Panoramica sulla sicurezza e conformità per Microsoft Discovery

Microsoft Discovery è una piattaforma di IA agentica enterprise per la ricerca scientifica, costruita sull'infrastruttura cloud aziendale di Azure. Poiché gira su Azure, Microsoft Discovery è progettato per operare all'interno dei framework di sicurezza, conformità, trasparenza e governance che le organizzazioni utilizzano per gestire ambienti sensibili di ricerca e sviluppo (R& D).

Questo articolo offre a revisori di sicurezza, architetti e deployer un unico punto di partenza per valutare Microsoft Discovery. Riassume i controlli di sicurezza della piattaforma, spiega il modello di responsabilità condivisa e mappa le capacità della piattaforma ai domini di rischio del questionario Shared Assessments Standardized Information Gathering (SIG ), un questionario comunemente utilizzato per valutazioni di rischio di terze parti. Usalo per guidare una revisione della sicurezza, poi segui gli articoli collegati per dettagli autorevoli a livello di controllo. Per risposte a livello di domanda organizzate per dominio SIG, consulta le FAQ sulla sicurezza e conformità basate su SIG.

Important

Questo articolo è fornito solo a scopo informativo. Non costituisce una certificazione, attestazione, audit o garanzia di conformità, e non implica che Microsoft Discovery sia certificato o sottoposto a audit indipendente secondo alcun framework qui menzionato. Per l'attuale elenco autorevole delle certificazioni Microsoft, dei report di audit e dei dettagli sull'implementazione dei controlli, utilizza il Microsoft Trust Center e il Service Trust Portal.

Implementazione e confine di attendibilità

Microsoft Discovery distribuisce le risorse nel tuo abbonamento Azure e nel tenant Microsoft Entra, non in un abbonamento gestito da Microsoft. Quando fornisci uno spazio di lavoro, un supercomputer o una libreria, il servizio crea un gruppo di risorse gestite (MRG) nel tuo abbonamento che contiene le risorse backend che gestisce per tuo conto.

Questo modello di distribuzione ha implicazioni dirette sulla sicurezza:

  • I dati dei clienti e le risorse che li conservano rimangono entro i limiti dell'abbonamento e del tenat.
  • Sei responsabile della configurazione di identità, rete e controllo degli accessi per l'ambiente circostante.
  • Paghi e gestisci le risorse Azure sottostanti, e puoi applicare la tua Criteri di Azure, il logging e il monitoraggio.

Per il modello delle risorse e il flusso dei dati, vedi panoramica dell'architettura dei servizi.

Modello di responsabilità condiviso

La sicurezza in Microsoft Discovery segue il modello di responsabilità condivisa di Azure. La tabella seguente mostra come quel modello si applica specificamente a una distribuzione Discovery, a condizione che le risorse finiscano nel tuo abbonamento.

Responsabilità Microsoft Cliente
Sicurezza fisica e di piattaforma dei datacenter Azure Responsabilità Non responsabile
Piano di controllo e funzionamento del servizio gestito Responsabilità Non responsabile
Crittografia dei dati a riposo (chiavi predefinite) e in transito sulla backbone di Azure Responsabilità Non responsabile
Controlli di sicurezza integrati dall'IA (filtraggio dei contenuti, tutele di sistema) Responsabilità Non responsabile
Abbonamento, rete virtuale e configurazione del firewall Non responsabile Responsabilità
Governance delle identità e assegnazioni di ruoli con privilegi minimi Non responsabile Responsabilità
Chiavi gestite dal cliente (se scelte), Key Vault e ciclo di vita delle chiavi Non responsabile Responsabilità
Classificazione dei dati e protezione dei dati prima dell'ingestione Non responsabile Responsabilità
Abilitare la registrazione, la conservazione e il monitoraggio degli audit nella sottoscrizione Non responsabile Responsabilità
Continuità operativa e replicazione delle risorse stateful Non responsabile Responsabilità

Per le responsabilità specifiche dell'IA, vedi Responsible AI in Microsoft Discovery.

Mappa del dominio del questionario SIG

Il questionario Shared Assessments Standardized Information Gathering (SIG) organizza le domande di rischio di terze parti in ambiti di rischio. La tabella seguente mappa ogni dominio di rischio SIG a come Microsoft Discovery lo affronta e dove trovare dettagli autorevoli, così da poter completare in modo efficiente una valutazione SIG Lite o SIG Core. I domini soddisfatti dai controlli ereditati della piattaforma Azure indicano le fonti centrali di verità.

Dominio del rischio SIG Come Microsoft Discovery affronta la questione Reference
Gestione dei rischi aziendali Gestito nell'ambito della governance aziendale di Microsoft con gestione centralizzata, tracce di audit e punti di controllo con supervisione umana. Microsoft Trust Center
Cloud Services Fornito come servizio Azure; le risorse vengono distribuite nel tuo abbonamento e nel tuo tenant sotto il modello di responsabilità condivisa Azure. Architettura dei servizi, responsabilità condivisa
Gestione della conformità Costruito su Azure; eredita la conformità della piattaforma Azure. Le certificazioni e i rapporti di audit sono pubblicati centralmente. Centro Fiducia, Portale del Trust dei Servizi
Controllo di accesso Autenticazione Microsoft Entra ID, Azure RBAC, ruoli integrati e a livello di progetto, e identità gestite con privilegi minimi. Assegnazioni dei ruoli, controllo di accesso a livello di Project
Sicurezza delle applicazioni / Gestione delle applicazioni Sviluppato nell'ambito del Security Development Lifecycle di Microsoft; si proteggono gli agenti personalizzati e gli strumenti che si costruiscono. Migliori pratiche di IA responsabile
Intelligenza artificiale Filtraggio dei contenuti di Foundry Guardrails, politica sugli usi vietati, ancoraggio e citazioni e valutazioni RAI. IA responsabile, Codice di condotta
Gestione degli Asset e delle Informazioni Dati archiviati nella tua sottoscrizione tramite contenitori di archiviazione e risorse; sei responsabile della classificazione dei dati. Gestione dei dati, asset di archiviazione
Sicurezza delle informazioni Crittografia a riposo di default (chiavi gestite da Microsoft) con chiavi gestite dal cliente opzionali; isolamento delle chiavi dagli operatori. Crittografia dei dati a riposo
Sicurezza del server Il backend gira su servizi gestiti Azure; il rafforzamento della piattaforma e le patch sono gestiti come parte delle operazioni Azure. Portale del Service Trust
Sicurezza degli endpoint Nessun endpoint cliente nel piano dati gestito; l'accesso avviene tramite interfacce e API protette da Entra ID. Sicurezza di rete
Sicurezza di rete Perimetri di sicurezza di rete, endpoint privati, inserimento di rete virtuale e accesso privato predefinito al piano dati. Sicurezza di rete
Gestione delle Operazioni IT Log di controllo dell'applicazione, delle attività e configurabili dal cliente tramite Monitoraggio di Azure, con tracciamento dell'ID di correlazione. Osservabilità, Abilita il logging di controllo
Gestione di eventi imprevisti ID di correlazione end-to-end per il tracciamento; risposta agli incidenti della piattaforma e notifica di violazione gestite centralmente. ID di correlazione, Centro Fiduciario
Cybersecurity / Gestione delle Minacce Funziona su servizi gestiti Azure che ereditano il rilevamento delle minacce e le operazioni di sicurezza di Azure. Concetti fondamentali della sicurezza di Azure
Resilienza operativa architettura di servizio multiregione; i clienti replicano le proprie risorse con stato per il recupero in caso di disastri. Continuità aziendale e ripristino di emergenza
Sicurezza fisica e ambientale Fornito dai datacenter Azure e sottoposto a audit indipendente come parte della piattaforma Azure. Portale del Service Trust
Sicurezza delle risorse umane La selezione del personale, la formazione e la governance degli accessi di Microsoft sono gestite e documentate a livello centrale. Portale del Service Trust
Gestione del rischio della catena di approvvigionamento / Gestione Nth-Party Costruito su servizi Azure nominati; lista dei subprocessori e assicurazione della catena di approvvigionamento pubblicata centralmente. Centro di fiducia
Gestione della privacy Le risorse vengono distribuite nella tua sottoscrizione; le aree geografiche del control plane e la distribuzione del data plane tra aree geografiche supportano i requisiti di residenza dei dati. Residenza dei dati, privacy del Trust Center

Note

Il questionario SIG include anche un ambito Ambientale, Sociale e di Governance (ESG). Microsoft affronta l'ESG a livello aziendale; consulta il Microsoft Trust Center e le risorse per la sostenibilità e responsabilità aziendale di Microsoft piuttosto che la documentazione del prodotto Microsoft Discovery.

Mappature del framework di controllo

Se la tua organizzazione standardizza su un framework diverso dal SIG, non ricostruire un incrocio pedonale da questa documentazione. Microsoft pubblica centralmente mappe di framework, ambiti di certificazione e prove di audit. Consulta le linee guida sulla conformità per Microsoft Discovery per informazioni su quali controlli valuti in Discovery, quali controlli erediti da Azure e quale fonte autorevole risponde a ciascuna domanda.

Gestione delle identità e degli accessi

Microsoft Discovery autentica gli utenti tramite Microsoft Entra ID e autorizza le azioni tramite Azure RBAC. Ciò che è specifico di Discovery è il modello di riferimento: ruoli integrati nella piattaforma (come Platform Administrator, Platform Contributor e Platform Reader), ruoli a livello di progetto che isolano le indagini e ruoli specifici per risorse per l'accesso al minor privilegio.

L'accesso service-to-service utilizza identità gestite assegnate dall'utente che crei e controlli nel tuo abbonamento, invece di segreti o stringhe di connessione. Discovery definisce slot di identità distinti, così puoi assegnare identità separate con ruoli con ambito definito e limitare l'esecuzione degli strumenti dell'agente alle sole autorizzazioni necessarie.

Ulteriori informazioni:

Protezione e crittografia dei dati

Microsoft Discovery utilizza la crittografia dati Azure a riposo, abilitata automaticamente e in modo trasparente. La decisione specifica per Discovery è il modello chiave:

  • Chiavi gestite da Microsoft (predefinite): nessuna azione cliente richiesta.
  • Chiavi gestite dal cliente (CMK): disponibili per le risorse dell'area di lavoro, del supercomputer e di bookshelf. Devi scegliere CMK al momento della creazione della risorsa; il modello non può essere cambiato dopo.

Gli operatori del servizio, gli ingegneri e il personale di supporto non possono accedere alle chiavi di crittografia. Per altre informazioni, vedere Crittografia di dati inattivi.

Sicurezza di rete

Microsoft Discovery stratifica tre controlli di rete Azure e consente il rafforzamento della rete di default per spazi di lavoro e scaffali gestiti con la 2026-02-01-preview versione API e successive:

  • I perimetri di sicurezza di rete limitano le risorse gestite, così che solo i componenti autorizzati di Discovery possano raggiungerli.
  • Gli endpoint privati instradano il traffico API degli spazi di lavoro e dei piani dati di libreria attraverso la backbone Microsoft.
  • L'iniezione di rete virtuale gestisce servizi e agenti della piattaforma di workspace all'interno della tua rete virtuale, nelle subreti che puoi fornire e delegare.

Important

I perimetri di sicurezza di rete non sono ancora disponibili in tutte le regioni e per tutti i tipi di risorse Azure. Assicurati che la tua implementazione avvenga in una regione che supporti i perimetri di sicurezza di rete.

Per i requisiti di rete e le linee guida sulla configurazione specifici della distribuzione, vedere Sicurezza di rete, Reti virtuali e subnet e Distribuzione end-to-end protetta a livello di rete.

Registrazione, monitoraggio e audit

Microsoft Discovery si integra con Monitoraggio di Azure e mostra tre categorie di log:

  • I log delle applicazioni vengono raccolti automaticamente in uno spazio di lavoro dedicato di Log Analytics all'interno del MRG di ogni risorsa.
  • I registri di attività registrano le operazioni sul piano di controllo sulle risorse Discovery.
  • I log di audit sono opzionabili tramite le impostazioni diagnostiche ed esportati su un account di archiviazione o in uno spazio di lavoro Log Analytics di tua proprietà, per una conservazione a lungo termine.

Gli ID di correlazione ti permettono di tracciare un'operazione end-to-end tra i componenti della piattaforma. Per ulteriori informazioni, consulta Osservabilità e Abilitare la registrazione di audit.

Sicurezza dell'IA e IA responsabile

Microsoft Discovery segue lo Standard Microsoft Responsible AI. I controlli di sicurezza includono il filtraggio dei contenuti Foundry Guardrails applicato di default ai modelli creati in Discovery, il grounding con citazioni e le salvaguardie a livello di sistema. La piattaforma applica una politica di uso proibito (ad esempio, niente sviluppo di armi e niente bypass dei sistemi di sicurezza) ed è valutata per sicurezza e messa a terra prima di ogni rilascio.

Per ulteriori informazioni, consulta Responsible AI in Microsoft Discovery, Platform card e Code of Conduct.

Continuità aziendale e ripristino di emergenza

Microsoft Discovery utilizza un'architettura multiregione altamente disponibile, progettata per evitare singoli punti di guasto nei suoi componenti di servizio. Il servizio non replica automaticamente lo stato del cliente tra le implementazioni regionali, quindi replichi le tue risorse stateful per raggiungere i tuoi obiettivi di recupero. Per ulteriori informazioni, vedere Continuità aziendale e ripristino di emergenza.

Residenza dei dati

Il piano di controllo Microsoft Discovery è disponibile negli Stati Uniti orientali, nella Svezia centrale e nel Regno Unito Sud. Le risorse del gruppo di risorse gestito (data-plane) possono essere distribuite in altre aree geografiche tramite una distribuzione tra aree geografiche, contribuendo così a soddisfare i requisiti di residenza dei dati o di capacità. Seleziona le aree di Azure per queste risorse del piano dati nella tua sottoscrizione. Per l'attuale dichiarazione autorevole sugli impegni di residenza e gestione dei dati Microsoft, consulta il Microsoft Trust Center e i termini applicabili del prodotto Microsoft.

Conformità e certificazioni

Microsoft Discovery è costruito su Azure ed eredita le operazioni di sicurezza e la postura di conformità della piattaforma Azure e dei servizi gestiti che utilizza (come Archiviazione di Azure, servizio Azure Kubernetes, Azure AI Search e Azure Key Vault). Microsoft pubblica le sue certificazioni, i report di audit (ad esempio, SOC e ISO) e le mappature di controllo centralmente anziché per servizio.

Per valutare la conformità al tuo caso:

Contenuti correlati

  • Ultimo aggiornamento: