Microsoft Cloud for Sovereignty-beleidsportfolio
Azure biedt een reeks ingebouwde initiatieven die aansluiten bij verschillende regelgevingskaders en industriestandaarden. Deze initiatieven hebben betrekking op cruciale aspecten zoals gegevensbescherming, netwerkbeveiliging en toegangscontrole. Door robuuste configuraties en controles af te dwingen, kunt u de soevereiniteit en beveiligingspositie van de Azure-resources van uw organisatie verbeteren en gevoelige gegevens beschermen tegen onbevoegde toegang.
Microsoft Cloud for Sovereignty breidt de bestaande reeks ingebouwde initiatieven in Azure uit door regelmatig meer initiatieven toe te voegen.
Ingebouwde beleidsinitiatieven van Azure
Ingebouwde beleidsinitiatieven in Azure vormen een krachtige toolset die gecentraliseerde controle over Azure-resources en handhaving van specifieke configuraties mogelijk maakt. Deze initiatieven omvatten een verzameling beleidsdefinities en ondersteunen de naleving van verschillende regelgevingskaders, industriestandaarden en best practices op het gebied van beveiliging.
Initiatieven bieden een gestroomlijnde en geautomatiseerde benadering van governance, waardoor organisaties de naleving op schaal kunnen beheren en monitoren. Zie Wat is Azure Policy? voor meer informatie over beleidsinitiatieven.
Microsoft Cloud for Sovereignty-beleidsinitiatieven
Microsoft Cloud for Sovereignty-initiatieven en nalevingstoewijzingen, die voortbouwen op de ingebouwde Azure-initiatieven, helpen u de beleidshandhaving te automatiseren en een robuust governanceraamwerk te bevorderen dat het risico op niet-naleving verkleint. Bovendien versterken de initiatieven ook de maatregelen op het gebied van gegevensbescherming. Organisaties kunnen gebruikmaken van het grote pakket aan beschikbare ingebouwde initiatieven op het gebied van naleving van regelgeving, terwijl wij doorgaan met het uitbreiden van andere raamwerken.
Beleidsinitiatieven op het gebied van naleving van de regelgeving
Microsoft Cloud for Sovereignty onderhoudt diverse beleidsinitiatieven op het gebied van naleving van de regelgeving.
Eén van deze beleidsinitiatieven dient als ondersteuning van de cloudspecifieke technische vereisten binnen de Baseline Informatiebeveiliging van de Overheid (BIO), het Nederlandse basisnormenkader voor informatiebeveiliging binnen alle overheidslagen (Rijk, gemeenten, provincies en waterschappen). Zie voor meer informatie over het initiatief van het BIO-cloudthema azure-policy/built-in-policies/policySetDefinitions.
Microsoft Cloud for Sovereignty heeft onlangs twee aanvullende ingebouwde beleidsinitiatieven voor naleving van de regelgeving gepubliceerd: de Microsoft Cloud for Sovereignty-baseline voor mondiaal beleid en de Microsoft Cloud for Sovereignty-baseline voor het beleid inzake vertrouwelijkheid.
Beleidsinitiatieven in het kader van de soevereiniteits-baseline
De beleidsinitiatieven van Microsoft Cloud for Sovereignty zijn in de eerste plaats bedoeld om de naleving van een specifiek raamwerk voor beveiligingscontrole aan te tonen. De beleidsinitiatieven in het kader van de soevereiniteits-baseline is echter een speciale set ingebouwde Azure Policy-initiatieven die bedoeld zijn om de raamwerken aan te vullen met soevereiniteitscontroles.
De soevereiniteitscontroles helpen het juiste gebruik van Aanbiedingen van confidential computing in Azure mogelijk te maken die gegevensbeschermingsmechanismen bieden die verder gaan dan wat bestaande raamwerken voor beveiligingscontrole doorgaans vereisen, op een manier die gemakkelijk door organisaties kan worden overgenomen.
