Melhore a conformidade normativa

  • Artigo

O Microsoft Defender para Nuvem ajuda você a atender aos requisitos de conformidade normativa, avaliando continuamente os recursos em relação aos controles de conformidade e identificando problemas que estão impedindo você de obter uma certificação de conformidade específica.

No painel Conformidade normativa você gerencia e interage com os padrões de conformidade. Você pode ver quais padrões de conformidade são atribuídos, ativar e desativar padrões para Azure, AWS e GCP, revisar o status das avaliações em relação aos padrões e muito mais.

Integração com Purview

Os dados de conformidade do Defender para Nuvem agora se integram perfeitamente ao Gerenciador de Conformidade do Microsoft Purview, permitindo que você avalie e gerencie centralmente a conformidade em todo o patrimônio digital da sua organização.

Quando você adiciona qualquer padrão à sua dashboard de conformidade (incluindo padrões de conformidade que monitoram outras nuvens, como AWS e GCP), os dados de conformidade no nível do recurso são exibidos automaticamente no Gerenciador de Conformidade para o mesmo padrão.

Portanto, o Gerenciador de Conformidade fornece ações de melhoria e status em sua infraestrutura de nuvem e todos os outros ativos digitais nessa ferramenta central. Para obter mais informações, consulte Suporte multicloud no Microsoft Purview Compliance Manager.

Antes de começar

  • Por padrão, quando você habilita o Defender para Nuvem em uma assinatura do Azure, conta do AWS ou plano GCP, o plano MCSB é habilitado.
  • Você pode adicionar mais padrões de conformidade não padrão quando pelo menos um plano pago estiver habilitado no Defender para Nuvem.
  • Você precisa estar conectado a uma conta que tenha acesso de leitor aos dados de conformidade da política. A função Leitor da assinatura tem acesso aos dados de conformidade da política, mas a função Leitor de Segurança não. No mínimo, você precisa ter as funções Colaborador de Política de Recursos e Administrador de Segurança atribuídas.

Avaliar a conformidade normativa

O painel Conformidade normativa mostra quais padrões de conformidade estão habilitados. Ele mostra os controles dentro de cada padrão e as avaliações de segurança para esses controles. O status dessas avaliações reflete sua conformidade com o padrão.

O painel ajuda você a se concentrar nas lacunas nos padrões e a monitorar a conformidade ao longo do tempo.

  1. No portal do Defender para Nuvem, abra a página Conformidade normativa.

    Screenshot that shows the exploration of the details of compliance with a specific standard.

  2. Use o painel de acordo com os itens numerados na imagem.

    • (1). Escolha uma norma de conformidade para ver a lista de todos os controles para essa norma.
    • (2). Exiba as assinaturas nas quais o padrão de conformidade é aplicado.
    • (3). Selecione e expanda um controle para exibir as avaliações associadas a ele. Selecione uma avaliação para exibir os recursos associados e possíveis ações de correção.
    • (4). Selecione Detalhes do controle para exibir as guias Visão geral, Suas ações e Ações da Microsoft.
    • (5). Em Suas ações, você pode ver as avaliações automatizadas e manuais associadas ao controle.
    • (6). As avaliações automatizadas mostram o número de recursos com falha e tipos de recursos e vinculam você diretamente às informações de correção.
    • (7). As avaliações manuais podem ser atestadas manualmente e as evidências podem ser vinculadas para demonstrar a conformidade.

Investigar problemas

Você pode usar as informações no painel para investigar problemas que possam afetar a conformidade com o padrão.

  1. No portal do Defender para Nuvem, abra Conformidade normativa.

  2. Selecione um padrão de conformidade normativa e selecione um controle de conformidade para expandi-lo.

  3. Selecione Detalhes do controle.

    Screenshot that shows you where to navigate to select control details on the screen.

    • Selecione Visão geral para ver as informações específicas sobre o Controle selecionado.
    • Selecione Suas Ações para ver uma exibição detalhada das ações automatizadas e manuais que você precisa executar para melhorar sua postura de conformidade.
    • Selecione Ações da Microsoft para ver todas as ações que a Microsoft realizou para garantir a conformidade com o padrão selecionado.

  4. Em Suas ações, você pode selecionar uma seta para baixo para exibir mais detalhes e resolver a recomendação para esse recurso.

    Screenshot that shows you where the down arrow is on the screen.

    Para obter mais informações sobre como aplicar recomendações, confira Implementando as recomendações de segurança no Microsoft Defender para Nuvem.

    Observação

    As avaliações são executadas aproximadamente a cada 12 horas, portanto, você verá o impacto nos dados de conformidade somente após a próxima execução da avaliação relevante.

Corrigir uma avaliação automatizada

A conformidade regulatória tem tanto avaliações automatizadas quanto manuais que talvez precisem ser corrigidas. Usando as informações do painel de conformidade regulatória, aprimore a sua postura de conformidade resolvendo as recomendações diretamente no painel.

  1. No portal do Defender para Nuvem, abra Conformidade normativa.

  2. Selecione um padrão de conformidade normativa e selecione um controle de conformidade para expandi-lo.

  3. Selecione qualquer uma das avaliações reprovadas mostradas no painel para exibir os detalhes dessa recomendação. Cada recomendação inclui um conjunto de etapas de correção para resolver o problema.

  4. Selecione um recurso específico para ver mais detalhes e resolva a recomendação desse recurso.
    Por exemplo, no padrão Azure CIS 1.1.0, selecione a recomendação A criptografia de disco deve ser aplicada em máquinas virtuais.

