Обзор безопасности и соответствия требованиям для Microsoft Discovery

Microsoft Discovery — это корпоративная агентная AI-платформа для научных исследований, построенная на корпоративной облачной инфраструктуре Azure. Поскольку Microsoft Discovery работает на Azure, она разработана для работы в рамках безопасности, соответствия требованиям, прозрачности и управления, которые организации используют для управления чувствительными средами исследований и разработок (R&D).

Эта статья даёт экспертам, архитекторам и разработчикам безопасности единую отправную точку для оценки Microsoft Discovery. В нём представлены меры контроля безопасности платформы, объясняется модель совместной ответственности и сопоставлены возможности платформы с доменами риска анкеты Shared Assessments Standardized Information Gathering (SIG ) — широко используемой анкеты для оценки рисков третьих сторон. Используйте её для проведения проверки безопасности, а затем перейдите к статьям по ссылкам, чтобы получить авторитетную подробную информацию по каждой мере контроля. Для ответов на уровне вопросов, организованных по домену SIG, см. FAQ по безопасности и соответствию на основе SIG.

Это важно

Эта статья предоставлена исключительно в информационных целях. Это не является сертификацией, подтверждением, аудитом или гарантией соответствия требованиям, и не означает, что Microsoft Discovery сертифицирован или независимо аудитирован по любым фреймворкам, упомянутым здесь. Для получения актуального авторитетного списка сертификаций, аудитских отчётов и деталей внедрения контроля Microsoft используйте Microsoft Trust Center и Service Trust Portal.

Развертывание и граница доверия

Microsoft Discovery развертывает ресурсы в вашей собственной подписке Azure и клиенте Microsoft Entra, а не в подписке, управляемой Microsoft. Когда вы создаёте рабочее пространство, суперкомпьютер или книжную полку, сервис создаёт управляемую группу ресурсов (MRG) в вашей подписке, которая содержит бэкенд-ресурсы, которыми управляет от вашего имени.

Эта модель развертывания имеет прямые последствия для безопасности:

  • Данные клиентов и ресурсы, в которых они хранятся, остаются в границах вашей подписки и клиента.
  • Вы отвечаете за настройку системы идентификации, сети и контроля доступа в окружающем окружении.
  • Вы оплачиваете и управляете базовыми ресурсами Azure, а также можете применять собственную Политика Azure, логирование и мониторинг.

Для модели ресурсов и потока данных см. обзор архитектуры сервисов.

Модель общей ответственности

Безопасность в Microsoft Discovery работает по модели совместной ответственности Azure. В следующей таблице показано, как эта модель применяется именно к развертыванию Discovery, учитывая, что ресурсы попадают в вашу подписку.

Ответственность Корпорация Майкрософт Клиент
Физическая и платформенная безопасность дата-центров Azure Ответственный Не ответственен
Работа плоскости управления и управляемого сервиса Ответственный Не ответственен
Шифрование данных при хранении (ключи по умолчанию) и при передаче в магистральной сети Azure Ответственный Не ответственен
Встроенные системы безопасности на основе ИИ (фильтрация контента, системные гарантии) Ответственный Не ответственен
Подписка, конфигурация виртуальной сети и межсетевого экрана Не ответственен Ответственный
Управление идентичностью и назначение ролей с наименьшими привилегиями Не ответственен Ответственный
Ключи, управляемые клиентом (если выбраны), Key Vault и жизненный цикл ключа Не ответственен Ответственный
Классификация и защита данных до их использования Не ответственен Ответственный
Включение ведения журнала аудита, хранения и мониторинга в вашей подписке Не ответственен Ответственный
Обеспечение непрерывности бизнеса и репликация ресурсов с сохранением состояния Не ответственен Ответственный

Для обязанностей, связанных с ИИ, см. раздел «Ответственный ИИ в Microsoft Discovery».

Карта доменов опросника SIG

Опросник Shared Assessments Standardized Information Gathering (SIG) организует вопросы о рисках третьих сторон по доменам риска. Следующая таблица отображает каждую область риска SIG так, как Microsoft Discovery его решает и где найти достоверные данные, чтобы вы могли эффективно провести оценку SIG Lite или SIG Core. Домены, удовлетворённые унаследованными контролями платформы Azure, указывают на центральные источники истины.

Домен риска SIG Как Microsoft Discovery решает эту проблему Reference
Управление корпоративными рисками Функционирует в рамках корпоративного управления Microsoft с централизованным администрированием, журналами аудита и этапами контроля со стороны человека. Центр доверия Microsoft
Cloud Services Предоставляется как служба Azure; ресурсы развёртываются в вашей собственной подписке и клиенте в соответствии с моделью совместной ответственности Azure. Архитектура сервиса, совместная ответственность
Управление соответствием требованиям Создано на базе Azure; наследует соответствие требованиям платформы Azure. Сертификации и отчеты по аудиту публикуются централизованно. Центр доверия, портал сервисного доверия
контроль доступа Аутентификация Microsoft Entra ID, Azure RBAC, встроенные и проектные роли, а также управляемые идентичности с наименьшими привилегиями. Распределение ролей, контроль доступа на уровне Project
Безопасность приложений / Управление приложениями Разработано в рамках жизненного цикла Security Development от Microsoft; вы защищаете пользовательские агенты и инструменты, которые создаёте. Ответственные лучшие практики в области ИИ
Искусственный интеллект Фильтрация контента в Foundry Guardrails, политика в отношении запрещенного использования, обоснование ответов и цитирование источников, а также оценки RAI. Ответственный ИИ, Кодекс поведения
Управление активами и информацией Данные, хранящиеся в вашей подписке в контейнерах хранения и ресурсах; классификацию данных определяете вы. обработка данных, ресурсы хранения
Информационная безопасность Шифрование в состоянии покоя по умолчанию (ключи с управлением Microsoft) с опциональными ключами, управляемыми клиентом; изоляция ключей от операторов. Шифрование неактивных данных
Безопасность сервера Бэкенд работает на управляемых сервисах Azure; упрочнение платформы и патчирование осуществляются в рамках операций Azure. Портал управления безопасностью служб
Безопасность конечной точки В управляемой плоскости данных нет клиентских конечных точек; доступ осуществляется через интерфейсы и API, защищённые Entra ID. Безопасность сети
Сетевая безопасность Периметры сетевой безопасности, приватные конечные точки, внедрение в виртуальную сеть и доступ к плоскости данных, закрытый по умолчанию. Безопасность сети
Управление ИТ-операциями Журналы аудита приложений, действий и настраиваемые клиентом журналы через Azure Monitor с трассировкой по correlation ID. Наблюдаемость, включить логирование аудита
Управление инцидентами Сквозные корреляционные идентификаторы для отслеживания; централизованная обработка реагирования на инциденты и уведомления о нарушениях платформы. Корреляционные идентификаторы, Центр доверия
Кибербезопасность / Управление угрозами Работает на управляемых сервисах Azure, которые наследуют операции обнаружения угроз и безопасности Azure. Основы обеспечения безопасности в Azure
Оперативная устойчивость Архитектура мультирегиональных сервисов; клиенты воспроизводят собственные ресурсы состояния для восстановления после катастроф. Непрерывность бизнес-процессов и аварийное восстановление
Физическая и окружающая безопасность Предоставляется дата-центрами Azure и проходит независимый аудит в рамках платформы Azure. Портал управления безопасностью служб
Обеспечение безопасности со стороны персонала Проверка персонала, обучение и управление доступом Microsoft осуществлялись и документировались централизованно. Портал управления безопасностью служб
Управление рисками цепочки поставок / Управление рисками n-й стороны Построен на названных сервисах Azure; список субпроцессоров и обеспечение цепочки поставок публикуются централизованно. Центр доверия
Управление конфиденциальностью Ресурсы развертываются в вашей подписке; регионы плоскости управления и межрегиональное развертывание в плоскости данных поддерживают требования к резидентности данных. Локализация данных, Конфиденциальность в Центре доверия

Note

Опросник SIG также включает область экологической, социальной и корпоративной (ESG). Microsoft рассматривает вопросы ESG на корпоративном уровне; см. ресурсы Microsoft Trust Center и Microsoft по устойчивому развитию и корпоративной ответственности, а не документацию продукта Microsoft Discovery.

Отображения структуры управления

Если ваша организация стандартизируется на фреймворке, отличном от SIG, не строите переход заново на основе этой документации. Microsoft централизованно публикует сопоставления фреймворков, сферы сертификации и аудитские данные. Смотрите руководство по соответствию для Microsoft Discovery, чтобы узнать информацию о том, какие контроли вы оцениваете в Discovery, какие контроли унаследованы от Azure и какой авторитетный источник отвечает на каждый вопрос.

Управление идентификацией и доступом

Microsoft Discovery аутентифицирует пользователей через Microsoft Entra ID и авторизирует действия через Azure RBAC. Особенность Discovery — это образец для подражания: встроенные роли платформы (такие как администратор платформы, участник платформы и читатель платформы), роли на уровне проекта, изолирующие расследования, и ресурсоспецифические роли для доступа с наименьшими привилегиями.

Межсервисный доступ использует управляемые удостоверения, назначаемые пользователем, которые вы создаёте и контролируете в собственной подписке, а не секреты или строки подключения. Discovery определяет отдельные слоты идентификации, поэтому вы можете назначать отдельные идентификаторы с ролями с ограниченной областью действия и ограничивать выполнение инструментов агента только теми разрешениями, которые им необходимы.

