Visão geral de segurança e conformidade para o Microsoft Discovery

O Microsoft Discovery é uma plataforma de IA agente empresarial para investigação científica, construída sobre a infraestrutura cloud empresarial do Azure. Por funcionar no Azure, o Microsoft Discovery foi concebido para operar no âmbito das estruturas de segurança, conformidade, transparência e governação que as organizações utilizam para gerir ambientes sensíveis de investigação e desenvolvimento (I&D).

Este artigo oferece aos revisores de segurança, arquitetos e deployers um ponto de partida único para avaliar o Microsoft Discovery. Resume os controlos de segurança da plataforma, explica o modelo de responsabilidade partilhada e relaciona as capacidades da plataforma com os domínios de risco do questionário Shared Assessments Standardized Information Gathering (SIG), frequentemente utilizado para avaliações de risco de terceiros. Utilize-o para orientar uma revisão de segurança e, em seguida, siga os artigos associados para obter informação detalhada oficial ao nível dos controlos. Para respostas ao nível da pergunta organizadas por domínio SIG, consulte as FAQ de segurança e conformidade baseadas em SIG.

Important

Este artigo é fornecido apenas para fins informativos. Não constitui certificação, atestado, auditoria ou garantia de conformidade, nem implica que o Microsoft Discovery seja certificado ou auditado de forma independente segundo qualquer estrutura aqui referenciada. Para a lista atual e autoritativa de certificações Microsoft, relatórios de auditoria e detalhes de implementação de controlo, utilize o Microsoft Trust Center e o Service Trust Portal.

Implementação e limite de confiança

O Microsoft Discovery implementa recursos na sua própria subscrição do Azure e no seu tenant do Microsoft Entra, não numa subscrição gerida pela Microsoft. Quando fornece um espaço de trabalho, supercomputador ou estante, o serviço cria um grupo de recursos geridos (MRG) na sua subscrição que guarda os recursos de backend que opera em seu nome.

Este modelo de implementação tem implicações diretas de segurança:

  • Os dados dos clientes e os recursos que os armazenam mantêm-se dentro dos limites da sua subscrição e do inquilino.
  • Tu possuis a identidade, a rede e a configuração de controlo de acessos para o ambiente envolvente.
  • Paga e governa os recursos Azure subjacentes, e pode aplicar a sua própria Azure Policy, registo e monitorização.

Para o modelo de recursos e o fluxo de dados, consulte Visão Geral da Arquitetura do Serviço.

Modelo de responsabilidade partilhada

A segurança no Microsoft Discovery segue o modelo de responsabilidade partilhada do Azure. A tabela seguinte mostra como esse modelo se aplica especificamente a uma implementação Discovery, desde que os recursos sejam incluídos na sua subscrição.

Responsabilidade Microsoft Cliente
Segurança física e de plataforma dos centros de dados Azure Responsável Não é responsável
Operação do plano de controlo e do serviço gerido Responsável Não é responsável
Encriptação de dados em repouso (chaves por defeito) e em trânsito na rede principal do Azure Responsável Não é responsável
Controlos de segurança incorporados por IA (filtragem de conteúdos, salvaguardas do sistema) Responsável Não é responsável
Configuração de subscrição, rede virtual e firewall Não é responsável Responsável
Governação de identidade e atribuições de papéis de menor privilégio Não é responsável Responsável
Chaves geridas pelo cliente (se escolhidas), Key Vault e ciclo de vida das chaves Não é responsável Responsável
Classificação de dados e proteção dos dados antes da ingestão Não é responsável Responsável
Ativar registo, retenção e monitorização de auditorias na sua subscrição Não é responsável Responsável
Continuidade do negócio e replicação de recursos com estado Não é responsável Responsável

Para responsabilidades específicas de IA, consulte IA responsável no Microsoft Discovery.

Mapa do domínio do questionário SIG

O questionário Standardized Information Gathering (SIG) da Shared Assessments organiza as questões sobre risco de terceiros em domínios de risco. A tabela seguinte mapeia cada domínio de risco SIG para a forma como o Microsoft Discovery o aborda e onde encontrar detalhes autoritativos, para que possa completar uma avaliação SIG Lite ou SIG Core de forma eficiente. Os domínios abrangidos pelos controlos herdados da plataforma Azure apontam para as fontes de referência centrais.

Domínio de risco SIG Como o Microsoft Discovery aborda isto Reference
Gestão de Riscos empresariais Operado sob a governação empresarial da Microsoft, com gestão centralizada, registos de auditoria e pontos de controlo de supervisão humana. Central de Confiabilidade da Microsoft
Serviços Cloud Entregue como um serviço Azure; os recursos são implementados na sua própria subscrição e tenant sob o modelo de responsabilidade partilhada do Azure. Arquitetura de serviços, Responsabilidade partilhada
Gestão de Conformidade Construído no Azure; herda a conformidade da plataforma Azure. As certificações e os relatórios de auditoria são publicados centralmente. Centro de Confiança, Portal de Confiança de Serviços
Controlo de Acesso Autenticação Microsoft Entra ID, Azure RBAC, funções incorporadas e ao nível do projeto, e identidades geridas com privilégios mínimos. Atribuições de funções, controlo de acesso ao nível do Project
Segurança de Aplicações / Gestão de Aplicações Desenvolvido ao abrigo do Ciclo de Vida de Desenvolvimento de Segurança da Microsoft; é responsável por proteger os agentes personalizados e as ferramentas que cria. Melhores práticas de IA responsável
Inteligência Artificial filtragem de conteúdo do Foundry Guardrails, política de utilização proibida, ancoragem e citações, e avaliações de RAI. IA responsável, Código de conduta
Gestão de Ativos e Informação Dados armazenados na sua subscrição através de contentores de armazenamento e ativos; a classificação dos dados é sua. Gestão de dados, ativos de armazenamento
Garantia da Informação Encriptação em repouso predefinida (chaves geridas pela Microsoft), com opção de chaves geridas pelo cliente; isolamento das chaves relativamente aos operadores. Encriptação de dados em repouso
Segurança do servidor O backend corre em serviços geridos do Azure; o reforço da plataforma e a aplicação de correções são tratados como parte das operações do Azure. Portal de Confiança do Serviço
Segurança de Endpoint Sem endpoints de cliente no plano de dados geridos; o acesso é feito através de interfaces e APIs seguras pelo Entra ID. Segurança da rede
Segurança de Rede Perímetros de Segurança da Rede, pontos finais privados, injeção na rede virtual e acesso ao plano de dados privado por predefinição. Segurança da rede
Gestão de Operações de TI Registos de auditoria de aplicações, atividades e configuráveis pelo cliente no Azure Monitor, com rastreio por ID de correlação. Observabilidade, Ativar registo de auditoria
Gestão de Incidentes IDs de correlação de ponta a ponta para rastreio; resposta a incidentes da plataforma e notificação de violações geridas centralmente. IDs de correlação, Centro de Confiança
Cibersegurança / Gestão de Ameaças Corre em serviços geridos do Azure que herdam operações de deteção e segurança de ameaças do Azure. Fundamentos de segurança do Azure
Resiliência Operacional Arquitetura de serviços multi-região; os clientes replicam os seus próprios recursos com estado para recuperação após desastre. Continuidade de negócio e recuperação após desastre
Segurança Física e Ambiental Fornecido pelos centros de dados Azure e auditado de forma independente como parte da plataforma Azure. Portal de Confiança do Serviço
Segurança de Recursos Humanos A seleção, a formação e a governação dos acessos do pessoal da Microsoft são efetuadas e documentadas de forma centralizada. Portal de Confiança do Serviço
Gestão de Risco da Cadeia de Abastecimento / Gestão de N‑ésimas Partes Baseado em serviços Azure identificados pelo nome; a lista de subprocessadores e a garantia relativa à cadeia de abastecimento são publicadas de forma centralizada. Centro de Confiança
Gestão de Privacidade Os recursos são implementados na sua subscrição; as regiões do plano de controlo e a implementação inter-regional do plano de dados permitem a residência dos dados. Residência de dados, privacidade do Centro de Confiança

Note

O questionário SIG inclui também um domínio Ambiental, Social e de Governação (ESG). A Microsoft aborda o ESG ao nível corporativo; consulte o Microsoft Trust Center e os recursos de sustentabilidade e responsabilidade corporativa da Microsoft, em vez da documentação do produto Microsoft Discovery.

Mapeamentos do quadro de controlo

Se a sua organização padronizar numa estrutura diferente do SIG, não reconstrua uma faixa de peões a partir desta documentação. A Microsoft publica mapeamentos de frameworks, âmbitos de certificação e provas de auditoria de forma centralizada. Consulte as orientações de conformidade do Microsoft Discovery para obter informações sobre quais os controlos que avalia no Discovery, quais os controlos que herda do Azure e que fonte autoritativa responde a cada pergunta.

Gestão de identidade e acesso

O Microsoft Discovery autentica os utilizadores através do Microsoft Entra ID e autoriza ações através do Azure RBAC. O que é específico do Discovery é o modelo de funções: funções integradas da plataforma (como Administrador da Plataforma, Contribuidor da Plataforma e Leitor da Plataforma), funções de nível de projeto que isolam investigações e funções específicas de recursos para acesso de privilégio mínimo.

O acesso entre serviços utiliza identidades geridas atribuídas pelo utilizador que cria e controla na sua própria subscrição, em vez de segredos ou cadeias de ligação. O Discovery define slots de identidade distintos, por isso podes atribuir identidades separadas com papéis definidos e limitar a execução da ferramenta agente às permissões necessárias.

Saiba mais:

Proteção de dados e encriptação

O Microsoft Discovery utiliza encriptação de dados do Azure em repouso, ativada automaticamente e de forma transparente. A decisão específica da Discovery é o modelo chave:

  • Chaves geridas pela Microsoft (por defeito): não é necessária ação do cliente.
  • Chaves geridas pelo cliente (CMK): disponíveis para recursos de espaço de trabalho, supercomputador e estante. Tem de escolher CMK na altura da criação do recurso; o modelo não pode ser alterado depois.

Operadores de serviço, engenheiros e pessoal de apoio não conseguem aceder a chaves de encriptação. Para mais informações, veja Encriptação de dados em repouso.

Segurança de rede

O Microsoft Discovery combina em camadas três controlos de rede do Azure e ativa, por predefinição, o reforço da segurança da rede para áreas de trabalho e bibliotecas geridas com a versão 2026-02-01-preview da API e versões posteriores:

  • Os perímetros de segurança de rede restringem os recursos geridos, de modo que apenas componentes autorizados de Discovery os possam alcançar.
  • Pontos finais privados encaminham o tráfego da API do espaço de trabalho e do plano de dados do bookshelf pela rede principal da Microsoft.
  • A injeção de rede virtual executa serviços e agentes da plataforma da área de trabalho na sua rede virtual, em sub-redes que aprovisiona e delega.

Important

Os perímetros de segurança de rede ainda não estão disponíveis em todas as regiões e para todos os tipos de recursos do Azure. Assegure que a sua implementação ocorre numa região que suporte perímetros de segurança de rede.

Para requisitos de rede específicos para implementação e orientações de configuração, consulte Segurança de rede, Redes virtuais e sub-redes, e Implantação endurecida em rede de ponta a ponta.

Registo, monitorização e auditoria

O Microsoft Discovery integra-se com o Azure Monitor e apresenta três categorias de logs:

  • Os registos de aplicação são recolhidos automaticamente num espaço de trabalho dedicado de Log Analytics dentro do MRG de cada recurso.
  • Os registos de atividade registam as operações do plano de controlo nos recursos Discovery.
  • Os registos de auditoria são ativados opcionalmente através das definições de diagnóstico e são exportados para uma conta de armazenamento ou para um espaço de trabalho do Log Analytics de que é proprietário, para retenção de longo prazo.

Os IDs de correlação permitem-lhe traçar uma operação de ponta a ponta entre os componentes da plataforma. Para mais informações, consulte Observabilidade e Permitir registos de auditoria.

Segurança da IA e IA responsável

O Microsoft Discovery segue o Padrão de IA Responsável da Microsoft. Os controlos de segurança incluem filtragem de conteúdos do Foundry Guardrails, aplicada por predefinição aos modelos criados no Discovery, ancoragem com citações e salvaguardas ao nível do sistema. A plataforma aplica uma política de uso proibido (por exemplo, sem desenvolvimento de armas e sem desvio de sistemas de segurança) e é avaliada quanto à segurança e à capacidade de aterramento antes de cada lançamento.

Para mais informações, consulte IA responsável na Microsoft Discovery, Cartão de Plataforma e Código de conduta.

Continuidade de negócio e recuperação após desastre

O Microsoft Discovery utiliza uma arquitetura multirregional altamente disponível, concebida para evitar pontos únicos de falha nos seus componentes de serviço. O serviço não replica automaticamente o estado do cliente entre implementações em diferentes regiões, pelo que terá de replicar os seus próprios recursos com estado para cumprir os seus objetivos de recuperação. Para mais informações, consulte Continuidade de negócio e recuperação após desastre.

Residência dos dados

O plano de controlo do Microsoft Discovery está disponível em EUA Leste, Suécia Central e Sul do Reino Unido. Os recursos de grupos de recursos geridos (data-plane) podem ser implementados noutras regiões através de implantação inter-regional, o que pode ajudar a satisfazer os requisitos de residência de dados ou capacidade. Seleciona as regiões do Azure para estes recursos do plano de dados na sua subscrição. Para a declaração atual e autoritativa dos compromissos de residência e gestão de dados da Microsoft, consulte o Microsoft Trust Center e os seus termos de produto Microsoft aplicáveis.

Conformidade e certificações

O Microsoft Discovery é construído sobre o Azure e herda as operações de segurança e a postura de conformidade da plataforma Azure e dos serviços geridos que utiliza (como Armazenamento do Azure, Azure Kubernetes Service, Pesquisa de IA do Azure e Azure Key Vault). A Microsoft publica as suas certificações, relatórios de auditoria (por exemplo, SOC e ISO) e mapeamentos de controlo centralmente, em vez de por serviço.

Para avaliar a conformidade para o seu cenário:

Conteúdo relacionado

  • Última atualização a