De beleidsinitiatieven in het kader van de soevereiniteits-baseline bieden organisaties een eenvoudige methode om meerdere Azure-beleidsregels zodanig te configureren dat daarmee een of meer van de volgende doelstellingen op het gebied van soevereiniteitscontrole worden bereikt:
- Klantgegevens moeten volledig worden opgeslagen en verwerkt in datacenters die zich in goedgekeurde geopolitieke regio's bevinden op basis van door de klant gedefinieerde vereisten.
- Klanten moeten de toegang tot klantgegevens door cloudoperators en operators van beheerde services goedkeuren.
- Door de klant gedefinieerde gevoelige klantgegevens mogen alleen op versleutelde wijze toegankelijk zijn voor cloudoperators en operators van beheerde services.
- De klant moet exclusieve controle hebben over de beslissing welke identiteiten toegang hebben tot sleutels die worden gebruikt om door de klant gedefinieerde gevoelige gegevens te ontsleutelen.
Deze controledoelstellingen zijn de aanbevolen best practices van Azure om problemen met gegevenssoevereiniteit aan te pakken door het juiste gebruik en de juiste configuraties te ondersteunen binnen verschillende Azure-aanbiedingen die klantgegevens opslaan of verwerken. Als u van mening bent dat er nog andere controledoelstellingen moeten worden opgenomen in de baseline, kunt u een functieaanvraag maken.
De beleidsinitiatieven in het kader van de soevereiniteits-baseline worden vooraf geïnstalleerd met de Sovereign-landingszone, of kan in elke Azure-tenant worden geïmplementeerd als een ingebouwde Azure Policy.
De beleidsinitiatieven in het kader de soevereiniteits-baseline vervangen geen ingebouwde initiatieven voor naleving van de regelgeving en zijn ook niet rechtstreeks gekoppeld aan een van de raamwerken. Organisaties moeten hun bestaande initiatieven blijven gebruiken om naleving van alle toepasselijke regelgevingsraamwerken te tonen.
Bekijk onze whitepapers voor meer informatie over hoe Microsoft tegen gegevenssoevereiniteit aankijkt.
Beleidsinitiatieven op maat
Microsoft Cloud for Sovereignty maakt verschillende aangepaste beleidsinitiatieven en nalevingstoewijzingen toegankelijk via het Cloud for Sovereignty-beleidsportfolio op GitHub. De Microsoft Cloud for Sovereignty-beleidsinitiatieven helpen bij het aanpassen van implementaties om de tijd en complexiteit te verminderen die nodig is om omgevingen te controleren en helpen om te voldoen aan gevestigde regelgevingsraamwerken en overheidsvereisten.
De huidige op maat gemaakte initiatieven richten zich op het volgende:
De Italiaanse cloudstrategie, die de strategische richtlijnen bevat voor de migratie naar de cloud van gegevens en digitale diensten van de Italiaanse overheidsadministratie waarbinnen het Nationale Cybersecurity Agentschap (ACN) een reeks van vereisten heeft gepubliceerd voor de kwalificatie van Cloud Services en Cloud Services-infrastructuren. De beleidsinitiatieven en bestanden in deze opslagplaats zijn bedoeld als uitgangspunt. Deze bestanden zijn niet bedoeld als definitieve of alomvattende oplossing, maar eerder als een nuttig hulpmiddel om uw inspanningen een vliegende start te geven.
Een aangepast Azure-beleidsinitiatief en een controletoewijzing waarmee klanten kunnen voldoen aan de richtlijnen die zijn gedefinieerd in het Cloud Controls Matrix (CCM) v4 cybersecurity-controleraamwerk voor cloud-computing van de Cloud Security Alliance (CSA).
Raadpleeg het script New-PolicySets.ps1 op GitHub voor hulp bij de implementatie van aangepaste beleidsinitiatieven. Daarnaast kunt u Microsoft Defender for Cloud-mogelijkheden voor aangepaste initiatieven gebruiken.
Belangrijk
Organisaties zijn volledig verantwoordelijk voor hun eigen naleving van alle toepasselijke wet- en regelgeving. De informatie in dit document vormt geen juridisch advies, en organisaties moeten hun juridische adviseurs raadplegen voor vragen over de naleving van de regelgeving.