Подробнее:

Защита и шифрование данных

Microsoft Discovery использует шифрование данных Azure в состоянии покоя, включаемое автоматически и прозрачно. Решение, специфичное для Discovery, является ключевой моделью:

  • Ключи, управляемые Microsoft (по умолчанию): не требуется никаких действий со стороны клиента.
  • Ключи, управляемые клиентом (CMK): доступны для рабочих мест, суперкомпьютеров и книжных полок. Вы должны выбрать CMK при создании ресурса; модель после этого изменить нельзя.

Операторы службы, инженеры и персонал поддержки не могут получить доступ к ключам шифрования. Для получения дополнительной информации см. раздел «Шифрование данных в состоянии покоя».

Сетевая безопасность

Microsoft Discovery наслоивает три элемента сетевого управления Azure и по умолчанию обеспечивает ужесточение сети для рабочих пространств и книжных полок, управляемых версией 2026-02-01-preview API и более поздней:

  • Периметры сетевой безопасности ограничивают управляемые ресурсы так, что только авторизованные компоненты Discovery могут к ним обращаться.
  • Частные конечные точки направляют трафик API плоскости данных рабочей области и Bookshelf через магистральную сеть Microsoft.
  • Внедрение в виртуальную сеть развёртывает службы и агенты платформы рабочей области в вашей виртуальной сети, в подсетях, которые вы создаёте и делегируете.

Это важно

Сетевые ограничения безопасности пока не доступны во всех регионах и для всех типов ресурсов Azure. Убедитесь, что ваше развертывание происходит в регионе, поддерживающем периметры сетевой безопасности.

Для требований к сети для конкретного развертывания и рекомендаций по настройке см. Сетевая безопасность, Виртуальные сети и подсети и Комплексное защищённое с точки зрения сети развертывание.

Журналирование, мониторинг и аудит

Microsoft Discovery интегрируется с Azure Monitor и отображает три категории логов:

  • Журналы приложений собираются автоматически в выделенном рабочем пространстве Log Analytics внутри MRG каждого ресурса.
  • Журналы действий записывают операции уровня управления для ресурсов Discovery.
  • Журналы аудита можно включить в настройки диагностики и экспортировать в аккаунт хранения или рабочее пространство Log Analytics, которое вам принадлежит, для долгосрочного сохранения.

Корреляционные идентификаторы позволяют отслеживать операцию от начала до конца между компонентами платформы. Для получения дополнительной информации см. разделы «Наблюдаемость » и «Включить логирование аудита».

Безопасность ИИ и ответственный ИИ

Microsoft Discovery следует стандарту Microsoft Responsible AI. Меры безопасности включают фильтрацию контента Foundry Guardrails, которая по умолчанию применяется к моделям, созданным в Discovery, привязку к источникам с цитированием и механизмы защиты на уровне системы. Платформа применяет политику запрета использования (например, запрет на разработку оружия и обход систем безопасности) и оценивается на безопасность и устойчивость перед каждым выпуском.

Для получения дополнительной информации см. разделы «Ответственный ИИ в Microsoft Discovery», «Карта платформы» и «Кодекс поведения».

Непрерывность бизнес-процессов и аварийное восстановление

Microsoft Discovery использует высокодоступную многорегиональную архитектуру, разработанную для предотвращения единичных точек отказа в компонентах сервиса. Сервис не воспроизводит автоматически состояние клиента между региональными развертываниями, поэтому вы воспроизводите собственные ресурсы состояния для достижения целей восстановления. Дополнительные сведения см. в разделе Непрерывность бизнес-процессов и аварийное восстановление.

Место расположения данных

Управляющий самолет Microsoft Discovery доступен на востоке США, в Швеции-Центральном и Великобритании на юге. Ресурсы управляемой группы ресурсов (data-plane) можно развертывать в других регионах с помощью межрегионального развертывания, что поможет вам выполнить требования к размещению данных или емкости. В своей подписке вы выбираете регионы Azure для этих ресурсов уровня данных. Актуальную официальную информацию об обязательствах Microsoft в отношении хранения и обработки данных см. в Microsoft Trust Center и в применимых условиях использования продуктов Microsoft.

Соответствие и сертификация

Microsoft Discovery построен на базе Azure и наследует функции безопасности и соответствия платформе Azure и управляемых сервисов (таких как служба хранилища Azure, Служба Azure Kubernetes, Поиск с использованием ИИ Azure и Azure Key Vault). Microsoft публикует свои сертификаты, аудитские отчёты (например, SOC и ISO) и управляющие отображения централизованно, а не по сервисам.

Чтобы оценить соответствие требованиям для вашего сценария:

  • Ознакомьтесь с Microsoft Trust Center, чтобы узнать о предложениях по обеспечению соответствия требованиям и о том, как они применяются к сервисам Azure.
  • Скачайте отчёты по аудиту и контрольную документацию с портала Service Trust.
  • Используйте руководство по соответствию, чтобы отделить контроли, которые вы оцениваете в Discovery, от тех, что унаследовали от Azure.

Связанные материалы

  • Последнее обновление: