Overzicht van beveiliging en compliance voor Microsoft Discovery

Microsoft Discovery is een enterprise agentic AI-platform voor wetenschappelijk onderzoek dat is gebouwd op de enterprise cloud-infrastructuur van Azure. Omdat Microsoft Discovery op Azure draait, is het ontworpen om te functioneren binnen de beveiligings-, nalevings-, transparantie- en governancekaders die organisaties gebruiken om gevoelige onderzoeks- en ontwikkelingsomgevingen (R&D) te beheren.

Dit artikel biedt beveiligingsreviewers, architecten en deployers één startpunt voor het evalueren van Microsoft Discovery. Het vat de beveiligingscontroles van het platform samen, legt het shared responsibility-model uit en koppelt de mogelijkheden van het platform aan de risicodomeinen van de Shared Assessments Standardized Information Gathering (SIG) vragenlijst, een veelgebruikte vragenlijst voor risicobeoordelingen van derden. Gebruik het om een beveiligingsreview te begeleiden en volg vervolgens de gelinkte artikelen voor gezaghebbende, controlegerichte details. Voor antwoorden op vraagniveau, georganiseerd per SIG-domein, zie de SIG-gebaseerde FAQ over beveiliging en compliance.

Belangrijk

Dit artikel is uitsluitend bedoeld ter informatieve doeleinden. Het vormt geen certificering, attestatie, audit of garantie van naleving, en het impliceert niet dat Microsoft Discovery gecertificeerd of onafhankelijk wordt gecontroleerd tegen enig framework dat hier wordt genoemd. Voor de huidige, gezaghebbende lijst van Microsoft-certificeringen, auditrapporten en details over controle-implementaties, gebruik het Microsoft Trust Center en het Service Trust Portal.

Implementatie en vertrouwensgrens

Microsoft Discovery zet middelen in je eigen Azure-abonnement en Microsoft Entra-tenant, niet in een door Microsoft beheerd abonnement. Wanneer je een werkruimte, supercomputer of boekenplank inbedrijft, maakt de dienst een managed resource group (MRG) aan in je abonnement die de backend-resources bevat die hij namens jou beheert.

Dit implementatiemodel heeft directe beveiligingsimplicaties:

  • Klantgegevens en de resources waarin deze zijn opgeslagen, blijven binnen uw abonnement en tenant.
  • Je bent eigenaar van identiteit, netwerk en toegangscontroleconfiguratie voor de omgeving.
  • Je betaalt voor en beheert de onderliggende Azure-resources, en je kunt je eigen Azure Policy, logging en monitoring toepassen.

Voor het resourcemodel en de datastroom, zie Overzicht van de Servicearchitectuur.

Model voor gedeelde verantwoordelijkheid

Security in Microsoft Discovery volgt het Azure shared responsibility model. De volgende tabel laat zien hoe dat model specifiek toepasbaar is op een Discovery-implementatie, aangezien middelen in je abonnement terechtkomen.

Verantwoordelijkheid Microsoft Klant
Fysieke en platformbeveiliging van Azure-datacenters Verantwoordelijk Niet verantwoordelijk
Besturingsvliegtuig en beheerde service-operatie Verantwoordelijk Niet verantwoordelijk
Versleuteling van data in rust (standaardsleutels) en onderweg op de Azure-backbone Verantwoordelijk Niet verantwoordelijk
Ingebouwde AI-veiligheidsmaatregelen (contentfiltering, systeembeveiligingen) Verantwoordelijk Niet verantwoordelijk
Configuratie van abonnement, virtueel netwerk en firewall Niet verantwoordelijk Verantwoordelijk
Identiteitsbeheer en roltoewijzingen met minimale bevoegdheden Niet verantwoordelijk Verantwoordelijk
Klantbeheerde sleutels (indien gekozen), Key Vault en sleutellevenscyclus Niet verantwoordelijk Verantwoordelijk
Gegevensclassificatie en het beschermen van gegevens vóór opname Niet verantwoordelijk Verantwoordelijk
Auditregistratie, retentie en monitoring in uw abonnement inschakelen Niet verantwoordelijk Verantwoordelijk
Bedrijfscontinuïteit en replicatie van resources met status Niet verantwoordelijk Verantwoordelijk

Voor AI-specifieke verantwoordelijkheden, zie Verantwoord AI in Microsoft Discovery.

SIG-vragenlijst overzicht van domeinen

De Shared Assessments Standardized Information Gathering (SIG) vragenlijst organiseert risicovragen van derden in risicodomeinen. De volgende tabel koppelt elk SIG-risicodomein aan hoe Microsoft Discovery het aanpakt en waar je gezaghebbende details kunt vinden, zodat je een SIG Lite- of SIG Core-beoordeling efficiënt kunt uitvoeren. Domeinen die worden voldaan door geërfde Azure-platformcontroles wijzen op de centrale bronnen van waarheid.

SIG-risicodomein Hoe Microsoft Discovery dit aanpakt Reference
Ondernemingsrisicobeheer Opererend onder Microsoft enterprise governance met gecentraliseerd beheer, audittrails en controleposten voor menselijk toezicht. Vertrouwenscentrum van Microsoft
Cloud Services Geleverd als een Azure-service; middelen worden uitgezet in je eigen abonnement en tenant onder het Azure shared responsibility-model. Servicearchitectuur, gedeelde verantwoordelijkheid
Compliancebeheer Gebouwd op Azure; erft Azure-platformconformiteit. Certificeringen en auditrapporten worden centraal gepubliceerd. Trust Center, Service Trust Portaal
Access Control Microsoft Entra ID-authenticatie, Azure RBAC, ingebouwde rollen en rollen op projectniveau, en beheerde identiteiten met minimale bevoegdheden. Roltoewijzingen, toegangscontrole op Project-niveau
Applicatiebeveiliging / Applicatiebeheer Ontwikkeld onder Microsoft's Security Development Lifecycle; je beveiligt de aangepaste agents en tools die je bouwt. Verantwoorde AI-best practices
Kunstmatige intelligentie Foundry Guardrails-inhoudsfiltering, beleid inzake verboden gebruik, onderbouwing en bronvermeldingen, en RAI-evaluaties. Responsible AI,gedragscode
Asset- en informatiebeheer Gegevens die in uw abonnement zijn opgeslagen via opslagcontainers en middelen; u bent eigenaar van de gegevensclassificatie. Gegevensafhandeling, opslagmiddelen
Informatiezekerheid Standaard versleuteling in rust (door Microsoft beheerde sleutels) met optionele klantbeheerde sleutels; sleutelisolatie van operators. Versleuteling van gegevens in rusttoestand
Serverbeveiliging Backend draait op Azure managed services; platformhardening en patching worden uitgevoerd als onderdeel van Azure-operaties. Service Trust Portaal
Eindpuntbeveiliging Geen klanteindpunten in het beheerde datavlak; toegang verloopt via Entra ID-beveiligde interfaces en API's. Netwerkbeveiliging
Netwerkbeveiliging Network Security Perimeters, private endpoints, virtuele netwerkinjectie en standaard privétoegang tot het datavlak. Netwerkbeveiliging
IT-operatiebeheer Applicatie-, activiteits- en klantconfigureerbare auditlogs via Azure Monitor, met correlatie-ID-tracering. Observabiliteit, Auditlogging inschakelen
Incidentbeheer End-to-end correlatie-ID's voor tracering; incidentrespons en incidentmelding van platforms worden centraal afgehandeld. Correlatie-ID's, Trust Center
Cyberbeveiliging / Dreigingsbeheer Werkt op door Azure beheerde services die profiteren van Azure-detectie van bedreigingen en beveiligingsactiviteiten. Basisprincipes van Azure-beveiliging
Operationele veerkracht Multiregionale service-architectuur; klanten repliceren hun eigen resources met status voor noodherstel. Zakelijke continuïteit en herstel na noodgevallen
Fysieke en omgevingsbeveiliging Geleverd door Azure-datacenters en onafhankelijk gecontroleerd als onderdeel van het Azure-platform. Service Trust Portaal
Beveiliging van personeelszaken Microsoft-personeelsscreening, training en toegangsbeheer werden centraal uitgevoerd en gedocumenteerd. Service Trust Portaal
Risicobeheer van de toeleveringsketen / beheer van n-de partijen Gebaseerd op met naam genoemde Azure-diensten; de lijst van subverwerkers en de borging van de toeleveringsketen worden centraal gepubliceerd. Vertrouwenscentrum
Privacybeheer Resources worden geïmplementeerd in uw abonnement; control-plane-regio’s en implementatie van het gegevensvlak in meerdere regio’s ondersteunen dataresidentie. Dataresidentie, privacy van het Trust Center

Note

De SIG-vragenlijst bevat ook een domein Environmental, Social, and Governance (ESG). Microsoft behandelt ESG op bedrijfsniveau; zie het Microsoft Trust Center en Microsoft duurzaamheid en maatschappelijke verantwoordelijkheid in plaats van de productdocumentatie van Microsoft Discovery.

Besturingsraamwerk-mappingen

Als je organisatie standaardiseert op een ander kader dan SIG, bouw dan geen kruispad op van deze documentatie. Microsoft publiceert frameworktoewijzingen, certificeringsbereiken en auditbewijsmateriaal centraal. Zie de compliance-richtlijnen voor Microsoft Discovery voor informatie over welke controles je beoordeelt in Discovery, welke controles je van Azure overneemt, en welke gezaghebbende bron elke vraag beantwoordt.

Identiteits- en toegangsbeheer

Microsoft Discovery authenticeert gebruikers via Microsoft Entra ID en autoriseert acties via Azure RBAC. Specifiek voor Discovery is het rollenmodel: ingebouwde platformrollen (zoals Platform Administrator, Platform Contributor en Platform Reader), rollen op projectniveau die onderzoeken isoleren, en resourcespecifieke rollen voor toegang volgens het least-privilege-principe.

Toegang tussen services maakt gebruik van door de gebruiker toegewezen beheerde identiteiten die je in je eigen abonnement maakt en beheert, in plaats van geheimen of verbindingsreeksen. Discovery definieert afzonderlijke identiteitsslots, zodat je afzonderlijke identiteiten met rollen met een beperkt bereik kunt toewijzen en de uitvoering van tools van de agent beperkt tot alleen de machtigingen die nodig zijn.

Meer informatie:

Gegevensbescherming en -versleuteling

Microsoft Discovery gebruikt Azure-dataencryptie in rust, automatisch en transparant ingeschakeld. De Discovery-specifieke beslissing is het sleutelmodel:

  • Microsoft-beheerde sleutels (standaard): geen klantactie vereist.
  • Klantbeheerde sleutels (CMK): beschikbaar voor werkruimte-, supercomputer- en boekenplankresources. Je moet CMK kiezen bij het creëren van grondstoffen; het model kan daarna niet worden veranderd.

Service-operators, ingenieurs en ondersteunend personeel kunnen geen encryptiesleutels benaderen. Voor meer informatie, zie Data-encryptie in rust.

Netwerkbeveiliging

Microsoft Discovery legt drie Azure-netwerkcontroles over en maakt netwerkhardening standaard mogelijk voor werkruimtes en boekenplanken die worden beheerd met de 2026-02-01-preview API-versie en later:

  • Netwerkbeveiligingsperimeters beperken beheerde middelen zodat alleen geautoriseerde Discovery-componenten deze kunnen bereiken.
  • Privé-eindpunten leiden het API-verkeer van het gegevensvlak voor de werkruimte en de bookshelf via de Microsoft-backbone.
  • Virtuele netwerkinjectie voert workspace-platformdiensten en agents uit binnen je virtuele netwerk, in subnetten die je provisioneert en delegeert.

Belangrijk

Netwerkbeveiligingsperimeters zijn nog niet beschikbaar in alle regio's en voor alle Azure-resourcetypes. Zorg ervoor dat je deployment zich in een regio bevindt die netwerkbeveiligingsperimeters ondersteunt.

Voor implementatiespecifieke netwerkvereisten en configuratierichtlijnen, zie Netwerkbeveiliging, Virtuele netwerken en subnetten, en End-to-end netwerk-versterkte deployment.

Logboekregistratie, bewaking en controle

Microsoft Discovery integreert met Azure Monitor en toont drie categorieën logs:

  • Applicatielogs worden automatisch verzameld in een speciale Log Analytics-werkruimte binnen de MRG van elke bron.
  • Activiteitenlogboeken leggen bewerkingen in het besturingsvlak op Discovery-bronnen vast.
  • Auditlogs kunnen worden ingeschakeld via diagnostische instellingen en worden geëxporteerd naar een opslagaccount of Log Analytics-werkruimte die je hebt, voor langetermijnbewaring.

Correlatie-ID's laten je een operatie van begin tot eind volgen over platformcomponenten. Voor meer informatie, zie Observability en Enable audit logging.

AI-veiligheid en verantwoordelijke AI

Microsoft Discovery volgt de Microsoft Responsible AI Standard. Veiligheidsmaatregelen omvatten Foundry Guardrails-inhoudsfiltering die standaard wordt toegepast op modellen die in Discovery zijn gemaakt, aarding met citaties en systeemniveau-waarborgen. Het platform handhaaft een beleid tegen verboden gebruik (bijvoorbeeld geen wapenontwikkeling en geen omzeiling van veiligheidssystemen) en wordt voor elke loslating geëvalueerd op veiligheid en aarding.

Voor meer informatie, zie Verantwoord AI in Microsoft Discovery, Platformkaart en Gedragscode.

Bedrijfscontinuïteit en herstel na noodgevallen

Microsoft Discovery gebruikt een zeer beschikbare multiregio-architectuur die is ontworpen om single points of failure in zijn servicecomponenten te vermijden. De dienst repliceert niet automatisch de klantstatus tussen regionale implementaties, dus je repliceert je eigen stateful resources om je hersteldoelstellingen te bereiken. Zie Bedrijfscontiteit en herstel voor meer informatie.

Opslaglocatie van gegevens

Het Microsoft Discovery-besturingsvlak is beschikbaar in Oost-VS, Zweedse Centraal en Zuid-VK. Resources van beheerde resourcegroepen (gegevensvlak) kunnen via implementatie in meerdere regio’s in andere regio’s worden geïmplementeerd, zodat u kunt voldoen aan vereisten voor gegevensresidentie of capaciteit. Je selecteert de Azure-regio's voor deze dataplane-bronnen in je abonnement. Voor de huidige, gezaghebbende verklaring van Microsoft dataresidentie- en gegevensverwerkingsverplichtingen, zie het Microsoft Trust Center en de toepasselijke Microsoft-productvoorwaarden.

Naleving en certificeringen

Microsoft Discovery is gebouwd op Azure en erft de beveiligingsoperaties en compliance-status van het Azure-platform en de beheerde diensten die het gebruikt (zoals Azure Storage, Azure Kubernetes Service, Azure AI Zoeken en Azure Key Vault). Microsoft publiceert zijn certificeringen, auditrapporten (bijvoorbeeld SOC en ISO) en controle-mappings centraal in plaats van per service.

Om de naleving voor jouw situatie te evalueren:

  • Bekijk het Microsoft Trust Center voor compliance-aanbiedingen en hoe deze van toepassing zijn op Azure-diensten.
  • Download auditrapporten en controledocumentatie van het Service Trust Portal.
  • Gebruik Compliance-richtlijnen om de controles die je in Discovery beoordeelt te scheiden van de controles die je van Azure erft.

Verwante onderwerpen

  • Laatst bijgewerkt om