Przegląd bezpieczeństwa i zgodności dla Microsoft Discovery

Microsoft Discovery to korporacyjna platforma agentyczna AI do badań naukowych, oparta na infrastrukturze chmurowej Azure. Ponieważ działa na Azure, Microsoft Discovery został zaprojektowany tak, aby działać w ramach bezpieczeństwa, zgodności, przejrzystości i zarządzania, które organizacje wykorzystują do zarządzania wrażliwymi środowiskami badawczo-rozwojowymi (R&D).

Ten artykuł daje recenzentom bezpieczeństwa, architektom i wdrożeniom jeden punkt wyjścia do oceny Microsoft Discovery. Podsumowuje on mechanizmy bezpieczeństwa platformy, wyjaśnia model współdzielonej odpowiedzialności oraz mapuje możliwości platformy na obszary ryzyka kwestionariusza Shared Assessments Standardized Information Gathering (SIG), powszechnie stosowanego kwestionariusza do oceny ryzyka przez strony trzecie. Użyj go do prowadzenia przeglądu bezpieczeństwa, a następnie podążaj za powiązanymi artykułami, aby uzyskać autorytatywne, kontrolne szczegóły. Odpowiedzi na poziomie pytań zorganizowanych według domen SIG znajdziesz w FAQ dotyczącym bezpieczeństwa i zgodności opartych na SIG.

Important

Ten artykuł ma charakter wyłącznie informacyjny. Nie stanowi to certyfikatu, poświadczenia, audytu ani gwarancji zgodności i nie oznacza, że Microsoft Discovery jest certyfikowany lub niezależnie audytowany według jakiegokolwiek tutaj wspomnianego frameworka. Aby uzyskać aktualną, autorytatywną listę certyfikatów Microsoft, raporty audytowe oraz szczegóły implementacji kontroli, skorzystaj z Microsoft Trust Center oraz Service Trust Portal.

Rozmieszczenie i granica zaufania

Microsoft Discovery wdraża zasoby w Twojej własnej subskrypcji Azure i dzierżawcy Microsoft Entra, a nie w subskrypcji zarządzanej przez Microsoft. Gdy udostępniasz przestrzeń roboczą, superkomputer lub półkę na książki, usługa tworzy zarządzaną grupę zasobów (MRG) w Twojej subskrypcji, która przechowuje zasoby backendowe, którymi zarządza w Twoim imieniu.

Ten model wdrożenia ma bezpośrednie implikacje dla bezpieczeństwa:

  • Dane klientów oraz zasoby, które je przechowują, pozostają w obrębie Twojej subskrypcji i dzierżawy.
  • Odpowiadasz za zarządzanie tożsamościami, siecią i konfiguracją kontroli dostępu w środowisku otaczającym.
  • Płacisz za podstawowe zasoby Azure i zarządzasz nimi, a także możesz stosować własną Azure Policy, logowanie i monitorowanie.

Aby poznać model zasobów i przepływ danych, zobacz przegląd architektury usług.

Model wspólnej odpowiedzialności

Bezpieczeństwo w Microsoft Discovery opiera się na modelu współdzielonej odpowiedzialności Azure. Poniższa tabela pokazuje, jak ten model odnosi się konkretnie do wdrożenia Discovery, biorąc pod uwagę, że zasoby trafiają do Twojej subskrypcji.

Odpowiedzialność Microsoft Klient
Fizyczne i platformowe bezpieczeństwo centrów danych Azure Odpowiedzialny Nie ponosi odpowiedzialności
Samolot sterowania i obsługa zarządzana Odpowiedzialny Nie ponosi odpowiedzialności
Szyfrowanie danych przechowywanych (klucze domyślne) i podczas przesyłania w sieci szkieletowej platformy Azure Odpowiedzialny Nie ponosi odpowiedzialności
Wbudowane systemy bezpieczeństwa AI (filtrowanie treści, zabezpieczenia systemowe) Odpowiedzialny Nie ponosi odpowiedzialności
Konfiguracja subskrypcji, sieci wirtualnej i zapory sieciowej Nie ponosi odpowiedzialności Odpowiedzialny
Zarządzanie tożsamościami i przypisania ról zgodnie z zasadą najmniejszych uprawnień Nie ponosi odpowiedzialności Odpowiedzialny
Klucze zarządzane przez klienta (jeśli wybrane), Key Vault i cykl życia klucza Brak odpowiedzialności Odpowiedzialny
Klasyfikacja danych i ochrona danych przed ich spożyciem Nie ponosi odpowiedzialności Odpowiedzialny
Umożliwienie logowania, przechowywania i monitorowania audytów w Twojej subskrypcji Nie ponosi odpowiedzialności Odpowiedzialny
Ciągłość działania i replikacja zasobów stanowych Nie ponosi odpowiedzialności Odpowiedzialny

W przypadku obowiązków specyficznych dla AI zobacz Odpowiedzialna AI w Microsoft Discovery.

Mapa domeny kwestionariusza SIG

Kwestionariusz Shared Assessments Standardized Information Gathering (SIG) grupuje pytania dotyczące ryzyka podmiotów trzecich według domen ryzyka. Poniższa tabela przyporządkowuje każdą domenę ryzyka SIG do sposobu, w jaki usługa Microsoft Discovery ją adresuje, oraz wskazuje, gdzie znaleźć oficjalne szczegóły, dzięki czemu możesz sprawnie ukończyć ocenę SIG Lite lub SIG Core. Obszary objęte odziedziczonymi mechanizmami kontroli platformy Azure wskazują na centralne źródła informacji referencyjnych.

Domena ryzyka SIG Jak Microsoft Discovery rozwiązuje ten problem Reference
Zarządzanie ryzykiem w przedsiębiorstwie Działa w ramach korporacyjnego nadzoru Microsoft, z centralnym zarządzaniem, rejestrami audytu i punktami kontrolnymi z udziałem człowieka. Centrum zaufania firmy Microsoft
Cloud Services Dostarczane jako usługa Azure; zasoby są wdrażane w Twojej własnej subskrypcji i dzierżawie zgodnie z modelem współodpowiedzialności platformy Azure. Architektura usług,współodpowiedzialność
Zarządzanie zgodnością Zbudowany na Azure; dziedziczy zgodność z platformą Azure. Certyfikaty i raporty audytowe są publikowane centralnie. Centrum Zaufania, Portal Zaufania Serwisowego
Access Control uwierzytelnianie Microsoft Entra ID, Azure RBAC, role wbudowane i role na poziomie projektu oraz zarządzane tożsamości o najniższym poziomie uprawnień. Przydziały ról, kontrola dostępu na poziomie Project
Bezpieczeństwo aplikacji / Zarządzanie aplikacjami Opracowywane zgodnie z cyklem życia bezpieczeństwa firmy Microsoft (Security Development Lifecycle); zabezpieczasz niestandardowe agenty i narzędzia, które tworzysz. Najlepsze praktyki odpowiedzialnej AI
Sztuczna inteligencja Filtrowanie treści w Foundry Guardrails, zasady dotyczące zabronionego użycia, osadzanie w źródłach i cytowania oraz oceny RAI. Odpowiedzialna AI,Kodeks postępowania
Zarządzanie zasobami i informacją Dane przechowywane w Twojej subskrypcji poprzez pojemniki i zasoby; to ty posiadasz klasyfikację danych. Obsługa danych, zasoby pamięci masowej
Zapewnienie informacji Domyślne szyfrowanie w spoczynku (klucze zarządzane przez Microsoft) z opcjonalnymi kluczami zarządzanymi przez klienta; izolacja kluczy od operatorów. Szyfrowanie danych w spoczynku
Zabezpieczenia serwerów Backend działa w oparciu o usługi zarządzane platformy Azure; utwardzanie i instalowanie poprawek platformy odbywają się w ramach operacji platformy Azure. Portal zaufania usług
Zabezpieczenia punktu końcowego Brak punktów końcowych dla klientów w zarządzanej płaszczyźnie danych; dostęp odbywa się przez interfejsy i API zabezpieczone Entra ID. Bezpieczeństwo sieci
Bezpieczeństwo sieci Granice zabezpieczeń sieci, prywatne punkty końcowe, wstrzykiwanie do sieci wirtualnej oraz domyślnie prywatny dostęp do płaszczyzny danych. Bezpieczeństwo sieci
Zarządzanie operacjami IT Dzienniki aplikacji, aktywności i audytu konfigurowane przez klienta w usłudze Azure Monitor ze śledzeniem za pomocą identyfikatora korelacji. Obserwowalność, Włączenie logowania audytu
Zarządzanie zdarzeniami Kompleksowe identyfikatory korelacji na potrzeby śledzenia; centralna obsługa reagowania na incydenty platformy i powiadamiania o naruszeniach. Identyfikatory korelacji, Centrum zaufania
Cyberbezpieczeństwo / Zarządzanie zagrożeniami Korzysta z zarządzanych usług platformy Azure, które są objęte mechanizmami wykrywania zagrożeń i operacjami zabezpieczeń platformy Azure. Podstawy zabezpieczeń platformy Azure
Odporność operacyjna Architektura usług wieloregionalnych; klienci replikują własne zasoby stanowe do odbudowy po awarii. Ciągłość działania i odzyskiwanie po awarii
Bezpieczeństwo fizyczne i środowiskowe Udostępniane przez centra danych Azure i niezależnie audytowane jako część platformy Azure. Portal zaufania usług
Zabezpieczenia zasobów ludzkich Kontrola personelu, szkolenia i zarządzanie dostępem Microsoft były prowadzone i dokumentowane centralnie. Portal zaufania usług
Zarządzanie ryzykiem w łańcuchu dostaw / Zarządzanie podmiotami N-tego rzędu Oparte na wskazanych usługach platformy Azure; lista podmiotów przetwarzających oraz gwarancje dotyczące łańcucha dostaw są publikowane w centralnym miejscu. Centrum zaufania
Zarządzanie prywatnością Zasoby są wdrażane w ramach subskrypcji; regiony płaszczyzny sterowania oraz wdrożenia płaszczyzny danych między regionami zapewniają rezydencję danych. Miejsce przechowywania danych, Prywatność w Centrum zaufania

Note

Kwestionariusz SIG obejmuje również domenę Środowiska, Społeczeństwa i Ładu Korporacyjnego (ESG). Microsoft zajmuje się ESG na poziomie korporacyjnym; zobacz Microsoft Trust Center oraz zasoby Microsoft dotyczące zrównoważonego rozwoju i odpowiedzialności biznesu, a nie dokumentację produktów Microsoft Discovery.

Mapowania ram sterowania

Jeśli Twoja organizacja standaryzuje się na frameworku innym niż SIG, nie buduj przejścia dla pieszych na podstawie tej dokumentacji. Microsoft publikuje centralnie mapowania frameworków, zakres certyfikacji oraz dowody audytowe. Zobacz Wytyczne dotyczące zgodności dla Microsoft Discovery, aby uzyskać informacje o tym, które kontrole oceniasz w usłudze Discovery, które kontrole dziedziczysz z platformy Azure oraz które źródło referencyjne odpowiada na każde pytanie.

Zarządzanie tożsamością i dostępem

Microsoft Discovery uwierzytelnia użytkowników za pomocą Microsoft Entra ID i autoryzuje działania przez Azure RBAC. To, co wyróżnia Discovery, to model ról: wbudowane role platformy (takie jak Administrator platformy, Współtwórca platformy i Czytelnik platformy), role na poziomie projektu, które izolują analizy, oraz role specyficzne dla zasobów, zapewniające dostęp zgodny z zasadą najmniejszych uprawnień.

Dostęp między usługami wykorzystuje zarządzane tożsamości przypisane przez użytkownika, które tworzysz i kontrolujesz w ramach własnej subskrypcji, zamiast sekretów lub parametrów połączenia. Discovery definiuje odrębne sloty tożsamości, dzięki czemu możesz przypisywać oddzielne tożsamości z rolami o określonym zakresie uprawnień i ograniczać działanie narzędzi agenta do uprawnień, których potrzebują.

Więcej informacji:

Ochrona danych i szyfrowanie

Microsoft Discovery korzysta z szyfrowania danych Azure w spoczynku, które jest włączane automatycznie i transparentnie. Decyzja specyficzna dla Discovery jest kluczowym modelem:

  • Klucze zarządzane przez Microsoft (domyślnie): nie wymaga żadnych działań klientów.
  • Klucze zarządzane przez klienta (CMK): dostępne dla zasobów obszaru roboczego, superkomputera i biblioteki. Musisz wybrać CMK w momencie tworzenia zasobów; model nie może być później zmieniany.

Operatorzy usług, inżynierowie i personel wsparcia nie mają dostępu do kluczy szyfrujących. Więcej informacji można znaleźć w artykule Szyfrowanie danych w spoczynku.

Bezpieczeństwo sieci

Microsoft Discovery łączy trzy mechanizmy kontroli sieciowej platformy Azure i domyślnie wzmacnia zabezpieczenia sieci dla obszarów roboczych i bibliotek zarządzanych za pomocą interfejsu API w wersji 2026-02-01-preview i nowszych:

  • Obwody bezpieczeństwa sieci ograniczają zarządzane zasoby tak, że tylko autoryzowane komponenty Discovery mogą do nich dotrzeć.
  • Prywatne punkty końcowe kierują ruchem interfejsu API płaszczyzny danych obszaru roboczego i usługi Bookshelf za pośrednictwem sieci szkieletowej firmy Microsoft.
  • Virtual Network injection uruchamia usługi i agentów platformy workspace w Twojej sieci wirtualnej, w podsieciach, które udostępniasz i delegujesz.

Important

Obwody bezpieczeństwa sieciowego nie są jeszcze dostępne we wszystkich regionach i dla wszystkich typów zasobów Azure. Upewnij się, że Twoje wdrożenie znajduje się w regionie obsługującym granice zabezpieczeń sieciowych.

Aby uzyskać informacje o wymaganiach sieciowych dotyczących konkretnego wdrożenia oraz wskazówki dotyczące konfiguracji, zobacz sekcje Zabezpieczenia sieciowe, Sieci wirtualne i podsieci oraz Kompleksowo zabezpieczone wdrożenie sieciowe.

Logowanie, monitorowanie i audyt

Microsoft Discovery integruje się z Azure Monitor i wyświetla trzy kategorie logów:

  • Logi aplikacji są automatycznie zbierane w dedykowanej przestrzeni roboczej Log Analytics w MRG każdego zasobu.
  • Dzienniki aktywności rejestrują operacje płaszczyzny sterowania na zasobach Discovery.
  • Dzienniki audytu można włączyć za pomocą ustawień diagnostycznych i eksportować do należącego do Ciebie konta magazynu lub obszaru roboczego usługi Log Analytics w celu długoterminowego przechowywania.

Identyfikatory korelacji pozwalają śledzić operację od początku do końca na wszystkich komponentach platformy. Więcej informacji można znaleźć w artykule Obserwatorność i Włączenie logowania audytowego.

Bezpieczeństwo AI i odpowiedzialna AI

Microsoft Discovery stosuje się do standardu Microsoft Responsible AI. Kontrole bezpieczeństwa obejmują domyślne filtrowanie treści Foundry Guardrails stosowane do modeli stworzonych w Discovery, uziemienie cytowaniami oraz zabezpieczenia na poziomie systemu. Platforma egzekwuje politykę zakazu użycia (np. zakaz rozwoju broni i zakazu omijania systemów bezpieczeństwa) i jest oceniana pod kątem bezpieczeństwa oraz uziemienia przed każdym wypuszczeniem.

Więcej informacji można znaleźć w artykule Odpowiedzialna AI w Microsoft Discovery, Karta Platformy oraz Kodeks Postępowania.

Ciągłość działania i odzyskiwanie po awarii

Microsoft Discovery wykorzystuje wysoce dostępną, wieloregionalną architekturę zaprojektowaną tak, aby unikać pojedynczych punktów awarii w komponentach usługowych. Usługa nie replikuje automatycznie stanu klienta między regionalnymi wdrożeniami, więc replikujesz własne zasoby stanowe, aby osiągnąć cele odzyskiwania. Aby uzyskać więcej informacji, zobacz temat Ciągłość działania i odzyskiwanie po awarii.

Miejsce przechowywania danych

Samolot sterujący Microsoft Discovery jest dostępny we wschodnich Stanach Zjednoczonych, Szwecji Central oraz południowej Wielkiej Brytanii. Zasoby zarządzanej grupy zasobów (płaszczyzny danych) można wdrażać w innych regionach za pomocą wdrożenia międzyregionalnego, co może pomóc spełnić wymagania dotyczące rezydencji danych lub pojemności. W swojej subskrypcji wybierasz regiony Azure dla tych zasobów na płaszczyźnie danych. Aktualne, autorytatywne oświadczenie o zobowiązaniach Microsoft dotyczących rezydencji danych i ich obsługi można znaleźć w Microsoft Trust Center oraz odpowiednich warunkach produktu Microsoft.

Zgodność i certyfikaty

Microsoft Discovery jest oparty na platformie Azure i korzysta z mechanizmów zabezpieczeń oraz poziomu zgodności platformy Azure i używanych przez niego usług zarządzanych (takich jak Azure Storage, Azure Kubernetes Service, Wyszukiwanie AI platformy Azure i Azure Key Vault). Microsoft publikuje swoje certyfikaty, raporty audytowe (na przykład SOC i ISO) oraz mapowania sterowania centralnie, a nie poszczególnie dla usług.

Aby ocenić zgodność w Twojej sytuacji:

Treści powiązane

  • Ostatnia aktualizacja o