di applicazioni sicure note.	AuditIfNotExists, Disabled	3.0.0
Le regole dell'elenco Consentiti dei criteri dei controlli applicazioni adattivi devono essere aggiornate	Monitora le variazioni del comportamento nei gruppi di computer configurati per il controllo mediante i controlli applicazioni adattativi del Centro sicurezza di Azure. Il Centro sicurezza usa Machine Learning per analizzare i processi in esecuzione nei computer e suggerire un elenco di applicazioni sicure. Queste vengono presentate come app consigliate da consentire nei criteri dei controlli applicazioni adattivi.	AuditIfNotExists, Disabled	3.0.0
Azure Defender per i server deve essere abilitato	Azure Defender per i server fornisce protezione dalle minacce in tempo reale per i carichi di lavoro dei server e genera raccomandazioni per la protezione avanzata e avvisi sulle attività sospette.	AuditIfNotExists, Disabled	1.0.3

Impedire esecuzione programma

ID: FedRAMP High CM-7 (2) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
I controlli applicazioni adattivi per la definizione delle applicazioni sicure devono essere abilitati nei computer	Abilita i controlli applicazioni per definire l'elenco delle applicazioni sicure note in esecuzione nei computer e avvisare l'utente quando vengono eseguite altre applicazioni. In questo modo si rafforza la protezione dei computer dal malware. Per semplificare il processo di configurazione e gestione delle regole, il Centro sicurezza usa Machine Learning per analizzare le applicazioni in esecuzione in ogni computer e suggerire l'elenco di applicazioni sicure note.	AuditIfNotExists, Disabled	3.0.0
Le regole dell'elenco Consentiti dei criteri dei controlli applicazioni adattivi devono essere aggiornate	Monitora le variazioni del comportamento nei gruppi di computer configurati per il controllo mediante i controlli applicazioni adattativi del Centro sicurezza di Azure. Il Centro sicurezza usa Machine Learning per analizzare i processi in esecuzione nei computer e suggerire un elenco di applicazioni sicure. Queste vengono presentate come app consigliate da consentire nei criteri dei controlli applicazioni adattivi.	AuditIfNotExists, Disabled	3.0.0

Software autorizzato/Elenco degli utenti autorizzati

ID: FedRAMP High CM-7 (5) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
I controlli applicazioni adattivi per la definizione delle applicazioni sicure devono essere abilitati nei computer	Abilita i controlli applicazioni per definire l'elenco delle applicazioni sicure note in esecuzione nei computer e avvisare l'utente quando vengono eseguite altre applicazioni. In questo modo si rafforza la protezione dei computer dal malware. Per semplificare il processo di configurazione e gestione delle regole, il Centro sicurezza usa Machine Learning per analizzare le applicazioni in esecuzione in ogni computer e suggerire l'elenco di applicazioni sicure note.	AuditIfNotExists, Disabled	3.0.0
Le regole dell'elenco Consentiti dei criteri dei controlli applicazioni adattivi devono essere aggiornate	Monitora le variazioni del comportamento nei gruppi di computer configurati per il controllo mediante i controlli applicazioni adattativi del Centro sicurezza di Azure. Il Centro sicurezza usa Machine Learning per analizzare i processi in esecuzione nei computer e suggerire un elenco di applicazioni sicure. Queste vengono presentate come app consigliate da consentire nei criteri dei controlli applicazioni adattivi.	AuditIfNotExists, Disabled	3.0.0

Inventario dei componenti del sistema informativo

ID: FedRAMP High CM-8 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Creare un inventario dati	CMA_0096 - Creare un inventario dati	Manuale, Disabilitato	1.1.0
Gestire i record dell'elaborazione dei dati personali	CMA_0353 - Gestire i record dell'elaborazione dei dati personali	Manuale, Disabilitato	1.1.0

Aggiornamenti durante l'installazione/rimozione

ID: FedRAMP High CM-8 (1) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Creare un inventario dati	CMA_0096 - Creare un inventario dati	Manuale, Disabilitato	1.1.0
Gestire i record dell'elaborazione dei dati personali	CMA_0353 - Gestire i record dell'elaborazione dei dati personali	Manuale, Disabilitato	1.1.0

Rilevamento automatico dei componenti non autorizzati

ID: FedRAMP High CM-8 (3) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Abilitare il rilevamento dei dispositivi di rete	CMA_0220 - Abilitare il rilevamento dei dispositivi di rete	Manuale, Disabilitato	1.1.0
Imposta le notifiche automatiche per le applicazioni cloud nuove e di tendenza nell'organizzazione	CMA_0495 - Impostare notifiche automatiche per le applicazioni cloud nuove e di tendenza nell'organizzazione	Manuale, Disabilitato	1.1.0

Informazioni sulla responsabilità

ID: FedRAMP High CM-8 (4) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Creare un inventario dati	CMA_0096 - Creare un inventario dati	Manuale, Disabilitato	1.1.0
Stabilire e gestire un inventario degli asset	CMA_0266 - Stabilire e gestire un inventario degli asset	Manuale, Disabilitato	1.1.0

Piano di gestione della configurazione

ID: FedRAMP High CM-9 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Creare la protezione del piano di configurazione	CMA_C1233 - Creare la protezione del piano di configurazione	Manuale, Disabilitato	1.1.0
Sviluppare e gestire le configurazioni di base	CMA_0153 - Sviluppare e gestire le configurazioni di base	Manuale, Disabilitato	1.1.0
Sviluppare un piano di identificazione dell'elemento di configurazione	CMA_C1231 - Sviluppare un piano di identificazione dell’elemento di configurazione	Manuale, Disabilitato	1.1.0
Sviluppare un piano di gestione della configurazione	CMA_C1232 - Sviluppare un piano di gestione della configurazione	Manuale, Disabilitato	1.1.0
Definire e documentare un piano di gestione della configurazione	CMA_0264 - Definire e documentare un piano di gestione della configurazione	Manuale, Disabilitato	1.1.0
Implementare uno strumento di gestione della configurazione automatizzato	CMA_0311 - Implementare uno strumento di gestione della configurazione automatizzato	Manuale, Disabilitato	1.1.0

Restrizioni all'uso del software

ID: FedRAMP High CM-10 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
I controlli applicazioni adattivi per la definizione delle applicazioni sicure devono essere abilitati nei computer	Abilita i controlli applicazioni per definire l'elenco delle applicazioni sicure note in esecuzione nei computer e avvisare l'utente quando vengono eseguite altre applicazioni. In questo modo si rafforza la protezione dei computer dal malware. Per semplificare il processo di configurazione e gestione delle regole, il Centro sicurezza usa Machine Learning per analizzare le applicazioni in esecuzione in ogni computer e suggerire l'elenco di applicazioni sicure note.	AuditIfNotExists, Disabled	3.0.0
Le regole dell'elenco Consentiti dei criteri dei controlli applicazioni adattivi devono essere aggiornate	Monitora le variazioni del comportamento nei gruppi di computer configurati per il controllo mediante i controlli applicazioni adattativi del Centro sicurezza di Azure. Il Centro sicurezza usa Machine Learning per analizzare i processi in esecuzione nei computer e suggerire un elenco di applicazioni sicure. Queste vengono presentate come app consigliate da consentire nei criteri dei controlli applicazioni adattivi.	AuditIfNotExists, Disabled	3.0.0
Richiedere la conformità con i diritti di proprietà intellettuale	CMA_0432 - Richiedere la conformità con i diritti di proprietà intellettuale	Manuale, Disabilitato	1.1.0
Tenere traccia dell'utilizzo delle licenze software	CMA_C1235 - Tenere traccia dell'utilizzo delle licenze software	Manuale, Disabilitato	1.1.0

Software Open Source

ID: FedRAMP High CM-10 (1) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Limitare l'uso del software open source	CMA_C1237 - Limitare l'uso del software open source	Manuale, Disabilitato	1.1.0

Software installato dall'utente

ID: FedRAMP High CM-11 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
I controlli applicazioni adattivi per la definizione delle applicazioni sicure devono essere abilitati nei computer	Abilita i controlli applicazioni per definire l'elenco delle applicazioni sicure note in esecuzione nei computer e avvisare l'utente quando vengono eseguite altre applicazioni. In questo modo si rafforza la protezione dei computer dal malware. Per semplificare il processo di configurazione e gestione delle regole, il Centro sicurezza usa Machine Learning per analizzare le applicazioni in esecuzione in ogni computer e suggerire l'elenco di applicazioni sicure note.	AuditIfNotExists, Disabled	3.0.0
Le regole dell'elenco Consentiti dei criteri dei controlli applicazioni adattivi devono essere aggiornate	Monitora le variazioni del comportamento nei gruppi di computer configurati per il controllo mediante i controlli applicazioni adattativi del Centro sicurezza di Azure. Il Centro sicurezza usa Machine Learning per analizzare i processi in esecuzione nei computer e suggerire un elenco di applicazioni sicure. Queste vengono presentate come app consigliate da consentire nei criteri dei controlli applicazioni adattivi.	AuditIfNotExists, Disabled	3.0.0

Piani di emergenza

Procedure e criteri di pianificazione di emergenza

ID: FedRAMP High CP-1 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Esaminare e aggiornare i criteri e le procedure di pianificazione delle emergenze	CMA_C1243 - Rivedere e aggiornare i criteri e le procedure di pianificazione delle emergenze	Manuale, Disabilitato	1.1.0

Piano di emergenza

ID: FedRAMP High CP-2 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Comunicare le modifiche del piano di emergenza	CMA_C1249 - Comunicare le modifiche del piano di emergenza	Manuale, Disabilitato	1.1.0
Coordinare i piani di emergenza con i piani correlati	CMA_0086 - Coordinare i piani di emergenza con i piani correlati	Manuale, Disabilitato	1.1.0
Sviluppare e documentare un piano di continuità aziendale e ripristino di emergenza	CMA_0146 - Sviluppare e documentare un piano di continuità aziendale e ripristino di emergenza	Manuale, Disabilitato	1.1.0
Sviluppare un piano di emergenza	CMA_C1244 - Sviluppare un piano di emergenza	Manuale, Disabilitato	1.1.0
Sviluppare criteri e procedure di pianificazione delle emergenze	CMA_0156 - Sviluppa criteri e procedure di pianificazione delle emergenze	Manuale, Disabilitato	1.1.0
Distribuire criteri e procedure	CMA_0185 - Distribuire criteri e procedure	Manuale, Disabilitato	1.1.0
Esaminare il piano di emergenza	CMA_C1247 - Esaminare il piano di emergenza	Manuale, Disabilitato	1.1.0
Aggiornare il piano di emergenza	CMA_C1248 - Aggiornare il piano di emergenza	Manuale, Disabilitato	1.1.0

Coordinarsi con i piani correlati

ID: FedRAMP High CP-2 (1) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Coordinare i piani di emergenza con i piani correlati	CMA_0086 - Coordinare i piani di emergenza con i piani correlati	Manuale, Disabilitato	1.1.0

Capacity Planning

ID: FedRAMP High CP-2 (2) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Eseguire la pianificazione della capacità	CMA_C1252 - Eseguire la pianificazione della capacità	Manuale, Disabilitato	1.1.0

Riprendere missioni essenziali/funzioni aziendali

ID: FedRAMP High CP-2 (3) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Pianificare la ripresa delle funzioni aziendali essenziali	CMA_C1253 - Pianificare la ripresa delle funzioni aziendali essenziali	Manuale, Disabilitato	1.1.0

Riprendere tutte le missioni/funzioni aziendali

ID: FedRAMP High CP-2 (4) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Riprendere tutte le funzioni di mission e business	CMA_C1254 - Riprendere tutte le funzioni di mission e business	Manuale, Disabilitato	1.1.0

Missioni essenziali/funzioni aziendali continue

ID: FedRAMP High CP-2 (5) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Pianificare la continuità delle funzioni aziendali essenziali	CMA_C1255 - Pianificare la continuità delle funzioni aziendali essenziali	Manuale, Disabilitato	1.1.0

Identificare le risorse critiche

ID: FedRAMP High CP-2 (8) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Eseguire una valutazione di impatto aziendale e una valutazione della criticità delle applicazioni	CMA_0386 - Eseguire una valutazione dell’impatto aziendale e una valutazione della criticità delle applicazioni	Manuale, Disabilitato	1.1.0

Formazione per la gestione delle emergenze

ID: FedRAMP High CP-3 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Erogare formazione sulle emergenze	CMA_0412 - Erogare formazione sulle emergenze	Manuale, Disabilitato	1.1.0

Eventi simulati

ID: FedRAMP High CP-3 (1) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Incorporare il training di emergenza simulato	CMA_C1260 - Incorporare il training di emergenza simulato	Manuale, Disabilitato	1.1.0

Test del piano di emergenza

ID: FedRAMP High CP-4 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Avviare azioni correttive sul test del piano di emergenza	CMA_C1263 - Avviare azioni correttive sul test del piano di emergenza	Manuale, Disabilitato	1.1.0
Esaminare i risultati dei test del piano di emergenza	CMA_C1262 - Esaminare i risultati dei test del piano di emergenza	Manuale, Disabilitato	1.1.0
Testare la continuità aziendale e il piano di ripristino di emergenza	CMA_0509 - Testare la continuità aziendale e il piano di ripristino di emergenza	Manuale, Disabilitato	1.1.0

Coordinarsi con i piani correlati

ID: FedRAMP High CP-4 (1) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Coordinare i piani di emergenza con i piani correlati	CMA_0086 - Coordinare i piani di emergenza con i piani correlati	Manuale, Disabilitato	1.1.0

Sito di elaborazione alternativo

ID: FedRAMP High CP-4 (2) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Valutare le funzionalità del sito di elaborazione alternative	CMA_C1266 - Valutare le funzionalità del sito di elaborazione alternative	Manuale, Disabilitato	1.1.0
Testare il piano di emergenza in un percorso di elaborazione alternativo	CMA_C1265 - Testare il piano di emergenza in un percorso di elaborazione alternativo	Manuale, Disabilitato	1.1.0

Sito di archiviazione alternativo

ID: FedRAMP High CP-6 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Accertarsi che le misure di sicurezza alternative del sito di archiviazione siano equivalenti al sito primario	CMA_C1268 - Accertarsi che le misure di sicurezza alternative del sito di archiviazione siano equivalenti al sito primario	Manuale, Disabilitato	1.1.0
Stabilire un sito di archiviazione alternativo per archiviare e recuperare le informazioni di backup	CMA_C1267 - Stabilisci un sito di archiviazione alternativo per archiviare e recuperare le informazioni di backup	Manuale, Disabilitato	1.1.0
Il backup con ridondanza geografica deve essere abilitato per i database di Azure per MariaDB	Il database di Azure per MariaDB consente di scegliere l'opzione di ridondanza per il server di database. Può essere impostato sull'archiviazione di backup con ridondanza geografica in cui i dati non solo vengono archiviati all'interno dell'area in cui è ospitato il server, ma vengono anche replicati in un'area associata per fornire un'opzione di ripristino in caso di errore di un'area. La configurazione dell'archiviazione con ridondanza geografica per il backup è consentita solo durante la creazione del server.	Audit, Disabled	1.0.1
Il backup con ridondanza geografica deve essere abilitato per i database di Azure per MySQL	Il database di Azure per MySQL consente di scegliere l'opzione di ridondanza per il server di database. Può essere impostato sull'archiviazione di backup con ridondanza geografica in cui i dati non solo vengono archiviati all'interno dell'area in cui è ospitato il server, ma vengono anche replicati in un'area associata per fornire un'opzione di ripristino in caso di errore di un'area. La configurazione dell'archiviazione con ridondanza geografica per il backup è consentita solo durante la creazione del server.	Audit, Disabled	1.0.1
Il backup con ridondanza geografica deve essere abilitato per i database di Azure per PostgreSQL	Il database di Azure per PostgreSQL consente di scegliere l'opzione di ridondanza per il server di database. Può essere impostato sull'archiviazione di backup con ridondanza geografica in cui i dati non solo vengono archiviati all'interno dell'area in cui è ospitato il server, ma vengono anche replicati in un'area associata per fornire un'opzione di ripristino in caso di errore di un'area. La configurazione dell'archiviazione con ridondanza geografica per il backup è consentita solo durante la creazione del server.	Audit, Disabled	1.0.1
L'archiviazione con ridondanza geografica deve essere abilitata per gli account di archiviazione	Usa la ridondanza geografica per creare applicazioni a disponibilità elevata	Audit, Disabled	1.0.0
Il backup con ridondanza geografica a lungo termine deve essere abilitato per i database SQL di Azure	Questo criterio controlla tutti i database SQL di Azure in cui non è abilitato il backup con ridondanza geografica a lungo termine.	AuditIfNotExists, Disabled	2.0.0

Separazione dal sito primario

ID: FedRAMP High CP-6 (1) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Creare siti di archiviazione alternativi e primari separati	CMA_C1269 - Creare siti di archiviazione alternativi e primari separati	Manuale, Disabilitato	1.1.0
Il backup con ridondanza geografica deve essere abilitato per i database di Azure per MariaDB	Il database di Azure per MariaDB consente di scegliere l'opzione di ridondanza per il server di database. Può essere impostato sull'archiviazione di backup con ridondanza geografica in cui i dati non solo vengono archiviati all'interno dell'area in cui è ospitato il server, ma vengono anche replicati in un'area associata per fornire un'opzione di ripristino in caso di errore di un'area. La configurazione dell'archiviazione con ridondanza geografica per il backup è consentita solo durante la creazione del server.	Audit, Disabled	1.0.1
Il backup con ridondanza geografica deve essere abilitato per i database di Azure per MySQL	Il database di Azure per MySQL consente di scegliere l'opzione di ridondanza per il server di database. Può essere impostato sull'archiviazione di backup con ridondanza geografica in cui i dati non solo vengono archiviati all'interno dell'area in cui è ospitato il server, ma vengono anche replicati in un'area associata per fornire un'opzione di ripristino in caso di errore di un'area. La configurazione dell'archiviazione con ridondanza geografica per il backup è consentita solo durante la creazione del server.	Audit, Disabled	1.0.1
Il backup con ridondanza geografica deve essere abilitato per i database di Azure per PostgreSQL	Il database di Azure per PostgreSQL consente di scegliere l'opzione di ridondanza per il server di database. Può essere impostato sull'archiviazione di backup con ridondanza geografica in cui i dati non solo vengono archiviati all'interno dell'area in cui è ospitato il server, ma vengono anche replicati in un'area associata per fornire un'opzione di ripristino in caso di errore di un'area. La configurazione dell'archiviazione con ridondanza geografica per il backup è consentita solo durante la creazione del server.	Audit, Disabled	1.0.1
L'archiviazione con ridondanza geografica deve essere abilitata per gli account di archiviazione	Usa la ridondanza geografica per creare applicazioni a disponibilità elevata	Audit, Disabled	1.0.0
Il backup con ridondanza geografica a lungo termine deve essere abilitato per i database SQL di Azure	Questo criterio controlla tutti i database SQL di Azure in cui non è abilitato il backup con ridondanza geografica a lungo termine.	AuditIfNotExists, Disabled	2.0.0

Obiettivi in fatto di tempi/punti di recupero

ID: FedRAMP High CP-6 (2) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Stabilire un sito di archiviazione alternativo che faciliti le operazioni di ripristino	CMA_C1270 - Stabilire un sito di archiviazione alternativo che faciliti le operazioni di ripristino	Manuale, Disabilitato	1.1.0

Accessibilità

ID: FedRAMP High CP-6 (3) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Identificare e attenuare i potenziali problemi nel sito di archiviazione alternativo	CMA_C1271 - Identificare e attenuare i potenziali problemi nel sito di archiviazione alternativo	Manuale, Disabilitato	1.1.0

Sito di elaborazione alternativo

ID: FedRAMP High CP-7 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Controlla macchine virtuali in cui non è configurato il ripristino di emergenza	Controlla le macchine virtuali in cui non è configurato il ripristino di emergenza. Per altre informazioni sul ripristino di emergenza, vedere https://aka.ms/asr-doc.	auditIfNotExists	1.0.0
Stabilire un sito di elaborazione alternativo	CMA_0262 - Stabilire un sito di elaborazione alternativo	Manuale, Disabilitato	1.1.0

Separazione dal sito primario

ID: FedRAMP High CP-7 (1) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Stabilire un sito di elaborazione alternativo	CMA_0262 - Stabilire un sito di elaborazione alternativo	Manuale, Disabilitato	1.1.0

Accessibilità

ID: FedRAMP High CP-7 (2) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Stabilire un sito di elaborazione alternativo	CMA_0262 - Stabilire un sito di elaborazione alternativo	Manuale, Disabilitato	1.1.0

Priorità del servizio

ID: FedRAMP High CP-7 (3) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Stabilire un sito di elaborazione alternativo	CMA_0262 - Stabilire un sito di elaborazione alternativo	Manuale, Disabilitato	1.1.0
Stabilire i requisiti per i provider di servizi Internet	CMA_0278 - Stabilire i requisiti per i provider di servizi Internet	Manuale, Disabilitato	1.1.0

Preparazione all'uso

ID: FedRAMP High CP-7 (4) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Preparare un sito di elaborazione alternativo per l'uso come sito operativo	CMA_C1278 - Preparare un sito di elaborazione alternativo per l'uso come sito operativo	Manuale, Disabilitato	1.1.0

Priorità delle disposizioni del servizio

ID: FedRAMP High CP-8 (1) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Stabilire i requisiti per i provider di servizi Internet	CMA_0278 - Stabilire i requisiti per i provider di servizi Internet	Manuale, Disabilitato	1.1.0

Backup del sistema informativo

ID: FedRAMP High CP-9 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
La soluzione Backup di Azure deve essere abilitata per le macchine virtuali	È possibile garantire la protezione delle macchine virtuali di Azure abilitando Backup di Azure. Backup di Azure è una soluzione di protezione dei dati per Azure sicura e conveniente.	AuditIfNotExists, Disabled	3.0.0
Esegui il backup della documentazione del sistema informativo	CMA_C1289 - Esegui il backup della documentazione del sistema informativo	Manuale, Disabilitato	1.1.0
Stabilire criteri e procedure di backup	CMA_0268 - Stabilire criteri e procedure di backup	Manuale, Disabilitato	1.1.0
Il backup con ridondanza geografica deve essere abilitato per i database di Azure per MariaDB	Il database di Azure per MariaDB consente di scegliere l'opzione di ridondanza per il server di database. Può essere impostato sull'archiviazione di backup con ridondanza geografica in cui i dati non solo vengono archiviati all'interno dell'area in cui è ospitato il server, ma vengono anche replicati in un'area associata per fornire un'opzione di ripristino in caso di errore di un'area. La configurazione dell'archiviazione con ridondanza geografica per il backup è consentita solo durante la creazione del server.	Audit, Disabled	1.0.1
Il backup con ridondanza geografica deve essere abilitato per i database di Azure per MySQL	Il database di Azure per MySQL consente di scegliere l'opzione di ridondanza per il server di database. Può essere impostato sull'archiviazione di backup con ridondanza geografica in cui i dati non solo vengono archiviati all'interno dell'area in cui è ospitato il server, ma vengono anche replicati in un'area associata per fornire un'opzione di ripristino in caso di errore di un'area. La configurazione dell'archiviazione con ridondanza geografica per il backup è consentita solo durante la creazione del server.	Audit, Disabled	1.0.1
Il backup con ridondanza geografica deve essere abilitato per i database di Azure per PostgreSQL	Il database di Azure per PostgreSQL consente di scegliere l'opzione di ridondanza per il server di database. Può essere impostato sull'archiviazione di backup con ridondanza geografica in cui i dati non solo vengono archiviati all'interno dell'area in cui è ospitato il server, ma vengono anche replicati in un'area associata per fornire un'opzione di ripristino in caso di errore di un'area. La configurazione dell'archiviazione con ridondanza geografica per il backup è consentita solo durante la creazione del server.	Audit, Disabled	1.0.1
Implementare i controlli per proteggere tutti i supporti	CMA_0314 - Implementare i controlli per proteggere tutti i supporti	Manuale, Disabilitato	1.1.0
È consigliabile che la protezione dall'eliminazione sia abilitata per gli insiemi di credenziali delle chiavi	L'eliminazione dolosa di un insieme di credenziali delle chiavi può causare la perdita permanente di dati. È possibile evitare la perdita permanente dei dati abilitando la protezione dall'eliminazione temporanea e l'eliminazione temporanea. La protezione dalla rimozione definitiva consente di rispondere a questi tipi di attacco imponendo un periodo di conservazione obbligatorio per gli insiemi di credenziali delle chiavi eliminati temporaneamente. Nessuno all'interno dell'organizzazione né Microsoft sarà in grado di rimuovere definitivamente gli insiemi di credenziali delle chiavi durante il periodo di conservazione associato all'eliminazione temporanea. Tenere presente che gli insiemi di credenziali delle chiavi creati dopo il 1° settembre 2019 hanno l'eliminazione temporanea abilitata per impostazione predefinita.	Audit, Deny, Disabled	2.1.0
Negli insiemi di credenziali delle chiavi deve essere abilitata la funzionalità di eliminazione temporanea	L'eliminazione di un insieme di credenziali delle chiavi senza eliminazione temporanea abilitata elimina definitivamente tutti i segreti, le chiavi e i certificati archiviati nell'insieme di credenziali delle chiavi. L'eliminazione accidentale di un insieme di credenziali delle chiavi può causare la perdita permanente di dati. L'eliminazione temporanea consente di ripristinare un insieme di credenziali delle chiavi eliminato accidentalmente per un periodo di conservazione configurabile.	Audit, Deny, Disabled	3.0.0

Spazio di archiviazione separato per le informazioni critiche

ID: FedRAMP High CP-9 (3) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Archiviare separatamente le informazioni di backup	CMA_C1293 - Archiviare separatamente le informazioni di backup	Manuale, Disabilitato	1.1.0

Trasferimento in un sito di archiviazione alternativo

ID: FedRAMP High CP-9 (5) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Trasferire le informazioni di backup in un sito di archiviazione alternativo	CMA_C1294 -Trasferire le informazioni di backup in un sito di archiviazione alternativo	Manuale, Disabilitato	1.1.0

Ripristino e ricostituzione del sistema informativo

ID: FedRAMP High CP-10 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Recuperare e ricostituire le risorse in seguito a interruzioni del servizio	CMA_C1295 - Recuperare e ricostituire le risorse in seguito a un’interruzione	Manuale, Disabilitato	1.1.1

Recupero delle transazioni

ID: FedRAMP High CP-10 (2) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Implementare il ripristino basato su transazioni	CMA_C1296 - Implementare il ripristino basato su transazioni	Manuale, Disabilitato	1.1.0

Ripristinare entro un periodo di tempo

ID: FedRAMP High CP-10 (4) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Ripristinare le risorse allo stato operativo	CMA_C1297 - Ripristinare le risorse allo stato operativo	Manuale, Disabilitato	1.1.1

Identificazione e autenticazione

Procedure e criteri di identificazione e autenticazione

ID: FedRAMP High IA-1 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Esaminare e aggiorna i criteri e le procedure di identificazione e autenticazione	CMA_C1299 - Rivedere e aggiornare i criteri e le procedure di identificazione e autenticazione	Manuale, Disabilitato	1.1.0

Identificazione e autenticazione (utenti dell'organizzazione)

ID: FedRAMP High IA-2 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Per gli account con autorizzazioni di proprietario nelle risorse di Azure deve essere abilitata l'autenticazione a più fattori	È necessario abilitare Multi-Factor Authentication (MFA) per tutti gli account della sottoscrizione con autorizzazioni di proprietario per evitare una violazione di account o risorse.	AuditIfNotExists, Disabled	1.0.0
Per gli account con autorizzazioni di lettura nelle risorse di Azure deve essere abilitata l'autenticazione a più fattori	È necessario abilitare Multi-Factor Authentication (MFA) per tutti gli account della sottoscrizione con privilegi di lettura per evitare una violazione di account o risorse.	AuditIfNotExists, Disabled	1.0.0
Per gli account con autorizzazioni di scrittura nelle risorse di Azure deve essere abilitata l'autenticazione a più fattori	È necessario abilitare Multi-Factor Authentication (MFA) per tutti gli account della sottoscrizione con privilegi di scrittura per evitare una violazione di account o risorse.	AuditIfNotExists, Disabled	1.0.0
È consigliabile effettuare il provisioning di un amministratore di Azure Active Directory per i server SQL	Controlla il provisioning di un amministratore di Azure Active Directory per il server SQL per abilitare l'autenticazione di Azure AD. L'autenticazione di Azure AD consente una gestione semplificata delle autorizzazioni e una gestione centralizzata delle identità di utenti di database e di altri servizi Microsoft	AuditIfNotExists, Disabled	1.0.0
Le app del servizio app devono usare l'identità gestita	Usare un'identità gestita per la protezione avanzata dell'autenticazione	AuditIfNotExists, Disabled	3.0.0
Le risorse di Servizi di Azure AI devono avere l'accesso alla chiave disabilitato (disabilitare l'autenticazione locale)	È consigliabile disabilitare l'accesso alla chiave (autenticazione locale) per la sicurezza. Azure OpenAI Studio, in genere usato in fase di sviluppo/test, richiede l'accesso alle chiavi e non funzionerà se l'accesso alla chiave è disabilitato. Dopo la disabilitazione, Microsoft Entra ID diventa l'unico metodo di accesso, che consente di mantenere il principio dei privilegi minimi e il controllo granulare. Per altre informazioni, vedere: https://aka.ms/AI/auth	Audit, Deny, Disabled	1.1.0
Imporre l'univocità dell'utente	CMA_0250 - Imporre l’univocità dell’utente	Manuale, Disabilitato	1.1.0
Le app per le funzioni devono usare l'identità gestita	Usare un'identità gestita per la protezione avanzata dell'autenticazione	AuditIfNotExists, Disabled	3.0.0
I cluster di Service Fabric deve usare solo Azure Active Directory per l'autenticazione client	Controlla l'utilizzo dell'autenticazione client solo tramite Azure Active Directory in Service Fabric	Audit, Deny, Disabled	1.1.0
Supportare le credenziali personali di verifica emesse dalle autorità competenti	CMA_0507 - Supportare le credenziali personali di verifica emesse dalle autorità competenti	Manuale, Disabilitato	1.1.0

Accesso di rete ad account privilegiati

ID: FedRAMP High IA-2 (1) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Per gli account con autorizzazioni di proprietario nelle risorse di Azure deve essere abilitata l'autenticazione a più fattori	È necessario abilitare Multi-Factor Authentication (MFA) per tutti gli account della sottoscrizione con autorizzazioni di proprietario per evitare una violazione di account o risorse.	AuditIfNotExists, Disabled	1.0.0
Per gli account con autorizzazioni di scrittura nelle risorse di Azure deve essere abilitata l'autenticazione a più fattori	È necessario abilitare Multi-Factor Authentication (MFA) per tutti gli account della sottoscrizione con privilegi di scrittura per evitare una violazione di account o risorse.	AuditIfNotExists, Disabled	1.0.0
Adottare meccanismi di autenticazione biometrica	CMA_0005: adottare meccanismi di autenticazione biometrica	Manuale, Disabilitato	1.1.0

Accesso di rete ad account senza privilegi

ID: FedRAMP High IA-2 (2) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Per gli account con autorizzazioni di lettura nelle risorse di Azure deve essere abilitata l'autenticazione a più fattori	È necessario abilitare Multi-Factor Authentication (MFA) per tutti gli account della sottoscrizione con privilegi di lettura per evitare una violazione di account o risorse.	AuditIfNotExists, Disabled	1.0.0
Adottare meccanismi di autenticazione biometrica	CMA_0005: adottare meccanismi di autenticazione biometrica	Manuale, Disabilitato	1.1.0

Accesso locale ad account privilegiati

ID: FedRAMP High IA-2 (3) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Adottare meccanismi di autenticazione biometrica	CMA_0005: adottare meccanismi di autenticazione biometrica	Manuale, Disabilitato	1.1.0

Autenticazione di gruppo

ID: FedRAMP High IA-2 (5) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Richiedere l'utilizzo di autenticatori di persone fisiche	CMA_C1305 - Richiedere l'utilizzo di autenticatori di persone fisiche	Manuale, Disabilitato	1.1.0

Accesso remoto - Dispositivo separato

ID: FedRAMP High IA-2 (11) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Adottare meccanismi di autenticazione biometrica	CMA_0005: adottare meccanismi di autenticazione biometrica	Manuale, Disabilitato	1.1.0
Identificare e autenticare i dispositivi di rete	CMA_0296 - Identificare e autenticare i dispositivi di rete	Manuale, Disabilitato	1.1.0

Accettazione delle credenziali PIV

ID: FedRAMP High IA-2 (12) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Supportare le credenziali personali di verifica emesse dalle autorità competenti	CMA_0507 - Supportare le credenziali personali di verifica emesse dalle autorità competenti	Manuale, Disabilitato	1.1.0

Gestione identificatori

ID: FedRAMP High IA-4 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
È consigliabile effettuare il provisioning di un amministratore di Azure Active Directory per i server SQL	Controlla il provisioning di un amministratore di Azure Active Directory per il server SQL per abilitare l'autenticazione di Azure AD. L'autenticazione di Azure AD consente una gestione semplificata delle autorizzazioni e una gestione centralizzata delle identità di utenti di database e di altri servizi Microsoft	AuditIfNotExists, Disabled	1.0.0
Le app del servizio app devono usare l'identità gestita	Usare un'identità gestita per la protezione avanzata dell'autenticazione	AuditIfNotExists, Disabled	3.0.0
Assegnare gli identificatori di sistema	CMA_0018 - Assegnare gli identificatori di sistema	Manuale, Disabilitato	1.1.0
Le risorse di Servizi di Azure AI devono avere l'accesso alla chiave disabilitato (disabilitare l'autenticazione locale)	È consigliabile disabilitare l'accesso alla chiave (autenticazione locale) per la sicurezza. Azure OpenAI Studio, in genere usato in fase di sviluppo/test, richiede l'accesso alle chiavi e non funzionerà se l'accesso alla chiave è disabilitato. Dopo la disabilitazione, Microsoft Entra ID diventa l'unico metodo di accesso, che consente di mantenere il principio dei privilegi minimi e il controllo granulare. Per altre informazioni, vedere: https://aka.ms/AI/auth	Audit, Deny, Disabled	1.1.0
Le app per le funzioni devono usare l'identità gestita	Usare un'identità gestita per la protezione avanzata dell'autenticazione	AuditIfNotExists, Disabled	3.0.0
Impedire il riutilizzo degli identificatori per il periodo di tempo definito	CMA_C1314 - Impedire il riutilizzo degli identificatori per il periodo di tempo definito	Manuale, Disabilitato	1.1.0
I cluster di Service Fabric deve usare solo Azure Active Directory per l'autenticazione client	Controlla l'utilizzo dell'autenticazione client solo tramite Azure Active Directory in Service Fabric	Audit, Deny, Disabled	1.1.0

Identificare lo stato utente

ID: FedRAMP High IA-4 (4) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Identificare lo stato dei singoli utenti	CMA_C1316 - Identificare lo stato dei singoli utenti	Manuale, Disabilitato	1.1.0

Gestione autenticatori

ID: FedRAMP High IA-5 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Aggiungi l'identità gestita assegnata dal sistema per abilitare le assegnazioni di Configurazione guest nelle macchine virtuali senza identità	Questo criterio aggiunge un'identità gestita assegnata dal sistema alle macchine virtuali ospitate in Azure supportate da Configurazione guest ma che non hanno un'identità gestita assegnata dal sistema. Un'identità gestita assegnata dal sistema è un prerequisito per tutte le assegnazioni di Configurazione guest e deve essere aggiunta ai computer prima di usare qualsiasi definizione di criteri di Configurazione guest. Per altre informazioni su Configurazione guest, vedere https://aka.ms/gcpol.	modify	4.1.0
Aggiungi l'identità gestita assegnata dal sistema per abilitare le assegnazioni di Configurazione guest nelle macchine virtuali con un'identità assegnata dall'utente	Questo criterio aggiunge un'identità gestita assegnata dal sistema alle macchine virtuali ospitate in Azure supportate da Configurazione guest e che hanno almeno un'identità assegnata dall'utente, ma non hanno un'identità gestita assegnata dal sistema. Un'identità gestita assegnata dal sistema è un prerequisito per tutte le assegnazioni di Configurazione guest e deve essere aggiunta ai computer prima di usare qualsiasi definizione di criteri di Configurazione guest. Per altre informazioni su Configurazione guest, vedere https://aka.ms/gcpol.	modify	4.1.0
Controlla i computer Linux in cui le autorizzazioni per il file passwd non sono impostate su 0644	Richiede che i prerequisiti vengano distribuiti nell'ambito dell'assegnazione dei criteri. Per informazioni dettagliate, vedere https://aka.ms/gcpol. I computer saranno non conformi se nei computer Linux le autorizzazioni per il file passwd non sono impostate su 0644	AuditIfNotExists, Disabled	3.1.0
Controlla i computer Windows che non archiviano le password usando la crittografia reversibile	Richiede che i prerequisiti vengano distribuiti nell'ambito dell'assegnazione dei criteri. Per informazioni dettagliate, vedere https://aka.ms/gcpol. I computer saranno non conformi se i computer Windows non archiviano le password usando la crittografia reversibile	AuditIfNotExists, Disabled	2.0.0
L'autenticazione alle macchine virtuali Linux deve richiedere chiavi SSH	Sebbene SSH stesso fornisca una connessione crittografata, l'uso di password con SSH lascia comunque la macchina virtuale vulnerabile agli attacchi di forza bruta. L'opzione più sicura per l'autenticazione in una macchina virtuale Linux di Azure tramite SSH è con una coppia di chiavi pubblica-privata, nota anche come chiavi SSH. Altre informazioni: https://docs.microsoft.com/azure/virtual-machines/linux/create-ssh-keys-detailed	AuditIfNotExists, Disabled	3.2.0
I certificati devono avere il periodo di validità massimo specificato	Consente di gestire i requisiti di conformità aziendali specificando il tempo di validità massimo di un certificato all'interno dell'insieme di credenziali delle chiavi.	audit, Audit, Deny, Deny, disabled, Disabled	2.2.1
Distribuisci l'estensione Configurazione guest Linux per abilitare le assegnazioni di Configurazione guest nelle macchine virtuali Linux	Questo criterio distribuisce l'estensione Configurazione guest di Linux nelle macchine virtuali Linux ospitate in Azure supportate da Configurazione guest. L'estensione Configurazione guest di Linux è un prerequisito per tutte le assegnazioni di Configurazione guest di Linux e deve essere distribuita nelle macchine virtuali prima di usare qualsiasi definizione di criteri di Configurazione guest di Linux. Per altre informazioni su Configurazione guest, vedere https://aka.ms/gcpol.	deployIfNotExists	3.1.0
Distribuisci l'estensione Configurazione guest Windows per abilitare le assegnazioni di Configurazione guest nelle macchine virtuali Windows	Questo criterio distribuisce l'estensione Configurazione guest di Windows nelle macchine virtuali Windows ospitate in Azure supportate da Configurazione guest. L'estensione Configurazione guest di Windows è un prerequisito per tutte le assegnazioni di Configurazione guest di Windows e deve essere distribuita nelle macchine virtuali prima di usare qualsiasi definizione di criteri di Configurazione guest di Windows. Per altre informazioni su Configurazione guest, vedere https://aka.ms/gcpol.	deployIfNotExists	1.2.0
Stabilire i processi e i tipi di autenticatori	CMA_0267 - Stabilire i processi e i tipi di autenticatori	Manuale, Disabilitato	1.1.0
Stabilire le procedure per la distribuzione iniziale dell'autenticatore	CMA_0276 - Stabilire le procedure per la distribuzione iniziale dell'autenticatore	Manuale, Disabilitato	1.1.0
Implementare il training per la protezione degli autenticatori	CMA_0329 - Implementare il training per la protezione degli autenticatori	Manuale, Disabilitato	1.1.0
Le chiavi degli insiemi di credenziali delle chiavi devono avere una data di scadenza	Le chiavi di crittografia devono avere una data di scadenza definita e non devono essere permanenti. Le chiavi sempre valide offrono a un potenziale utente malintenzionato più tempo per comprometterle. Impostare le date di scadenza per le chiavi di crittografia è una procedura di sicurezza consigliata.	Audit, Deny, Disabled	1.0.2
I segreti degli insiemi di credenziali delle chiavi devono avere una data di scadenza	I segreti devono avere una data di scadenza definita e non devono essere permanenti. I segreti validi a tempo indefinito forniscono ai potenziali utenti malintenzionati più tempo per comprometterli. Impostare le date di scadenza per i segreti è una procedura di sicurezza consigliata.	Audit, Deny, Disabled	1.0.2
Gestire la durata e il riutilizzo dell'autenticatore	CMA_0355 - Gestire la durata e il riutilizzo dell'autenticatore	Manuale, Disabilitato	1.1.0
Gestire gli autenticatori	CMA_C1321 - Gestire gli autenticatori	Manuale, Disabilitato	1.1.0
Aggiornare gli autenticatori	CMA_0425 - Aggiornare gli autenticatori	Manuale, Disabilitato	1.1.0
Riemettere autenticatori per i gruppi e gli account modificati	CMA_0426 - Riemettere autenticatori per i gruppi e gli account modificati	Manuale, Disabilitato	1.1.0
Verificare l'identità prima della distribuzione di autenticatori	CMA_0538 - Verificare l'identità prima della distribuzione di autenticatori	Manuale, Disabilitato	1.1.0

Autenticazione basata su password

ID: FedRAMP High IA-5 (1) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Aggiungi l'identità gestita assegnata dal sistema per abilitare le assegnazioni di Configurazione guest nelle macchine virtuali senza identità	Questo criterio aggiunge un'identità gestita assegnata dal sistema alle macchine virtuali ospitate in Azure supportate da Configurazione guest ma che non hanno un'identità gestita assegnata dal sistema. Un'identità gestita assegnata dal sistema è un prerequisito per tutte le assegnazioni di Configurazione guest e deve essere aggiunta ai computer prima di usare qualsiasi definizione di criteri di Configurazione guest. Per altre informazioni su Configurazione guest, vedere https://aka.ms/gcpol.	modify	4.1.0
Aggiungi l'identità gestita assegnata dal sistema per abilitare le assegnazioni di Configurazione guest nelle macchine virtuali con un'identità assegnata dall'utente	Questo criterio aggiunge un'identità gestita assegnata dal sistema alle macchine virtuali ospitate in Azure supportate da Configurazione guest e che hanno almeno un'identità assegnata dall'utente, ma non hanno un'identità gestita assegnata dal sistema. Un'identità gestita assegnata dal sistema è un prerequisito per tutte le assegnazioni di Configurazione guest e deve essere aggiunta ai computer prima di usare qualsiasi definizione di criteri di Configurazione guest. Per altre informazioni su Configurazione guest, vedere https://aka.ms/gcpol.	modify	4.1.0
Controlla i computer Linux in cui le autorizzazioni per il file passwd non sono impostate su 0644	Richiede che i prerequisiti vengano distribuiti nell'ambito dell'assegnazione dei criteri. Per informazioni dettagliate, vedere https://aka.ms/gcpol. I computer saranno non conformi se nei computer Linux le autorizzazioni per il file passwd non sono impostate su 0644	AuditIfNotExists, Disabled	3.1.0
Controlla i computer Windows che consentono il riutilizzo delle password dopo il numero specificato di password univoche	Richiede che i prerequisiti vengano distribuiti nell'ambito dell'assegnazione dei criteri. Per informazioni dettagliate, vedere https://aka.ms/gcpol. Le macchine non sono conformi se si tratta di macchine Windows che consentono il riutilizzo delle password dopo il numero specificato di password uniche. Il valore predefinito per le password univoche è 24	AuditIfNotExists, Disabled	2.1.0
Controlla i computer Windows che non hanno la validità massima della password impostata sul numero specificato di giorni	Richiede che i prerequisiti vengano distribuiti nell'ambito dell'assegnazione dei criteri. Per informazioni dettagliate, vedere https://aka.ms/gcpol. I computer non sono conformi se i computer Windows che non hanno la validità massima della password impostata sul numero di giorni specificato. Il valore predefinito per la validità massima della password è 70 giorni	AuditIfNotExists, Disabled	2.1.0
Controlla i computer Windows che non hanno la validità minima della password impostata sul numero specificato di giorni	Richiede che i prerequisiti vengano distribuiti nell'ambito dell'assegnazione dei criteri. Per informazioni dettagliate, vedere https://aka.ms/gcpol. I computer non sono conformi se i computer Windows che non hanno la validità minima della password impostata sul numero specificato di giorni. Il valore predefinito per l'età minima della password è 1 giorno	AuditIfNotExists, Disabled	2.1.0
Controlla i computer Windows in cui non è abilitata l'impostazione relativa alla complessità della password	Richiede che i prerequisiti vengano distribuiti nell'ambito dell'assegnazione dei criteri. Per informazioni dettagliate, vedere https://aka.ms/gcpol. I computer saranno non conformi se nei computer Windows non è abilitata l'impostazione relativa alla complessità della password	AuditIfNotExists, Disabled	2.0.0
Controlla i computer Windows in cui la lunghezza minima della password non è limitata a un numero specificato di caratteri	Richiede che i prerequisiti vengano distribuiti nell'ambito dell'assegnazione dei criteri. Per informazioni dettagliate, vedere https://aka.ms/gcpol. Non sono conformi le macchine Windows che non limitano la lunghezza minima della password al numero di caratteri specificato. Il valore predefinito per la lunghezza minima della password è di 14 caratteri	AuditIfNotExists, Disabled	2.1.0
Controlla i computer Windows che non archiviano le password usando la crittografia reversibile	Richiede che i prerequisiti vengano distribuiti nell'ambito dell'assegnazione dei criteri. Per informazioni dettagliate, vedere https://aka.ms/gcpol. I computer saranno non conformi se i computer Windows non archiviano le password usando la crittografia reversibile	AuditIfNotExists, Disabled	2.0.0
Distribuisci l'estensione Configurazione guest Linux per abilitare le assegnazioni di Configurazione guest nelle macchine virtuali Linux	Questo criterio distribuisce l'estensione Configurazione guest di Linux nelle macchine virtuali Linux ospitate in Azure supportate da Configurazione guest. L'estensione Configurazione guest di Linux è un prerequisito per tutte le assegnazioni di Configurazione guest di Linux e deve essere distribuita nelle macchine virtuali prima di usare qualsiasi definizione di criteri di Configurazione guest di Linux. Per altre informazioni su Configurazione guest, vedere https://aka.ms/gcpol.	deployIfNotExists	3.1.0
Distribuisci l'estensione Configurazione guest Windows per abilitare le assegnazioni di Configurazione guest nelle macchine virtuali Windows	Questo criterio distribuisce l'estensione Configurazione guest di Windows nelle macchine virtuali Windows ospitate in Azure supportate da Configurazione guest. L'estensione Configurazione guest di Windows è un prerequisito per tutte le assegnazioni di Configurazione guest di Windows e deve essere distribuita nelle macchine virtuali prima di usare qualsiasi definizione di criteri di Configurazione guest di Windows. Per altre informazioni su Configurazione guest, vedere https://aka.ms/gcpol.	deployIfNotExists	1.2.0
Documentare i requisiti di complessità della sicurezza nei contratti di acquisizione	CMA_0203 - Documentare i requisiti di complessità della sicurezza nei contratti di acquisizione	Manuale, Disabilitato	1.1.0
Stabilire criteri per le password	CMA_0256 - Stabilire criteri per le password	Manuale, Disabilitato	1.1.0
Implementare i parametri per gli strumenti di verifica dei segreti memorizzati	CMA_0321 - Implementare i parametri per gli strumenti di verifica dei segreti memorizzati	Manuale, Disabilitato	1.1.0
Proteggere le password con la crittografia	CMA_0408 - Proteggere le password con la crittografia	Manuale, Disabilitato	1.1.0

Autenticazione basata su PKI

ID: FedRAMP High IA-5 (2) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Associare in modo dinamico gli autenticatori e le identità	CMA_0035 - Associare autenticatori e identità in modo dinamico	Manuale, Disabilitato	1.1.0
Stabilire i processi e i tipi di autenticatori	CMA_0267 - Stabilire i processi e i tipi di autenticatori	Manuale, Disabilitato	1.1.0
Stabilire i parametri per la ricerca di strumenti di verifica e autenticatori di segreti	CMA_0274 - Stabilire parametri per la ricerca di strumenti di verifica e autenticatori di segreti	Manuale, Disabilitato	1.1.0
Stabilire le procedure per la distribuzione iniziale dell'autenticatore	CMA_0276 - Stabilire le procedure per la distribuzione iniziale dell'autenticatore	Manuale, Disabilitato	1.1.0
Mappare le identità autenticate ai singoli soggetti	CMA_0372 - Eseguire il mapping di identità autenticate ai singoli soggetti	Manuale, Disabilitato	1.1.0
Limitare l'accesso alle chiavi private	CMA_0445 - Limitare l'accesso alle chiavi private	Manuale, Disabilitato	1.1.0
Verificare l'identità prima della distribuzione di autenticatori	CMA_0538 - Verificare l'identità prima della distribuzione di autenticatori	Manuale, Disabilitato	1.1.0

Registrazione di persona o di terze parti attendibili

ID: FedRAMP High IA-5 (3) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Distribuire gli autenticatori	CMA_0184 - Distribuire gli autenticatori	Manuale, Disabilitato	1.1.0

Supporto automatizzato per la determinazione della complessità della password

ID: FedRAMP High IA-5 (4) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Documentare i requisiti di complessità della sicurezza nei contratti di acquisizione	CMA_0203 - Documentare i requisiti di complessità della sicurezza nei contratti di acquisizione	Manuale, Disabilitato	1.1.0
Stabilire criteri per le password	CMA_0256 - Stabilire criteri per le password	Manuale, Disabilitato	1.1.0
Implementare i parametri per gli strumenti di verifica dei segreti memorizzati	CMA_0321 - Implementare i parametri per gli strumenti di verifica dei segreti memorizzati	Manuale, Disabilitato	1.1.0

Protezione degli autenticatori

ID: FedRAMP High IA-5 (6) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Verificare che gli utenti autorizzati proteggano gli autenticatori forniti	CMA_C1339 - Verificare che gli utenti autorizzati proteggano gli autenticatori forniti	Manuale, Disabilitato	1.1.0

Nessuna autenticazione statica non crittografata incorporata

ID: FedRAMP High IA-5 (7) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Accertarsi che non siano presenti autenticatori statici non crittografati	CMA_C1340 - Accertarsi che non siano presenti autenticatori statici non crittografati	Manuale, Disabilitato	1.1.0

Autenticazione basata su token hardware

ID: FedRAMP High IA-5 (11) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Soddisfare i requisiti di qualità dei token	CMA_0487: soddisfare i requisiti di qualità dei token	Manuale, Disabilitato	1.1.0

Scadenza degli authenticator memorizzati nella cache

ID: FedRAMP High IA-5 (13) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Scadenza degli authenticator memorizzati nella cache	CMA_C1343 - Applicare la scadenza degli autenticatori memorizzati nella cache	Manuale, Disabilitato	1.1.0

Commenti e suggerimenti sugli autenticatori

ID: FedRAMP High IA-6 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Oscurare le informazioni di feedback durante il processo di autenticazione	CMA_C1344 - Oscurare le informazioni di feedback durante il processo di autenticazione	Manuale, Disabilitato	1.1.0

Autenticazione del modulo di crittografia

ID: FedRAMP High IA-7 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Eseguire l'autenticazione al modulo di crittografia	CMA_0021 - Eseguire l'autenticazione al modulo di crittografia	Manuale, Disabilitato	1.1.0

Identificazione e autenticazione (Utenti non appartenenti all'organizzazione)

ID: FedRAMP High IA-8 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Identifica e autentica gli utenti non aziendali	CMA_C1346 - Identifica e autentica gli utenti non aziendali	Manuale, Disabilitato	1.1.0

Accettazione delle credenziali di PIV da altri enti

ID: FedRAMP High IA-8 (1) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Accettare credenziali PIV	CMA_C1347 - Accettare le credenziali PIV	Manuale, Disabilitato	1.1.0

Accettazione delle credenziali di terze parti

ID: FedRAMP High IA-8 (2) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Accettare solo credenziali di terze parti approvate da FICAM	CMA_C1348 - Accettare solo credenziali di terze parti approvate da FICAM	Manuale, Disabilitato	1.1.0

Uso dei prodotti approvati da Ficam

ID: FedRAMP High IA-8 (3) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Usare risorse approvate da FICAM per accettare credenziali di terze parti	CMA_C1349 - Usare risorse approvate da FICAM per accettare credenziali di terze parti	Manuale, Disabilitato	1.1.0

Uso di profili rilasciati da Ficam

ID: FedRAMP High IA-8 (4) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Conformità ai profili rilasciati da FICAM	CMA_C1350 - Rendere conforme ai profili rilasciati da FICAM	Manuale, Disabilitato	1.1.0

Risposta all'incidente

Procedure e criteri di risposta agli incidenti

ID: FedRAMP High IR-1 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Rivedere e aggiornare i criteri e le procedure di risposta agli incidenti	CMA_C1352 - Rivedere e aggiornare i criteri e le procedure di risposta agli incidenti	Manuale, Disabilitato	1.1.0

Formazione in materia di risposta agli eventi imprevisti

ID: FedRAMP High IR-2 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Erogare formazione sulla fuga di informazioni	CMA_0413 - Fornire formazione sulla fuga di informazioni	Manuale, Disabilitato	1.1.0

Eventi simulati

ID: FedRAMP High IR-2 (1) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Incorporare gli eventi simulati nel training della risposta agli incidenti	CMA_C1356 - Incorporare eventi simulati nel training della risposta agli incidenti	Manuale, Disabilitato	1.1.0

Ambienti di training automatizzati

ID: FedRAMP High IR-2 (2) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Sfruttare ambienti di formazione automatizzati	CMA_C1357 - Sfruttare ambienti di formazione automatizzati	Manuale, Disabilitato	1.1.0

Test sulla risposta agli eventi imprevisti

ID: FedRAMP High IR-3 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Eseguire test di risposta agli incidenti	CMA_0060 - Eseguire test di risposta agli incidenti	Manuale, Disabilitato	1.1.0
Stabilire un programma di sicurezza delle informazioni	CMA_0263 - Stabilire un programma di sicurezza delle informazioni	Manuale, Disabilitato	1.1.0
Eseguire attacchi di simulazione	CMA_0486 - Eseguire attacchi di simulazione	Manuale, Disabilitato	1.1.0

Coordinamento con piani correlati

ID: FedRAMP High IR-3 (2) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Eseguire test di risposta agli incidenti	CMA_0060 - Eseguire test di risposta agli incidenti	Manuale, Disabilitato	1.1.0
Stabilire un programma di sicurezza delle informazioni	CMA_0263 - Stabilire un programma di sicurezza delle informazioni	Manuale, Disabilitato	1.1.0
Eseguire attacchi di simulazione	CMA_0486 - Eseguire attacchi di simulazione	Manuale, Disabilitato	1.1.0

Gestione degli eventi imprevisti

ID: FedRAMP High IR-4 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Valutare gli eventi di sicurezza delle informazioni	CMA_0013 - Valutare gli eventi di sicurezza delle informazioni	Manuale, Disabilitato	1.1.0
Azure Defender per il Servizio app deve essere abilitato	Azure Defender per il Servizio app sfrutta la portata del cloud e la visibilità di Azure come provider di servizi cloud per monitorare gli attacchi alle app Web più comuni.	AuditIfNotExists, Disabled	1.0.3
Azure Defender per i server di database SQL di Azure deve essere abilitato	Azure Defender per SQL fornisce funzionalità per l'individuazione e la mitigazione di potenziali vulnerabilità del database, il rilevamento di attività anomale che possono indicare minacce ai database SQL e l'individuazione e la classificazione di dati sensibili.	AuditIfNotExists, Disabled	1.0.2
Azure Defender per Key Vault deve essere abilitato	Azure Defender per Key Vault fornisce un ulteriore livello di protezione e di intelligence per sulla sicurezza grazie al rilevamento di tentativi insoliti e potenzialmente dannosi di accesso o sfruttamento degli account di Key Vault.	AuditIfNotExists, Disabled	1.0.3
Defender di Azure per Resource Manager deve essere abilitato	Azure Defender per Resource Manager monitora automaticamente tutte le operazioni di gestione risorse eseguite nell'organizzazione. Azure Defender rileva minacce e avvisi relativi alle attività sospette. Altre informazioni sulle funzionalità di Azure Defender per Resource Manager sono disponibili all'indirizzo https://aka.ms/defender-for-resource-manager. L'abilitazione di questo piano di Azure Defender comporta degli addebiti. Informazioni sui dettagli sui prezzi per area nella pagina dei prezzi del Centro sicurezza: https://aka.ms/pricing-security-center.	AuditIfNotExists, Disabled	1.0.0
Azure Defender per i server deve essere abilitato	Azure Defender per i server fornisce protezione dalle minacce in tempo reale per i carichi di lavoro dei server e genera raccomandazioni per la protezione avanzata e avvisi sulle attività sospette.	AuditIfNotExists, Disabled	1.0.3
Azure Defender per i server SQL nelle macchine virtuali deve essere abilitato	Azure Defender per SQL fornisce funzionalità per l'individuazione e la mitigazione di potenziali vulnerabilità del database, il rilevamento di attività anomale che possono indicare minacce ai database SQL e l'individuazione e la classificazione di dati sensibili.	AuditIfNotExists, Disabled	1.0.2
Azure Defender per SQL deve essere abilitato per i server Azure SQL non protetti	Controlla server SQL senza Sicurezza dei dati avanzata	AuditIfNotExists, Disabled	2.0.1
Azure Defender per SQL deve essere abilitato per le Istanze gestite di SQL non protette	Controlla ogni istanza gestita di SQL senza Sicurezza dei dati avanzata.	AuditIfNotExists, Disabled	1.0.2
Coordinare i piani di emergenza con i piani correlati	CMA_0086 - Coordinare i piani di emergenza con i piani correlati	Manuale, Disabilitato	1.1.0
Sviluppare un piano di risposta agli eventi imprevisti	CMA_0145 - Sviluppare un piano di risposta agli eventi imprevisti	Manuale, Disabilitato	1.1.0
Sviluppare misure di sicurezza	CMA_0161 - Sviluppare misure di sicurezza	Manuale, Disabilitato	1.1.0
È consigliabile abilitare le notifiche di posta elettronica per gli avvisi con gravità alta	Per garantire che le persone pertinenti all'interno dell'organizzazione ricevano una notifica in caso di potenziale violazione della sicurezza in una delle sottoscrizioni, abilitare l'invio delle notifiche tramite posta elettronica per gli avvisi con gravità elevata nel Centro sicurezza.	AuditIfNotExists, Disabled	1.2.0
È consigliabile abilitare le notifiche di posta elettronica al proprietario della sottoscrizione per gli avvisi con gravità alta	Per garantire che i proprietari della sottoscrizione ricevano una notifica in caso di potenziale violazione della sicurezza nella sottoscrizione, impostare l'invio delle notifiche tramite posta elettronica ai proprietari della sottoscrizione per gli avvisi con gravità elevata nel Centro sicurezza.	AuditIfNotExists, Disabled	2.1.0
Abilitare la protezione della rete	CMA_0238 - Abilitare la protezione della rete	Manuale, Disabilitato	1.1.0
Eliminare le informazioni contaminate	CMA_0253 - Eliminare le informazioni contaminate	Manuale, Disabilitato	1.1.0
Eseguire azioni in risposta a fuga/perdita di informazioni	CMA_0281 - Eseguire azioni in risposta a fuga/perdita di informazioni	Manuale, Disabilitato	1.1.0
Implementare la gestione degli eventi	CMA_0318 - Implementare la gestione degli eventi	Manuale, Disabilitato	1.1.0
Gestire il piano di risposta agli incidenti	CMA_0352 - Gestire il piano di risposta agli incidenti	Manuale, Disabilitato	1.1.0
Microsoft Defender per contenitori deve essere abilitato	Microsoft Defender per contenitori offre protezione avanzata, valutazione della vulnerabilità e protezione in fase di esecuzione per gli ambienti Kubernetes Azure, ibrido e multi-cloud.	AuditIfNotExists, Disabled	1.0.0
Microsoft Defender per archiviazione deve essere abilitato	Microsoft Defender per archiviazione rileva potenziali minacce per gli account di archiviazione. Consente di evitare i tre principali impatti sui dati e sul carico di lavoro: caricamenti di file dannosi, esfiltrazione di dati sensibili e danneggiamento dei dati. Il nuovo piano di Defender per archiviazione include l'analisi del malware e il rilevamento delle minacce per i dati sensibili. Questo piano fornisce anche una struttura prezzi stimabile (per account di archiviazione) per avere controllo sulla copertura e sui costi.	AuditIfNotExists, Disabled	1.0.0
Eseguire un'analisi delle tendenze per le minacce	CMA_0389 - Eseguire un'analisi delle tendenze per le minacce	Manuale, Disabilitato	1.1.0
Per le sottoscrizioni deve essere impostato un indirizzo di posta elettronica di contatto per i problemi relativi alla sicurezza	Per garantire che le persone pertinenti all'interno dell'organizzazione ricevano una notifica in caso di potenziale violazione della sicurezza in una delle sottoscrizioni, impostare un contatto di sicurezza per la ricezione delle notifiche tramite posta elettronica dal Centro sicurezza.	AuditIfNotExists, Disabled	1.0.1
Visualizzare e analizzare gli utenti con restrizioni	CMA_0545 - Visualizzare e analizzare gli utenti con restrizioni	Manuale, Disabilitato	1.1.0

Processi automatizzati di gestione degli eventi

ID: FedRAMP High IR-4 (1) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Sviluppare un piano di risposta agli eventi imprevisti	CMA_0145 - Sviluppare un piano di risposta agli eventi imprevisti	Manuale, Disabilitato	1.1.0
Abilitare la protezione della rete	CMA_0238 - Abilitare la protezione della rete	Manuale, Disabilitato	1.1.0
Implementare la gestione degli eventi	CMA_0318 - Implementare la gestione degli eventi	Manuale, Disabilitato	1.1.0

Riconfigurazione dinamica

ID: FedRAMP High IR-4 (2) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Includere la riconfigurazione dinamica delle risorse distribuite dal cliente	CMA_C1364 - Includere la riconfigurazione dinamica delle risorse distribuite dal cliente	Manuale, Disabilitato	1.1.0

Continuità delle operazioni

ID: FedRAMP High IR-4 (3) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Identificare le classi di eventi imprevisti e azioni eseguite	CMA_C1365 - Identificare le classi di eventi imprevisti e azioni eseguite	Manuale, Disabilitato	1.1.0

Correlazione delle informazioni

ID: FedRAMP High IR-4 (4) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Implementare la gestione degli eventi	CMA_0318 - Implementare la gestione degli eventi	Manuale, Disabilitato	1.1.0

Minacce interne - Funzionalità specifiche

ID: FedRAMP High IR-4 (6) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Implementare la funzionalità di gestione degli incidenti	CMA_C1367 - Implementare la funzionalità di gestione degli incidenti	Manuale, Disabilitato	1.1.0

Correlazione con organizzazioni esterne

ID: FedRAMP High IR-4 (8) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Coordinarsi con le organizzazioni esterne per ottenere una prospettiva comune tra più organizzazioni	CMA_C1368 - Coordinarsi con le organizzazioni esterne per ottenere una prospettiva comune tra più organizzazioni	Manuale, Disabilitato	1.1.0

Monitoraggio degli eventi imprevisti

ID: FedRAMP High IR-5 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Azure Defender per il Servizio app deve essere abilitato	Azure Defender per il Servizio app sfrutta la portata del cloud e la visibilità di Azure come provider di servizi cloud per monitorare gli attacchi alle app Web più comuni.	AuditIfNotExists, Disabled	1.0.3
Azure Defender per i server di database SQL di Azure deve essere abilitato	Azure Defender per SQL fornisce funzionalità per l'individuazione e la mitigazione di potenziali vulnerabilità del database, il rilevamento di attività anomale che possono indicare minacce ai database SQL e l'individuazione e la classificazione di dati sensibili.	AuditIfNotExists, Disabled	1.0.2
Azure Defender per Key Vault deve essere abilitato	Azure Defender per Key Vault fornisce un ulteriore livello di protezione e di intelligence per sulla sicurezza grazie al rilevamento di tentativi insoliti e potenzialmente dannosi di accesso o sfruttamento degli account di Key Vault.	AuditIfNotExists, Disabled	1.0.3
Defender di Azure per Resource Manager deve essere abilitato	Azure Defender per Resource Manager monitora automaticamente tutte le operazioni di gestione risorse eseguite nell'organizzazione. Azure Defender rileva minacce e avvisi relativi alle attività sospette. Altre informazioni sulle funzionalità di Azure Defender per Resource Manager sono disponibili all'indirizzo https://aka.ms/defender-for-resource-manager. L'abilitazione di questo piano di Azure Defender comporta degli addebiti. Informazioni sui dettagli sui prezzi per area nella pagina dei prezzi del Centro sicurezza: https://aka.ms/pricing-security-center.	AuditIfNotExists, Disabled	1.0.0
Azure Defender per i server deve essere abilitato	Azure Defender per i server fornisce protezione dalle minacce in tempo reale per i carichi di lavoro dei server e genera raccomandazioni per la protezione avanzata e avvisi sulle attività sospette.	AuditIfNotExists, Disabled	1.0.3
Azure Defender per i server SQL nelle macchine virtuali deve essere abilitato	Azure Defender per SQL fornisce funzionalità per l'individuazione e la mitigazione di potenziali vulnerabilità del database, il rilevamento di attività anomale che possono indicare minacce ai database SQL e l'individuazione e la classificazione di dati sensibili.	AuditIfNotExists, Disabled	1.0.2
Azure Defender per SQL deve essere abilitato per i server Azure SQL non protetti	Controlla server SQL senza Sicurezza dei dati avanzata	AuditIfNotExists, Disabled	2.0.1
Azure Defender per SQL deve essere abilitato per le Istanze gestite di SQL non protette	Controlla ogni istanza gestita di SQL senza Sicurezza dei dati avanzata.	AuditIfNotExists, Disabled	1.0.2
È consigliabile abilitare le notifiche di posta elettronica per gli avvisi con gravità alta	Per garantire che le persone pertinenti all'interno dell'organizzazione ricevano una notifica in caso di potenziale violazione della sicurezza in una delle sottoscrizioni, abilitare l'invio delle notifiche tramite posta elettronica per gli avvisi con gravità elevata nel Centro sicurezza.	AuditIfNotExists, Disabled	1.2.0
È consigliabile abilitare le notifiche di posta elettronica al proprietario della sottoscrizione per gli avvisi con gravità alta	Per garantire che i proprietari della sottoscrizione ricevano una notifica in caso di potenziale violazione della sicurezza nella sottoscrizione, impostare l'invio delle notifiche tramite posta elettronica ai proprietari della sottoscrizione per gli avvisi con gravità elevata nel Centro sicurezza.	AuditIfNotExists, Disabled	2.1.0
Microsoft Defender per contenitori deve essere abilitato	Microsoft Defender per contenitori offre protezione avanzata, valutazione della vulnerabilità e protezione in fase di esecuzione per gli ambienti Kubernetes Azure, ibrido e multi-cloud.	AuditIfNotExists, Disabled	1.0.0
Microsoft Defender per archiviazione deve essere abilitato	Microsoft Defender per archiviazione rileva potenziali minacce per gli account di archiviazione. Consente di evitare i tre principali impatti sui dati e sul carico di lavoro: caricamenti di file dannosi, esfiltrazione di dati sensibili e danneggiamento dei dati. Il nuovo piano di Defender per archiviazione include l'analisi del malware e il rilevamento delle minacce per i dati sensibili. Questo piano fornisce anche una struttura prezzi stimabile (per account di archiviazione) per avere controllo sulla copertura e sui costi.	AuditIfNotExists, Disabled	1.0.0
Per le sottoscrizioni deve essere impostato un indirizzo di posta elettronica di contatto per i problemi relativi alla sicurezza	Per garantire che le persone pertinenti all'interno dell'organizzazione ricevano una notifica in caso di potenziale violazione della sicurezza in una delle sottoscrizioni, impostare un contatto di sicurezza per la ricezione delle notifiche tramite posta elettronica dal Centro sicurezza.	AuditIfNotExists, Disabled	1.0.1

Creazione di report automatizzata

ID: FedRAMP High IR-6 (1) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Documentare le operazioni di sicurezza	CMA_0202 - Documentare le operazioni di sicurezza	Manuale, Disabilitato	1.1.0

Assistenza nella risposta agli eventi imprevisti

ID: FedRAMP High IR-7 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Documentare le operazioni di sicurezza	CMA_0202 - Documentare le operazioni di sicurezza	Manuale, Disabilitato	1.1.0

Supporto dell'automazione per disponibilità di informazioni/supporto

ID: FedRAMP High IR-7 (1) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Sviluppare un piano di risposta agli eventi imprevisti	CMA_0145 - Sviluppare un piano di risposta agli eventi imprevisti	Manuale, Disabilitato	1.1.0
Abilitare la protezione della rete	CMA_0238 - Abilitare la protezione della rete	Manuale, Disabilitato	1.1.0
Eliminare le informazioni contaminate	CMA_0253 - Eliminare le informazioni contaminate	Manuale, Disabilitato	1.1.0
Eseguire azioni in risposta a fuga/perdita di informazioni	CMA_0281 - Eseguire azioni in risposta a fuga/perdita di informazioni	Manuale, Disabilitato	1.1.0
Implementare la gestione degli eventi	CMA_0318 - Implementare la gestione degli eventi	Manuale, Disabilitato	1.1.0
Eseguire un'analisi delle tendenze per le minacce	CMA_0389 - Eseguire un'analisi delle tendenze per le minacce	Manuale, Disabilitato	1.1.0
Visualizzare e analizzare gli utenti con restrizioni	CMA_0545 - Visualizzare e analizzare gli utenti con restrizioni	Manuale, Disabilitato	1.1.0

Coordinamento con provider esterni

ID: FedRAMP High IR-7 (2) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Stabilire una relazione tra la funzionalità di risposta agli incidenti e i provider esterni	CMA_C1376 - Stabilire una relazione tra la funzionalità di risposta agli incidenti e i provider esterni	Manuale, Disabilitato	1.1.0
Identificare il personale incaricato di rispondere agli incidenti	CMA_0301 - Identificare il personale incaricato di rispondere agli eventi imprevisti	Manuale, Disabilitato	1.1.0

Piano di risposta agli eventi imprevisti

ID: FedRAMP High IR-8 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Valutare gli eventi di sicurezza delle informazioni	CMA_0013 - Valutare gli eventi di sicurezza delle informazioni	Manuale, Disabilitato	1.1.0
Sviluppare un piano di risposta agli eventi imprevisti	CMA_0145 - Sviluppare un piano di risposta agli eventi imprevisti	Manuale, Disabilitato	1.1.0
Implementare la gestione degli eventi	CMA_0318 - Implementare la gestione degli eventi	Manuale, Disabilitato	1.1.0
Gestire i record di violazione dei dati	CMA_0351 - Gestire i record di violazione dei dati	Manuale, Disabilitato	1.1.0
Gestire il piano di risposta agli incidenti	CMA_0352 - Gestire il piano di risposta agli incidenti	Manuale, Disabilitato	1.1.0
Proteggere il piano di risposta agli incidenti	CMA_0405 - Proteggere il piano di risposta agli incidenti	Manuale, Disabilitato	1.1.0

Risposta alla perdita di informazioni

ID: FedRAMP High IR-9 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Avvisare il personale in merito alla fuga di informazioni	CMA_0007: Avvisare il personale della perdita di informazioni	Manuale, Disabilitato	1.1.0
Sviluppare un piano di risposta agli eventi imprevisti	CMA_0145 - Sviluppare un piano di risposta agli eventi imprevisti	Manuale, Disabilitato	1.1.0
Eliminare le informazioni contaminate	CMA_0253 - Eliminare le informazioni contaminate	Manuale, Disabilitato	1.1.0
Eseguire azioni in risposta a fuga/perdita di informazioni	CMA_0281 - Eseguire azioni in risposta a fuga/perdita di informazioni	Manuale, Disabilitato	1.1.0
Identificare i sistemi e i componenti contaminati	CMA_0300 - Identificare sistemi e componenti contaminati	Manuale, Disabilitato	1.1.0
Identificare le informazioni soggette a fughe	CMA_0303 - Identificare le informazioni soggette a fuga	Manuale, Disabilitato	1.1.0
Isolare le fughe/perdite di informazioni	CMA_0346 - Isolare le fughe di informazioni	Manuale, Disabilitato	1.1.0

Personale responsabile

ID: FedRAMP High IR-9 (1) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Identificare il personale incaricato di rispondere agli incidenti	CMA_0301 - Identificare il personale incaricato di rispondere agli eventi imprevisti	Manuale, Disabilitato	1.1.0

Formazione

ID: FedRAMP High IR-9 (2) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Erogare formazione sulla fuga di informazioni	CMA_0413 - Fornire formazione sulla fuga di informazioni	Manuale, Disabilitato	1.1.0

Operazioni successive alla perdita di informazioni

ID: FedRAMP High IR-9 (3) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Sviluppare procedure di risposta alle fughe/perdite	CMA_0162 - Sviluppare procedure di risposta alle fughe	Manuale, Disabilitato	1.1.0

Esposizione a personale non autorizzato

ID: FedRAMP High IR-9 (4) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Sviluppare misure di sicurezza	CMA_0161 - Sviluppare misure di sicurezza	Manuale, Disabilitato	1.1.0

Gestione

Procedure e criteri di manutenzione dei sistemi

ID: FedRAMP High MA-1 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Esaminare e aggiornare i criteri e le procedure di manutenzione del sistema	CMA_C1395 - Rivedere e aggiornare i criteri e le procedure di manutenzione del sistema	Manuale, Disabilitato	1.1.0

Manutenzione controllata

ID: FedRAMP High MA-2 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Controllare le attività di manutenzione e riparazione	CMA_0080 - Controllare le attività di manutenzione e riparazione	Manuale, Disabilitato	1.1.0
Utilizzare un meccanismo di bonifica dei supporti	CMA_0208 - Utilizzare un meccanismo di bonifica dei supporti	Manuale, Disabilitato	1.1.0
Implementare i controlli per proteggere tutti i supporti	CMA_0314 - Implementare i controlli per proteggere tutti i supporti	Manuale, Disabilitato	1.1.0
Gestire attività di diagnostica e di manutenzione non locali	CMA_0364 - Gestire attività di diagnostica e di manutenzione non locale	Manuale, Disabilitato	1.1.0

Attività di manutenzione automatizzata

ID: FedRAMP High MA-2 (2) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Automatizzare le attività di manutenzione remota	CMA_C1402 - Automatizzare le attività di manutenzione remota	Manuale, Disabilitato	1.1.0
Produrre record completi delle attività di manutenzione remota	CMA_C1403 - Produrre record completi delle attività di manutenzione remota	Manuale, Disabilitato	1.1.0

Strumenti di manutenzione

ID: FedRAMP High MA-3 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Controllare le attività di manutenzione e riparazione	CMA_0080 - Controllare le attività di manutenzione e riparazione	Manuale, Disabilitato	1.1.0
Gestire attività di diagnostica e di manutenzione non locali	CMA_0364 - Gestire attività di diagnostica e di manutenzione non locale	Manuale, Disabilitato	1.1.0

Strumenti di controllo

ID: FedRAMP High MA-3 (1) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Controllare le attività di manutenzione e riparazione	CMA_0080 - Controllare le attività di manutenzione e riparazione	Manuale, Disabilitato	1.1.0
Gestire attività di diagnostica e di manutenzione non locali	CMA_0364 - Gestire attività di diagnostica e di manutenzione non locale	Manuale, Disabilitato	1.1.0

Controllare supporti

ID: FedRAMP High MA-3 (2) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Controllare le attività di manutenzione e riparazione	CMA_0080 - Controllare le attività di manutenzione e riparazione	Manuale, Disabilitato	1.1.0
Gestire attività di diagnostica e di manutenzione non locali	CMA_0364 - Gestire attività di diagnostica e di manutenzione non locale	Manuale, Disabilitato	1.1.0

Impedire rimozione non autorizzata

ID: FedRAMP High MA-3 (3) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Controllare le attività di manutenzione e riparazione	CMA_0080 - Controllare le attività di manutenzione e riparazione	Manuale, Disabilitato	1.1.0
Utilizzare un meccanismo di bonifica dei supporti	CMA_0208 - Utilizzare un meccanismo di bonifica dei supporti	Manuale, Disabilitato	1.1.0
Implementare i controlli per proteggere tutti i supporti	CMA_0314 - Implementare i controlli per proteggere tutti i supporti	Manuale, Disabilitato	1.1.0
Gestire attività di diagnostica e di manutenzione non locali	CMA_0364 - Gestire attività di diagnostica e di manutenzione non locale	Manuale, Disabilitato	1.1.0

Manutenzione non locale

ID: FedRAMP High MA-4 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Gestire attività di diagnostica e di manutenzione non locali	CMA_0364 - Gestire attività di diagnostica e di manutenzione non locale	Manuale, Disabilitato	1.1.0

Manutenzione non locale dei documenti

ID: FedRAMP High MA-4 (2) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Gestire attività di diagnostica e di manutenzione non locali	CMA_0364 - Gestire attività di diagnostica e di manutenzione non locale	Manuale, Disabilitato	1.1.0

Sicurezza/Sanitizzazione analoghe

ID: FedRAMP High MA-4 (3) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Eseguire tutte le operazioni di manutenzione non locali	CMA_C1417 - Eseguire tutte le operazioni di manutenzione non locali	Manuale, Disabilitato	1.1.0

Protezione crittografica

ID: FedRAMP High MA-4 (6) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Implementare meccanismi di crittografia	CMA_C1419 - Implementare meccanismi di crittografia	Manuale, Disabilitato	1.1.0

Personale addetto alla manutenzione

ID: FedRAMP High MA-5 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Designare il personale per la supervisione delle attività di manutenzione non autorizzate	CMA_C1422 - Designare il personale per la supervisione delle attività di manutenzione non autorizzate	Manuale, Disabilitato	1.1.0
Mantenere l'elenco del personale di manutenzione remota autorizzato	CMA_C1420 - Mantenere l'elenco del personale di manutenzione remota autorizzato	Manuale, Disabilitato	1.1.0
Gestire il personale di manutenzione	CMA_C1421 - Gestire il personale di manutenzione	Manuale, Disabilitato	1.1.0

Utenti senza accesso appropriato

ID: FedRAMP High MA-5 (1) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Utilizzare un meccanismo di bonifica dei supporti	CMA_0208 - Utilizzare un meccanismo di bonifica dei supporti	Manuale, Disabilitato	1.1.0
Implementare i controlli per proteggere tutti i supporti	CMA_0314 - Implementare i controlli per proteggere tutti i supporti	Manuale, Disabilitato	1.1.0

Manutenzione tempestiva

ID: FedRAMP High MA-6 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Fornire supporto tempestivo per la manutenzione	CMA_C1425 - Fornire supporto tempestivo per la manutenzione	Manuale, Disabilitato	1.1.0

Protezione dei supporti

Procedure e criteri di protezione dei supporti

ID: FedRAMP High MP-1 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Esaminare e aggiornare i criteri e le procedure di protezione dei supporti	CMA_C1427 - Esaminare e aggiornare i criteri e le procedure di protezione dei supporti	Manuale, Disabilitato	1.1.0

Accesso ai file multimediali

ID: FedRAMP High MP-2 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Implementare i controlli per proteggere tutti i supporti	CMA_0314 - Implementare i controlli per proteggere tutti i supporti	Manuale, Disabilitato	1.1.0

Contrassegno dei supporti

ID: FedRAMP High MP-3 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Implementare i controlli per proteggere tutti i supporti	CMA_0314 - Implementare i controlli per proteggere tutti i supporti	Manuale, Disabilitato	1.1.0

Conservazione dei supporti

ID: FedRAMP High MP-4 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Utilizzare un meccanismo di bonifica dei supporti	CMA_0208 - Utilizzare un meccanismo di bonifica dei supporti	Manuale, Disabilitato	1.1.0
Implementare i controlli per proteggere tutti i supporti	CMA_0314 - Implementare i controlli per proteggere tutti i supporti	Manuale, Disabilitato	1.1.0

Trasporto dei supporti

ID: FedRAMP High MP-5 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Implementare i controlli per proteggere tutti i supporti	CMA_0314 - Implementare i controlli per proteggere tutti i supporti	Manuale, Disabilitato	1.1.0
Gestire il trasporto degli asset	CMA_0370 - Gestire il trasporto degli asset	Manuale, Disabilitato	1.1.0

Protezione crittografica

ID: FedRAMP High MP-5 (4) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Implementare i controlli per proteggere tutti i supporti	CMA_0314 - Implementare i controlli per proteggere tutti i supporti	Manuale, Disabilitato	1.1.0
Gestire il trasporto degli asset	CMA_0370 - Gestire il trasporto degli asset	Manuale, Disabilitato	1.1.0

Purificazione dei supporti

ID: FedRAMP High MP-6 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Utilizzare un meccanismo di bonifica dei supporti	CMA_0208 - Utilizzare un meccanismo di bonifica dei supporti	Manuale, Disabilitato	1.1.0
Implementare i controlli per proteggere tutti i supporti	CMA_0314 - Implementare i controlli per proteggere tutti i supporti	Manuale, Disabilitato	1.1.0

Revisione/Approvazione/Tracciamento/Documento/Verifica

ID: FedRAMP High MP-6 (1) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Utilizzare un meccanismo di bonifica dei supporti	CMA_0208 - Utilizzare un meccanismo di bonifica dei supporti	Manuale, Disabilitato	1.1.0
Implementare i controlli per proteggere tutti i supporti	CMA_0314 - Implementare i controlli per proteggere tutti i supporti	Manuale, Disabilitato	1.1.0

Test delle apparecchiature

ID: FedRAMP High MP-6 (2) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Utilizzare un meccanismo di bonifica dei supporti	CMA_0208 - Utilizzare un meccanismo di bonifica dei supporti	Manuale, Disabilitato	1.1.0
Implementare i controlli per proteggere tutti i supporti	CMA_0314 - Implementare i controlli per proteggere tutti i supporti	Manuale, Disabilitato	1.1.0

Uso dei supporti

ID: FedRAMP High MP-7 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Bloccare i processi non attendibili e non firmati eseguiti da USB	CMA_0050 - Bloccare i processi non attendibili e non firmati eseguiti da USB	Manuale, Disabilitato	1.1.0
Controllare l'utilizzo dei dispositivi di archiviazione portabili	CMA_0083 - Controllare l'utilizzo dei dispositivi di archiviazione portabili	Manuale, Disabilitato	1.1.0
Implementare i controlli per proteggere tutti i supporti	CMA_0314 - Implementare i controlli per proteggere tutti i supporti	Manuale, Disabilitato	1.1.0
Limitare l'uso di file multimediali	CMA_0450 - Limitare l'uso di file multimediali	Manuale, Disabilitato	1.1.0

Impedire l'uso senza proprietario

ID: FedRAMP High MP-7 (1) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Bloccare i processi non attendibili e non firmati eseguiti da USB	CMA_0050 - Bloccare i processi non attendibili e non firmati eseguiti da USB	Manuale, Disabilitato	1.1.0
Controllare l'utilizzo dei dispositivi di archiviazione portabili	CMA_0083 - Controllare l'utilizzo dei dispositivi di archiviazione portabili	Manuale, Disabilitato	1.1.0
Implementare i controlli per proteggere tutti i supporti	CMA_0314 - Implementare i controlli per proteggere tutti i supporti	Manuale, Disabilitato	1.1.0
Limitare l'uso di file multimediali	CMA_0450 - Limitare l'uso di file multimediali	Manuale, Disabilitato	1.1.0

Protezione fisica e dell'ambiente

Criteri e procedure di protezione fisica e ambientale

ID: FedRAMP High PE-1 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Esaminare e aggiornare criteri e procedure fisici e ambientali	CMA_C1446 - Rivedere e aggiornare criteri e procedure fisici e ambientali	Manuale, Disabilitato	1.1.0

Autorizzazioni di accesso fisico

ID: FedRAMP High PE-2 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Controllare l'accesso fisico	CMA_0081 - Controllare l'accesso fisico	Manuale, Disabilitato	1.1.0

Controllo dell'accesso fisico

ID: FedRAMP High PE-3 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Controllare l'accesso fisico	CMA_0081 - Controllare l'accesso fisico	Manuale, Disabilitato	1.1.0
Definire un processo di gestione delle chiavi fisiche	CMA_0115 - Definire un processo di gestione delle chiavi fisiche	Manuale, Disabilitato	1.1.0
Stabilire e gestire un inventario degli asset	CMA_0266 - Stabilire e gestire un inventario degli asset	Manuale, Disabilitato	1.1.0
Implementare la sicurezza fisica per uffici, aree di lavoro e aree sicure	CMA_0323 - Implementare la sicurezza fisica per uffici, aree di lavoro e aree protette	Manuale, Disabilitato	1.1.0

Controllo degli accessi per mezzi di trasmissione

ID: FedRAMP High PE-4 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Controllare l'accesso fisico	CMA_0081 - Controllare l'accesso fisico	Manuale, Disabilitato	1.1.0
Implementare la sicurezza fisica per uffici, aree di lavoro e aree sicure	CMA_0323 - Implementare la sicurezza fisica per uffici, aree di lavoro e aree protette	Manuale, Disabilitato	1.1.0

Controllo degli accessi per dispositivi di output

ID: FedRAMP High PE-5 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Controllare l'accesso fisico	CMA_0081 - Controllare l'accesso fisico	Manuale, Disabilitato	1.1.0
Implementare la sicurezza fisica per uffici, aree di lavoro e aree sicure	CMA_0323 - Implementare la sicurezza fisica per uffici, aree di lavoro e aree protette	Manuale, Disabilitato	1.1.0
Gestire l'input, l'output, l'elaborazione e l'archiviazione dei dati	CMA_0369 - Gestire l'input, l'output, l'elaborazione e l'archiviazione dei dati	Manuale, Disabilitato	1.1.0

Allarmi intrusioni/dispositivi di sorveglianza

ID: FedRAMP High PE-6 (1) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Installare un sistema di allarme	CMA_0338 - Installare un sistema di allarme	Manuale, Disabilitato	1.1.0
Gestire un sistema di videocamere di sorveglianza sicuro	CMA_0354 - Gestire un sistema di videocamere di sorveglianza sicuro	Manuale, Disabilitato	1.1.0

Record di accesso dei visitatori

ID: FedRAMP High PE-8 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Controllare l'accesso fisico	CMA_0081 - Controllare l'accesso fisico	Manuale, Disabilitato	1.1.0
Implementare la sicurezza fisica per uffici, aree di lavoro e aree sicure	CMA_0323 - Implementare la sicurezza fisica per uffici, aree di lavoro e aree protette	Manuale, Disabilitato	1.1.0

Illuminazione di emergenza

ID: FedRAMP High PE-12 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Utilizzare l'illuminazione di emergenza automatica	CMA_0209 - Utilizzare l'illuminazione di emergenza automatica	Manuale, Disabilitato	1.1.0

Protezione antincendio

ID: FedRAMP High PE-13 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Implementare la sicurezza fisica per uffici, aree di lavoro e aree sicure	CMA_0323 - Implementare la sicurezza fisica per uffici, aree di lavoro e aree protette	Manuale, Disabilitato	1.1.0

Dispositivi/sistemi di rilevamento

ID: FedRAMP High PE-13 (1) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Implementare una metodologia per i test di penetrazione	CMA_0306 - Implementare una metodologia per i test di penetrazione	Manuale, Disabilitato	1.1.0
Implementare la sicurezza fisica per uffici, aree di lavoro e aree sicure	CMA_0323 - Implementare la sicurezza fisica per uffici, aree di lavoro e aree protette	Manuale, Disabilitato	1.1.0
Eseguire attacchi di simulazione	CMA_0486 - Eseguire attacchi di simulazione	Manuale, Disabilitato	1.1.0

Dispositivi/Sistemi di eliminazione

ID: FedRAMP High PE-13 (2) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Implementare la sicurezza fisica per uffici, aree di lavoro e aree sicure	CMA_0323 - Implementare la sicurezza fisica per uffici, aree di lavoro e aree protette	Manuale, Disabilitato	1.1.0

Soppressione automatica degli incendi

ID: FedRAMP High PE-13 (3) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Implementare la sicurezza fisica per uffici, aree di lavoro e aree sicure	CMA_0323 - Implementare la sicurezza fisica per uffici, aree di lavoro e aree protette	Manuale, Disabilitato	1.1.0

Controlli di temperatura e umidità

ID: FedRAMP High PE-14 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Implementare la sicurezza fisica per uffici, aree di lavoro e aree sicure	CMA_0323 - Implementare la sicurezza fisica per uffici, aree di lavoro e aree protette	Manuale, Disabilitato	1.1.0

Monitoraggio con allarmi/notifiche

ID: FedRAMP High PE-14 (2) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Implementare la sicurezza fisica per uffici, aree di lavoro e aree sicure	CMA_0323 - Implementare la sicurezza fisica per uffici, aree di lavoro e aree protette	Manuale, Disabilitato	1.1.0
Installare un sistema di allarme	CMA_0338 - Installare un sistema di allarme	Manuale, Disabilitato	1.1.0

Protezione dai danni idrici

ID: FedRAMP High PE-15 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Implementare la sicurezza fisica per uffici, aree di lavoro e aree sicure	CMA_0323 - Implementare la sicurezza fisica per uffici, aree di lavoro e aree protette	Manuale, Disabilitato	1.1.0

Recapito e rimozione

ID: FedRAMP High PE-16 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Definire i requisiti per la gestione degli asset	CMA_0125 - Definire i requisiti per la gestione degli asset	Manuale, Disabilitato	1.1.0
Gestire il trasporto degli asset	CMA_0370 - Gestire il trasporto degli asset	Manuale, Disabilitato	1.1.0

Sede di lavoro alternativa

ID: FedRAMP High PE-17 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Implementare i controlli per proteggere i siti di lavoro alternativi	CMA_0315 - Implementare i controlli per proteggere siti di lavoro alternativi	Manuale, Disabilitato	1.1.0

Collocazione dei componenti del sistema informativo

ID: FedRAMP High PE-18 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Implementare la sicurezza fisica per uffici, aree di lavoro e aree sicure	CMA_0323 - Implementare la sicurezza fisica per uffici, aree di lavoro e aree protette	Manuale, Disabilitato	1.1.0

Pianificazione

Procedure e criteri di pianificazione della sicurezza

ID: FedRAMP High PL-1 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Esaminare e aggiornare i criteri e le procedure di pianificazione	CMA_C1491 - Rivedere e aggiornare i criteri e le procedure di pianificazione	Manuale, Disabilitato	1.1.0

Piano di sicurezza del sistema

ID: FedRAMP High PL-2 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Sviluppare e definire un piano di sicurezza del sistema	CMA_0151 - Sviluppare e definire un piano di sicurezza del sistema	Manuale, Disabilitato	1.1.0
Sviluppare criteri e procedure di sicurezza delle informazioni	CMA_0158 - Sviluppare criteri e procedure di sicurezza delle informazioni	Manuale, Disabilitato	1.1.0
Sviluppare fornitori di servizi condivisi che soddisfano i criteri	CMA_C1492 - Sviluppare fornitori di servizi condivisi che soddisfano i criteri	Manuale, Disabilitato	1.1.0
Stabilire un programma per la privacy	CMA_0257 - Stabilire un programma per la privacy	Manuale, Disabilitato	1.1.0
Stabilire i requisiti di sicurezza per la produzione di dispositivi connessi	CMA_0279 - Stabilire i requisiti di sicurezza per la produzione di dispositivi connessi	Manuale, Disabilitato	1.1.0
Implementare i principi di ingegneria della sicurezza dei sistemi informativi	CMA_0325 - Implementare i principi di ingegneria della sicurezza dei sistemi informativi	Manuale, Disabilitato	1.1.0

Pianificare e coordinare con altre entità organizzative

ID: FedRAMP High PL-2 (3) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Sviluppare e definire un piano di sicurezza del sistema	CMA_0151 - Sviluppare e definire un piano di sicurezza del sistema	Manuale, Disabilitato	1.1.0
Stabilire i requisiti di sicurezza per la produzione di dispositivi connessi	CMA_0279 - Stabilire i requisiti di sicurezza per la produzione di dispositivi connessi	Manuale, Disabilitato	1.1.0
Implementare i principi di ingegneria della sicurezza dei sistemi informativi	CMA_0325 - Implementare i principi di ingegneria della sicurezza dei sistemi informativi	Manuale, Disabilitato	1.1.0

Regole di comportamento

ID: FedRAMP High PL-4 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Sviluppare procedure e criteri di utilizzo accettabili	CMA_0143 - Sviluppare procedure e criteri di utilizzo accettabili	Manuale, Disabilitato	1.1.0
Sviluppare le norme del codice di comportamento aziendale	CMA_0159 - Sviluppare le norme del codice di comportamento aziendale	Manuale, Disabilitato	1.1.0
Documentare l'accettazione dei requisiti sulla privacy da parte del personale	CMA_0193 - Documentare l'accettazione dei requisiti sulla privacy da parte del personale	Manuale, Disabilitato	1.1.0
Imporre regole di comportamento e accordi di accesso	CMA_0248 - Imporre regole di comportamento e accordi di accesso	Manuale, Disabilitato	1.1.0
Vietare le pratiche sleali	CMA_0396 - Vietare le pratiche sleali	Manuale, Disabilitato	1.1.0
Esaminare e firmare le regole di comportamento riviste	CMA_0465 - Esaminare e firmare le regole di comportamento riviste	Manuale, Disabilitato	1.1.0
Aggiornare i criteri di sicurezza delle informazioni	CMA_0518 - Aggiornare i criteri di sicurezza delle informazioni	Manuale, Disabilitato	1.1.0
Aggiornare le regole di comportamento e i contratti di accesso	CMA_0521 - Aggiornare le regole di comportamento e i contratti di accesso	Manuale, Disabilitato	1.1.0
Aggiornare le regole di comportamento e i contratti di accesso ogni 3 anni	CMA_0522 - Aggiornare le regole di comportamento e i contratti di accesso ogni 3 anni	Manuale, Disabilitato	1.1.0

Limitazioni sui social media e di rete

ID: FedRAMP High PL-4 (1) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Sviluppare procedure e criteri di utilizzo accettabili	CMA_0143 - Sviluppare procedure e criteri di utilizzo accettabili	Manuale, Disabilitato	1.1.0

Architettura di sicurezza delle informazioni

ID: FedRAMP High PL-8 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Sviluppare un approccio definito (CONOPS)	CMA_0141 - Sviluppare un approccio definito (CONOPS)	Manuale, Disabilitato	1.1.0
Esaminare e aggiornare l'architettura di sicurezza delle informazioni	CMA_C1504 - Esaminare e aggiornare l'architettura di sicurezza delle informazioni	Manuale, Disabilitato	1.1.0

Sicurezza del personale

Procedure e criteri di sicurezza del personale

ID: FedRAMP High PS-1 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Esaminare e aggiornare i criteri e le procedure di sicurezza del personale	CMA_C1507 - Rivedere e aggiornare i criteri e le procedure di sicurezza del personale	Manuale, Disabilitato	1.1.0

Designazione del rischio della posizione

ID: FedRAMP High PS-2 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Assegnare le designazioni di rischio	CMA_0016 - Assegnare le designazioni di rischio	Manuale, Disabilitato	1.1.0

Screening del personale

ID: FedRAMP High PS-3 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Autorizzare il personale con accesso alle informazioni riservate	CMA_0054 - Deselezionare il personale con accesso alle informazioni riservate	Manuale, Disabilitato	1.1.0
Implementare la verifica del personale	CMA_0322 - Implementare la verifica del personale	Manuale, Disabilitato	1.1.0
Riesegui lo screening dei singoli utenti con una frequenza definita	CMA_C1512 - Rieseguire lo screening dei singoli utenti con una frequenza definita	Manuale, Disabilitato	1.1.0

Informazioni con misure di protezione speciali

ID: FedRAMP High PS-3 (3) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Proteggere le informazioni speciali	CMA_0409: proteggere le informazioni speciali	Manuale, Disabilitato	1.1.0

Cessazione dell'incarico

ID: FedRAMP High PS-4 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Condurre un colloquio di uscita al termine del rapporto di lavoro	CMA_0058 - Condurre un colloquio di uscita al termine del rapporto di lavoro	Manuale, Disabilitato	1.1.0
Disabilitare gli autenticatori alla chiusura	CMA_0169 - Disabilitare gli autenticatori alla chiusura	Manuale, Disabilitato	1.1.0
Inviare una notifica in caso di risoluzione o trasferimento	CMA_0381 - Inviare una notifica in caso di risoluzione o trasferimento	Manuale, Disabilitato	1.1.0
Proteggere e impedire il furto di dati da parte di dipendenti in uscita	CMA_0398 - Impedire e proteggersi dal furto di dati da parte di dipendenti in uscita	Manuale, Disabilitato	1.1.0
Conservare i dati degli utenti terminati	CMA_0455 - Conservare i dati degli utenti terminati	Manuale, Disabilitato	1.1.0

Notifica automatica

ID: FedRAMP High PS-4 (2) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Automatizzare la notifica della chiusura di un dipendente	CMA_C1521 - Automatizzare la notifica del licenziamento di un dipendente	Manuale, Disabilitato	1.1.0

Trasferimento di personale

ID: FedRAMP High PS-5 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Avviare azioni di trasferimento o riassegnazione	CMA_0333 - Avviare azioni di trasferimento o riassegnazione	Manuale, Disabilitato	1.1.0
Modificare le autorizzazioni di accesso in caso di trasferimento del personale	CMA_0374 - Modificare le autorizzazioni di accesso in caso di trasferimento del personale	Manuale, Disabilitato	1.1.0
Inviare una notifica in caso di risoluzione o trasferimento	CMA_0381 - Inviare una notifica in caso di risoluzione o trasferimento	Manuale, Disabilitato	1.1.0
Rivalutare l'accesso in seguito al trasferimento del personale	CMA_0424 - Rivalutare l'accesso in seguito al trasferimento del personale	Manuale, Disabilitato	1.1.0

Accordi di accesso

ID: FedRAMP High PS-6 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Documentare gli accordi di accesso aziendale	CMA_0192 - Documentare gli accordi di accesso aziendale	Manuale, Disabilitato	1.1.0
Imporre regole di comportamento e accordi di accesso	CMA_0248 - Imporre regole di comportamento e accordi di accesso	Manuale, Disabilitato	1.1.0
Accertarsi che i contratti di accesso siano firmati o risolti tempestivamente	CMA_C1528 - Accertarsi che i contratti di accesso siano firmati o risolti tempestivamente	Manuale, Disabilitato	1.1.0
Richiedere agli utenti di firmare il contratto di accesso	CMA_0440 - Richiedere agli utenti di firmare il contratto di accesso	Manuale, Disabilitato	1.1.0
Aggiornare i contratti di accesso aziendale	CMA_0520 - Aggiornare i contratti di accesso aziendale	Manuale, Disabilitato	1.1.0

Sicurezza del personale di terze parti

ID: FedRAMP High PS-7 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Documentare i requisiti di sicurezza del personale di terze parti	CMA_C1531 - Documentare i requisiti di sicurezza del personale di terze parti	Manuale, Disabilitato	1.1.0
Stabilire i requisiti di sicurezza del personale di terze parti	CMA_C1529 - Stabilire i requisiti di sicurezza del personale di terze parti	Manuale, Disabilitato	1.1.0
Monitorare la conformità dei fornitori di terze parti	CMA_C1533 - Monitorare la conformità dei fornitori di terze parti	Manuale, Disabilitato	1.1.0
Richiedere la notifica del trasferimento o della terminazione del personale di terze parti	CMA_C1532 - Richiedere la notifica del trasferimento o della terminazione del personale di terze parti	Manuale, Disabilitato	1.1.0
Richiedere ai fornitori di terze parti di rispettare i criteri e le procedure di sicurezza del personale	CMA_C1530 - Richiedere ai fornitori di terze parti di rispettare i criteri e le procedure di sicurezza del personale	Manuale, Disabilitato	1.1.0

Sanzioni al personale

ID: FedRAMP High PS-8 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Implementare il processo per sanzioni formali	CMA_0317 - Implementare il processo per sanzioni formali	Manuale, Disabilitato	1.1.0
Avvisare il personale in caso di sanzioni	CMA_0380 - Avvisare il personale in caso di sanzioni	Manuale, Disabilitato	1.1.0

Valutazione dei rischi

Criteri e procedure per la valutazione dei rischi

ID: FedRAMP High RA-1 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Esaminare e aggiornare i criteri e le procedure di valutazione dei rischi	CMA_C1537 - Rivedere e aggiornare i criteri e le procedure di valutazione dei rischi	Manuale, Disabilitato	1.1.0

Categorizzazione di sicurezza

ID: FedRAMP High RA-2 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Classificare le informazioni	CMA_0052 - Classificare le informazioni	Manuale, Disabilitato	1.1.0
Sviluppare schemi di classificazione commerciale	CMA_0155 - Sviluppare schemi di classificazione commerciale	Manuale, Disabilitato	1.1.0
Accertarsi che la categorizzazione della sicurezza sia approvata	CMA_C1540 - Accertarsi che la categorizzazione della sicurezza sia approvata	Manuale, Disabilitato	1.1.0
Rivedere attività e analisi delle etichette	CMA_0474 - Rivedere attività e analisi delle etichette	Manuale, Disabilitato	1.1.0

Valutazione dei rischi

ID: FedRAMP High RA-3 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Eseguire la valutazione dei rischi	CMA_C1543 - Eseguire la valutazione dei rischi	Manuale, Disabilitato	1.1.0
Eseguire la valutazione dei rischi e distribuirne i risultati	CMA_C1544 - Eseguire la valutazione dei rischi e distribuirne i risultati	Manuale, Disabilitato	1.1.0
Eseguire la valutazione dei rischi e documentarne i risultati	CMA_C1542 - Eseguire la valutazione dei rischi e documentarne i risultati	Manuale, Disabilitato	1.1.0
Eseguire una valutazione dei rischi	CMA_0388 - Eseguire una valutazione dei rischi	Manuale, Disabilitato	1.1.0

Analisi vulnerabilità

ID: FedRAMP High RA-5 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
È consigliabile abilitare una soluzione di valutazione della vulnerabilità nelle macchine virtuali	Controlla le macchine virtuali per rilevare se eseguono una soluzione di valutazione della vulnerabilità supportata. Un componente principale di ogni programma per la sicurezza e il rischio informatico è costituito dall'identificazione e dall'analisi delle vulnerabilità. Il piano tariffario standard del Centro sicurezza di Azure include l'analisi delle vulnerabilità per le macchine virtuali senza costi aggiuntivi. Inoltre, il Centro sicurezza è in grado di distribuire automaticamente questo strumento.	AuditIfNotExists, Disabled	3.0.0
Azure Defender per il Servizio app deve essere abilitato	Azure Defender per il Servizio app sfrutta la portata del cloud e la visibilità di Azure come provider di servizi cloud per monitorare gli attacchi alle app Web più comuni.	AuditIfNotExists, Disabled	1.0.3
Azure Defender per i server di database SQL di Azure deve essere abilitato	Azure Defender per SQL fornisce funzionalità per l'individuazione e la mitigazione di potenziali vulnerabilità del database, il rilevamento di attività anomale che possono indicare minacce ai database SQL e l'individuazione e la classificazione di dati sensibili.	AuditIfNotExists, Disabled	1.0.2
Azure Defender per Key Vault deve essere abilitato	Azure Defender per Key Vault fornisce un ulteriore livello di protezione e di intelligence per sulla sicurezza grazie al rilevamento di tentativi insoliti e potenzialmente dannosi di accesso o sfruttamento degli account di Key Vault.	AuditIfNotExists, Disabled	1.0.3
Defender di Azure per Resource Manager deve essere abilitato	Azure Defender per Resource Manager monitora automaticamente tutte le operazioni di gestione risorse eseguite nell'organizzazione. Azure Defender rileva minacce e avvisi relativi alle attività sospette. Altre informazioni sulle funzionalità di Azure Defender per Resource Manager sono disponibili all'indirizzo https://aka.ms/defender-for-resource-manager. L'abilitazione di questo piano di Azure Defender comporta degli addebiti. Informazioni sui dettagli sui prezzi per area nella pagina dei prezzi del Centro sicurezza: https://aka.ms/pricing-security-center.	AuditIfNotExists, Disabled	1.0.0
Azure Defender per i server deve essere abilitato	Azure Defender per i server fornisce protezione dalle minacce in tempo reale per i carichi di lavoro dei server e genera raccomandazioni per la protezione avanzata e avvisi sulle attività sospette.	AuditIfNotExists, Disabled	1.0.3
Azure Defender per i server SQL nelle macchine virtuali deve essere abilitato	Azure Defender per SQL fornisce funzionalità per l'individuazione e la mitigazione di potenziali vulnerabilità del database, il rilevamento di attività anomale che possono indicare minacce ai database SQL e l'individuazione e la classificazione di dati sensibili.	AuditIfNotExists, Disabled	1.0.2
Azure Defender per SQL deve essere abilitato per i server Azure SQL non protetti	Controlla server SQL senza Sicurezza dei dati avanzata	AuditIfNotExists, Disabled	2.0.1
Azure Defender per SQL deve essere abilitato per le Istanze gestite di SQL non protette	Controlla ogni istanza gestita di SQL senza Sicurezza dei dati avanzata.	AuditIfNotExists, Disabled	1.0.2
Microsoft Defender per contenitori deve essere abilitato	Microsoft Defender per contenitori offre protezione avanzata, valutazione della vulnerabilità e protezione in fase di esecuzione per gli ambienti Kubernetes Azure, ibrido e multi-cloud.	AuditIfNotExists, Disabled	1.0.0
Microsoft Defender per archiviazione deve essere abilitato	Microsoft Defender per archiviazione rileva potenziali minacce per gli account di archiviazione. Consente di evitare i tre principali impatti sui dati e sul carico di lavoro: caricamenti di file dannosi, esfiltrazione di dati sensibili e danneggiamento dei dati. Il nuovo piano di Defender per archiviazione include l'analisi del malware e il rilevamento delle minacce per i dati sensibili. Questo piano fornisce anche una struttura prezzi stimabile (per account di archiviazione) per avere controllo sulla copertura e sui costi.	AuditIfNotExists, Disabled	1.0.0
Eseguire analisi delle vulnerabilità	CMA_0393 - Eseguire analisi delle vulnerabilità	Manuale, Disabilitato	1.1.0
Correggere i difetti del sistema informativo	CMA_0427 - Correggere i difetti del sistema informativo	Manuale, Disabilitato	1.1.0
I risultati delle vulnerabilità devono essere risolti nei database SQL	Consente di monitorare i consigli e i risultati dell'analisi della valutazione della vulnerabilità per informazioni su come correggere le vulnerabilità del database.	AuditIfNotExists, Disabled	4.1.0
I risultati delle vulnerabilità devono essere risolti nei server SQL	Valutazione della vulnerabilità di SQL analizza il database per individuare vulnerabilità a livello di sicurezza ed espone eventuali scostamenti dalle procedure consigliate, ad esempio configurazioni errate, autorizzazioni eccessive e dati sensibili non protetti. La risoluzione delle vulnerabilità rilevate può migliorare significativamente il comportamento di sicurezza del database.	AuditIfNotExists, Disabled	1.0.0
È consigliabile correggere le vulnerabilità nelle configurazioni della sicurezza dei contenitori	Verifica le vulnerabilità nella configurazione della sicurezza nei computer in cui è installato Docker e le visualizza come raccomandazioni nel Centro sicurezza di Azure.	AuditIfNotExists, Disabled	3.0.0
Le vulnerabilità nella configurazione di sicurezza delle macchine devono essere risolte	I server che non soddisfano la baseline configurata verranno monitorati dal Centro sicurezza di Azure che invierà i consigli corrispondenti	AuditIfNotExists, Disabled	3.1.0
Le vulnerabilità nella configurazione di sicurezza dei set di scalabilità di macchine virtuali devono essere risolte	Controlla le vulnerabilità del sistema operativo nei set di scalabilità di macchine virtuali per proteggerli da attacchi.	AuditIfNotExists, Disabled	3.0.0
La valutazione della vulnerabilità deve essere abilitata nell'istanza gestita di SQL	Controlla ogni istanza gestita di SQL in cui non sono abilitate analisi di valutazione della vulnerabilità ricorrenti. La valutazione della vulnerabilità consente di individuare, monitorare e risolvere le potenziali vulnerabilità del database.	AuditIfNotExists, Disabled	1.0.1
È consigliabile abilitare la valutazione della vulnerabilità nei server SQL	Controllare i server di Azure SQL in cui non è stata configurata adeguatamente la valutazione della vulnerabilità. La valutazione della vulnerabilità consente di individuare, monitorare e risolvere le potenziali vulnerabilità del database.	AuditIfNotExists, Disabled	3.0.0
La soluzione Valutazione della vulnerabilità deve essere abilitata nelle aree di lavoro Synapse	Consente di individuare, tenere traccia e correggere potenziali vulnerabilità configurando analisi di valutazione delle vulnerabilità SQL ricorrenti nelle aree di lavoro Synapse.	AuditIfNotExists, Disabled	1.0.0

Capacità dello strumento di aggiornamento

ID: FedRAMP High RA-5 (1) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Eseguire analisi delle vulnerabilità	CMA_0393 - Eseguire analisi delle vulnerabilità	Manuale, Disabilitato	1.1.0
Correggere i difetti del sistema informativo	CMA_0427 - Correggere i difetti del sistema informativo	Manuale, Disabilitato	1.1.0

Aggiornamento in base a frequenza/prima della nuova analisi/quando viene identificato

ID: FedRAMP High RA-5 (2) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Eseguire analisi delle vulnerabilità	CMA_0393 - Eseguire analisi delle vulnerabilità	Manuale, Disabilitato	1.1.0
Correggere i difetti del sistema informativo	CMA_0427 - Correggere i difetti del sistema informativo	Manuale, Disabilitato	1.1.0

Ampiezza/profondità della copertura

ID: FedRAMP High RA-5 (3) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Eseguire analisi delle vulnerabilità	CMA_0393 - Eseguire analisi delle vulnerabilità	Manuale, Disabilitato	1.1.0
Correggere i difetti del sistema informativo	CMA_0427 - Correggere i difetti del sistema informativo	Manuale, Disabilitato	1.1.0

Informazioni individuabili

ID: FedRAMP High RA-5 (4) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Intervenire in risposta alle informazioni dei clienti	CMA_C1554 - Intervenire in risposta alle informazioni dei clienti	Manuale, Disabilitato	1.1.0

Accesso con privilegi

ID: FedRAMP High RA-5 (5) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Implementare l'accesso privilegiato per l'esecuzione di attività di analisi delle vulnerabilità	CMA_C1555 - Implementare l'accesso privilegiato per l'esecuzione di attività di analisi delle vulnerabilità	Manuale, Disabilitato	1.1.0

Analisi automatizzata delle tendenze

ID: FedRAMP High RA-5 (6) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Osservare e segnalare i punti deboli della sicurezza	CMA_0384 - Osservare e segnalare i punti deboli della sicurezza	Manuale, Disabilitato	1.1.0
Eseguire un'analisi delle tendenze per le minacce	CMA_0389 - Eseguire un'analisi delle tendenze per le minacce	Manuale, Disabilitato	1.1.0
Creare un modello di rischio	CMA_0392 - Creare un modello di rischio	Manuale, Disabilitato	1.1.0
Eseguire analisi delle vulnerabilità	CMA_0393 - Eseguire analisi delle vulnerabilità	Manuale, Disabilitato	1.1.0
Correggere i difetti del sistema informativo	CMA_0427 - Correggere i difetti del sistema informativo	Manuale, Disabilitato	1.1.0

Esaminare i log di audit cronologici

ID: FedRAMP High RA-5 (8) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Controllare le funzioni con privilegi	CMA_0019 - Controllare le funzioni con privilegi	Manuale, Disabilitato	1.1.0
Controllare lo stato dell'account utente	CMA_0020 - Controllare lo stato dell'account utente	Manuale, Disabilitato	1.1.0
Correlare i record di controllo	CMA_0087 - Correlare i record di controllo	Manuale, Disabilitato	1.1.0
Determinare gli eventi controllabili	CMA_0137 - Determinare gli eventi controllabili	Manuale, Disabilitato	1.1.0
Stabilire i requisiti per la revisione e i report di controllo	CMA_0277 - Stabilire i requisiti per la revisione e i report di controllo	Manuale, Disabilitato	1.1.0
Integrare revisione, analisi e report di controllo	CMA_0339 - Integrare la revisione, l'analisi e il report di controllo	Manuale, Disabilitato	1.1.0
Integrare Cloud App Security con un sistema SIEM	CMA_0340 - Integrare Cloud App Security con un sistema SIEM	Manuale, Disabilitato	1.1.0
Esaminare i log di provisioning account	CMA_0460 - Esaminare i log di provisioning account	Manuale, Disabilitato	1.1.0
Rivedere le assegnazioni degli amministratori ogni settimana	CMA_0461 - Rivedere le assegnazioni degli amministratori ogni settimana	Manuale, Disabilitato	1.1.0
Rivedere i dati di audit	CMA_0466 - Rivedere i dati di audit	Manuale, Disabilitato	1.1.0
Esaminare la panoramica del report sulle identità cloud	CMA_0468 - Esaminare la panoramica del report sulle identità cloud	Manuale, Disabilitato	1.1.0
Esaminare gli eventi di accesso controllato alle cartelle	CMA_0471 - Esaminare gli eventi di accesso controllato alle cartelle	Manuale, Disabilitato	1.1.0
Esaminare gli eventi di protezione dagli exploit	CMA_0472 - Esaminare gli eventi di protezione dagli exploit	Manuale, Disabilitato	1.1.0
Esaminare le attività relative a file e cartelle	CMA_0473 - Esaminare le attività relative a file e cartelle	Manuale, Disabilitato	1.1.0
Rivedere le modifiche del gruppo di ruoli ogni settimana	CMA_0476 - Rivedere le modifiche del gruppo di ruoli ogni settimana	Manuale, Disabilitato	1.1.0

Correlare le informazioni per l'analisi

ID: FedRAMP High RA-5 (10) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Correlare le informazioni delle analisi di vulnerabilità	CMA_C1558 - Correlare le informazioni delle analisi di vulnerabilità	Manuale, Disabilitato	1.1.1

Acquisizione del sistema e dei servizi

Criteri e procedure per l'acquisizione del sistema e dei servizi

ID: FedRAMP High SA-1 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Esaminare e aggiornare i criteri e le procedure di acquisizione di sistemi e servizi	CMA_C1560 - Esaminare e aggiornare i criteri e le procedure di acquisizione di sistemi e servizi	Manuale, Disabilitato	1.1.0

Allocazione delle risorse

ID: FedRAMP High SA-2 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Allineare gli obiettivi aziendali e IT	CMA_0008 - Allineare gli obiettivi aziendali e IT	Manuale, Disabilitato	1.1.0
Allocare risorse per determinare i requisiti del sistema informativo	CMA_C1561 - Allocare risorse per determinare i requisiti del sistema informativo	Manuale, Disabilitato	1.1.0
Stabilire una voce discreta nella documentazione relativa al budget	CMA_C1563 - Stabilire una voce discreta nella documentazione relativa al budget	Manuale, Disabilitato	1.1.0
Stabilire un programma per la privacy	CMA_0257 - Stabilire un programma per la privacy	Manuale, Disabilitato	1.1.0
Gestire l'allocazione delle risorse	CMA_0293 - Gestire l'allocazione delle risorse	Manuale, Disabilitato	1.1.0
Proteggere l'impegno nella leadership	CMA_0489 - Proteggere l'impegno nella leadership	Manuale, Disabilitato	1.1.0

Ciclo di vita dello sviluppo del sistema

ID: FedRAMP High SA-3 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Definire ruoli e responsabilità della sicurezza delle informazioni	CMA_C1565 - Definire i ruoli e le responsabilità di sicurezza delle informazioni	Manuale, Disabilitato	1.1.0
Identificare gli utenti con ruoli e responsabilità di sicurezza	CMA_C1566 - Identificare gli utenti con ruoli e responsabilità di sicurezza	Manuale, Disabilitato	1.1.1
Integrare il processo di gestione dei rischi in SDLC	CMA_C1567 - Integrare il processo di gestione dei rischi in SDLC	Manuale, Disabilitato	1.1.0

Processo di acquisizione

ID: FedRAMP High SA-4 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Determinare gli obblighi contrattuali dei fornitori	CMA_0140 - Determinare gli obblighi contrattuali dei fornitori	Manuale, Disabilitato	1.1.0
Documentare i criteri di accettazione dei contratti di acquisizione	CMA_0187 - Documentare i criteri di accettazione dei contratti di acquisizione	Manuale, Disabilitato	1.1.0
Documentare la protezione dei dati personali nei contratti di acquisizione	CMA_0194 - Documentare la protezione dei dati personali nei contratti di acquisizione	Manuale, Disabilitato	1.1.0
Documentare la protezione delle informazioni di sicurezza nei contratti di acquisizione	CMA_0195 - Documentare la protezione delle informazioni di sicurezza nei contratti di acquisizione	Manuale, Disabilitato	1.1.0
Documentare i requisiti per l'utilizzo dei dati condivisi nei contratti	CMA_0197 - Documentare i requisiti per l'utilizzo dei dati condivisi nei contratti	Manuale, Disabilitato	1.1.0
Documentare i requisiti di controllo della sicurezza nei contratti di acquisizione	CMA_0199 - Documentare i requisiti di controllo della sicurezza nei contratti di acquisizione	Manuale, Disabilitato	1.1.0
Documentare i requisiti di documentazione della sicurezza nel contratto di acquisizione	CMA_0200 - Documentare i requisiti di documentazione della sicurezza nel contratto di acquisizione	Manuale, Disabilitato	1.1.0
Documentare i requisiti funzionali della sicurezza nei contratti di acquisizione	CMA_0201 - Documentare i requisiti funzionali della sicurezza nei contratti di acquisizione	Manuale, Disabilitato	1.1.0
Documentare i requisiti di complessità della sicurezza nei contratti di acquisizione	CMA_0203 - Documentare i requisiti di complessità della sicurezza nei contratti di acquisizione	Manuale, Disabilitato	1.1.0
Documentare l'ambiente del sistema informativo nei contratti di acquisizione	CMA_0205 - Documentare l'ambiente del sistema informativo nei contratti di acquisizione	Manuale, Disabilitato	1.1.0
Documentare la protezione dei dati dei titolari di carte nei contratti di terze parti	CMA_0207 - Documentare la protezione dei dati dei titolari di carte nei contratti di terze parti	Manuale, Disabilitato	1.1.0

Proprietà funzionali dei controlli di sicurezza

ID: FedRAMP High SA-4 (1) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Ottenere le proprietà funzionali dei controlli di sicurezza	CMA_C1575 - Ottenere le proprietà funzionali dei controlli di sicurezza	Manuale, Disabilitato	1.1.0

Informazioni sulla progettazione e l'implementazione per i controlli di sicurezza

ID: FedRAMP High SA-4 (2) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Ottenere informazioni di progettazione e implementazione per i controlli di sicurezza	CMA_C1576 - Ottenere informazioni di progettazione e implementazione per i controlli di sicurezza	Manuale, Disabilitato	1.1.1

Piano di monitoraggio continuo

ID: FedRAMP High SA-4 (8) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Ottenere un piano di monitoraggio continuo per i controlli di sicurezza	CMA_C1577 - Ottenere un piano di monitoraggio continuo per i controlli di sicurezza	Manuale, Disabilitato	1.1.0

Funzioni/Porte/Protocolli/Servizi in uso

ID: FedRAMP High SA-4 (9) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Richiedere al developer di identificare porte, protocolli e servizi SDLC	CMA_C1578 - Chiedere allo sviluppatore di identificare porte, protocolli e servizi SDLC	Manuale, Disabilitato	1.1.0

Uso dei prodotti PIV approvati

ID: FedRAMP High SA-4 (10) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Usare la tecnologia approvata da FIPS 201 per PIV	CMA_C1579 - Usare la tecnologia per PIV approvata da FIPS 201	Manuale, Disabilitato	1.1.0

Documentazione del sistema informativo

ID: FedRAMP High SA-5 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Distribuire la documentazione del sistema informativo	CMA_C1584 - Distribuire la documentazione del sistema informativo	Manuale, Disabilitato	1.1.0
Documentare le azioni definite dal cliente	CMA_C1582 - Documentare le azioni definite dal cliente	Manuale, Disabilitato	1.1.0
Ottenere la documentazione dell'amministratore	CMA_C1580 - Ottienere la documentazione dell'amministratore	Manuale, Disabilitato	1.1.0
Ottenere la documentazione della funzione di sicurezza degli utenti	CMA_C1581 - Ottenere la documentazione della funzione di sicurezza degli utenti	Manuale, Disabilitato	1.1.0
Proteggere la documentazione di amministratori e utenti	CMA_C1583 - Proteggere la documentazione di amministratori e utenti	Manuale, Disabilitato	1.1.0

Servizi esterni per il sistema informativo

ID: FedRAMP High SA-9 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Definire e documentare la supervisione governativa	CMA_C1587 - Definire e documentare la supervisione governativa	Manuale, Disabilitato	1.1.0
Richiedere ai fornitori di servizi esterni di rispettare i requisiti di sicurezza	CMA_C1586 - Richiedere ai fornitori di servizi esterni di rispettare i requisiti di sicurezza	Manuale, Disabilitato	1.1.0
Esaminare la conformità del provider di servizi cloud ai criteri e ai contratti	CMA_0469 - Esaminare la conformità del provider di servizi cloud ai criteri e ai contratti	Manuale, Disabilitato	1.1.0
Sottoporsi a una revisione indipendente della sicurezza	CMA_0515 - Sottoporsi a una revisione indipendente della sicurezza	Manuale, Disabilitato	1.1.0

Valutazioni dei rischi/Approvazioni dell'organizzazione

ID: FedRAMP High SA-9 (1) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Valutare i rischi nelle relazioni con terze parti	CMA_0014 - Valutare i rischi nelle relazioni con terze parti	Manuale, Disabilitato	1.1.0
Ottenere le approvazioni per le acquisizioni e l'esternalizzazione	CMA_C1590 - Ottenere approvazioni per acquisizioni ed esternalizzazione	Manuale, Disabilitato	1.1.0

Identificazione di funzioni/porte/protocolli/servizi

ID: FedRAMP High SA-9 (2) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Identificare i fornitori di servizi esterni	CMA_C1591 - Identificare i fornitori di servizi esterni	Manuale, Disabilitato	1.1.0

Interessi coerenti di utenti e provider

ID: FedRAMP High SA-9 (4) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Assicurarsi che i provider esterni soddisfino in modo coerente gli interessi dei clienti	CMA_C1592 - Accertarsi che i provider esterni soddisfino in modo coerente gli interessi dei clienti	Manuale, Disabilitato	1.1.0

Elaborazione, archiviazione e posizione dei servizi

ID: FedRAMP High SA-9 (5) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Limitare la posizione dell'elaborazione delle informazioni, dell'archiviazione e dei servizi	CMA_C1593 - Limitare la posizione di elaborazione, archiviazione e servizi delle informazioni	Manuale, Disabilitato	1.1.0

Gestione della configurazione da parte dello sviluppatore

ID: FedRAMP High SA-10 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Risolvere le vulnerabilità legate alla scrittura del codice	CMA_0003 - Risolvere le vulnerabilità legate alla scrittura del codice	Manuale, Disabilitato	1.1.0
Sviluppare e documentare i requisiti di sicurezza delle applicazioni	CMA_0148 - Sviluppare e documentare i requisiti di sicurezza delle applicazioni	Manuale, Disabilitato	1.1.0
Documentare l'ambiente del sistema informativo nei contratti di acquisizione	CMA_0205 - Documentare l'ambiente del sistema informativo nei contratti di acquisizione	Manuale, Disabilitato	1.1.0
Stabilire un programma di sviluppo software sicuro	CMA_0259 - Stabilire un programma di sviluppo software sicuro	Manuale, Disabilitato	1.1.0
Eseguire analisi delle vulnerabilità	CMA_0393 - Eseguire analisi delle vulnerabilità	Manuale, Disabilitato	1.1.0
Correggere i difetti del sistema informativo	CMA_0427 - Correggere i difetti del sistema informativo	Manuale, Disabilitato	1.1.0
Richiedere agli sviluppatori di documentare le modifiche approvate e il potenziale impatto	CMA_C1597 - Richiedi agli sviluppatori di documentare le modifiche approvate e il potenziale impatto	Manuale, Disabilitato	1.1.0
Richiedi agli sviluppatori di implementare solo le modifiche approvate	CMA_C1596 - Richiedere agli sviluppatori di implementare solo le modifiche approvate	Manuale, Disabilitato	1.1.0
Richiedere agli sviluppatori di gestire l'integrità delle modifiche	CMA_C1595 - Richiedere agli sviluppatori di gestire l'integrità delle modifiche	Manuale, Disabilitato	1.1.0

Verifica integrità software/firmware

ID: FedRAMP High SA-10 (1) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Verificare l'integrità di software, firmware e informazioni	CMA_0542 - Verificare l'integrità di software, firmware e informazioni	Manuale, Disabilitato	1.1.0

Test e valutazione della sicurezza da parte del developer

ID: FedRAMP High SA-11 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Eseguire analisi delle vulnerabilità	CMA_0393 - Eseguire analisi delle vulnerabilità	Manuale, Disabilitato	1.1.0
Correggere i difetti del sistema informativo	CMA_0427 - Correggere i difetti del sistema informativo	Manuale, Disabilitato	1.1.0
Richiedere agli sviluppatori di produrre prove dell'esecuzione del piano di valutazione della sicurezza	CMA_C1602 - Richiedere agli sviluppatori di produrre prove dell'esecuzione del piano di valutazione della sicurezza	Manuale, Disabilitato	1.1.0

Protezione della supply chain

ID: FedRAMP High SA-12 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Valutare i rischi nelle relazioni con terze parti	CMA_0014 - Valutare i rischi nelle relazioni con terze parti	Manuale, Disabilitato	1.1.0
Definire i requisiti per la fornitura di beni e servizi	CMA_0126 - Definire i requisiti per la fornitura di beni e servizi	Manuale, Disabilitato	1.1.0
Determinare gli obblighi contrattuali dei fornitori	CMA_0140 - Determinare gli obblighi contrattuali dei fornitori	Manuale, Disabilitato	1.1.0
Stabilire criteri per la gestione dei rischi della catena di approvvigionamento	CMA_0275 - Stabilire criteri per la gestione dei rischi della catena di approvvigionamento	Manuale, Disabilitato	1.1.0

Processo di sviluppo, standard e strumenti

ID: FedRAMP High SA-15 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Rivedere processi, standard e strumenti di sviluppo	CMA_C1610 - Esaminare il processo di sviluppo, gli standard e gli strumenti	Manuale, Disabilitato	1.1.0

Training fornito dallo sviluppatore

ID: FedRAMP High SA-16 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Richiedere ai developer di fornire training	CMA_C1611 - Chiedere agli sviluppatori di fornire training	Manuale, Disabilitato	1.1.0

Architettura e progettazione della sicurezza da parte del developer

ID: FedRAMP High SA-17 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Richiedere agli sviluppatori di creare un'architettura di sicurezza	CMA_C1612 - Richiedere agli sviluppatori di creare un'architettura di sicurezza	Manuale, Disabilitato	1.1.0
Richiedere agli sviluppatori di descrivere funzionalità di sicurezza accurate	CMA_C1613 - Richiedere agli sviluppatori di descrivere funzionalità di sicurezza accurate	Manuale, Disabilitato	1.1.0
Richiedere agli sviluppatori di fornire un approccio di protezione della sicurezza unificato	CMA_C1614 - Richiedere agli sviluppatori di fornire un approccio di protezione della sicurezza unificato	Manuale, Disabilitato	1.1.0

Protezione del sistema e delle comunicazioni

Criteri e procedure per la protezione dei sistemi e delle comunicazioni

ID: FedRAMP High SC-1 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Sviluppare criteri e procedure di protezione dei sistemi e delle comunicazioni	CMA_C1616 - Esaminare e aggiornare i criteri e le procedure di protezione del sistema e delle comunicazioni	Manuale, Disabilitato	1.1.0

Partizionamento delle applicazioni

ID: FedRAMP High SC-2 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Autorizzare l'accesso remoto	CMA_0024 - Autorizzare l'accesso remoto	Manuale, Disabilitato	1.1.0
Separare le funzionalità degli utenti da quelle di gestione del sistema informativo	CMA_0493 - Separare le funzionalità degli utenti da quelle di gestione del sistema informativo	Manuale, Disabilitato	1.1.0
Usare computer dedicati per le attività amministrative	CMA_0527 - Usare computer dedicati per le attività amministrative	Manuale, Disabilitato	1.1.0

Isolamento delle funzioni di sicurezza

ID: FedRAMP High SC-3 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Azure Defender per i server deve essere abilitato	Azure Defender per i server fornisce protezione dalle minacce in tempo reale per i carichi di lavoro dei server e genera raccomandazioni per la protezione avanzata e avvisi sulle attività sospette.	AuditIfNotExists, Disabled	1.0.3
La soluzione Endpoint Protection deve essere installata nei set di scalabilità di macchine virtuali	Controlla la presenza e l'integrità di una soluzione Endpoint Protection nei set di scalabilità di macchine virtuali per proteggerli da minacce e vulnerabilità.	AuditIfNotExists, Disabled	3.0.0
Monitorare il server senza Endpoint Protection nel Centro sicurezza di Azure	I server in cui non è installato un agente di Endpoint Protection verranno monitorati dal Centro sicurezza di Azure che invierà i consigli corrispondenti	AuditIfNotExists, Disabled	3.0.0
Windows Defender Exploit Guard deve essere abilitato nelle macchine virtuali	Windows Defender Exploit Guard usa l’agente di Configurazione guest di Criteri di Azure. Exploit Guard include quattro componenti progettati per bloccare i dispositivi da un'ampia gamma di vettori di attacco e comportamenti di blocco usati comunemente negli attacchi malware, consentendo al contempo alle aziende di bilanciare i requisiti di rischi per la sicurezza e produttività (solo Windows).	AuditIfNotExists, Disabled	2.0.0

Protezione da attacchi Denial of Service

ID: FedRAMP High SC-5 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Protezione DDoS di Azure deve essere abilitata	È necessario abilitare la protezione DDoS Standard per tutte le reti virtuali con una subnet che fa parte di un gateway applicazione con un indirizzo IP pubblico.	AuditIfNotExists, Disabled	3.0.1
Web application firewall di Azure deve essere abilitato per i punti di ingresso di Frontdoor di Azure	Distribuire Azure Web Application Firewall (WAF) davanti ad applicazioni Web pubbliche per un'ulteriore ispezione del traffico in ingresso. Web Application Firewall (WAF) fornisce protezione centralizzata delle applicazioni Web dagli exploit e dalle vulnerabilità più comuni, ad esempio attacchi SQL injection, scripting intersito, esecuzioni file locali e remote. È inoltre possibile limitare l'accesso alle applicazioni Web in base a paesi, intervalli di indirizzi IP e altri parametri HTTP/HTTPS, tramite le regole personalizzate.	Audit, Deny, Disabled	1.0.2
Sviluppare e documentare un piano di risposta agli attacchi DDoS	CMA_0147 - Sviluppare e documentare un piano di risposta agli attacchi DDoS	Manuale, Disabilitato	1.1.0
L'inoltro IP nella macchina virtuale deve essere disabilitato	L'abilitazione dell'inoltro IP sulla scheda di rete di una macchina virtuale consente alla macchina virtuale di ricevere traffico indirizzato ad altre destinazioni. L'inoltro IP è richiesto raramente, ad esempio, quando si usa la macchina virtuale come appliance virtuale di rete, di conseguenza l'abilitazione di questa impostazione deve essere verificata dal team di sicurezza della rete.	AuditIfNotExists, Disabled	3.0.0
Web Application Firewall (WAF) deve essere abilitato per il gateway applicazione	Distribuire Azure Web Application Firewall (WAF) davanti ad applicazioni Web pubbliche per un'ulteriore ispezione del traffico in ingresso. Web Application Firewall (WAF) fornisce protezione centralizzata delle applicazioni Web dagli exploit e dalle vulnerabilità più comuni, ad esempio attacchi SQL injection, scripting intersito, esecuzioni file locali e remote. È inoltre possibile limitare l'accesso alle applicazioni Web in base a paesi, intervalli di indirizzi IP e altri parametri HTTP/HTTPS, tramite le regole personalizzate.	Audit, Deny, Disabled	2.0.0

Disponiiblità delle risorse

ID: FedRAMP High SC-6 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Gestire l'allocazione delle risorse	CMA_0293 - Gestire l'allocazione delle risorse	Manuale, Disabilitato	1.1.0
Gestire la disponibilità e la capacità	CMA_0356 - Gestire la disponibilità e la capacità	Manuale, Disabilitato	1.1.0
Proteggere l'impegno nella leadership	CMA_0489 - Proteggere l'impegno nella leadership	Manuale, Disabilitato	1.1.0

Protezione dei limiti

ID: FedRAMP High SC-7 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
[Anteprima]: tutto il traffico Internet deve essere instradato tramite il firewall di Azure distribuito	Il Centro sicurezza di Azure ha rilevato che alcune delle subnet non sono protette con un firewall di nuova generazione. Proteggere le subnet da potenziali minacce limitandone l'accesso tramite un firewall di Azure o un firewall di nuova generazione supportato	AuditIfNotExists, Disabled	3.0.0-preview
[Anteprima]: L'accesso pubblico agli account di archiviazione non deve essere consentito	L'accesso in lettura pubblico anonimo a contenitori e BLOB in Archiviazione di Azure è un metodo pratico per condividere i dati, ma potrebbe comportare rischi per la sicurezza. Per evitare violazioni dei dati provocate da accesso anonimo indesiderato, Microsoft consiglia di impedire l'accesso pubblico a un account di archiviazione, a meno che non sia richiesto dallo scenario.	audit, Audit, Deny, Deny, disabled, Disabled	3.1.0-anteprima
Le raccomandazioni per la protezione avanzata adattiva per la rete devono essere applicate alle macchine virtuali che si interfacciano a Internet	Centro sicurezza di Azure analizza i modelli di traffico delle macchine virtuali con connessione Internet e fornisce raccomandazioni sulle regole del gruppo di sicurezza di rete al fine di ridurre la superficie di attacco potenziale	AuditIfNotExists, Disabled	3.0.0
È consigliabile limitare tutte le porte di rete nei gruppi di sicurezza di rete associati alla macchina virtuale	Il Centro sicurezza di Azure ha identificato alcune regole in ingresso dei gruppi di sicurezza di rete eccessivamente permissive. Le regole in ingresso non devono consentire l'accesso da 'Tutti' gli intervalli o dagli intervalli 'Internet'. Ciò può consentire potenzialmente agli utenti malintenzionati di attaccare le risorse.	AuditIfNotExists, Disabled	3.0.0
I servizi di gestione API devono usare una rete virtuale	La distribuzione della rete virtuale di Azure offre protezione avanzata, isolamento e consente di inserire il servizio Gestione API in una rete instradabile non Internet di cui si controlla l'accesso. Queste reti possono quindi essere connesse alle reti locali usando varie tecnologie VPN, che consentono l'accesso ai servizi back-end all'interno della rete e/o in locale. Il portale per sviluppatori e il gateway dell'API possono essere configurati in modo che siano accessibili da Internet o solo all'interno della rete virtuale.	Audit, Deny, Disabled	1.0.2
Configurazione app deve usare un collegamento privato	Collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Il mapping degli endpoint privati alle sole istanze di Configurazione app anziché all'intero servizio, garantisce la protezione dai rischi di perdita dei dati. Per altre informazioni, vedere https://aka.ms/appconfig/private-endpoint.	AuditIfNotExists, Disabled	1.0.2
Gli intervalli IP autorizzati devono essere definiti nei servizi Kubernetes	Limita l'accesso all'API Gestione dei servizi Kubernetes concedendo l'accesso all'API solo agli indirizzi IP in intervalli specifici. È consigliabile limitare l'accesso agli intervalli IP autorizzati per garantire che solo le applicazioni provenienti da reti autorizzate possano accedere al cluster.	Audit, Disabled	2.0.1
Le risorse di Servizi di Azure AI devono limitare l'accesso alla rete	Limitando l'accesso alla rete, è possibile assicurarsi che solo le reti consentite possano accedere al servizio. A tale scopo, è possibile configurare le regole di rete in modo che solo le applicazioni provenienti da reti consentite possano accedere al servizio Azure per intelligenza artificiale.	Audit, Deny, Disabled	3.2.0
L'API di Azure per FHIR deve usare un collegamento privato	L'API di Azure per FHIR deve avere almeno una connessione a endpoint privato approvata. I client in una rete virtuale possono accedere in modo sicuro alle risorse con connessioni a endpoint privati tramite collegamenti privati. Per altre informazioni, vedere https://aka.ms/fhir-privatelink.	Audit, Disabled	1.0.0
La cache di Azure per Redis deve usare collegamenti privati	Collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. Eseguendo il mapping degli endpoint privati alle istanze di Cache Redis di Azure, i rischi di perdita dei dati vengono ridotti. Per altre informazioni, vedere https://docs.microsoft.com/azure/azure-cache-for-redis/cache-private-link.	AuditIfNotExists, Disabled	1.0.0
Il servizio Ricerca cognitiva di Azure deve usare uno SKU che supporta il collegamento privato	Con gli SKU supportati di Ricerca cognitiva di Azure, collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico all'origine o alla destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Eseguendo il mapping degli endpoint privati al servizio di ricerca, i rischi di perdita dei dati vengono ridotti. Per altre informazioni, vedere https://aka.ms/azure-cognitive-search/inbound-private-endpoints.	Audit, Deny, Disabled	1.0.0
I servizi di Ricerca cognitiva di Azure devono disabilitare l'accesso alla rete pubblica	La disabilitazione dell'accesso alla rete pubblica migliora la sicurezza assicurandosi che il servizio Ricerca cognitiva di Azure non sia esposto sulla rete Internet pubblica. La creazione di endpoint privati può limitare l'esposizione del servizio di ricerca. Per altre informazioni, vedere https://aka.ms/azure-cognitive-search/inbound-private-endpoints.	Audit, Deny, Disabled	1.0.0
I servizi di Ricerca cognitiva di Azure devono usare collegamenti privati	Collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Eseguendo il mapping di endpoint privati a Ricerca cognitiva di Azure, i rischi di perdita dei dati vengono ridotti. È possibile trovare altre informazioni sui collegamenti privati all’indirizzo: https://aka.ms/azure-cognitive-search/inbound-private-endpoints.	Audit, Disabled	1.0.0
Per gli account di Azure Cosmos DB devono essere definite regole del firewall	Le regole del firewall devono essere definite negli account Azure Cosmos DB per impedire il traffico proveniente da origini non autorizzate. Gli account per cui è definita almeno una regola IP con il filtro della rete virtuale abilitato vengono ritenuti conformi. Anche gli account che disabilitano l'accesso pubblico vengono ritenuti conformi.	Audit, Deny, Disabled	2.1.0
Azure Data Factory usare collegamenti privati	Collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Eseguendo il mapping degli endpoint privati ad Azure Data Factory, i rischi di perdita dei dati vengono ridotti. È possibile trovare altre informazioni sui collegamenti privati all’indirizzo: https://docs.microsoft.com/azure/data-factory/data-factory-private-link.	AuditIfNotExists, Disabled	1.0.0
I domini di Griglia di eventi di Azure devono usare collegamenti privati	Collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Mappando gli endpoint privati sul proprio dominio della Griglia di eventi invece che sull'intero servizio, sarà possibile essere protetti anche dai rischi di perdita di dati. Per altre informazioni, vedere https://aka.ms/privateendpoints.	Audit, Disabled	1.0.2
Gli argomenti di Griglia di eventi di Azure devono usare collegamenti privati	Collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Mappando gli endpoint privati sul vostro argomento della Griglia di eventi invece che sull'intero servizio, sarete protetti anche dai rischi di perdita di dati. Per altre informazioni, vedere https://aka.ms/privateendpoints.	Audit, Disabled	1.0.2
Sincronizzazione file di Azure deve usare collegamenti privati	La creazione di un endpoint privato per la risorsa Servizio di sincronizzazione archiviazione indicata consente di indirizzare la risorsa Servizio di sincronizzazione archiviazione dallo spazio indirizzi IP privati della rete dell'organizzazione, anziché attraverso l'endpoint pubblico accessibile tramite Internet. La creazione di un endpoint privato da sola non disabilita l'endpoint pubblico.	AuditIfNotExists, Disabled	1.0.0
Azure Key Vault deve avere il firewall abilitato	Abilitare il firewall dell'insieme di credenziali delle chiavi in modo che questo non sia accessibile per impostazione predefinita a nessun indirizzo IP pubblico. Facoltativamente, è possibile configurare intervalli IP specifici per limitare l'accesso a tali reti. Per altre informazioni, vedere: https://docs.microsoft.com/azure/key-vault/general/network-security	Audit, Deny, Disabled	3.2.1
Le istanze di Azure Key Vault devono usare collegamenti privati	Collegamento privato di Azure consente di connettere le reti virtuali ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Eseguendo il mapping degli endpoint privati all'insieme di credenziali delle chiavi, è possibile ridurre i rischi di perdita dei dati. È possibile trovare altre informazioni sui collegamenti privati all’indirizzo: https://aka.ms/akvprivatelink.	[parameters('audit_effect')]	1.2.1
Le aree di lavoro di Azure Machine Learning devono usare collegamenti privati	Collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Eseguendo il mapping degli endpoint privati alle aree di lavoro di Azure Machine Learning, i rischi di perdita dei dati vengono ridotti. È possibile trovare altre informazioni sui collegamenti privati all’indirizzo: https://docs.microsoft.com/azure/machine-learning/how-to-configure-private-link.	Audit, Disabled	1.0.0
Gli spazi dei nomi del bus di servizio devono usare collegamenti privati	Collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Eseguendo il mapping degli endpoint privati agli spazi dei nomi del bus di servizio, i rischi di perdita dei dati vengono ridotti. Per altre informazioni, vedere https://docs.microsoft.com/azure/service-bus-messaging/private-link-service.	AuditIfNotExists, Disabled	1.0.0
Il servizio Azure SignalR deve usare collegamenti privati	Collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Eseguendo il mapping degli endpoint privati alla risorsa del servizio Azure SignalR anziché all'intero servizio, si ridurranno i rischi di perdita dei dati. È possibile trovare altre informazioni sui collegamenti privati all’indirizzo: https://aka.ms/asrs/privatelink.	Audit, Disabled	1.0.0
Le area di lavoro Azure Synapse devono usare collegamenti privati	Collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Eseguendo il mapping degli endpoint privati all'area di lavoro di Azure Synapse, i rischi di perdita dei dati vengono ridotti. È possibile trovare altre informazioni sui collegamenti privati all’indirizzo: https://docs.microsoft.com/azure/synapse-analytics/security/how-to-connect-to-workspace-with-private-links.	Audit, Disabled	1.0.1
Web application firewall di Azure deve essere abilitato per i punti di ingresso di Frontdoor di Azure	Distribuire Azure Web Application Firewall (WAF) davanti ad applicazioni Web pubbliche per un'ulteriore ispezione del traffico in ingresso. Web Application Firewall (WAF) fornisce protezione centralizzata delle applicazioni Web dagli exploit e dalle vulnerabilità più comuni, ad esempio attacchi SQL injection, scripting intersito, esecuzioni file locali e remote. È inoltre possibile limitare l'accesso alle applicazioni Web in base a paesi, intervalli di indirizzi IP e altri parametri HTTP/HTTPS, tramite le regole personalizzate.	Audit, Deny, Disabled	1.0.2
Il servizio Web PubSub di Azure deve usare collegamenti privati	Collegamento privato di Azure consente di connettere le reti virtuali ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Eseguendo il mapping di endpoint privati al servizio Web PubSub di Azure, è possibile ridurre i rischi di perdita dei dati. È possibile trovare altre informazioni sui collegamenti privati all’indirizzo: https://aka.ms/awps/privatelink.	Audit, Disabled	1.0.0
I Servizi cognitivi devono usare collegamenti privati	Collegamento privato di Azure consente di connettere le reti virtuali ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Eseguendo il mapping di endpoint privati a Servizi cognitivi, si ridurrà il rischio di una perdita di dati. È possibile trovare altre informazioni sui collegamenti privati all’indirizzo: https://go.microsoft.com/fwlink/?linkid=2129800.	Audit, Disabled	3.0.0
I registri contenitori non devono consentire l'accesso alla rete senza restrizioni	Per impostazione predefinita, i Registri Azure Container accettano le connessioni tramite Internet dagli host in qualsiasi rete. Per proteggere i registri da potenziali minacce, consentire l'accesso solo da specifici endpoint privati, indirizzi IP pubblici o intervalli di indirizzi. Se il Registro di sistema non dispone di regole di rete configurate, verrà visualizzato nelle risorse non integre. Per ulteriori informazioni sulle regole di rete per il Registro Azure Container, vedere: https://aka.ms/acr/privatelink,https://aka.ms/acr/portal/public-network e https://aka.ms/acr/vnet.	Audit, Deny, Disabled	2.0.0
I registri contenitori devono usare collegamenti privati	Collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Il mapping degli endpoint privati ai soli registri contenitori anziché all'intero servizio, garantisce la protezione dai rischi di perdita dei dati. Per altre informazioni, vedere https://aka.ms/acr/private-link.	Audit, Disabled	1.0.1
Gli account Cosmos DB devono usare collegamenti privati	Collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Eseguendo il mapping degli endpoint privati all'account CosmosDB, i rischi di perdita dei dati vengono ridotti. È possibile trovare altre informazioni sui collegamenti privati all’indirizzo: https://docs.microsoft.com/azure/cosmos-db/how-to-configure-private-endpoints.	Audit, Disabled	1.0.0
Le risorse di accesso al disco devono usare collegamenti privati	Collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Eseguendo il mapping di endpoint privati a diskAccesses, i rischi di perdita dei dati vengono ridotti. È possibile trovare altre informazioni sui collegamenti privati all’indirizzo: https://aka.ms/disksprivatelinksdoc.	AuditIfNotExists, Disabled	1.0.0
Gli spazi dei nomi dell'hub eventi devono usare collegamenti privati	Collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Eseguendo il mapping degli endpoint privati agli spazi dei nomi dell'hub eventi, i rischi di perdita dei dati vengono ridotti. Per altre informazioni, vedere https://docs.microsoft.com/azure/event-hubs/private-link-service.	AuditIfNotExists, Disabled	1.0.0
Implementare la protezione del limite del sistema	CMA_0328 - Implementare la protezione del limite del sistema	Manuale, Disabilitato	1.1.0
Le macchine virtuali con connessione Internet devono essere protette con i gruppi di sicurezza di rete	Protegge le macchine virtuali da potenziali minacce limitandone l'accesso con i gruppi di sicurezza di rete. Per altre informazioni sul controllo del traffico con i gruppi di sicurezza di rete, vedere https://aka.ms/nsg-doc	AuditIfNotExists, Disabled	3.0.0
Le istanze del servizio Device Provisioning in hub IoT devono usare collegamenti privati	Collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Eseguendo il mapping degli endpoint privati al servizio device provisioning in hub IoT, i rischi di perdita dei dati vengono ridotti. È possibile trovare altre informazioni sui collegamenti privati all’indirizzo: https://aka.ms/iotdpsvnet.	Audit, Disabled	1.0.0
L'inoltro IP nella macchina virtuale deve essere disabilitato	L'abilitazione dell'inoltro IP sulla scheda di rete di una macchina virtuale consente alla macchina virtuale di ricevere traffico indirizzato ad altre destinazioni. L'inoltro IP è richiesto raramente, ad esempio, quando si usa la macchina virtuale come appliance virtuale di rete, di conseguenza l'abilitazione di questa impostazione deve essere verificata dal team di sicurezza della rete.	AuditIfNotExists, Disabled	3.0.0
Le porte di gestione delle macchine virtuali devono essere protette tramite un controllo di accesso alla rete JIT	I possibili accessi JIT alla rete verranno monitorati dal Centro sicurezza di Azure che invierà i consigli corrispondenti	AuditIfNotExists, Disabled	3.0.0
È consigliabile chiudere le porte di gestione nelle macchine virtuali	Le porte di gestione remota aperte espongono la macchina virtuale a un rischio elevato derivante da attacchi di forza bruta basati su Internet per sottrarre le credenziali e ottenere l'accesso di amministratore alla macchina virtuale.	AuditIfNotExists, Disabled	3.0.0
Le macchine virtuali senza connessione Internet devono essere protette con i gruppi di sicurezza di rete	Protegge le macchine virtuali senza connessione Internet da potenziali minacce limitandone l'accesso con i gruppi di sicurezza di rete. Per altre informazioni sul controllo del traffico con i gruppi di sicurezza di rete, vedere https://aka.ms/nsg-doc	AuditIfNotExists, Disabled	3.0.0
Le connessioni endpoint privato nel database SQL di Azure devono essere abilitate	Le connessioni endpoint privato impongono la comunicazione sicura tramite l'abilitazione della connettività privata al database SQL di Azure.	Audit, Disabled	1.1.0
L'endpoint privato deve essere abilitato per i server MariaDB	Le connessioni endpoint privato impongono una comunicazione sicura tramite l'abilitazione della connettività privata al database di Azure per MariaDB. Configurare una connessione endpoint privato per consentire l'accesso al traffico proveniente solo da reti note e impedire l'accesso da tutti gli altri indirizzi IP, inclusi quelli all'interno di Azure.	AuditIfNotExists, Disabled	1.0.2
L'endpoint privato deve essere abilitato per i server MySQL	Le connessioni endpoint privato impongono una comunicazione sicura tramite l'abilitazione della connettività privata al database di Azure per MySQL. Configurare una connessione endpoint privato per consentire l'accesso al traffico proveniente solo da reti note e impedire l'accesso da tutti gli altri indirizzi IP, inclusi quelli all'interno di Azure.	AuditIfNotExists, Disabled	1.0.2
L'endpoint privato deve essere abilitato per i server PostgreSQL	Le connessioni endpoint privato impongono una comunicazione sicura tramite l'abilitazione della connettività privata al database di Azure per PostgreSQL. Configurare una connessione endpoint privato per consentire l'accesso al traffico proveniente solo da reti note e impedire l'accesso da tutti gli altri indirizzi IP, inclusi quelli all'interno di Azure.	AuditIfNotExists, Disabled	1.0.2
L'accesso alla rete pubblica nel database SQL di Azure deve essere disabilitato	La disabilitazione della proprietà di accesso alla rete pubblica migliora la sicurezza, in quanto garantisce che al database SQL di Azure sia possibile accedere solo da un endpoint privato. Questa configurazione nega tutti gli accessi che corrispondono alle regole del firewall basate su indirizzo IP o rete virtuale.	Audit, Deny, Disabled	1.1.0
L'accesso alla rete pubblica deve essere disabilitato per i server MariaDB	Disabilita la proprietà di accesso alla rete pubblica per migliorare la sicurezza e garantire che al database di Azure per MariaDB sia possibile accedere solo da un endpoint privato. Questa configurazione disabilita l'accesso da tutti gli spazi indirizzi pubblici non compresi nell'intervallo di indirizzi IP di Azure e nega tutti gli accessi che corrispondono alle regole del firewall basate su indirizzo IP o rete virtuale.	Audit, Deny, Disabled	2.0.0
L'accesso alla rete pubblica deve essere disabilitato per i server MySQL	Disabilita la proprietà di accesso alla rete pubblica per migliorare la sicurezza e garantire che al database di Azure per MySQL sia possibile accedere solo da un endpoint privato. Questa configurazione disabilita l'accesso da tutti gli spazi indirizzi pubblici non compresi nell'intervallo di indirizzi IP di Azure e nega tutti gli accessi che corrispondono alle regole del firewall basate su indirizzo IP o rete virtuale.	Audit, Deny, Disabled	2.0.0
L'accesso alla rete pubblica deve essere disabilitato per i server PostgreSQL	Disabilita la proprietà di accesso alla rete pubblica per migliorare la sicurezza e garantire che al database di Azure per PostgreSQL sia possibile accedere solo da un endpoint privato. Questa configurazione disabilita l'accesso da tutti gli spazi indirizzi pubblici non compresi nell'intervallo di indirizzi IP di Azure e nega tutti gli accessi che corrispondono alle regole del firewall basate su indirizzo IP o rete virtuale.	Audit, Deny, Disabled	2.0.1
Gli account di archiviazione devono limitare l'accesso alla rete	L'accesso di rete agli account di archiviazione deve essere limitato. Configurare regole di rete in modo che l'account di archiviazione sia accessibile solo alle applicazioni provenienti da reti consentite. Per consentire le connessioni da client Internet o locali specifici, è possibile concedere l'accesso al traffico da reti virtuali di Azure specifiche o a intervalli di indirizzi IP Internet pubblici	Audit, Deny, Disabled	1.1.1
Gli account di archiviazione devono limitare l'accesso alla rete usando regole di rete virtuale	Protegge gli account di archiviazione da potenziali minacce usando le regole di rete virtuale come metodo preferito anziché il filtro basato su IP. La disabilitazione del filtro basato su IP, impedisce agli indirizzi IP pubblici di accedere agli account di archiviazione.	Audit, Deny, Disabled	1.0.1
Gli account di archiviazione devono usare collegamenti privati	Collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Eseguendo il mapping degli endpoint privati all’account di archiviazione, i rischi di perdita dei dati vengono ridotti. È possibile trovare altre informazioni sui collegamenti privati all’indirizzo: https://aka.ms/azureprivatelinkoverview	AuditIfNotExists, Disabled	2.0.0
Le subnet devono essere associate a un gruppo di sicurezza di rete	È possibile proteggere la subnet dalle minacce potenziali limitando l'accesso alla subnet con un gruppo di sicurezza di rete. I gruppi di sicurezza di rete contengono un elenco di regole ACL (elenco di controllo di accesso) che consentono o negano il traffico di rete alla subnet.	AuditIfNotExists, Disabled	3.0.0
I modelli di Image Builder per macchine virtuali devono usare un collegamento privato	Collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Eseguendo il mapping di endpoint privati alla compilazione di risorse di Image Builder della macchina virtuale, i rischi di perdita dei dati vengono ridotti. È possibile trovare altre informazioni sui collegamenti privati all’indirizzo: https://docs.microsoft.com/azure/virtual-machines/linux/image-builder-networking#deploy-using-an-existing-vnet.	Audit, Disabled, Deny	1.1.0
Web Application Firewall (WAF) deve essere abilitato per il gateway applicazione	Distribuire Azure Web Application Firewall (WAF) davanti ad applicazioni Web pubbliche per un'ulteriore ispezione del traffico in ingresso. Web Application Firewall (WAF) fornisce protezione centralizzata delle applicazioni Web dagli exploit e dalle vulnerabilità più comuni, ad esempio attacchi SQL injection, scripting intersito, esecuzioni file locali e remote. È inoltre possibile limitare l'accesso alle applicazioni Web in base a paesi, intervalli di indirizzi IP e altri parametri HTTP/HTTPS, tramite le regole personalizzate.	Audit, Deny, Disabled	2.0.0

Punti di accesso

ID: FedRAMP High SC-7 (3) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
[Anteprima]: tutto il traffico Internet deve essere instradato tramite il firewall di Azure distribuito	Il Centro sicurezza di Azure ha rilevato che alcune delle subnet non sono protette con un firewall di nuova generazione. Proteggere le subnet da potenziali minacce limitandone l'accesso tramite un firewall di Azure o un firewall di nuova generazione supportato	AuditIfNotExists, Disabled	3.0.0-preview
[Anteprima]: L'accesso pubblico agli account di archiviazione non deve essere consentito	L'accesso in lettura pubblico anonimo a contenitori e BLOB in Archiviazione di Azure è un metodo pratico per condividere i dati, ma potrebbe comportare rischi per la sicurezza. Per evitare violazioni dei dati provocate da accesso anonimo indesiderato, Microsoft consiglia di impedire l'accesso pubblico a un account di archiviazione, a meno che non sia richiesto dallo scenario.	audit, Audit, Deny, Deny, disabled, Disabled	3.1.0-anteprima
Le raccomandazioni per la protezione avanzata adattiva per la rete devono essere applicate alle macchine virtuali che si interfacciano a Internet	Centro sicurezza di Azure analizza i modelli di traffico delle macchine virtuali con connessione Internet e fornisce raccomandazioni sulle regole del gruppo di sicurezza di rete al fine di ridurre la superficie di attacco potenziale	AuditIfNotExists, Disabled	3.0.0
È consigliabile limitare tutte le porte di rete nei gruppi di sicurezza di rete associati alla macchina virtuale	Il Centro sicurezza di Azure ha identificato alcune regole in ingresso dei gruppi di sicurezza di rete eccessivamente permissive. Le regole in ingresso non devono consentire l'accesso da 'Tutti' gli intervalli o dagli intervalli 'Internet'. Ciò può consentire potenzialmente agli utenti malintenzionati di attaccare le risorse.	AuditIfNotExists, Disabled	3.0.0
I servizi di gestione API devono usare una rete virtuale	La distribuzione della rete virtuale di Azure offre protezione avanzata, isolamento e consente di inserire il servizio Gestione API in una rete instradabile non Internet di cui si controlla l'accesso. Queste reti possono quindi essere connesse alle reti locali usando varie tecnologie VPN, che consentono l'accesso ai servizi back-end all'interno della rete e/o in locale. Il portale per sviluppatori e il gateway dell'API possono essere configurati in modo che siano accessibili da Internet o solo all'interno della rete virtuale.	Audit, Deny, Disabled	1.0.2
Configurazione app deve usare un collegamento privato	Collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Il mapping degli endpoint privati alle sole istanze di Configurazione app anziché all'intero servizio, garantisce la protezione dai rischi di perdita dei dati. Per altre informazioni, vedere https://aka.ms/appconfig/private-endpoint.	AuditIfNotExists, Disabled	1.0.2
Gli intervalli IP autorizzati devono essere definiti nei servizi Kubernetes	Limita l'accesso all'API Gestione dei servizi Kubernetes concedendo l'accesso all'API solo agli indirizzi IP in intervalli specifici. È consigliabile limitare l'accesso agli intervalli IP autorizzati per garantire che solo le applicazioni provenienti da reti autorizzate possano accedere al cluster.	Audit, Disabled	2.0.1
Le risorse di Servizi di Azure AI devono limitare l'accesso alla rete	Limitando l'accesso alla rete, è possibile assicurarsi che solo le reti consentite possano accedere al servizio. A tale scopo, è possibile configurare le regole di rete in modo che solo le applicazioni provenienti da reti consentite possano accedere al servizio Azure per intelligenza artificiale.	Audit, Deny, Disabled	3.2.0
L'API di Azure per FHIR deve usare un collegamento privato	L'API di Azure per FHIR deve avere almeno una connessione a endpoint privato approvata. I client in una rete virtuale possono accedere in modo sicuro alle risorse con connessioni a endpoint privati tramite collegamenti privati. Per altre informazioni, vedere https://aka.ms/fhir-privatelink.	Audit, Disabled	1.0.0
La cache di Azure per Redis deve usare collegamenti privati	Collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. Eseguendo il mapping degli endpoint privati alle istanze di Cache Redis di Azure, i rischi di perdita dei dati vengono ridotti. Per altre informazioni, vedere https://docs.microsoft.com/azure/azure-cache-for-redis/cache-private-link.	AuditIfNotExists, Disabled	1.0.0
Il servizio Ricerca cognitiva di Azure deve usare uno SKU che supporta il collegamento privato	Con gli SKU supportati di Ricerca cognitiva di Azure, collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico all'origine o alla destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Eseguendo il mapping degli endpoint privati al servizio di ricerca, i rischi di perdita dei dati vengono ridotti. Per altre informazioni, vedere https://aka.ms/azure-cognitive-search/inbound-private-endpoints.	Audit, Deny, Disabled	1.0.0
I servizi di Ricerca cognitiva di Azure devono disabilitare l'accesso alla rete pubblica	La disabilitazione dell'accesso alla rete pubblica migliora la sicurezza assicurandosi che il servizio Ricerca cognitiva di Azure non sia esposto sulla rete Internet pubblica. La creazione di endpoint privati può limitare l'esposizione del servizio di ricerca. Per altre informazioni, vedere https://aka.ms/azure-cognitive-search/inbound-private-endpoints.	Audit, Deny, Disabled	1.0.0
I servizi di Ricerca cognitiva di Azure devono usare collegamenti privati	Collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Eseguendo il mapping di endpoint privati a Ricerca cognitiva di Azure, i rischi di perdita dei dati vengono ridotti. È possibile trovare altre informazioni sui collegamenti privati all’indirizzo: https://aka.ms/azure-cognitive-search/inbound-private-endpoints.	Audit, Disabled	1.0.0
Per gli account di Azure Cosmos DB devono essere definite regole del firewall	Le regole del firewall devono essere definite negli account Azure Cosmos DB per impedire il traffico proveniente da origini non autorizzate. Gli account per cui è definita almeno una regola IP con il filtro della rete virtuale abilitato vengono ritenuti conformi. Anche gli account che disabilitano l'accesso pubblico vengono ritenuti conformi.	Audit, Deny, Disabled	2.1.0
Azure Data Factory usare collegamenti privati	Collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Eseguendo il mapping degli endpoint privati ad Azure Data Factory, i rischi di perdita dei dati vengono ridotti. È possibile trovare altre informazioni sui collegamenti privati all’indirizzo: https://docs.microsoft.com/azure/data-factory/data-factory-private-link.	AuditIfNotExists, Disabled	1.0.0
I domini di Griglia di eventi di Azure devono usare collegamenti privati	Collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Mappando gli endpoint privati sul proprio dominio della Griglia di eventi invece che sull'intero servizio, sarà possibile essere protetti anche dai rischi di perdita di dati. Per altre informazioni, vedere https://aka.ms/privateendpoints.	Audit, Disabled	1.0.2
Gli argomenti di Griglia di eventi di Azure devono usare collegamenti privati	Collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Mappando gli endpoint privati sul vostro argomento della Griglia di eventi invece che sull'intero servizio, sarete protetti anche dai rischi di perdita di dati. Per altre informazioni, vedere https://aka.ms/privateendpoints.	Audit, Disabled	1.0.2
Sincronizzazione file di Azure deve usare collegamenti privati	La creazione di un endpoint privato per la risorsa Servizio di sincronizzazione archiviazione indicata consente di indirizzare la risorsa Servizio di sincronizzazione archiviazione dallo spazio indirizzi IP privati della rete dell'organizzazione, anziché attraverso l'endpoint pubblico accessibile tramite Internet. La creazione di un endpoint privato da sola non disabilita l'endpoint pubblico.	AuditIfNotExists, Disabled	1.0.0
Azure Key Vault deve avere il firewall abilitato	Abilitare il firewall dell'insieme di credenziali delle chiavi in modo che questo non sia accessibile per impostazione predefinita a nessun indirizzo IP pubblico. Facoltativamente, è possibile configurare intervalli IP specifici per limitare l'accesso a tali reti. Per altre informazioni, vedere: https://docs.microsoft.com/azure/key-vault/general/network-security	Audit, Deny, Disabled	3.2.1
Le istanze di Azure Key Vault devono usare collegamenti privati	Collegamento privato di Azure consente di connettere le reti virtuali ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Eseguendo il mapping degli endpoint privati all'insieme di credenziali delle chiavi, è possibile ridurre i rischi di perdita dei dati. È possibile trovare altre informazioni sui collegamenti privati all’indirizzo: https://aka.ms/akvprivatelink.	[parameters('audit_effect')]	1.2.1
Le aree di lavoro di Azure Machine Learning devono usare collegamenti privati	Collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Eseguendo il mapping degli endpoint privati alle aree di lavoro di Azure Machine Learning, i rischi di perdita dei dati vengono ridotti. È possibile trovare altre informazioni sui collegamenti privati all’indirizzo: https://docs.microsoft.com/azure/machine-learning/how-to-configure-private-link.	Audit, Disabled	1.0.0
Gli spazi dei nomi del bus di servizio devono usare collegamenti privati	Collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Eseguendo il mapping degli endpoint privati agli spazi dei nomi del bus di servizio, i rischi di perdita dei dati vengono ridotti. Per altre informazioni, vedere https://docs.microsoft.com/azure/service-bus-messaging/private-link-service.	AuditIfNotExists, Disabled	1.0.0
Il servizio Azure SignalR deve usare collegamenti privati	Collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Eseguendo il mapping degli endpoint privati alla risorsa del servizio Azure SignalR anziché all'intero servizio, si ridurranno i rischi di perdita dei dati. È possibile trovare altre informazioni sui collegamenti privati all’indirizzo: https://aka.ms/asrs/privatelink.	Audit, Disabled	1.0.0
Le area di lavoro Azure Synapse devono usare collegamenti privati	Collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Eseguendo il mapping degli endpoint privati all'area di lavoro di Azure Synapse, i rischi di perdita dei dati vengono ridotti. È possibile trovare altre informazioni sui collegamenti privati all’indirizzo: https://docs.microsoft.com/azure/synapse-analytics/security/how-to-connect-to-workspace-with-private-links.	Audit, Disabled	1.0.1
Web application firewall di Azure deve essere abilitato per i punti di ingresso di Frontdoor di Azure	Distribuire Azure Web Application Firewall (WAF) davanti ad applicazioni Web pubbliche per un'ulteriore ispezione del traffico in ingresso. Web Application Firewall (WAF) fornisce protezione centralizzata delle applicazioni Web dagli exploit e dalle vulnerabilità più comuni, ad esempio attacchi SQL injection, scripting intersito, esecuzioni file locali e remote. È inoltre possibile limitare l'accesso alle applicazioni Web in base a paesi, intervalli di indirizzi IP e altri parametri HTTP/HTTPS, tramite le regole personalizzate.	Audit, Deny, Disabled	1.0.2
Il servizio Web PubSub di Azure deve usare collegamenti privati	Collegamento privato di Azure consente di connettere le reti virtuali ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Eseguendo il mapping di endpoint privati al servizio Web PubSub di Azure, è possibile ridurre i rischi di perdita dei dati. È possibile trovare altre informazioni sui collegamenti privati all’indirizzo: https://aka.ms/awps/privatelink.	Audit, Disabled	1.0.0
I Servizi cognitivi devono usare collegamenti privati	Collegamento privato di Azure consente di connettere le reti virtuali ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Eseguendo il mapping di endpoint privati a Servizi cognitivi, si ridurrà il rischio di una perdita di dati. È possibile trovare altre informazioni sui collegamenti privati all’indirizzo: https://go.microsoft.com/fwlink/?linkid=2129800.	Audit, Disabled	3.0.0
I registri contenitori non devono consentire l'accesso alla rete senza restrizioni	Per impostazione predefinita, i Registri Azure Container accettano le connessioni tramite Internet dagli host in qualsiasi rete. Per proteggere i registri da potenziali minacce, consentire l'accesso solo da specifici endpoint privati, indirizzi IP pubblici o intervalli di indirizzi. Se il Registro di sistema non dispone di regole di rete configurate, verrà visualizzato nelle risorse non integre. Per ulteriori informazioni sulle regole di rete per il Registro Azure Container, vedere: https://aka.ms/acr/privatelink,https://aka.ms/acr/portal/public-network e https://aka.ms/acr/vnet.	Audit, Deny, Disabled	2.0.0
I registri contenitori devono usare collegamenti privati	Collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Il mapping degli endpoint privati ai soli registri contenitori anziché all'intero servizio, garantisce la protezione dai rischi di perdita dei dati. Per altre informazioni, vedere https://aka.ms/acr/private-link.	Audit, Disabled	1.0.1
Gli account Cosmos DB devono usare collegamenti privati	Collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Eseguendo il mapping degli endpoint privati all'account CosmosDB, i rischi di perdita dei dati vengono ridotti. È possibile trovare altre informazioni sui collegamenti privati all’indirizzo: https://docs.microsoft.com/azure/cosmos-db/how-to-configure-private-endpoints.	Audit, Disabled	1.0.0
Le risorse di accesso al disco devono usare collegamenti privati	Collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Eseguendo il mapping di endpoint privati a diskAccesses, i rischi di perdita dei dati vengono ridotti. È possibile trovare altre informazioni sui collegamenti privati all’indirizzo: https://aka.ms/disksprivatelinksdoc.	AuditIfNotExists, Disabled	1.0.0
Gli spazi dei nomi dell'hub eventi devono usare collegamenti privati	Collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Eseguendo il mapping degli endpoint privati agli spazi dei nomi dell'hub eventi, i rischi di perdita dei dati vengono ridotti. Per altre informazioni, vedere https://docs.microsoft.com/azure/event-hubs/private-link-service.	AuditIfNotExists, Disabled	1.0.0
Le macchine virtuali con connessione Internet devono essere protette con i gruppi di sicurezza di rete	Protegge le macchine virtuali da potenziali minacce limitandone l'accesso con i gruppi di sicurezza di rete. Per altre informazioni sul controllo del traffico con i gruppi di sicurezza di rete, vedere https://aka.ms/nsg-doc	AuditIfNotExists, Disabled	3.0.0
Le istanze del servizio Device Provisioning in hub IoT devono usare collegamenti privati	Collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Eseguendo il mapping degli endpoint privati al servizio device provisioning in hub IoT, i rischi di perdita dei dati vengono ridotti. È possibile trovare altre informazioni sui collegamenti privati all’indirizzo: https://aka.ms/iotdpsvnet.	Audit, Disabled	1.0.0
L'inoltro IP nella macchina virtuale deve essere disabilitato	L'abilitazione dell'inoltro IP sulla scheda di rete di una macchina virtuale consente alla macchina virtuale di ricevere traffico indirizzato ad altre destinazioni. L'inoltro IP è richiesto raramente, ad esempio, quando si usa la macchina virtuale come appliance virtuale di rete, di conseguenza l'abilitazione di questa impostazione deve essere verificata dal team di sicurezza della rete.	AuditIfNotExists, Disabled	3.0.0
Le porte di gestione delle macchine virtuali devono essere protette tramite un controllo di accesso alla rete JIT	I possibili accessi JIT alla rete verranno monitorati dal Centro sicurezza di Azure che invierà i consigli corrispondenti	AuditIfNotExists, Disabled	3.0.0
È consigliabile chiudere le porte di gestione nelle macchine virtuali	Le porte di gestione remota aperte espongono la macchina virtuale a un rischio elevato derivante da attacchi di forza bruta basati su Internet per sottrarre le credenziali e ottenere l'accesso di amministratore alla macchina virtuale.	AuditIfNotExists, Disabled	3.0.0
Le macchine virtuali senza connessione Internet devono essere protette con i gruppi di sicurezza di rete	Protegge le macchine virtuali senza connessione Internet da potenziali minacce limitandone l'accesso con i gruppi di sicurezza di rete. Per altre informazioni sul controllo del traffico con i gruppi di sicurezza di rete, vedere https://aka.ms/nsg-doc	AuditIfNotExists, Disabled	3.0.0
Le connessioni endpoint privato nel database SQL di Azure devono essere abilitate	Le connessioni endpoint privato impongono la comunicazione sicura tramite l'abilitazione della connettività privata al database SQL di Azure.	Audit, Disabled	1.1.0
L'endpoint privato deve essere abilitato per i server MariaDB	Le connessioni endpoint privato impongono una comunicazione sicura tramite l'abilitazione della connettività privata al database di Azure per MariaDB. Configurare una connessione endpoint privato per consentire l'accesso al traffico proveniente solo da reti note e impedire l'accesso da tutti gli altri indirizzi IP, inclusi quelli all'interno di Azure.	AuditIfNotExists, Disabled	1.0.2
L'endpoint privato deve essere abilitato per i server MySQL	Le connessioni endpoint privato impongono una comunicazione sicura tramite l'abilitazione della connettività privata al database di Azure per MySQL. Configurare una connessione endpoint privato per consentire l'accesso al traffico proveniente solo da reti note e impedire l'accesso da tutti gli altri indirizzi IP, inclusi quelli all'interno di Azure.	AuditIfNotExists, Disabled	1.0.2
L'endpoint privato deve essere abilitato per i server PostgreSQL	Le connessioni endpoint privato impongono una comunicazione sicura tramite l'abilitazione della connettività privata al database di Azure per PostgreSQL. Configurare una connessione endpoint privato per consentire l'accesso al traffico proveniente solo da reti note e impedire l'accesso da tutti gli altri indirizzi IP, inclusi quelli all'interno di Azure.	AuditIfNotExists, Disabled	1.0.2
L'accesso alla rete pubblica nel database SQL di Azure deve essere disabilitato	La disabilitazione della proprietà di accesso alla rete pubblica migliora la sicurezza, in quanto garantisce che al database SQL di Azure sia possibile accedere solo da un endpoint privato. Questa configurazione nega tutti gli accessi che corrispondono alle regole del firewall basate su indirizzo IP o rete virtuale.	Audit, Deny, Disabled	1.1.0
L'accesso alla rete pubblica deve essere disabilitato per i server MariaDB	Disabilita la proprietà di accesso alla rete pubblica per migliorare la sicurezza e garantire che al database di Azure per MariaDB sia possibile accedere solo da un endpoint privato. Questa configurazione disabilita l'accesso da tutti gli spazi indirizzi pubblici non compresi nell'intervallo di indirizzi IP di Azure e nega tutti gli accessi che corrispondono alle regole del firewall basate su indirizzo IP o rete virtuale.	Audit, Deny, Disabled	2.0.0
L'accesso alla rete pubblica deve essere disabilitato per i server MySQL	Disabilita la proprietà di accesso alla rete pubblica per migliorare la sicurezza e garantire che al database di Azure per MySQL sia possibile accedere solo da un endpoint privato. Questa configurazione disabilita l'accesso da tutti gli spazi indirizzi pubblici non compresi nell'intervallo di indirizzi IP di Azure e nega tutti gli accessi che corrispondono alle regole del firewall basate su indirizzo IP o rete virtuale.	Audit, Deny, Disabled	2.0.0
L'accesso alla rete pubblica deve essere disabilitato per i server PostgreSQL	Disabilita la proprietà di accesso alla rete pubblica per migliorare la sicurezza e garantire che al database di Azure per PostgreSQL sia possibile accedere solo da un endpoint privato. Questa configurazione disabilita l'accesso da tutti gli spazi indirizzi pubblici non compresi nell'intervallo di indirizzi IP di Azure e nega tutti gli accessi che corrispondono alle regole del firewall basate su indirizzo IP o rete virtuale.	Audit, Deny, Disabled	2.0.1
Gli account di archiviazione devono limitare l'accesso alla rete	L'accesso di rete agli account di archiviazione deve essere limitato. Configurare regole di rete in modo che l'account di archiviazione sia accessibile solo alle applicazioni provenienti da reti consentite. Per consentire le connessioni da client Internet o locali specifici, è possibile concedere l'accesso al traffico da reti virtuali di Azure specifiche o a intervalli di indirizzi IP Internet pubblici	Audit, Deny, Disabled	1.1.1
Gli account di archiviazione devono limitare l'accesso alla rete usando regole di rete virtuale	Protegge gli account di archiviazione da potenziali minacce usando le regole di rete virtuale come metodo preferito anziché il filtro basato su IP. La disabilitazione del filtro basato su IP, impedisce agli indirizzi IP pubblici di accedere agli account di archiviazione.	Audit, Deny, Disabled	1.0.1
Gli account di archiviazione devono usare collegamenti privati	Collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Eseguendo il mapping degli endpoint privati all’account di archiviazione, i rischi di perdita dei dati vengono ridotti. È possibile trovare altre informazioni sui collegamenti privati all’indirizzo: https://aka.ms/azureprivatelinkoverview	AuditIfNotExists, Disabled	2.0.0
Le subnet devono essere associate a un gruppo di sicurezza di rete	È possibile proteggere la subnet dalle minacce potenziali limitando l'accesso alla subnet con un gruppo di sicurezza di rete. I gruppi di sicurezza di rete contengono un elenco di regole ACL (elenco di controllo di accesso) che consentono o negano il traffico di rete alla subnet.	AuditIfNotExists, Disabled	3.0.0
I modelli di Image Builder per macchine virtuali devono usare un collegamento privato	Collegamento privato di Azure consente di connettere la rete virtuale ai servizi di Azure senza un indirizzo IP pubblico nell'origine o nella destinazione. La piattaforma del collegamento privato gestisce la connettività tra il consumer e i servizi tramite la rete backbone di Azure. Eseguendo il mapping di endpoint privati alla compilazione di risorse di Image Builder della macchina virtuale, i rischi di perdita dei dati vengono ridotti. È possibile trovare altre informazioni sui collegamenti privati all’indirizzo: https://docs.microsoft.com/azure/virtual-machines/linux/image-builder-networking#deploy-using-an-existing-vnet.	Audit, Disabled, Deny	1.1.0
Web Application Firewall (WAF) deve essere abilitato per il gateway applicazione	Distribuire Azure Web Application Firewall (WAF) davanti ad applicazioni Web pubbliche per un'ulteriore ispezione del traffico in ingresso. Web Application Firewall (WAF) fornisce protezione centralizzata delle applicazioni Web dagli exploit e dalle vulnerabilità più comuni, ad esempio attacchi SQL injection, scripting intersito, esecuzioni file locali e remote. È inoltre possibile limitare l'accesso alle applicazioni Web in base a paesi, intervalli di indirizzi IP e altri parametri HTTP/HTTPS, tramite le regole personalizzate.	Audit, Deny, Disabled	2.0.0

Servizi di telecomunicazioni esterni

ID: FedRAMP High SC-7 (4) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Implementare l'interfaccia gestita per ogni servizio esterno	CMA_C1626 - Implementare l'interfaccia gestita per ogni servizio esterno	Manuale, Disabilitato	1.1.0
Implementare la protezione del limite del sistema	CMA_0328 - Implementare la protezione del limite del sistema	Manuale, Disabilitato	1.1.0
Proteggere l'interfaccia per i sistemi esterni	CMA_0491 - Proteggere l'interfaccia per i sistemi esterni	Manuale, Disabilitato	1.1.0

Impedire lo split tunneling per dispositivi remoti

ID: FedRAMP High SC-7 (7) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Impedire lo split tunneling per dispositivi remoti	CMA_C1632 - Impedire lo split tunneling per dispositivi remoti	Manuale, Disabilitato	1.1.0

Instradare il traffico a server proxy autenticati

ID: FedRAMP High SC-7 (8) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Instradare il traffico attraverso la rete proxy autenticata	CMA_C1633 - Instradare il traffico attraverso la rete proxy autenticata	Manuale, Disabilitato	1.1.0

Protezione basata su host

ID: FedRAMP High SC-7 (12) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Implementare la protezione del limite del sistema	CMA_0328 - Implementare la protezione del limite del sistema	Manuale, Disabilitato	1.1.0

Isolamento di strumenti/meccanismi/componenti di supporto per la sicurezza

ID: FedRAMP High SC-7 (13) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Isolare i sistemi SecurID, i sistemi di gestione degli incidenti di sicurezza	CMA_C1636 - Isolare i sistemi SecurID, i sistemi di gestione degli incidenti di sicurezza	Manuale, Disabilitato	1.1.0

Protezione da errori

ID: FedRAMP High SC-7 (18) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Implementare la protezione del limite del sistema	CMA_0328 - Implementare la protezione del limite del sistema	Manuale, Disabilitato	1.1.0
Gestire i trasferimenti tra i componenti di sistema in standby e quelli attivi	CMA_0371 - Gestire i trasferimenti tra i componenti di sistema in standby e quelli attivi	Manuale, Disabilitato	1.1.0

Isolamento o segregazione dinamica

ID: FedRAMP High SC-7 (20) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Assicurarsi che il sistema sia in grado di isolare dinamicamente le risorse	CMA_C1638 - Accertarsi che il sistema sia in grado di isolare le risorse in maniera dinamica	Manuale, Disabilitato	1.1.0

Isolamento dei componenti del reparto IT

ID: FedRAMP High SC-7 (21) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Usare la protezione dei limiti per isolare i sistemi informativi	CMA_C1639 - Usare la protezione dei limiti per isolare i sistemi informativi	Manuale, Disabilitato	1.1.0

Riservatezza e integrità delle trasmissioni

ID: FedRAMP High SC-8 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Il Servizio app deve essere accessibile solo tramite HTTPS	L'uso di HTTPS assicura l'autenticazione di server/servizi e protegge i dati in transito da attacchi di intercettazione a livello rete.	Audit, Disabled, Deny	4.0.0
Le app del servizio app devono richiedere solo FTPS	Abilitare imposizione FTPS per la protezione avanzata.	AuditIfNotExists, Disabled	3.0.0
Le app del servizio app devono usare la versione TLS più recente	Periodicamente vengono rilasciate nuove versioni di TLS a causa di falle di sicurezza, per includere funzionalità aggiuntive e migliorare la velocità. Eseguire l'aggiornamento alla versione più recente di TLS per le app del servizio app per sfruttare le correzioni di sicurezza, se presenti e/o nuove funzionalità della versione più recente.	AuditIfNotExists, Disabled	2.0.1
I cluster di Azure HDInsight devono usare la crittografia in transito per crittografare le comunicazioni tra i nodi del cluster di Azure HDInsight	I dati possono essere manomessi durante la trasmissione tra i nodi del cluster Azure HDInsight. L'abilitazione della crittografia in transito risolve i problemi di uso improprio e manomissione durante questa trasmissione.	Audit, Deny, Disabled	1.0.0
Il criterio Imponi connessione SSL deve essere abilitato per i server di database MySQL	Database di Azure per il server MySQL supporta la connessione alle applicazioni client tramite Secure Sockets Layer (SSL). L'imposizione di connessioni SSL tra il server di database e le applicazioni client garantisce la protezione da attacchi 'man in the middle' tramite la crittografia del flusso di dati tra il server e l'applicazione. Questa configurazione impone che SSL sia sempre abilitato per l'accesso al server di database.	Audit, Disabled	1.0.1
Il criterio Imponi connessione SSL deve essere abilitato per i server di database PostgreSQL	Il database di Azure per PostgreSQL supporta la connessione del server di database di Azure per PostgreSQL alle applicazioni client tramite SSL (Secure Sockets Layer). L'imposizione di connessioni SSL tra il server di database e le applicazioni client garantisce la protezione da attacchi 'man in the middle' tramite la crittografia del flusso di dati tra il server e l'applicazione. Questa configurazione impone che SSL sia sempre abilitato per l'accesso al server di database.	Audit, Disabled	1.0.1
Le app per le funzioni devono essere accessibili solo tramite HTTPS	L'uso di HTTPS assicura l'autenticazione di server/servizi e protegge i dati in transito da attacchi di intercettazione a livello rete.	Audit, Disabled, Deny	5.0.0
Le app per le funzioni devono richiedere solo FTPS	Abilitare imposizione FTPS per la protezione avanzata.	AuditIfNotExists, Disabled	3.0.0
Le app per le funzioni devono usare la versione TLS più recente	Periodicamente vengono rilasciate nuove versioni di TLS a causa di falle di sicurezza, per includere funzionalità aggiuntive e migliorare la velocità. Eseguire l'aggiornamento alla versione più recente di TLS per le app per le funzioni per sfruttare le correzioni di sicurezza, se presenti e/o nuove funzionalità della versione più recente.	AuditIfNotExists, Disabled	2.0.1
I cluster Kubernetes devono essere accessibili solo tramite HTTPS	L'uso di HTTPS garantisce l'autenticazione e protegge i dati in transito da attacchi di intercettazione a livello di rete. Questa funzionalità è attualmente disponibile a livello generale per il servizio Kubernetes e in anteprima per Kubernetes con abilitazione di Azure Arc. Per altre info, visitare https://aka.ms/kubepolicydoc	audit, Audit, Deny, Deny, disabled, Disabled	8.1.0
Devono essere abilitate solo le connessioni sicure alla cache di Azure per Redis	Controllare l'abilitazione delle sole connessioni tramite SSL a Cache Redis. L'uso di connessioni sicure garantisce l'autenticazione tra il server e il servizio e protegge i dati in transito dagli attacchi a livello rete, come attacchi man-in-the-middle, eavesdropping e hijack della sessione	Audit, Deny, Disabled	1.0.0
Proteggere i dati in movimento mediante la crittografia	CMA_0403 - Proteggere i dati in movimento mediante la crittografia	Manuale, Disabilitato	1.1.0
Proteggere le password con la crittografia	CMA_0408 - Proteggere le password con la crittografia	Manuale, Disabilitato	1.1.0
È consigliabile abilitare il trasferimento sicuro agli account di archiviazione	Requisito di controllo del trasferimento sicuro nell'account di archiviazione. Il trasferimento sicuro è un'opzione che impone all'account di archiviazione di accettare richieste solo da connessioni protette (HTTPS). L'uso di HTTPS garantisce l'autenticazione tra il server e il servizio e protegge i dati in transito dagli attacchi a livello rete, come attacchi man-in-the-middle, eavesdropping e hijack della sessione	Audit, Deny, Disabled	2.0.0
I computer Windows devono essere configurate per usare protocolli di comunicazione sicuri	Per proteggere la privacy delle informazioni comunicate tramite Internet, i computer devono usare la versione più recente del protocollo di crittografia standard del settore, Transport Layer Security (TLS). TLS protegge le comunicazioni tramite una rete crittografando una connessione tra computer.	AuditIfNotExists, Disabled	4.1.1

Protezione fisica crittografica o alternativa

ID: FedRAMP High SC-8 (1) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Il Servizio app deve essere accessibile solo tramite HTTPS	L'uso di HTTPS assicura l'autenticazione di server/servizi e protegge i dati in transito da attacchi di intercettazione a livello rete.	Audit, Disabled, Deny	4.0.0
Le app del servizio app devono richiedere solo FTPS	Abilitare imposizione FTPS per la protezione avanzata.	AuditIfNotExists, Disabled	3.0.0
Le app del servizio app devono usare la versione TLS più recente	Periodicamente vengono rilasciate nuove versioni di TLS a causa di falle di sicurezza, per includere funzionalità aggiuntive e migliorare la velocità. Eseguire l'aggiornamento alla versione più recente di TLS per le app del servizio app per sfruttare le correzioni di sicurezza, se presenti e/o nuove funzionalità della versione più recente.	AuditIfNotExists, Disabled	2.0.1
I cluster di Azure HDInsight devono usare la crittografia in transito per crittografare le comunicazioni tra i nodi del cluster di Azure HDInsight	I dati possono essere manomessi durante la trasmissione tra i nodi del cluster Azure HDInsight. L'abilitazione della crittografia in transito risolve i problemi di uso improprio e manomissione durante questa trasmissione.	Audit, Deny, Disabled	1.0.0
Configurare le workstation per il controllo dei certificati digitali	CMA_0073 - Configurare le workstation per il controllo dei certificati digitali	Manuale, Disabilitato	1.1.0
Il criterio Imponi connessione SSL deve essere abilitato per i server di database MySQL	Database di Azure per il server MySQL supporta la connessione alle applicazioni client tramite Secure Sockets Layer (SSL). L'imposizione di connessioni SSL tra il server di database e le applicazioni client garantisce la protezione da attacchi 'man in the middle' tramite la crittografia del flusso di dati tra il server e l'applicazione. Questa configurazione impone che SSL sia sempre abilitato per l'accesso al server di database.	Audit, Disabled	1.0.1
Il criterio Imponi connessione SSL deve essere abilitato per i server di database PostgreSQL	Il database di Azure per PostgreSQL supporta la connessione del server di database di Azure per PostgreSQL alle applicazioni client tramite SSL (Secure Sockets Layer). L'imposizione di connessioni SSL tra il server di database e le applicazioni client garantisce la protezione da attacchi 'man in the middle' tramite la crittografia del flusso di dati tra il server e l'applicazione. Questa configurazione impone che SSL sia sempre abilitato per l'accesso al server di database.	Audit, Disabled	1.0.1
Le app per le funzioni devono essere accessibili solo tramite HTTPS	L'uso di HTTPS assicura l'autenticazione di server/servizi e protegge i dati in transito da attacchi di intercettazione a livello rete.	Audit, Disabled, Deny	5.0.0
Le app per le funzioni devono richiedere solo FTPS	Abilitare imposizione FTPS per la protezione avanzata.	AuditIfNotExists, Disabled	3.0.0
Le app per le funzioni devono usare la versione TLS più recente	Periodicamente vengono rilasciate nuove versioni di TLS a causa di falle di sicurezza, per includere funzionalità aggiuntive e migliorare la velocità. Eseguire l'aggiornamento alla versione più recente di TLS per le app per le funzioni per sfruttare le correzioni di sicurezza, se presenti e/o nuove funzionalità della versione più recente.	AuditIfNotExists, Disabled	2.0.1
I cluster Kubernetes devono essere accessibili solo tramite HTTPS	L'uso di HTTPS garantisce l'autenticazione e protegge i dati in transito da attacchi di intercettazione a livello di rete. Questa funzionalità è attualmente disponibile a livello generale per il servizio Kubernetes e in anteprima per Kubernetes con abilitazione di Azure Arc. Per altre info, visitare https://aka.ms/kubepolicydoc	audit, Audit, Deny, Deny, disabled, Disabled	8.1.0
Devono essere abilitate solo le connessioni sicure alla cache di Azure per Redis	Controllare l'abilitazione delle sole connessioni tramite SSL a Cache Redis. L'uso di connessioni sicure garantisce l'autenticazione tra il server e il servizio e protegge i dati in transito dagli attacchi a livello rete, come attacchi man-in-the-middle, eavesdropping e hijack della sessione	Audit, Deny, Disabled	1.0.0
È consigliabile abilitare il trasferimento sicuro agli account di archiviazione	Requisito di controllo del trasferimento sicuro nell'account di archiviazione. Il trasferimento sicuro è un'opzione che impone all'account di archiviazione di accettare richieste solo da connessioni protette (HTTPS). L'uso di HTTPS garantisce l'autenticazione tra il server e il servizio e protegge i dati in transito dagli attacchi a livello rete, come attacchi man-in-the-middle, eavesdropping e hijack della sessione	Audit, Deny, Disabled	2.0.0
I computer Windows devono essere configurate per usare protocolli di comunicazione sicuri	Per proteggere la privacy delle informazioni comunicate tramite Internet, i computer devono usare la versione più recente del protocollo di crittografia standard del settore, Transport Layer Security (TLS). TLS protegge le comunicazioni tramite una rete crittografando una connessione tra computer.	AuditIfNotExists, Disabled	4.1.1

Disconnessione di rete

ID: FedRAMP High SC-10 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Rieseguire l’autenticazione o terminare una sessione utente	CMA_0421 - Rieseguire l'autenticazione o terminare una sessione utente	Manuale, Disabilitato	1.1.0

Definizione e gestione di chiavi crittografiche

ID: FedRAMP High SC-12 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
[Anteprima]: Gli insiemi di credenziali dei servizi di ripristino di Azure devono usare chiavi gestite dal cliente per crittografare i dati di backup	Usare le chiavi gestite dal cliente per gestire la crittografia dei dati inattivi dei dati di backup. Per impostazione predefinita, i dati dei clienti sono crittografati tramite chiavi gestite dal servizio, ma in genere sono richieste chiavi gestite dal cliente per soddisfare gli standard di conformità alle normative. Le chiavi gestite dal cliente consentono di crittografare i dati con una chiave di Azure Key Vault creata dall'utente e di sua proprietà. L'utente dispone del controllo completo e della piena responsabilità in merito al ciclo di vita della chiave, incluse le operazioni di rotazione e gestione. Per ulteriori informazioni, vedi https://aka.ms/AB-CmkEncryption.	Audit, Deny, Disabled	1.0.0-preview
[Anteprima]: I dati del servizio Device Provisioning in hub IoT devono essere crittografati con chiavi gestite dal cliente)	Usare le chiavi gestite dal cliente per gestire la crittografia dei dati inattivi del servizio device provisioning in hub IoT. I dati vengono automaticamente crittografati a riposo con chiavi gestite dal servizio, ma le chiavi gestite dal cliente (CMK) sono comunemente richieste per soddisfare gli standard di conformità alle normative. Le chiavi gestite dal cliente consentono di crittografare i dati con una chiave di Azure Key Vault creata dall'utente e di sua proprietà. Per altre informazioni sulla crittografia con chiavi gestite dal cliente, vedere https://aka.ms/dps/CMK.	Audit, Deny, Disabled	1.0.0-preview
L'account API di Azure per FHIR deve usare una chiave gestita dal cliente per la crittografia dei dati inattivi	Usare una chiave gestita dal cliente per controllare la crittografia dei dati inattivi archiviati in API di Azure per FHIR quando è richiesto da un requisito normativo o di conformità. Le chiavi gestite dal cliente offrono anche la doppia crittografia con l'aggiunta di un secondo livello di crittografia su quello predefinito eseguito con le chiavi gestite dal servizio.	audit, Audit, disabled, Disabled	1.1.0
Gli account di Automazione di Azure devono usare chiavi gestite dal cliente per la crittografia dei dati inattivi	Usare le chiavi gestite dal cliente per gestire la crittografia a riposo degli account di automazione di Azure. Per impostazione predefinita, i dati dei clienti sono crittografati tramite chiavi gestite dal servizio, ma in genere sono richieste chiavi gestite dal cliente per soddisfare gli standard di conformità alle normative. Le chiavi gestite dal cliente consentono di crittografare i dati con una chiave di Azure Key Vault creata dall'utente e di sua proprietà. L'utente dispone del controllo completo e della piena responsabilità in merito al ciclo di vita della chiave, incluse le operazioni di rotazione e gestione. Per ulteriori informazioni, vedi https://aka.ms/automation-cmk.	Audit, Deny, Disabled	1.0.0
L'account Azure Batch deve usare chiavi gestite dal cliente per la crittografia dei dati inattivi	Usare le chiavi gestite dal cliente per gestire la crittografia dei dati inattivi dell'account Batch. Per impostazione predefinita, i dati dei clienti sono crittografati tramite chiavi gestite dal servizio, ma in genere sono richieste chiavi gestite dal cliente per soddisfare gli standard di conformità alle normative. Le chiavi gestite dal cliente consentono di crittografare i dati con una chiave di Azure Key Vault creata dall'utente e di sua proprietà. L'utente dispone del controllo completo e della piena responsabilità in merito al ciclo di vita della chiave, incluse le operazioni di rotazione e gestione. Per ulteriori informazioni, vedi https://aka.ms/Batch-CMK.	Audit, Deny, Disabled	1.0.1
Il gruppo di contenitori dell'istanza contenitori di Azure deve usare la chiave gestita dal cliente per la crittografia	Proteggere i contenitori con maggiore flessibilità usando chiavi gestite dal cliente. Quando si specifica una chiave gestita dal cliente, tale chiave viene usata per proteggere e controllare l'accesso alla chiave che crittografa i dati. L'utilizzo di chiavi gestite dal cliente offre ulteriori possibilità di controllare la rotazione della chiave di crittografia o di cancellare crittograficamente i dati.	Audit, Disabled, Deny	1.0.0
Gli account Azure Cosmos DB devono usare chiavi gestite dal cliente per la crittografia dei dati inattivi	Usare le chiavi gestite dal cliente per gestire la crittografia dei dati inattivi di Azure Cosmos DB. Per impostazione predefinita, i dati sono crittografati quando inattivi con chiavi gestite dal servizio, ma le chiavi gestite dal cliente sono comunemente richieste per soddisfare gli standard di conformità alle normative. Le chiavi gestite dal cliente consentono di crittografare i dati con una chiave di Azure Key Vault creata dall'utente e di sua proprietà. L'utente dispone del controllo completo e della piena responsabilità in merito al ciclo di vita della chiave, incluse le operazioni di rotazione e gestione. Per ulteriori informazioni, vedi https://aka.ms/cosmosdb-cmk.	audit, Audit, Deny, Deny, disabled, Disabled	1.1.0
Azure Data Box processi deve usare una chiave gestita dal cliente per crittografare la password di sblocco del dispositivo	Usare una chiave gestita dal cliente per controllare la crittografia della password di sblocco del dispositivo per Azure Data Box. Le chiavi gestite dal cliente consentono inoltre di gestire l'accesso alla password di sblocco del dispositivo da parte del servizio Data Box per preparare il dispositivo e copiare i dati in modo automatico. I dati inattivi nel dispositivo stesso sono già crittografati tramite la crittografia Advanced Encryption Standard a 256 bit e la password di sblocco del dispositivo è crittografata per impostazione predefinita con una chiave gestita da Microsoft.	Audit, Deny, Disabled	1.0.0
La crittografia dei dati inattivi di Esplora dati di Azure deve usare una chiave gestita dal cliente	L'abilitazione della crittografia dei dati inattivi mediante una chiave gestita dal cliente nel cluster di Esplora dati di Azure fornisce un controllo aggiuntivo sulla chiave usata dalla crittografia dei dati inattivi. Questa funzionalità è spesso applicabile ai clienti con requisiti di conformità speciali e richiede un'istanza di Key Vault per la gestione delle chiavi.	Audit, Deny, Disabled	1.0.0
I data factory di Azure devono essere crittografati con una chiave gestita dal cliente	Usare le chiavi gestite dal cliente per gestire la crittografia a riposo di Azure Data Factory. Per impostazione predefinita, i dati dei clienti sono crittografati tramite chiavi gestite dal servizio, ma in genere sono richieste chiavi gestite dal cliente per soddisfare gli standard di conformità alle normative. Le chiavi gestite dal cliente consentono di crittografare i dati con una chiave di Azure Key Vault creata dall'utente e di sua proprietà. L'utente dispone del controllo completo e della piena responsabilità in merito al ciclo di vita della chiave, incluse le operazioni di rotazione e gestione. Per ulteriori informazioni, vedi https://aka.ms/adf-cmk.	Audit, Deny, Disabled	1.0.1
I cluster di Azure HDInsight devono usare chiavi gestite dal cliente per la crittografia dei dati inattivi	Usare chiavi gestite dal cliente per gestire la crittografia a riposo dei cluster Azure HDInsight. Per impostazione predefinita, i dati dei clienti sono crittografati tramite chiavi gestite dal servizio, ma in genere sono richieste chiavi gestite dal cliente per soddisfare gli standard di conformità alle normative. Le chiavi gestite dal cliente consentono di crittografare i dati con una chiave di Azure Key Vault creata dall'utente e di sua proprietà. L'utente dispone del controllo completo e della piena responsabilità in merito al ciclo di vita della chiave, incluse le operazioni di rotazione e gestione. Per ulteriori informazioni, vedi https://aka.ms/hdi.cmk.	Audit, Deny, Disabled	1.0.1
I cluster di Azure HDInsight devono usare la crittografia a livello di host per la crittografia dei dati inattivi	L'abilitazione della crittografia sull'host aiuta a proteggere e salvaguardare i dati per soddisfare gli impegni di sicurezza e conformità dell'organizzazione. Quando si abilita la crittografia nell'host, i dati archiviati nell'host della macchina virtuale vengono crittografati inattivi e i flussi crittografati nel servizio di archiviazione.	Audit, Deny, Disabled	1.0.0
Le aree di lavoro di Azure Machine Learning devono essere crittografate con una chiave gestita dal cliente	Gestire la crittografia inattiva dei dati dello spazio di lavoro Azure Machine Learning con chiavi gestite dal cliente. Per impostazione predefinita, i dati dei clienti sono crittografati tramite chiavi gestite dal servizio, ma in genere sono richieste chiavi gestite dal cliente per soddisfare gli standard di conformità alle normative. Le chiavi gestite dal cliente consentono di crittografare i dati con una chiave di Azure Key Vault creata dall'utente e di sua proprietà. L'utente dispone del controllo completo e della piena responsabilità in merito al ciclo di vita della chiave, incluse le operazioni di rotazione e gestione. Per ulteriori informazioni, vedi https://aka.ms/azureml-workspaces-cmk.	Audit, Deny, Disabled	1.0.3
I cluster dei log di Monitoraggio di Azure devono essere crittografati con una chiave gestita dal cliente	Creare un cluster di log di Monitoraggio di Azure con la crittografia delle chiavi gestite dal cliente. Per impostazione predefinita, i dati di log sono crittografati con chiavi gestite dal servizio, ma le chiavi gestite dal cliente sono comunemente richieste per soddisfare la conformità normativa. La chiave gestita dal cliente in Monitoraggio di Azure offre maggiore controllo sull'accesso ai dati, vedere https://docs.microsoft.com/azure/azure-monitor/platform/customer-managed-keys.	audit, Audit, Deny, Deny, disabled, Disabled	1.1.0
I processi di Analisi di flusso di Azure devono usare chiavi gestite dal cliente per la crittografia dei dati	Usare le chiavi gestite dal cliente per archiviare in modo sicuro gli asset di dati privati e i metadati dei processi di Analisi di flusso di Azure nell'account di archiviazione e ottenere il controllo totale sulla modalità di crittografia dei dati di Analisi di flusso di Azure.	audit, Audit, Deny, Deny, disabled, Disabled	1.1.0
Le aree di lavoro Azure Synapse devono usare chiavi gestite dal cliente per la crittografia dei dati inattivi	Usare le chiavi gestite dal cliente per controllare la crittografia dei dati inattivi archiviati nelle aree di lavoro di Azure Synapse. Le chiavi gestite dal cliente offrono la doppia crittografia con l'aggiunta di un secondo livello di crittografia su quella predefinita eseguito con le chiavi gestite dal servizio.	Audit, Deny, Disabled	1.0.0
Il servizio Bot deve essere crittografato con una chiave gestita dal cliente	Il servizio Azure Bot crittografa automaticamente la risorsa per proteggere i dati e soddisfare gli impegni di sicurezza e conformità dell'organizzazione. Per impostazione predefinita, vengono usate chiavi di crittografia gestite da Microsoft. Per una maggiore flessibilità nella gestione delle chiavi o nel controllo dell'accesso alla sottoscrizione, selezionare chiavi gestite dal cliente, note anche come BYOK (Bring Your Own Key). Altre informazioni sulla crittografia del servizio Azure Bot: https://docs.microsoft.com/azure/bot-service/bot-service-encryption.	audit, Audit, Deny, Deny, disabled, Disabled	1.1.0
Entrambi i dischi dati e del sistema operativo nei cluster del servizio Azure Kubernetes devono essere crittografati mediante chiavi gestite dal cliente	La crittografia dei dischi dati e del sistema operativo con chiavi gestite dal cliente offre maggiore controllo e flessibilità per la gestione delle chiavi. Si tratta di un requisito comune in numerosi standard normativi e di conformità del settore.	Audit, Deny, Disabled	1.0.1
Per gli account Servizi cognitivi è necessario abilitare la crittografia dei dati con una chiave gestita dal cliente	Le chiavi gestite dal cliente sono in genere richieste per soddisfare gli standard di conformità alle normative. Le chiavi gestite dal cliente consentono di crittografare i dati archiviati in Servizi cognitivi con una chiave di Azure Key Vault creata dall'utente e di sua proprietà. L'utente dispone del controllo completo e della piena responsabilità in merito al ciclo di vita della chiave, incluse le operazioni di rotazione e gestione. È possibile trovare altre informazioni sulle chiavi gestite dal cliente facendo riferimento a https://go.microsoft.com/fwlink/?linkid=2121321.	Audit, Deny, Disabled	2.1.0
I registri del contenitore devono essere crittografati con una chiave gestita dal cliente	Usare le chiavi gestite dal cliente per gestire la crittografia dei dati inattivi del contenuto dei registri. Per impostazione predefinita, i dati sono crittografati quando inattivi con chiavi gestite dal servizio, ma le chiavi gestite dal cliente sono comunemente richieste per soddisfare gli standard di conformità alle normative. Le chiavi gestite dal cliente consentono di crittografare i dati con una chiave di Azure Key Vault creata dall'utente e di sua proprietà. L'utente dispone del controllo completo e della piena responsabilità in merito al ciclo di vita della chiave, incluse le operazioni di rotazione e gestione. Per ulteriori informazioni, vedi https://aka.ms/acr/CMK.	Audit, Deny, Disabled	1.1.2
Definire un processo di gestione delle chiavi fisiche	CMA_0115 - Definire un processo di gestione delle chiavi fisiche	Manuale, Disabilitato	1.1.0
Definire l'utilizzo della crittografia	CMA_0120 - Definire l'utilizzo della crittografia	Manuale, Disabilitato	1.1.0
Definire i requisiti aziendali per la gestione delle chiavi crittografiche	CMA_0123 - Definire i requisiti aziendali per la gestione delle chiavi crittografiche	Manuale, Disabilitato	1.1.0
Determinare i requisiti di asserzione	CMA_0136 - Determinare i requisiti di asserzione	Manuale, Disabilitato	1.1.0
Gli spazi dei nomi dell'hub eventi devono usare una chiave gestita dal cliente per la crittografia	Hub eventi di Azure supporta la possibilità di crittografare i dati inattivi con chiavi gestite da Microsoft (impostazione predefinita) o chiavi gestite dal cliente. La scelta di crittografare i dati usando chiavi gestite dal cliente consente di assegnare, ruotare, disabilitare e revocare l'accesso alle chiavi usate dall'hub eventi per crittografare i dati nello spazio dei nomi. Si noti che Hub eventi supporta solo la crittografia con chiavi gestite dal cliente per gli spazi dei nomi nei cluster dedicati.	Audit, Disabled	1.0.0
Gli account Cache HPC devono usare la chiave gestita dal cliente per la crittografia	Gestire la crittografia dei dati inattivi di Cache HPC di Azure con chiavi gestite dal cliente. Per impostazione predefinita, i dati dei clienti sono crittografati tramite chiavi gestite dal servizio, ma in genere sono richieste chiavi gestite dal cliente per soddisfare gli standard di conformità alle normative. Le chiavi gestite dal cliente consentono di crittografare i dati con una chiave di Azure Key Vault creata dall'utente e di sua proprietà. L'utente dispone del controllo completo e della piena responsabilità in merito al ciclo di vita della chiave, incluse le operazioni di rotazione e gestione.	Audit, Disabled, Deny	2.0.0
Rilasciare certificati a chiave pubblica	CMA_0347 - Rilasciare certificati a chiave pubblica	Manuale, Disabilitato	1.1.0
L'ambiente del servizio di integrazione delle App per la logica deve essere crittografato con chiavi gestite dal cliente	Eseguire la distribuzione nell'ambiente del servizio di integrazione per gestire la crittografia dei dati inattivi delle app per la logica usando chiavi gestite dal cliente. Per impostazione predefinita, i dati dei clienti sono crittografati tramite chiavi gestite dal servizio, ma in genere sono richieste chiavi gestite dal cliente per soddisfare gli standard di conformità alle normative. Le chiavi gestite dal cliente consentono di crittografare i dati con una chiave di Azure Key Vault creata dall'utente e di sua proprietà. L'utente dispone del controllo completo e della piena responsabilità in merito al ciclo di vita della chiave, incluse le operazioni di rotazione e gestione.	Audit, Deny, Disabled	1.0.0
Gestire le chiavi crittografiche simmetriche	CMA_0367 - Gestire le chiavi crittografiche simmetriche	Manuale, Disabilitato	1.1.0
Ai dischi gestiti deve essere applicata la doppia crittografia con chiave gestita dalla piattaforma e chiave gestita dal cliente	I clienti sensibili alla sicurezza elevata che temono il rischio associato alla compromissione di un particolare algoritmo, implementazione o chiave di crittografia possono optare per un livello di crittografia aggiuntivo che utilizza un algoritmo/modalità di crittografia diverso a livello di infrastruttura, utilizzando chiavi di crittografia gestite dalla piattaforma. I set di crittografia del disco sono necessari per usare la doppia crittografia. Per ulteriori informazioni, vedi https://aka.ms/disks-doubleEncryption.	Audit, Deny, Disabled	1.0.0
I server MySQL devono usare chiavi gestite dal cliente per la crittografia dei dati inattivi	Usare le chiavi gestite dal cliente per gestire la crittografia dei dati inattivi dei server MySQL. Per impostazione predefinita, i dati sono crittografati quando inattivi con chiavi gestite dal servizio, ma le chiavi gestite dal cliente sono comunemente richieste per soddisfare gli standard di conformità alle normative. Le chiavi gestite dal cliente consentono di crittografare i dati con una chiave di Azure Key Vault creata dall'utente e di sua proprietà. L'utente dispone del controllo completo e della piena responsabilità in merito al ciclo di vita della chiave, incluse le operazioni di rotazione e gestione.	AuditIfNotExists, Disabled	1.0.4
Il sistema operativo e i dischi dati devono essere crittografati con una chiave gestita dal cliente	Utilizzare le chiavi gestite dal cliente per gestire la crittografia a riposo del contenuto dei dischi gestiti. Per impostazione predefinita, i dati sono crittografati quando sono inattivi con chiavi gestite dalla piattaforma, ma le chiavi gestite dal cliente sono comunemente richieste per soddisfare gli standard di conformità alle normative. Le chiavi gestite dal cliente consentono di crittografare i dati con una chiave di Azure Key Vault creata dall'utente e di sua proprietà. L'utente dispone del controllo completo e della piena responsabilità in merito al ciclo di vita della chiave, incluse le operazioni di rotazione e gestione. Per ulteriori informazioni, vedi https://aka.ms/disks-cmk.	Audit, Deny, Disabled	3.0.0
I server PostgreSQL devono usare chiavi gestite dal cliente per crittografare i dati inattivi	Usare le chiavi gestite dal cliente per gestire la crittografia dei dati inattivi dei server PostgreSQL. Per impostazione predefinita, i dati sono crittografati quando inattivi con chiavi gestite dal servizio, ma le chiavi gestite dal cliente sono comunemente richieste per soddisfare gli standard di conformità alle normative. Le chiavi gestite dal cliente consentono di crittografare i dati con una chiave di Azure Key Vault creata dall'utente e di sua proprietà. L'utente dispone del controllo completo e della piena responsabilità in merito al ciclo di vita della chiave, incluse le operazioni di rotazione e gestione.	AuditIfNotExists, Disabled	1.0.4
Limitare l'accesso alle chiavi private	CMA_0445 - Limitare l'accesso alle chiavi private	Manuale, Disabilitato	1.1.0
Le query salvate in Monitoraggio di Azure devono essere salvate nell'account di archiviazione del cliente per la crittografia dei log	Collegare l'account di archiviazione all'area di lavoro Log Analytics per proteggere le query salvate con la crittografia dell'account di archiviazione. Le chiavi gestite dal cliente sono in genere necessarie per soddisfare la conformità alle normative e per un maggiore controllo sull'accesso alle query salvate in Monitoraggio di Azure. Per altri dettagli su quanto sopra, vedere https://docs.microsoft.com/azure/azure-monitor/platform/customer-managed-keys?tabs=portal#customer-managed-key-for-saved-queries.	audit, Audit, Deny, Deny, disabled, Disabled	1.1.0
Gli spazi dei nomi Premium del bus di servizio devono usare una chiave gestita dal cliente per la crittografia	Il bus di servizio di Azure supporta la possibilità di crittografare i dati inattivi con chiavi gestite da Microsoft (impostazione predefinita) o chiavi gestite dal cliente. La scelta di crittografare i dati usando chiavi gestite dal cliente consente di assegnare, ruotare, disabilitare e revocare l'accesso alle chiavi che il bus di servizio userà per crittografare i dati nello spazio dei nomi. Si noti che il bus di servizio supporta solo la crittografia con chiavi gestite dal cliente per gli spazi dei nomi Premium.	Audit, Disabled	1.0.0
Le istanze gestite di SQL devono usare chiavi gestite dal cliente per la crittografia dei dati inattivi	L'implementazione di Transparent Data Encryption con la chiave personale offre maggiore trasparenza e controllo su TDE Protector, sicurezza avanzata con un servizio esterno supportato dal modulo di protezione hardware e la promozione della separazione dei compiti. Questa raccomandazione si applica alle organizzazioni con un requisito di conformità correlato.	Audit, Deny, Disabled	2.0.0
I server SQL devono usare chiavi gestite dal cliente per la crittografia dei dati inattivi	L'implementazione di Transparent Data Encryption con la chiave personale offre maggiore trasparenza e controllo su TDE Protector, sicurezza avanzata con un servizio esterno supportato dal modulo di protezione hardware e la promozione della separazione dei compiti. Questa raccomandazione si applica alle organizzazioni con un requisito di conformità correlato.	Audit, Deny, Disabled	2.0.1
Gli ambiti della crittografia dell'account di archiviazione devono usare chiavi gestite dal cliente per la crittografia dei dati inattivi	Usare le chiavi gestite dal cliente per gestire la crittografia inattivi degli ambiti di crittografia dell'account di archiviazione. Le chiavi gestite dal cliente consentono di crittografare i dati con una chiave di Azure Key Vault creata dall'utente e di sua proprietà. L'utente dispone del controllo completo e della piena responsabilità in merito al ciclo di vita della chiave, incluse le operazioni di rotazione e gestione. Altre informazioni sugli ambiti di crittografia dell'account di archiviazione sono disponibili in https://aka.ms/encryption-scopes-overview.	Audit, Deny, Disabled	1.0.0
Gli account di archiviazione devono usare la chiave gestita dal cliente per la crittografia	Proteggere l'account e file di archiviazione BLOB con maggiore flessibilità usando le chiavi gestite dal cliente. Quando si specifica una chiave gestita dal cliente, tale chiave viene usata per proteggere e controllare l'accesso alla chiave che crittografa i dati. L'utilizzo di chiavi gestite dal cliente offre ulteriori possibilità di controllare la rotazione della chiave di crittografia o di cancellare crittograficamente i dati.	Audit, Disabled	1.0.3

Disponibilità

ID: FedRAMP High SC-12 (1) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Mantenere la disponibilità delle informazioni	CMA_C1644: mantenere la disponibilità delle informazioni	Manuale, Disabilitato	1.1.0

Chiavi simmetriche

ID: FedRAMP High SC-12 (2) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Produrre, controllare e distribuire chiavi crittografiche simmetriche	CMA_C1645 - Produci, controlla e distribuisci chiavi crittografiche simmetriche	Manuale, Disabilitato	1.1.0

Chiavi asimmetriche

ID: FedRAMP High SC-12 (3) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Produrre, controllare e distribuire chiavi crittografiche asimmetriche	CMA_C1646 - Produrre, controllare e distribuire chiavi crittografiche asimmetriche	Manuale, Disabilitato	1.1.0

Protezione crittografica

ID: FedRAMP High SC-13 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Definire l'utilizzo della crittografia	CMA_0120 - Definire l'utilizzo della crittografia	Manuale, Disabilitato	1.1.0

Dispositivi di elaborazione di collaborazione

ID: FedRAMP High SC-15 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Notifica in modo esplicito l'utilizzo di dispositivi di elaborazione collaborativi	CMA_C1649 - Notifica in modo esplicito l'utilizzo di dispositivi di elaborazione collaborativi	Manuale, Disabilitato	1.1.1
Impedire l'attivazione remota dei dispositivi di elaborazione collaborativi	CMA_C1648 - Impedire l'attivazione remota dei dispositivi di elaborazione collaborativi	Manuale, Disabilitato	1.1.0

Certificati di infrastruttura a chiave pubblica

ID: FedRAMP High SC-17 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Rilasciare certificati a chiave pubblica	CMA_0347 - Rilasciare certificati a chiave pubblica	Manuale, Disabilitato	1.1.0

Codice mobile

ID: FedRAMP High SC-18 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Autorizzare, monitorare e controllare l'utilizzo delle tecnologie di codice mobile	CMA_C1653 - Autorizzare, monitorare e controllare l'utilizzo delle tecnologie di codice mobile	Manuale, Disabilitato	1.1.0
Definire tecnologie di codice mobile accettabili e non accettabili	CMA_C1651 - Definire tecnologie di codice mobile accettabili e non accettabili	Manuale, Disabilitato	1.1.0
Stabilire le restrizioni di utilizzo per le tecnologie di codice mobile	CMA_C1652 - Stabilire le restrizioni di utilizzo per le tecnologie di codice mobile	Manuale, Disabilitato	1.1.0

Voice over Internet Protocol

ID: FedRAMP High SC-19 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Autorizzare, monitorare e controllare il sistema VoIP	CMA_0025 - Autorizzare, monitorare e controllare il sistema VoIP	Manuale, Disabilitato	1.1.0
Stabilire le restrizioni per l'utilizzo del sistema VoIP	CMA_0280 - Stabilire restrizioni per l'utilizzo di VoIP	Manuale, Disabilitato	1.1.0

Servizio protetto di risoluzione del nome e dell'indirizzo (origine autorevole)

ID: FedRAMP High SC-20 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Implementare un servizio di nomi/indirizzi con tolleranza di errore	CMA_0305 - Implementare un servizio di nomi/indirizzi con tolleranza di errore	Manuale, Disabilitato	1.1.0
Fornire servizi di risoluzione di nomi e indirizzi sicuri	CMA_0416 - Fornire servizi di risoluzione di nomi e indirizzi sicuri	Manuale, Disabilitato	1.1.0

Servizio protetto di risoluzione del nome e dell'indirizzo (resolver ricorsivo o di memorizzazione nella cache)

ID: FedRAMP High SC-21 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Implementare un servizio di nomi/indirizzi con tolleranza di errore	CMA_0305 - Implementare un servizio di nomi/indirizzi con tolleranza di errore	Manuale, Disabilitato	1.1.0
Verificare l'integrità di software, firmware e informazioni	CMA_0542 - Verificare l'integrità di software, firmware e informazioni	Manuale, Disabilitato	1.1.0

Architettura e provisioning per il servizio di risoluzione del nome e dell'indirizzo

ID: FedRAMP High SC-22 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Implementare un servizio di nomi/indirizzi con tolleranza di errore	CMA_0305 - Implementare un servizio di nomi/indirizzi con tolleranza di errore	Manuale, Disabilitato	1.1.0

Autenticità della sessione

ID: FedRAMP High SC-23 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Configurare le workstation per il controllo dei certificati digitali	CMA_0073 - Configurare le workstation per il controllo dei certificati digitali	Manuale, Disabilitato	1.1.0
Imporre identificatori di sessione univoci casuali	CMA_0247 - Imporre identificatori di sessione univoci casuali	Manuale, Disabilitato	1.1.0

Invalida gli identificatori di sessione alla disconnessione

ID: FedRAMP High SC-23 (1) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Invalidare gli identificatori di sessione alla disconnessione	CMA_C1661 - Invalidare gli identificatori di sessione alla disconnessione	Manuale, Disabilitato	1.1.0

Errore in uno stato conosciuto

ID: FedRAMP High SC-24 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Verificare che il sistema informativo fallisca in uno stato noto	CMA_C1662 - Verificare che il sistema informativo fallisca in uno stato noto	Manuale, Disabilitato	1.1.0

Protezione delle informazioni inattive

ID: FedRAMP High SC-28 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
L'ambiente del servizio app deve avere la crittografia interna abilitata	L'impostazione di InternalEncryption su true crittografa il file di paging, i dischi di lavoro e il traffico di rete interno tra i front-end e i ruoli di lavoro in un ambiente del servizio app. Per altre informazioni, vedere https://docs.microsoft.com/azure/app-service/environment/app-service-app-service-environment-custom-settings#enable-internal-encryption.	Audit, Disabled	1.0.1
Le variabili dell'account di automazione devono essere crittografate	È importante abilitare la crittografia degli asset della variabile dell'account di Automazione quando si archiviano dati sensibili	Audit, Deny, Disabled	1.1.0
I processi di Azure Data Box devono abilitare la crittografia doppia per i dati inattivi nel dispositivo	Abilita un secondo livello di crittografia basata sul software per i dati inattivi nel dispositivo. Il dispositivo è già protetto tramite la crittografia Advanced Encryption Standard a 256 bit per i dati inattivi. Questa opzione aggiunge un secondo livello di crittografia dei dati.	Audit, Deny, Disabled	1.0.0
I cluster dei log di Monitoraggio di Azure devono essere creati con la crittografia dell'infrastruttura abilitata (doppia crittografia)	Per garantire che la crittografia dei dati sicura sia abilitata a livello di servizio e a livello di infrastruttura con due algoritmi di crittografia diversi e due chiavi diverse, usare un cluster dedicato di Monitoraggio di Azure. Questa opzione è abilitata per impostazione predefinita se supportata nell'area, vedere https://docs.microsoft.com/azure/azure-monitor/platform/customer-managed-keys#customer-managed-key-overview.	audit, Audit, Deny, Deny, disabled, Disabled	1.1.0
I dispositivi Azure Stack Edge devono usare la doppia crittografia	Per proteggere i dati inattivi nel dispositivo, assicurarsi che venga applicata la doppia crittografia, che l'accesso ai dati sia controllato e che, quando il dispositivo viene disattivato, i dati vengano cancellati in modo sicuro dai dischi dati. La doppia crittografia è l'uso di due livelli di crittografia: crittografia BitLocker XTS-AES a 256 bit nei volumi di dati e crittografia predefinita dei dischi rigidi. Per altre informazioni, vedere la documentazione sulla panoramica della sicurezza per il dispositivo Stack Edge specifico.	audit, Audit, Deny, Deny, disabled, Disabled	1.1.0
La crittografia dei dischi deve essere abilitata in Esplora dati di Azure	L'abilitazione della crittografia dei dischi consente di proteggere e tutelare i dati per soddisfare gli impegni dell'organizzazione in termini di sicurezza e conformità.	Audit, Deny, Disabled	2.0.0
La crittografia doppia deve essere abilitata in Esplora dati di Azure	L'abilitazione della doppia crittografia consente di proteggere e tutelare i dati per soddisfare gli impegni dell'organizzazione in termini di sicurezza e conformità. Una volta abilitata la doppia crittografia, i dati nell'account di archiviazione vengono crittografati due volte, una volta a livello del servizio e una volta a livello dell'infrastruttura, usando due algoritmi di crittografia diversi e due chiavi diverse.	Audit, Deny, Disabled	2.0.0
Stabilire una procedura di gestione delle perdite di dati	CMA_0255: stabilire una procedura di gestione delle perdite di dati	Manuale, Disabilitato	1.1.0
La crittografia dell'infrastruttura deve essere abilitata per i server di Database di Azure per MySQL	Abilita la crittografia dell'infrastruttura per i server di Database di Azure per MySQL per garantire un livello più elevato di sicurezza dei dati. Quando la crittografia dell'infrastruttura è abilitata, i dati inattivi vengono crittografati due volte con chiavi gestite da Microsoft conformi a FIPS 140-2.	Audit, Deny, Disabled	1.0.0
La crittografia dell'infrastruttura deve essere abilitata per i server di Database di Azure per PostgreSQL	Abilita la crittografia dell'infrastruttura per i server di Database di Azure per PostgreSQL per garantire un livello più elevato di sicurezza dei dati. Quando la crittografia dell'infrastruttura è abilitata, i dati inattivi vengono crittografati due volte con chiavi gestite da Microsoft conformi a FIPS 140-2	Audit, Deny, Disabled	1.0.0
Proteggere le informazioni speciali	CMA_0409: proteggere le informazioni speciali	Manuale, Disabilitato	1.1.0
La proprietà ClusterProtectionLevel dei cluster di Service Fabric dovrebbe essere impostata su EncryptAndSign	Service Fabric offre tre livelli di protezione (None, Sign ed EncryptAndSign) per la comunicazione da nodo a nodo mediante un certificato cluster primario. Impostare il livello di protezione per garantire che tutti i messaggi da nodo a nodo vengano crittografati e firmati digitalmente	Audit, Deny, Disabled	1.1.0
È necessario abilitare la crittografia dell'infrastruttura per gli account di archiviazione	Abilita la crittografia dell'infrastruttura per garantire un livello più elevato di sicurezza dei dati. Quando la crittografia dell'infrastruttura è abilitata, i dati in un account di archiviazione vengono crittografati due volte.	Audit, Deny, Disabled	1.0.0
È necessario applicare la crittografia a livello di host ai dischi temporanei e alla cache per i pool di nodi degli agenti nei cluster del servizio Azure Kubernetes	Per migliorare la sicurezza dei dati, i dati archiviati nell'host di macchine virtuali (VM) dei nodi del servizio Azure Kubernetes devono essere crittografati inattivi. Si tratta di un requisito comune in numerosi standard normativi e di conformità del settore.	Audit, Deny, Disabled	1.0.1
È consigliabile abilitare Transparent Data Encryption nei database SQL	Abilitare Transparent Data Encryption per proteggere i dati inattivi e rispettare i requisiti relativi alla conformità	AuditIfNotExists, Disabled	2.0.0
Per le macchine virtuali e i set di scalabilità di macchine virtuali deve essere abilitata la crittografia a livello di host	Usare la crittografia nell'host per ottenere la crittografia end-to-end per la macchina virtuale e i dati del set di scalabilità di macchine virtuali. La crittografia nell'host abilita la crittografia dei dati inattivi per le cache del disco temporaneo e del sistema operativo/disco dati. Quando è abilitata la crittografia nell'host, i dischi temporanei e del sistema operativo temporaneo vengono crittografati con chiavi gestite dalla piattaforma. Le cache del disco del sistema operativo/dati vengono crittografate inattive con chiave gestita dal cliente o gestita dalla piattaforma, a seconda del tipo di crittografia selezionato sul disco. Per ulteriori informazioni, vedi https://aka.ms/vm-hbe.	Audit, Deny, Disabled	1.0.0

Protezione crittografica

ID: FedRAMP High SC-28 (1) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
L'ambiente del servizio app deve avere la crittografia interna abilitata	L'impostazione di InternalEncryption su true crittografa il file di paging, i dischi di lavoro e il traffico di rete interno tra i front-end e i ruoli di lavoro in un ambiente del servizio app. Per altre informazioni, vedere https://docs.microsoft.com/azure/app-service/environment/app-service-app-service-environment-custom-settings#enable-internal-encryption.	Audit, Disabled	1.0.1
Le variabili dell'account di automazione devono essere crittografate	È importante abilitare la crittografia degli asset della variabile dell'account di Automazione quando si archiviano dati sensibili	Audit, Deny, Disabled	1.1.0
I processi di Azure Data Box devono abilitare la crittografia doppia per i dati inattivi nel dispositivo	Abilita un secondo livello di crittografia basata sul software per i dati inattivi nel dispositivo. Il dispositivo è già protetto tramite la crittografia Advanced Encryption Standard a 256 bit per i dati inattivi. Questa opzione aggiunge un secondo livello di crittografia dei dati.	Audit, Deny, Disabled	1.0.0
I cluster dei log di Monitoraggio di Azure devono essere creati con la crittografia dell'infrastruttura abilitata (doppia crittografia)	Per garantire che la crittografia dei dati sicura sia abilitata a livello di servizio e a livello di infrastruttura con due algoritmi di crittografia diversi e due chiavi diverse, usare un cluster dedicato di Monitoraggio di Azure. Questa opzione è abilitata per impostazione predefinita se supportata nell'area, vedere https://docs.microsoft.com/azure/azure-monitor/platform/customer-managed-keys#customer-managed-key-overview.	audit, Audit, Deny, Deny, disabled, Disabled	1.1.0
I dispositivi Azure Stack Edge devono usare la doppia crittografia	Per proteggere i dati inattivi nel dispositivo, assicurarsi che venga applicata la doppia crittografia, che l'accesso ai dati sia controllato e che, quando il dispositivo viene disattivato, i dati vengano cancellati in modo sicuro dai dischi dati. La doppia crittografia è l'uso di due livelli di crittografia: crittografia BitLocker XTS-AES a 256 bit nei volumi di dati e crittografia predefinita dei dischi rigidi. Per altre informazioni, vedere la documentazione sulla panoramica della sicurezza per il dispositivo Stack Edge specifico.	audit, Audit, Deny, Deny, disabled, Disabled	1.1.0
La crittografia dei dischi deve essere abilitata in Esplora dati di Azure	L'abilitazione della crittografia dei dischi consente di proteggere e tutelare i dati per soddisfare gli impegni dell'organizzazione in termini di sicurezza e conformità.	Audit, Deny, Disabled	2.0.0
La crittografia doppia deve essere abilitata in Esplora dati di Azure	L'abilitazione della doppia crittografia consente di proteggere e tutelare i dati per soddisfare gli impegni dell'organizzazione in termini di sicurezza e conformità. Una volta abilitata la doppia crittografia, i dati nell'account di archiviazione vengono crittografati due volte, una volta a livello del servizio e una volta a livello dell'infrastruttura, usando due algoritmi di crittografia diversi e due chiavi diverse.	Audit, Deny, Disabled	2.0.0
Implementare i controlli per proteggere tutti i supporti	CMA_0314 - Implementare i controlli per proteggere tutti i supporti	Manuale, Disabilitato	1.1.0
La crittografia dell'infrastruttura deve essere abilitata per i server di Database di Azure per MySQL	Abilita la crittografia dell'infrastruttura per i server di Database di Azure per MySQL per garantire un livello più elevato di sicurezza dei dati. Quando la crittografia dell'infrastruttura è abilitata, i dati inattivi vengono crittografati due volte con chiavi gestite da Microsoft conformi a FIPS 140-2.	Audit, Deny, Disabled	1.0.0
La crittografia dell'infrastruttura deve essere abilitata per i server di Database di Azure per PostgreSQL	Abilita la crittografia dell'infrastruttura per i server di Database di Azure per PostgreSQL per garantire un livello più elevato di sicurezza dei dati. Quando la crittografia dell'infrastruttura è abilitata, i dati inattivi vengono crittografati due volte con chiavi gestite da Microsoft conformi a FIPS 140-2	Audit, Deny, Disabled	1.0.0
Proteggere i dati in movimento mediante la crittografia	CMA_0403 - Proteggere i dati in movimento mediante la crittografia	Manuale, Disabilitato	1.1.0
La proprietà ClusterProtectionLevel dei cluster di Service Fabric dovrebbe essere impostata su EncryptAndSign	Service Fabric offre tre livelli di protezione (None, Sign ed EncryptAndSign) per la comunicazione da nodo a nodo mediante un certificato cluster primario. Impostare il livello di protezione per garantire che tutti i messaggi da nodo a nodo vengano crittografati e firmati digitalmente	Audit, Deny, Disabled	1.1.0
È necessario abilitare la crittografia dell'infrastruttura per gli account di archiviazione	Abilita la crittografia dell'infrastruttura per garantire un livello più elevato di sicurezza dei dati. Quando la crittografia dell'infrastruttura è abilitata, i dati in un account di archiviazione vengono crittografati due volte.	Audit, Deny, Disabled	1.0.0
È necessario applicare la crittografia a livello di host ai dischi temporanei e alla cache per i pool di nodi degli agenti nei cluster del servizio Azure Kubernetes	Per migliorare la sicurezza dei dati, i dati archiviati nell'host di macchine virtuali (VM) dei nodi del servizio Azure Kubernetes devono essere crittografati inattivi. Si tratta di un requisito comune in numerosi standard normativi e di conformità del settore.	Audit, Deny, Disabled	1.0.1
È consigliabile abilitare Transparent Data Encryption nei database SQL	Abilitare Transparent Data Encryption per proteggere i dati inattivi e rispettare i requisiti relativi alla conformità	AuditIfNotExists, Disabled	2.0.0
Per le macchine virtuali e i set di scalabilità di macchine virtuali deve essere abilitata la crittografia a livello di host	Usare la crittografia nell'host per ottenere la crittografia end-to-end per la macchina virtuale e i dati del set di scalabilità di macchine virtuali. La crittografia nell'host abilita la crittografia dei dati inattivi per le cache del disco temporaneo e del sistema operativo/disco dati. Quando è abilitata la crittografia nell'host, i dischi temporanei e del sistema operativo temporaneo vengono crittografati con chiavi gestite dalla piattaforma. Le cache del disco del sistema operativo/dati vengono crittografate inattive con chiave gestita dal cliente o gestita dalla piattaforma, a seconda del tipo di crittografia selezionato sul disco. Per ulteriori informazioni, vedi https://aka.ms/vm-hbe.	Audit, Deny, Disabled	1.0.0

Isolamento del processo

ID: FedRAMP High SC-39 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Gestire domini di esecuzione separati per i processi in esecuzione	CMA_C1665 - Mantenere separati domini di esecuzione per i processi in esecuzione	Manuale, Disabilitato	1.1.0

Integrità del sistema e delle informazioni

Procedure e criteri di integrità del sistema e delle informazioni

ID: FedRAMP High SI-1 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Esaminare e aggiornare i criteri e le procedure di integrità delle informazioni	CMA_C1667 - Esaminare e aggiornare i criteri e le procedure di integrità delle informazioni	Manuale, Disabilitato	1.1.0

Correzione degli errori

ID: FedRAMP High SI-2 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
È consigliabile abilitare una soluzione di valutazione della vulnerabilità nelle macchine virtuali	Controlla le macchine virtuali per rilevare se eseguono una soluzione di valutazione della vulnerabilità supportata. Un componente principale di ogni programma per la sicurezza e il rischio informatico è costituito dall'identificazione e dall'analisi delle vulnerabilità. Il piano tariffario standard del Centro sicurezza di Azure include l'analisi delle vulnerabilità per le macchine virtuali senza costi aggiuntivi. Inoltre, il Centro sicurezza è in grado di distribuire automaticamente questo strumento.	AuditIfNotExists, Disabled	3.0.0
Le app del servizio app devono usare la “versione HTTP” più recente	Periodicamente, per HTTP vengono rilasciate versioni più recenti, sia a causa di difetti di sicurezza o per includere funzionalità aggiuntive. È consigliabile usare la versione di HTTP più recente per le app Web per poter sfruttare le eventuali correzioni per la sicurezza e/o le nuove funzionalità dell'ultima versione.	AuditIfNotExists, Disabled	4.0.0
Azure Defender per il Servizio app deve essere abilitato	Azure Defender per il Servizio app sfrutta la portata del cloud e la visibilità di Azure come provider di servizi cloud per monitorare gli attacchi alle app Web più comuni.	AuditIfNotExists, Disabled	1.0.3
Azure Defender per i server di database SQL di Azure deve essere abilitato	Azure Defender per SQL fornisce funzionalità per l'individuazione e la mitigazione di potenziali vulnerabilità del database, il rilevamento di attività anomale che possono indicare minacce ai database SQL e l'individuazione e la classificazione di dati sensibili.	AuditIfNotExists, Disabled	1.0.2
Azure Defender per Key Vault deve essere abilitato	Azure Defender per Key Vault fornisce un ulteriore livello di protezione e di intelligence per sulla sicurezza grazie al rilevamento di tentativi insoliti e potenzialmente dannosi di accesso o sfruttamento degli account di Key Vault.	AuditIfNotExists, Disabled	1.0.3
Defender di Azure per Resource Manager deve essere abilitato	Azure Defender per Resource Manager monitora automaticamente tutte le operazioni di gestione risorse eseguite nell'organizzazione. Azure Defender rileva minacce e avvisi relativi alle attività sospette. Altre informazioni sulle funzionalità di Azure Defender per Resource Manager sono disponibili all'indirizzo https://aka.ms/defender-for-resource-manager. L'abilitazione di questo piano di Azure Defender comporta degli addebiti. Informazioni sui dettagli sui prezzi per area nella pagina dei prezzi del Centro sicurezza: https://aka.ms/pricing-security-center.	AuditIfNotExists, Disabled	1.0.0
Azure Defender per i server deve essere abilitato	Azure Defender per i server fornisce protezione dalle minacce in tempo reale per i carichi di lavoro dei server e genera raccomandazioni per la protezione avanzata e avvisi sulle attività sospette.	AuditIfNotExists, Disabled	1.0.3
Azure Defender per i server SQL nelle macchine virtuali deve essere abilitato	Azure Defender per SQL fornisce funzionalità per l'individuazione e la mitigazione di potenziali vulnerabilità del database, il rilevamento di attività anomale che possono indicare minacce ai database SQL e l'individuazione e la classificazione di dati sensibili.	AuditIfNotExists, Disabled	1.0.2
Le app per le funzioni devono usare la versione più recente di HTTP	Periodicamente, per HTTP vengono rilasciate versioni più recenti, sia a causa di difetti di sicurezza o per includere funzionalità aggiuntive. È consigliabile usare la versione di HTTP più recente per le app Web per poter sfruttare le eventuali correzioni per la sicurezza e/o le nuove funzionalità dell'ultima versione.	AuditIfNotExists, Disabled	4.0.0
Integrare la correzione dei difetti nella gestione della configurazione	CMA_C1671 - Integrare la correzione dei difetti nella gestione della configurazione	Manuale, Disabilitato	1.1.0
I servizi Kubernetes devono essere aggiornati a una versione di Kubernetes non vulnerabile	Aggiornare il cluster del servizio Kubernetes a una versione più recente di Kubernetes per proteggersi dalle vulnerabilità note nella versione corrente di Kubernetes. È stata applicata una patch per la vulnerabilità CVE-2019-9946 nelle versioni di Kubernetes 1.11.9+, 1.12.7+, 1.13.5+ e 1.14.0+	Audit, Disabled	1.0.2
Microsoft Defender per contenitori deve essere abilitato	Microsoft Defender per contenitori offre protezione avanzata, valutazione della vulnerabilità e protezione in fase di esecuzione per gli ambienti Kubernetes Azure, ibrido e multi-cloud.	AuditIfNotExists, Disabled	1.0.0
Microsoft Defender per archiviazione deve essere abilitato	Microsoft Defender per archiviazione rileva potenziali minacce per gli account di archiviazione. Consente di evitare i tre principali impatti sui dati e sul carico di lavoro: caricamenti di file dannosi, esfiltrazione di dati sensibili e danneggiamento dei dati. Il nuovo piano di Defender per archiviazione include l'analisi del malware e il rilevamento delle minacce per i dati sensibili. Questo piano fornisce anche una struttura prezzi stimabile (per account di archiviazione) per avere controllo sulla copertura e sui costi.	AuditIfNotExists, Disabled	1.0.0
Correggere i difetti del sistema informativo	CMA_0427 - Correggere i difetti del sistema informativo	Manuale, Disabilitato	1.1.0
I risultati delle vulnerabilità devono essere risolti nei database SQL	Consente di monitorare i consigli e i risultati dell'analisi della valutazione della vulnerabilità per informazioni su come correggere le vulnerabilità del database.	AuditIfNotExists, Disabled	4.1.0
Gli aggiornamenti di sistema nei set di scalabilità di macchine virtuali devono essere installati	Controlla se devono essere installati aggiornamenti critici e aggiornamenti della sicurezza del sistema mancanti per garantire che i set di scalabilità di macchine virtuali Windows e Linux siano sicuri.	AuditIfNotExists, Disabled	3.0.0
Gli aggiornamenti di sistema devono essere installati nelle macchine	Gli aggiornamenti di sistema per la sicurezza nei server verranno monitorati dal Centro sicurezza di Azure che invierà i consigli corrispondenti	AuditIfNotExists, Disabled	4.0.0
Le vulnerabilità nella configurazione di sicurezza delle macchine devono essere risolte	I server che non soddisfano la baseline configurata verranno monitorati dal Centro sicurezza di Azure che invierà i consigli corrispondenti	AuditIfNotExists, Disabled	3.1.0
Le vulnerabilità nella configurazione di sicurezza dei set di scalabilità di macchine virtuali devono essere risolte	Controlla le vulnerabilità del sistema operativo nei set di scalabilità di macchine virtuali per proteggerli da attacchi.	AuditIfNotExists, Disabled	3.0.0

Stato della correzione automatizzata dei difetti

ID: FedRAMP High SI-2 (2) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Automatizzare la correzione dei difetti	CMA_0027 - Automatizzare la correzione delle falle	Manuale, Disabilitato	1.1.0
Correggere i difetti del sistema informativo	CMA_0427 - Correggere i difetti del sistema informativo	Manuale, Disabilitato	1.1.0

Intervallo di correzione degli errori/Benchmark per le azioni correttive

ID: FedRAMP High SI-2 (3) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Stabilire benchmark per la correzione dei difetti	CMA_C1675 - Stabilire benchmark per la correzione delle falle	Manuale, Disabilitato	1.1.0
Misurare il tempo tra l'identificazione dei difetti e la correzione dei difetti	CMA_C1674 - Misurare il tempo che intercorre tra l'identificazione della falla e la sua correzione	Manuale, Disabilitato	1.1.0

Protezione dal malware

ID: FedRAMP High SI-3 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Azure Defender per i server deve essere abilitato	Azure Defender per i server fornisce protezione dalle minacce in tempo reale per i carichi di lavoro dei server e genera raccomandazioni per la protezione avanzata e avvisi sulle attività sospette.	AuditIfNotExists, Disabled	1.0.3
Bloccare i processi non attendibili e non firmati eseguiti da USB	CMA_0050 - Bloccare i processi non attendibili e non firmati eseguiti da USB	Manuale, Disabilitato	1.1.0
La soluzione Endpoint Protection deve essere installata nei set di scalabilità di macchine virtuali	Controlla la presenza e l'integrità di una soluzione Endpoint Protection nei set di scalabilità di macchine virtuali per proteggerli da minacce e vulnerabilità.	AuditIfNotExists, Disabled	3.0.0
Gestire i gateway	CMA_0363 - Gestire i gateway	Manuale, Disabilitato	1.1.0
Monitorare il server senza Endpoint Protection nel Centro sicurezza di Azure	I server in cui non è installato un agente di Endpoint Protection verranno monitorati dal Centro sicurezza di Azure che invierà i consigli corrispondenti	AuditIfNotExists, Disabled	3.0.0
Eseguire un'analisi delle tendenze per le minacce	CMA_0389 - Eseguire un'analisi delle tendenze per le minacce	Manuale, Disabilitato	1.1.0
Eseguire analisi delle vulnerabilità	CMA_0393 - Eseguire analisi delle vulnerabilità	Manuale, Disabilitato	1.1.0
Esaminare il report sui rilevamenti di malware ogni settimana	CMA_0475 - Esaminare il report sui rilevamenti di malware ogni settimana	Manuale, Disabilitato	1.1.0
Esaminare lo stato della protezione dalle minacce ogni settimana	CMA_0479 - Esaminare lo stato della protezione dalle minacce ogni settimana	Manuale, Disabilitato	1.1.0
Aggiornare le definizioni antivirus	CMA_0517 - Aggiornare le definizioni antivirus	Manuale, Disabilitato	1.1.0
Windows Defender Exploit Guard deve essere abilitato nelle macchine virtuali	Windows Defender Exploit Guard usa l’agente di Configurazione guest di Criteri di Azure. Exploit Guard include quattro componenti progettati per bloccare i dispositivi da un'ampia gamma di vettori di attacco e comportamenti di blocco usati comunemente negli attacchi malware, consentendo al contempo alle aziende di bilanciare i requisiti di rischi per la sicurezza e produttività (solo Windows).	AuditIfNotExists, Disabled	2.0.0

Gestione centrale

ID: FedRAMP High SI-3 (1) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Azure Defender per i server deve essere abilitato	Azure Defender per i server fornisce protezione dalle minacce in tempo reale per i carichi di lavoro dei server e genera raccomandazioni per la protezione avanzata e avvisi sulle attività sospette.	AuditIfNotExists, Disabled	1.0.3
Bloccare i processi non attendibili e non firmati eseguiti da USB	CMA_0050 - Bloccare i processi non attendibili e non firmati eseguiti da USB	Manuale, Disabilitato	1.1.0
La soluzione Endpoint Protection deve essere installata nei set di scalabilità di macchine virtuali	Controlla la presenza e l'integrità di una soluzione Endpoint Protection nei set di scalabilità di macchine virtuali per proteggerli da minacce e vulnerabilità.	AuditIfNotExists, Disabled	3.0.0
Gestire i gateway	CMA_0363 - Gestire i gateway	Manuale, Disabilitato	1.1.0
Monitorare il server senza Endpoint Protection nel Centro sicurezza di Azure	I server in cui non è installato un agente di Endpoint Protection verranno monitorati dal Centro sicurezza di Azure che invierà i consigli corrispondenti	AuditIfNotExists, Disabled	3.0.0
Eseguire un'analisi delle tendenze per le minacce	CMA_0389 - Eseguire un'analisi delle tendenze per le minacce	Manuale, Disabilitato	1.1.0
Eseguire analisi delle vulnerabilità	CMA_0393 - Eseguire analisi delle vulnerabilità	Manuale, Disabilitato	1.1.0
Esaminare il report sui rilevamenti di malware ogni settimana	CMA_0475 - Esaminare il report sui rilevamenti di malware ogni settimana	Manuale, Disabilitato	1.1.0
Aggiornare le definizioni antivirus	CMA_0517 - Aggiornare le definizioni antivirus	Manuale, Disabilitato	1.1.0
Windows Defender Exploit Guard deve essere abilitato nelle macchine virtuali	Windows Defender Exploit Guard usa l’agente di Configurazione guest di Criteri di Azure. Exploit Guard include quattro componenti progettati per bloccare i dispositivi da un'ampia gamma di vettori di attacco e comportamenti di blocco usati comunemente negli attacchi malware, consentendo al contempo alle aziende di bilanciare i requisiti di rischi per la sicurezza e produttività (solo Windows).	AuditIfNotExists, Disabled	2.0.0

Aggiornamenti automatici

ID: FedRAMP High SI-3 (2) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Bloccare i processi non attendibili e non firmati eseguiti da USB	CMA_0050 - Bloccare i processi non attendibili e non firmati eseguiti da USB	Manuale, Disabilitato	1.1.0
Gestire i gateway	CMA_0363 - Gestire i gateway	Manuale, Disabilitato	1.1.0
Eseguire un'analisi delle tendenze per le minacce	CMA_0389 - Eseguire un'analisi delle tendenze per le minacce	Manuale, Disabilitato	1.1.0
Eseguire analisi delle vulnerabilità	CMA_0393 - Eseguire analisi delle vulnerabilità	Manuale, Disabilitato	1.1.0
Esaminare il report sui rilevamenti di malware ogni settimana	CMA_0475 - Esaminare il report sui rilevamenti di malware ogni settimana	Manuale, Disabilitato	1.1.0
Aggiornare le definizioni antivirus	CMA_0517 - Aggiornare le definizioni antivirus	Manuale, Disabilitato	1.1.0

Rilevamento basato sull'assenza della firma

ID: FedRAMP High SI-3 (7) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Bloccare i processi non attendibili e non firmati eseguiti da USB	CMA_0050 - Bloccare i processi non attendibili e non firmati eseguiti da USB	Manuale, Disabilitato	1.1.0
Gestire i gateway	CMA_0363 - Gestire i gateway	Manuale, Disabilitato	1.1.0
Eseguire un'analisi delle tendenze per le minacce	CMA_0389 - Eseguire un'analisi delle tendenze per le minacce	Manuale, Disabilitato	1.1.0
Eseguire analisi delle vulnerabilità	CMA_0393 - Eseguire analisi delle vulnerabilità	Manuale, Disabilitato	1.1.0
Esaminare il report sui rilevamenti di malware ogni settimana	CMA_0475 - Esaminare il report sui rilevamenti di malware ogni settimana	Manuale, Disabilitato	1.1.0
Aggiornare le definizioni antivirus	CMA_0517 - Aggiornare le definizioni antivirus	Manuale, Disabilitato	1.1.0

Monitoraggio dei sistemi informativi

ID: FedRAMP High SI-4 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
[Anteprima]: tutto il traffico Internet deve essere instradato tramite il firewall di Azure distribuito	Il Centro sicurezza di Azure ha rilevato che alcune delle subnet non sono protette con un firewall di nuova generazione. Proteggere le subnet da potenziali minacce limitandone l'accesso tramite un firewall di Azure o un firewall di nuova generazione supportato	AuditIfNotExists, Disabled	3.0.0-preview
[Anteprima]: I cluster Kubernetes con abilitazione di Azure Arc dovrebbero avere installata l'estensione Microsoft Defender per il cloud	L'estensione Microsoft Defender for Cloud per Azure Arc fornisce la protezione dalle minacce per i cluster Kubernetes abilitati per Arc. L'estensione raccoglie i dati da tutti i nodi del cluster e li invia al back-end di Azure Defender per Kubernetes nel cloud per un'ulteriore analisi. Altre informazioni sono disponibili in https://docs.microsoft.com/azure/defender-for-cloud/defender-for-containers-enable?pivots=defender-for-container-arc.	AuditIfNotExists, Disabled	6.0.0-anteprima
[Anteprima]: L'estensione di Log Analytics deve essere installata nelle macchine virtuali Linux in Azure Arc	Questo criterio controlla le macchine virtuali Linux in Azure Arc in cui non è installata l'estensione di Log Analytics.	AuditIfNotExists, Disabled	1.0.1-preview
[Anteprima]: L'estensione di Log Analytics deve essere installata nelle macchine virtuali Windows in Azure Arc	Questo criterio controlla le macchine virtuali Windows in Azure Arc in cui non è installata l'estensione di Log Analytics.	AuditIfNotExists, Disabled	1.0.1-preview
[Anteprima] È consigliabile installare l'agente di raccolta di dati del traffico di rete nella macchina virtuale Linux	Centro sicurezza usa Microsoft Dependency Agent per raccogliere i dati sul traffico di rete dalle macchine virtuali di Azure per abilitare funzionalità di protezione della rete avanzate, ad esempio la visualizzazione del traffico sulla mappa di rete, le raccomandazioni di protezione avanzata della rete e minacce alla rete specifiche.	AuditIfNotExists, Disabled	1.0.2-anteprima
[Anteprima] È consigliabile installare l'agente di raccolta di dati del traffico di rete nelle macchine virtuali Windows	Centro sicurezza usa Microsoft Dependency Agent per raccogliere i dati sul traffico di rete dalle macchine virtuali di Azure per abilitare funzionalità di protezione della rete avanzate, ad esempio la visualizzazione del traffico sulla mappa di rete, le raccomandazioni di protezione avanzata della rete e minacce alla rete specifiche.	AuditIfNotExists, Disabled	1.0.2-anteprima
È consigliabile abilitare il provisioning automatico dell'agente di Log Analytics nella sottoscrizione	Per monitorare le minacce e le vulnerabilità della sicurezza, Centro sicurezza di Azure raccoglie i dati dalle macchine virtuali di Azure. I dati vengono raccolti dall'agente di Log Analytics, precedentemente noto come Microsoft Monitoring Agent (MMA), che esegue la lettura di varie configurazioni relative alla sicurezza e log eventi dalla macchina virtuale e copia i dati nell'area di lavoro Log Analytics per l'analisi. È consigliabile abilitare il provisioning automatico per distribuire automaticamente l'agente in tutte le macchine virtuali di Azure supportate e in tutte le nuove macchine virtuali che vengono create.	AuditIfNotExists, Disabled	1.0.1
Azure Defender per il Servizio app deve essere abilitato	Azure Defender per il Servizio app sfrutta la portata del cloud e la visibilità di Azure come provider di servizi cloud per monitorare gli attacchi alle app Web più comuni.	AuditIfNotExists, Disabled	1.0.3
Azure Defender per i server di database SQL di Azure deve essere abilitato	Azure Defender per SQL fornisce funzionalità per l'individuazione e la mitigazione di potenziali vulnerabilità del database, il rilevamento di attività anomale che possono indicare minacce ai database SQL e l'individuazione e la classificazione di dati sensibili.	AuditIfNotExists, Disabled	1.0.2
Azure Defender per Key Vault deve essere abilitato	Azure Defender per Key Vault fornisce un ulteriore livello di protezione e di intelligence per sulla sicurezza grazie al rilevamento di tentativi insoliti e potenzialmente dannosi di accesso o sfruttamento degli account di Key Vault.	AuditIfNotExists, Disabled	1.0.3
Defender di Azure per Resource Manager deve essere abilitato	Azure Defender per Resource Manager monitora automaticamente tutte le operazioni di gestione risorse eseguite nell'organizzazione. Azure Defender rileva minacce e avvisi relativi alle attività sospette. Altre informazioni sulle funzionalità di Azure Defender per Resource Manager sono disponibili all'indirizzo https://aka.ms/defender-for-resource-manager. L'abilitazione di questo piano di Azure Defender comporta degli addebiti. Informazioni sui dettagli sui prezzi per area nella pagina dei prezzi del Centro sicurezza: https://aka.ms/pricing-security-center.	AuditIfNotExists, Disabled	1.0.0
Azure Defender per i server deve essere abilitato	Azure Defender per i server fornisce protezione dalle minacce in tempo reale per i carichi di lavoro dei server e genera raccomandazioni per la protezione avanzata e avvisi sulle attività sospette.	AuditIfNotExists, Disabled	1.0.3
Azure Defender per i server SQL nelle macchine virtuali deve essere abilitato	Azure Defender per SQL fornisce funzionalità per l'individuazione e la mitigazione di potenziali vulnerabilità del database, il rilevamento di attività anomale che possono indicare minacce ai database SQL e l'individuazione e la classificazione di dati sensibili.	AuditIfNotExists, Disabled	1.0.2
Azure Defender per SQL deve essere abilitato per i server Azure SQL non protetti	Controlla server SQL senza Sicurezza dei dati avanzata	AuditIfNotExists, Disabled	2.0.1
Azure Defender per SQL deve essere abilitato per le Istanze gestite di SQL non protette	Controlla ogni istanza gestita di SQL senza Sicurezza dei dati avanzata.	AuditIfNotExists, Disabled	1.0.2
L'estensione Configurazione guest deve essere installata nei computer	Per garantire configurazioni sicure delle impostazioni guest del computer, installare l'estensione Configurazione guest. Le impostazioni in guest monitorate dall'estensione includono la configurazione del sistema operativo, della configurazione o della presenza dell'applicazione e delle impostazioni dell'ambiente. Dopo l'installazione, saranno disponibili i criteri nei guest, ad esempio "È consigliabile abilitare Windows Defender Exploit Guard". Per ulteriori informazioni, vedi https://aka.ms/gcpol.	AuditIfNotExists, Disabled	1.0.3
Microsoft Defender per contenitori deve essere abilitato	Microsoft Defender per contenitori offre protezione avanzata, valutazione della vulnerabilità e protezione in fase di esecuzione per gli ambienti Kubernetes Azure, ibrido e multi-cloud.	AuditIfNotExists, Disabled	1.0.0
Microsoft Defender per archiviazione deve essere abilitato	Microsoft Defender per archiviazione rileva potenziali minacce per gli account di archiviazione. Consente di evitare i tre principali impatti sui dati e sul carico di lavoro: caricamenti di file dannosi, esfiltrazione di dati sensibili e danneggiamento dei dati. Il nuovo piano di Defender per archiviazione include l'analisi del malware e il rilevamento delle minacce per i dati sensibili. Questo piano fornisce anche una struttura prezzi stimabile (per account di archiviazione) per avere controllo sulla copertura e sui costi.	AuditIfNotExists, Disabled	1.0.0
È consigliabile abilitare Network Watcher	Network Watcher è un servizio a livello di area che permette di monitorare e diagnosticare le condizioni al livello di scenario di rete da, verso e all'interno di Azure. Il monitoraggio a livello di scenario permette di diagnosticare i problemi in una visualizzazione completa a livello di rete. È necessario creare un gruppo di risorse network watcher in ogni area in cui è presente una rete virtuale. Un avviso è abilitato se un gruppo di risorse network watcher non è disponibile in una determinata area.	AuditIfNotExists, Disabled	3.0.0
Ottenere un'opinione legale per il monitoraggio delle attività del sistema	CMA_C1688 - Ottenere un'opinione legale per il monitoraggio delle attività del sistema	Manuale, Disabilitato	1.1.0
Eseguire un'analisi delle tendenze per le minacce	CMA_0389 - Eseguire un'analisi delle tendenze per le minacce	Manuale, Disabilitato	1.1.0
Fornire le informazioni di monitoraggio in base alle esigenze	CMA_C1689 - Fornire le informazioni di monitoraggio in base alle esigenze	Manuale, Disabilitato	1.1.0
L'estensione Configurazione guest delle macchine virtuali deve essere distribuita con un'identità gestita assegnata dal sistema	L'estensione Configurazione guest richiede un'identità gestita assegnata al sistema. Le macchine virtuali di Azure nell'ambito di questo criterio saranno non conformi se l'estensione Configurazione guest è installata ma non dispone di un'identità gestita assegnata dal sistema. Per altre informazioni: https://aka.ms/gcpol	AuditIfNotExists, Disabled	1.0.1

Strumenti automatizzati per l'analisi in tempo reale

ID: FedRAMP High SI-4 (2) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Documentare le operazioni di sicurezza	CMA_0202 - Documentare le operazioni di sicurezza	Manuale, Disabilitato	1.1.0
Abilitare i sensori per la soluzione di sicurezza degli endpoint	CMA_0514 - Abilitare i sensori per la soluzione di sicurezza degli endpoint	Manuale, Disabilitato	1.1.0

Traffico delle comunicazioni in ingresso e in uscita

ID: FedRAMP High SI-4 (4) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Autorizzare, monitorare e controllare il sistema VoIP	CMA_0025 - Autorizzare, monitorare e controllare il sistema VoIP	Manuale, Disabilitato	1.1.0
Implementare la protezione del limite del sistema	CMA_0328 - Implementare la protezione del limite del sistema	Manuale, Disabilitato	1.1.0
Gestire i gateway	CMA_0363 - Gestire i gateway	Manuale, Disabilitato	1.1.0
Indirizzare il traffico tramite i punti di accesso di rete gestita	CMA_0484 - Indirizzare il traffico tramite i punti di accesso di rete gestita	Manuale, Disabilitato	1.1.0

Avvisi generati dal sistema

ID: FedRAMP High SI-4 (5) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Avvisare il personale in merito alla fuga di informazioni	CMA_0007: Avvisare il personale della perdita di informazioni	Manuale, Disabilitato	1.1.0
Sviluppare un piano di risposta agli eventi imprevisti	CMA_0145 - Sviluppare un piano di risposta agli eventi imprevisti	Manuale, Disabilitato	1.1.0
Imposta le notifiche automatiche per le applicazioni cloud nuove e di tendenza nell'organizzazione	CMA_0495 - Impostare notifiche automatiche per le applicazioni cloud nuove e di tendenza nell'organizzazione	Manuale, Disabilitato	1.1.0

Rilevamento delle intrusioni wireless

ID: FedRAMP High SI-4 (14) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Documentare i controlli di sicurezza dell'accesso wireless	CMA_C1695 - Documentare i controlli di sicurezza dell'accesso wireless	Manuale, Disabilitato	1.1.0

Servizi di rete non autorizzati

ID: FedRAMP High SI-4 (22) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Rilevare i servizi di rete non autorizzati o approvati	CMA_C1700: rilevare i servizi di rete non autorizzati o approvati	Manuale, Disabilitato	1.1.0

Indicatori di compromissione

ID: FedRAMP High SI-4 (24) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Individuare indicatori di compromissione	CMA_C1702 - Individuare indicatori di compromissione	Manuale, Disabilitato	1.1.0

Avvisi, avvisi di sicurezza e direttive

ID: FedRAMP High SI-5 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Trasmettere avvisi di sicurezza al personale	CMA_C1705 - Trasmettere avvisi di sicurezza al personale	Manuale, Disabilitato	1.1.0
Stabilire un programma di intelligence sulle minacce	CMA_0260 - Stabilire un programma di intelligence sulle minacce	Manuale, Disabilitato	1.1.0
Generare avvisi di sicurezza interni	CMA_C1704 - Generare avvisi di sicurezza interni	Manuale, Disabilitato	1.1.0
Implementare le direttive di sicurezza	CMA_C1706 - Implementare le direttive di sicurezza	Manuale, Disabilitato	1.1.0

Avvisi e avvisi di sicurezza automatizzati

ID: FedRAMP High SI-5 (1) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Usare meccanismi automatizzati per gli avvisi di sicurezza	CMA_C1707 - Usare meccanismi automatizzati per gli avvisi di sicurezza	Manuale, Disabilitato	1.1.0

Verifica della funzione di sicurezza

ID: FedRAMP High SI-6 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Creare azioni alternative per le anomalie identificate	CMA_C1711 - Creare azioni alternative per le anomalie identificate	Manuale, Disabilitato	1.1.0
Informare il personale in merito a eventuali test di verifica della sicurezza non superati	CMA_C1710 - Segnalare al personale eventuali test di verifica della sicurezza non superati	Manuale, Disabilitato	1.1.0
Eseguire la verifica della funzione di sicurezza a una frequenza definita	CMA_C1709 - Eseguire la verifica della funzione di sicurezza a una frequenza definita	Manuale, Disabilitato	1.1.0
Verificare le funzioni di sicurezza	CMA_C1708: verificare le funzioni di sicurezza	Manuale, Disabilitato	1.1.0

Integrità di software, firmware e informazioni

ID: FedRAMP High SI-7 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Verificare l'integrità di software, firmware e informazioni	CMA_0542 - Verificare l'integrità di software, firmware e informazioni	Manuale, Disabilitato	1.1.0

Controlli di integrità

ID: FedRAMP High SI-7 (1) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Verificare l'integrità di software, firmware e informazioni	CMA_0542 - Verificare l'integrità di software, firmware e informazioni	Manuale, Disabilitato	1.1.0
Visualizzare e configurare i dati di diagnostica del sistema	CMA_0544 - Visualizzare e configurare i dati di diagnostica del sistema	Manuale, Disabilitato	1.1.0

Risposta automatizzata alle violazioni dell'integrità

ID: FedRAMP High SI-7 (5) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Usare l'arresto/riavvio automatico quando vengono rilevate violazioni	CMA_C1715 - Usare l'arresto/riavvio automatico quando vengono rilevate violazioni	Manuale, Disabilitato	1.1.0

Codice eseguibile binario o macchina

ID: FedRAMP High SI-7 (14) Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Proibire codice binario/eseguibile dal computer	CMA_C1717 - Proibire codice binario/eseguibile dal computer	Manuale, Disabilitato	1.1.0

Convalida dell'input di informazioni

ID: FedRAMP High SI-10 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Eseguire la convalida dell'input di informazioni	CMA_C1723 - Eseguire la convalida dell'input di informazioni	Manuale, Disabilitato	1.1.0

Gestione errori

ID: FedRAMP High SI-11 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Generare messaggi di errore	CMA_C1724 - Generare messaggi di errore	Manuale, Disabilitato	1.1.0
Visualizzare i messaggi di errore	CMA_C1725 - Visualizzare i messaggi di errore	Manuale, Disabilitato	1.1.0

Gestione e conservazione delle informazioni

ID: FedRAMP High SI-12 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Controllare l'accesso fisico	CMA_0081 - Controllare l'accesso fisico	Manuale, Disabilitato	1.1.0
Gestire l'input, l'output, l'elaborazione e l'archiviazione dei dati	CMA_0369 - Gestire l'input, l'output, l'elaborazione e l'archiviazione dei dati	Manuale, Disabilitato	1.1.0
Rivedere attività e analisi delle etichette	CMA_0474 - Rivedere attività e analisi delle etichette	Manuale, Disabilitato	1.1.0

Protezione della memoria

ID: FedRAMP High SI-16 Proprietà: Condiviso

Nome (Portale di Azure)	Descrizione	Effetti	Versione (GitHub)
Azure Defender per i server deve essere abilitato	Azure Defender per i server fornisce protezione dalle minacce in tempo reale per i carichi di lavoro dei server e genera raccomandazioni per la protezione avanzata e avvisi sulle attività sospette.	AuditIfNotExists, Disabled	1.0.3
Windows Defender Exploit Guard deve essere abilitato nelle macchine virtuali	Windows Defender Exploit Guard usa l’agente di Configurazione guest di Criteri di Azure. Exploit Guard include quattro componenti progettati per bloccare i dispositivi da un'ampia gamma di vettori di attacco e comportamenti di blocco usati comunemente negli attacchi malware, consentendo al contempo alle aziende di bilanciare i requisiti di rischi per la sicurezza e produttività (solo Windows).	AuditIfNotExists, Disabled	2.0.0

Passaggi successivi

Articoli aggiuntivi su Criteri di Azure:

• Panoramica della Conformità con le normative.
• Vedere la struttura della definizione dell'iniziativa.
• Vedere altri esempi in Esempi di Criteri di Azure.
• Leggere Informazioni sugli effetti di Criteri.
• Informazioni su come correggere le risorse non conformi.