Visão geral de segurança e conformidade para o Microsoft Discovery

Microsoft Discovery é uma plataforma de IA agente empresarial para pesquisa científica construída sobre a infraestrutura de nuvem corporativa do Azure. Por rodar no Azure, o Microsoft Discovery foi projetado para operar dentro dos frameworks de segurança, conformidade, transparência e governança que as organizações utilizam para gerenciar ambientes sensíveis de pesquisa e desenvolvimento (P&D). D.

Este artigo oferece a revisores de segurança, arquitetos e deployers um ponto de partida único para avaliar o Microsoft Discovery. Ele resume os controles de segurança da plataforma, explica o modelo de responsabilidade compartilhada e mapeia as capacidades da plataforma para os domínios de risco do questionário de Coleta Padronizada de Informações (SIG) de Avaliações Compartilhadas, um questionário comumente utilizado para avaliações de risco de terceiros. Use-o para orientar uma revisão de segurança e, em seguida, consulte os artigos vinculados para obter informações oficiais e detalhes no nível dos controles. Para respostas em nível de pergunta organizadas por domínio SIG, consulte o FAQ de segurança e conformidade baseado em SIG.

Important

Este artigo é fornecido apenas para fins informativos. Isso não constitui certificação, atestado, auditoria ou garantia de conformidade, e não implica que o Microsoft Discovery seja certificado ou auditado independentemente de qualquer estrutura mencionada aqui. Para a lista atual e autoritativa de certificações da Microsoft, relatórios de auditoria e detalhes da implementação de controle, utilize o Microsoft Trust Center e o Service Trust Portal.

Implantação e limite de confiança

O Microsoft Discovery implanta recursos na sua própria assinatura do Azure e no seu tenant do Microsoft Entra, não em uma assinatura gerenciada pela Microsoft. Quando você provisiona um espaço de trabalho, supercomputador ou estante, o serviço cria um grupo de recursos gerenciados (MRG) na sua assinatura que armazena os recursos backend que opera em seu nome.

Esse modelo de implantação tem implicações diretas de segurança:

  • Os dados do cliente e os recursos que os armazenam permanecem dentro dos limites da sua assinatura e do locatário.
  • Você é responsável pela identidade, pela rede e pela configuração de controle de acesso do ambiente ao redor.
  • Você paga e gerencia os recursos subjacentes do Azure e pode aplicar sua própria Azure Policy, registro em log e monitoramento.

Para o modelo de recursos e o fluxo de dados, veja visão geral da arquitetura do serviço.

Modelo de responsabilidade compartilhada

A segurança no Microsoft Discovery segue o modelo de responsabilidade compartilhada do Azure. A tabela a seguir mostra como esse modelo se aplica especificamente a uma implantação Discovery, desde que os recursos sejam incluídos na sua assinatura.

Responsabilidade Microsoft Cliente
Segurança física e de plataforma dos datacenters Azure Responsável Não me responsabilizo
Plano de controle e operação de serviços gerenciados Responsável Não me responsabilizo
Criptografia de dados em repouso (chaves padrão) e em trânsito na rede de backbone do Azure Responsável Não me responsabilizo
Controles de segurança por IA integrados (filtragem de conteúdo, salvaguardas do sistema) Responsável Não me responsabilizo
Assinatura, rede virtual e configuração de firewall Não me responsabilizo Responsável
Governança de identidade e atribuições de papéis de menor privilégio Não me responsabilizo Responsável
Chaves gerenciadas pelo cliente (se escolhidas), Key Vault e ciclo de vida das chaves Não me responsabilizo Responsável
Classificação de dados e proteção dos dados antes da ingestão Não me responsabilizo Responsável
Ativando registro, retenção e monitoramento de auditoria na sua assinatura Não me responsabilizo Responsável
Continuidade de negócios e replicação de recursos com estado Não me responsabilizo Responsável

Para responsabilidades específicas de IA, veja IA responsável no Microsoft Discovery.

Mapa de domínio do questionário SIG

O questionário Standardized Information Gathering (SIG), da Shared Assessments, organiza perguntas sobre risco de terceiros em domínios de risco. A tabela a seguir mapeia cada domínio de risco SIG para como o Microsoft Discovery o aborda e onde encontrar detalhes autoritativos, para que você possa completar uma avaliação SIG Lite ou SIG Core de forma eficiente. Domínios atendidos pelos controles da plataforma Azure herdados apontam para as fontes centrais confiáveis.

Domínio de risco SIG Como o Microsoft Discovery lida com isso Reference
Gerenciamento de Riscos Empresariais Operado sob a governança corporativa da Microsoft, com gestão centralizada, trilhas de auditoria e pontos de controle de supervisão humana. Central de Confiabilidade da Microsoft
Serviços de Nuvem Oferecido como um serviço do Azure; os recursos são implantados na sua própria assinatura e tenant, de acordo com o modelo de responsabilidade compartilhada do Azure. Arquitetura de serviços, Responsabilidade compartilhada
Gerenciamento de Conformidade Construído no Azure; herda a conformidade da plataforma Azure. Certificações e relatórios de auditoria são publicados centralmente. Centro de Confiança, Portal de Confiança de Serviços
Controle de Acesso Autenticação Microsoft Entra ID, Azure RBAC, funções integradas e em nível de projeto, e identidades gerenciadas com privilégio mínimo. Atribuições de funções, controle de acesso em nível de Project
Segurança de Aplicações / Gerenciamento de Aplicações Desenvolvido sob o Ciclo de Vida de Desenvolvimento de Segurança da Microsoft; você protege os agentes personalizados e ferramentas que desenvolve. Melhores práticas de IA responsável
Inteligência Artificial Filtragem de conteúdo do Foundry Guardrails, política de uso proibido, ancoragem e citações, e avaliações de RAI. IA responsável, Código de conduta
Gestão de Ativos e Informações Dados armazenados na sua assinatura por meio de contêineres e ativos de armazenamento; você é responsável pela classificação dos dados. Tratamento de dados, ativos de armazenamento
Garantia da Informação Criptografia em repouso por padrão (chaves gerenciadas pela Microsoft) com chaves opcionais gerenciadas pelo cliente; isolamento de chaves dos operadores. Criptografia de dados em repouso
Segurança do Servidor O backend roda em serviços gerenciados do Azure; o reforço e o patching da plataforma são tratados como parte das operações do Azure. Portal de Confiança do Serviço
Segurança de Endpoint Não há endpoints de cliente no plano de dados gerenciado; o acesso ocorre por meio de interfaces e APIs protegidas pelo Entra ID. Segurança de rede
Segurança de Rede Perímetros de Segurança de Rede, endpoints privados, injeção virtual de rede e acesso privado por padrão ao plano de dados. Segurança de rede
Gestão de Operações de TI Logs de auditoria de aplicativo, de atividade e configuráveis pelo cliente por meio do Azure Monitor, com rastreamento com ID de correlação. Observabilidade, Habilitar o registro de auditoria
Gerenciamento de incidentes IDs de correlação de ponta a ponta para rastreamento; resposta a incidentes da plataforma e notificação de violação de segurança tratadas centralmente. IDs de correlação, Trust Center
Cibersegurança / Gerenciamento de Ameaças Roda em serviços gerenciados do Azure que herdam a detecção de ameaças e operações de segurança do Azure. Conceitos básicos de segurança do Azure
Resiliência Operacional arquitetura de serviços multirregional; os clientes replicam seus próprios recursos estatais para recuperação em desastres. Continuidade dos negócios e recuperação de desastres
Segurança física e ambiental Fornecido pelos datacenters Azure e auditado de forma independente como parte da plataforma Azure. Portal de Confiança do Serviço
Segurança dos Recursos Humanos A triagem, o treinamento e a governança de acesso do pessoal da Microsoft eram conduzidos e documentados de forma centralizada. Portal de Confiança do Serviço
Gerenciamento de Riscos da Cadeia de Fornecedores / Gerenciamento de Parte N Baseado em serviços do Azure especificados; a lista de subprocessadores e a garantia da cadeia de fornecimento são publicadas de forma centralizada. Central de Confiabilidade
Gerenciamento de Privacidade Os recursos são implantados na sua assinatura; as regiões do plano de controle e a implantação do plano de dados entre regiões dão suporte à residência de dados. Residência de dados, privacidade da Central de Confiabilidade

Note

O questionário SIG também inclui um domínio Ambiental, Social e de Governança (ESG). A Microsoft aborda ESG no nível corporativo; veja o Microsoft Trust Center e os recursos de sustentabilidade e responsabilidade corporativa da Microsoft, em vez da documentação do produto Microsoft Discovery.

Mapeamentos da estrutura de controle

Se sua organização padronizar em um framework diferente do SIG, não reconstrua uma faixa de pedestres a partir desta documentação. A Microsoft publica mapeamentos de estruturas, escopos de certificação e evidências de auditoria de forma centralizada. Consulte as orientações de conformidade para o Microsoft Discovery para informações sobre quais controles você avalia no Discovery, quais controles você herda do Azure e qual fonte autoritativa responde a cada pergunta.

Gerenciamento de identidade e acesso

O Microsoft Discovery autentica os usuários por meio do Microsoft Entra ID e autoriza ações pelo Azure RBAC. O que é específico do Discovery é o modelo de referência: funções embutidas na plataforma (como Administrador de Plataforma, Colaborador de Plataforma e Leitor de Plataforma), funções em nível de projeto que isolam investigações e funções específicas de recurso para acesso com privilégios mínimos.

O acesso de serviço a serviço utiliza identidades gerenciadas atribuídas pelo usuário que você cria e controla em sua própria assinatura, em vez de segredos ou cadeias de conexão. O Discovery define slots de identidade distintos, então você pode atribuir identidades separadas com papéis com escopo e limitar a execução da ferramenta de agente às permissões necessárias.

Saiba mais:

Proteção e criptografia de dados

O Microsoft Discovery utiliza criptografia de dados do Azure em repouso, habilitada automaticamente e de forma transparente. A decisão específica do Discovery é o modelo principal:

  • Chaves gerenciadas pela Microsoft (padrão): nenhuma ação do cliente é necessária.
  • Chaves gerenciadas pelo cliente (CMK): disponíveis para recursos de espaço de trabalho, supercomputador e estante. Você deve escolher CMK no momento da criação do recurso; o modelo não pode ser alterado depois.

Operadores de serviço, engenheiros e pessoal de suporte não conseguem acessar chaves de criptografia. Para mais informações, veja Criptografia de dados em repouso.

Segurança de rede

O Microsoft Discovery sobrepõe três controles de rede do Azure e permite o reforço de rede por padrão para workspaces e estantes gerenciados com a versão da API 2026-02-01-preview e posteriores:

  • Os perímetros de segurança da rede restringem os recursos gerenciados para que apenas componentes autorizados da Discovery possam alcançá-los.
  • Pontos de extremidade privados direcionam o tráfego da API do plano de dados do workspace e da estante pela rede de backbone da Microsoft.
  • A injeção na rede virtual executa serviços e agentes da plataforma de workspace dentro da sua rede virtual, em sub-redes que você provisiona e delega.

Important

Perímetros de segurança de rede ainda não estão disponíveis em todas as regiões e para todos os tipos de recursos do Azure. Garanta que sua implantação seja em uma região que suporte perímetros de segurança de rede.

Para requisitos específicos de rede e orientações de configuração para implantação, veja Segurança de Rede, Redes virtuais e sub-redes, e Implantação reforçada de ponta a ponta.

Registro, monitoramento e auditoria

O Microsoft Discovery integra com o Azure Monitor e apresenta três categorias de logs:

  • Os logs de aplicação são coletados automaticamente em um espaço de trabalho dedicado de Log Analytics dentro do MRG de cada recurso.
  • Os registros de atividade registram as operações do plano de controle nos recursos do Discovery.
  • Os logs de auditoria podem ser habilitados opcionalmente nas configurações de diagnóstico e exportados para uma conta de armazenamento ou um espaço de trabalho do Log Analytics que você possui, para retenção de longo prazo.

IDs de correlação permitem rastrear uma operação de ponta a ponta entre os componentes da plataforma. Para mais informações, veja Observabilidade e Habilitar registro de auditoria.

Segurança em IA e IA responsável

O Microsoft Discovery segue o Padrão de IA Responsável da Microsoft. Os controles de segurança incluem a filtragem de conteúdo do Foundry Guardrails, aplicada por padrão aos modelos criados no Discovery, ancoragem com citações e proteções no nível do sistema. A plataforma impõe uma política de usos proibidos (por exemplo, não permite o desenvolvimento de armas nem a burla de sistemas de segurança) e é avaliada quanto à segurança e à aderência aos fatos antes de cada lançamento.

Para mais informações, veja IA Responsável na Microsoft Discovery, Cartão de Plataforma e Código de conduta.

Continuidade dos negócios e recuperação de desastre

O Microsoft Discovery utiliza uma arquitetura multirregional altamente disponível, projetada para evitar pontos únicos de falha em seus componentes de serviço. O serviço não replica automaticamente o estado do cliente entre implantações regionais, portanto você replica seus próprios recursos com estado para atender aos seus objetivos de recuperação. Para obter mais informações, consulte Continuidade dos negócios e recuperação de desastres.

Residência de dadosResidência de dados

O plano de controle do Microsoft Discovery está disponível no Leste dos EUA, Suécia Central e Reino Unido Sul. Os recursos do grupo de recursos gerenciado (plano de dados) podem ser implantados em outras regiões por meio da implantação entre regiões, o que pode ajudar você a atender aos requisitos de residência de dados ou de capacidade. Você seleciona as regiões do Azure para esses recursos do plano de dados na sua assinatura. Para a declaração atual e autoritativa dos compromissos de residência e tratamento de dados da Microsoft, consulte o Microsoft Trust Center e os termos do seu produto Microsoft aplicável.

Conformidade e certificações

O Microsoft Discovery é construído sobre o Azure e herda as operações de segurança e a postura de conformidade da plataforma Azure e dos serviços gerenciados que ela utiliza (como Armazenamento do Azure, Serviço de Kubernetes do Azure, Pesquisa de IA do Azure  e Azure Key Vault). A Microsoft publica suas certificações, relatórios de auditoria (por exemplo, SOC e ISO) e mapeamentos de controle centralmente, em vez de por serviço.

Para avaliar a conformidade para o seu cenário:

Conteúdo relacionado

  • Última atualização em