    Screenshot that shows that selecting a recommendation from a standard leads directly to the recommendation details page.

  5. Neste exemplo, ao selecionar Executar ação na página de detalhes da recomendação, você chegará nas páginas da Máquina Virtual do Azure do portal do Azure, em que é possível habilitar a criptografia na guia Segurança:

    Screenshot that shows the take action button on the recommendation details page leads to the remediation options.

    Para obter mais informações sobre como aplicar recomendações, confira Implementando as recomendações de segurança no Microsoft Defender para Nuvem.

  6. Depois de tomar medidas para resolver as recomendações, você verá o resultado no relatório do painel de conformidade, devido ao aprimoramento da sua pontuação de conformidade.

As avaliações são executadas aproximadamente a cada 12 horas e, portanto, você verá o impacto sobre seus dados de conformidade somente após a próxima execução da avaliação relevante.

Corrigir uma avaliação manual

A conformidade regulatória tem avaliações automatizadas e manuais que talvez precisem ser corrigidas. Avaliações manuais são avaliações que exigem a entrada do cliente para corrigi-las.

  1. No portal do Defender para Nuvem, abra Conformidade normativa.

  2. Selecione um padrão de conformidade normativa e selecione um controle de conformidade para expandi-lo.

  3. Na seção Atestado manual e evidências selecione uma avaliação.

  4. Escolha as assinaturas relevantes.

  5. Selecione Atestar.

  6. Insira as informações relevantes e anexe as evidências para conformidade.

  7. Clique em Salvar.

Gerar relatórios de status de conformidade e certificados

  1. Para gerar um relatório em PDF com um resumo do seu status de conformidade atual para um padrão específico, selecione Baixar o relatório.

    O relatório fornece um resumo de alto nível do status de conformidade para o padrão selecionado tendo como base os dados das avaliações do Defender para Nuvem. O relatório é organizado de acordo com os controles desse padrão específico. O relatório pode ser compartilhado com stakeholders relevantes e pode servir para fornecer evidências aos auditores internos e externos.

    Screenshot that shows using the toolbar in Defender for Cloud's regulatory compliance dashboard to download compliance reports.

  2. Para baixar relatórios de certificação do Azure e do Dynamics para os padrões aplicados às suas assinaturas, use a opção Relatórios de auditoria.

    Screenshot that shows using the toolbar in Defender for Cloud's regulatory compliance dashboard to download Azure and Dynamics certification reports.

  3. Selecione a guia dos tipos de relatórios relevantes (PCI, SOC, ISO e outros) e use filtros para localizar os relatórios específicos necessários:

    Screenshot that shows filtering the list of available Azure Audit reports using tabs and filters.

    Por exemplo, na guia PCI, você pode baixar um arquivo zip que contém um certificado assinado digitalmente que demonstra a conformidade do Microsoft Azure, do Dynamics 365 e de outros Serviços Online com a estrutura ISO22301, junto com o manual e os acessórios necessários para interpretar e apresentar o certificado.

Quando você faz o download de um desses relatórios de certificação, é exibido o seguinte aviso de privacidade:

Ao baixar esse arquivo, você está concedendo consentimento à Microsoft para armazenar o usuário atual e as assinaturas selecionadas no momento do download. Esses dados são usados para notificar você em caso de alterações ou atualizações no relatório de auditoria baixado. Eles são usados pela Microsoft e pelas empresas de auditoria que produzem a certificação/os relatórios somente quando a notificação é necessária.

Status de conformidade de exportação contínua

Se você quiser acompanhar o seu status de conformidade com outras ferramentas de monitoramento no seu ambiente, o Defender para Nuvem incluirá um mecanismo de exportação para fazer isso de modo simples. Configure a exportação contínua para enviar os dados selecionados para Hubs de Eventos do Azure ou um workspace do Log Analytics. Saiba mais em Exportação contínua de dados no Defender para Nuvem.

Use os dados de exportação contínua para Hubs de Eventos do Azure ou um workspace do Log Analytics:

  1. Exporte todos os dados de conformidade regulatória em um fluxo contínuo:

    Screenshot that shows how to continuously export a stream of regulatory compliance data.

  2. Exportar instantâneos semanais dos seus dados de conformidade regulatória:

    Screenshot that shows how to continuously export a weekly snapshot of regulatory compliance data.

Dica

Você também pode exportar manualmente relatórios sobre um só ponto no tempo diretamente no painel de conformidade regulatória. Gere esses relatórios PDF/CSV ou relatórios de certificação do Azure e do Dynamics usando as opções da barra de ferramentas Baixar relatório ou Relatórios de auditoria.

Acionar um fluxo de trabalho quando as avaliações forem alteradas

O recurso de automação do fluxo de trabalho do Defender para Nuvem pode disparar Aplicativos Lógicos sempre que uma das suas avaliações de conformidade regulatória mudar de estado.

Por exemplo, talvez você queira que o Defender para Nuvem envie por email um usuário específico quando uma avaliação de conformidade falhar. Primeiro, você precisa criar o aplicativo lógico (usando Aplicativos Lógicos do Azure) e, em seguida, configurar o gatilho em uma nova automação de fluxo de trabalho, conforme explicado em Automatizar respostas para os gatilho do Defender para Nuvem.

Screenshot that shows how to use changes to regulatory compliance assessments to trigger a workflow automation.

Próximas etapas

Para saber mais, confira estas páginas relacionadas: