Översikt över säkerhet och efterlevnad för Microsoft Discovery

Microsoft Discovery är en företagsagentisk AI-plattform för vetenskaplig forskning som är byggd på Azure:s företagsmolninfrastruktur. Eftersom Microsoft Discovery körs på Azure är det utformat för att fungera inom de ramverk för säkerhet, regelefterlevnad, transparens och styrning som organisationer använder för att hantera känsliga forsknings- och utvecklingsmiljöer.

Den här artikeln ger säkerhetsgranskare, arkitekter och implementerare en enda utgångspunkt för att utvärdera Microsoft Discovery. Den sammanfattar plattformens säkerhetskontroller, förklarar modellen för delat ansvar och kartlägger plattformens kapacitet till riskområdena i Shared Assessments Standardized Information Gathering (SIG)- frågeformuläret, ett vanligt använt frågeformulär för riskbedömningar av tredje part. Använd den som vägledning vid en säkerhetsgranskning och följ sedan de länkade artiklarna för tillförlitliga detaljer på kontrollnivå. För frågor på frågenivå organiserade efter SIG-domän, se SIG-baserade säkerhets- och efterlevnads-FAQ:n.

Important

Denna artikel tillhandahålls endast i informationssyfte. Det utgör inte en certifiering, attestation, revision eller garanti för efterlevnad, och det innebär inte att Microsoft Discovery är certifierad eller oberoende granskad mot något ramverk som nämns här. För den aktuella, auktoritativa listan över Microsoft-certifieringar, revisionsrapporter och detaljer om kontrollimplementering, använd Microsoft Trust Center och Service Trust Portal.

Utplacering och förtroendegräns

Microsoft Discovery distribuerar resurser i din egen Azure-prenumeration och Microsoft Entra-tenant, inte i en prenumeration som hanteras av Microsoft. När du provisionerar en arbetsplats, superdator eller bokhylla skapar tjänsten en managed resource group (MRG) i din prenumeration som håller de backend-resurser den driver åt dig.

Denna distributionsmodell har direkta säkerhetsimplikationer:

  • Kunddata och resurser som lagrar dem stannar inom din prenumeration och hyresgästgräns.
  • Du äger identitet, nätverk och åtkomstkontrollkonfiguration för omgivningen.
  • Du betalar för och styr de underliggande Azure-resurserna, och du kan tillämpa din egen Azure Policy, loggning och övervakning.

För resursmodellen och dataflödet, se Tjänstearkitekturöversikt (Tjänstearkitektur).

Delad ansvarsmodell

Säkerhet i Microsoft Discovery följer Azure-modellen för delat ansvar. Följande tabell visar hur den modellen gäller specifikt för en Discovery-distribution, förutsatt att resurser hamnar i din prenumeration.

Ansvar Microsoft Kund
Fysisk och plattformssäkerhet för Azure-datacenter Ansvarig Inte ansvarig
Kontrollplan och drift av hanterade tjänster Ansvarig Inte ansvarig
Kryptering av data i vila (standardnycklar) och under överföring på Azure-ryggraden Ansvarig Inte ansvarig
Inbyggda AI-säkerhetskontroller (innehållsfiltrering, systemskydd) Ansvarig Inte ansvarig
Konfiguration av prenumeration, virtuellt nätverk och brandvägg Inte ansvarig Ansvarig
Identitetsstyrning och rollfördelningar med minst privilegier Inte ansvarig Ansvarig
Kundhanterade nycklar (om de väljs), Key Vault och nyckellivscykel Inte ansvarig Ansvarig
Dataklassificering och skydd av data före insamling Inte ansvarig Ansvarig
Aktivera revisionsloggning, lagring och övervakning i din prenumeration Inte ansvarig Ansvarig
Affärskontinuitet och replikering av tillståndsfulla resurser Inte ansvarig Ansvarig

För AI-specifika ansvarsområden, se Responsible AI i Microsoft Discovery.

SIG-frågeformulärets domänkarta

Shared Assessments Standardized Information Gathering (SIG)-frågeformuläret organiserar tredjepartsriskfrågor i riskområden. Följande tabell mappar varje SIG-riskdomän till hur Microsoft Discovery hanterar den och var du kan hitta auktoritativ information, så att du effektivt kan genomföra en SIG Lite- eller SIG Core-bedömning. Domäner som omfattas av ärvda kontroller i Azure-plattformen hänvisar till de centrala auktoritativa källorna.

SIG-riskdomän Hur Microsoft Discovery hanterar det Reference
Hantering av företagsrisk Drivs under Microsoft företagsstyrning med centraliserad hantering, revisionsspår och kontrollpunkter för mänsklig tillsyn. Microsoft Trust Center
Cloud Services Levereras som en Azure-tjänst; resurser distribueras till din egen prenumeration och hyresgäst enligt Azure-modellen för delat ansvar. Tjänstearkitektur, delat ansvar
Efterlevnadshantering Byggt på Azure; omfattas av Azures plattformsregelefterlevnad. Certifieringar och revisionsrapporter publiceras centralt. Trust Center, Service Trust Portal
Access Control Microsoft Entra ID-autentisering, Azure RBAC, inbyggda och projektnivåroller samt minst privilegierat hanterade identiteter. Rolltilldelningar, åtkomstkontroll på Project-nivå
Applikationssäkerhet / Applikationshantering Utvecklat under Microsoft Security Development Lifecycle; du säkrar de anpassade agenter och verktyg du bygger. Ansvarsfulla AI-bästa praxis
Artificiell intelligens Foundry Guardrails innehållsfiltrering, policy för otillåten användning, förankring och källhänvisningar samt RAI-utvärderingar. Ansvarsfull AI,uppförandekod
Tillgångs- och informationshantering Data som lagras i din prenumeration via lagringscontainrar och resurser; du ansvarar för dataklassificeringen. Datahantering, lagringstillgångar
Informationssäkring Kryptering i vila som standard (Microsoft-hanterade nycklar) med valfria kundhanterade nycklar; nyckelisolering från operatörer. Datakryptering i vila
Serversäkerhet Backend körs på Azure managed services; plattformshärdning och patchning hanteras som en del av Azure-operationer. Service Trust-portalen
Slutpunktssäkerhet Inga kundändpunkter i det hanterade dataplanet; åtkomst sker via Entra ID-säkrade gränssnitt och API:er. Nätverkssäkerhet
Nätverkssäkerhet Nätverkssäkerhetsperimetrar, privata slutpunkter, injektion i virtuella nätverk och privat dataplansåtkomst som standard. Nätverkssäkerhet
IT-driftstyrning Applikations-, aktivitets- och kundkonfigurerbara revisionsloggar via Azure Monitor, med korrelations-ID-spårning. Observerbarhet, möjliggör granskningsloggning
Incidenthantering Korrelations-ID:n från början till slut för spårning; incidenthantering för plattformen och anmälan av intrång hanteras centralt. Korrelations-ID, Trust Center
Cybersäkerhet / Hothantering Körs på Azure-hanterade tjänster som ärver Azure-hotdetektering och säkerhetsoperationer. Grunderna i Azure-säkerhet
Operativ motståndskraft Multiregion-tjänstearkitektur; kunder replikerar sina egna tillståndsfulla resurser för katastrofåterställning. Affärskontinuitet och haveriberedskap
Fysisk och miljömässig säkerhet Tillhandahålls av Azure-datacenter och granskas oberoende som en del av Azure-plattformen. Service Trust-portalen
Personalsäkerhet Microsoft-personalgranskning, utbildning och åtkomststyrning drevs och dokumenterade centralt. Service Trust-portalen
Hantering av leveranskedjerisker / hantering av Nth-partsrisker Byggd på namngivna Azure-tjänster; subprocessorlista och leveranskedjesäkring publiceras centralt. Säkerhetscenter
Sekretesshantering Resurser distribueras inom din prenumeration; kontrollplansregioner och stöd för distribution av dataplan över flera regioner stöder datahemvist. Datahemvist, sekretess i Trust Center

Note

SIG-enkäten inkluderar också ett område för miljö, socialt och styrning (ESG). Microsoft behandlar ESG på företagsnivå; se Microsoft Trust Center och Microsoft hållbarhets- och företagsansvarsresurser snarare än Microsoft Discovery-produktdokumentationen.

Kartläggningar av kontrollramverk

Om din organisation standardiserar på ett annat ramverk än SIG, bygg inte om ett övergångsställe från denna dokumentation. Microsoft publicerar ramverksmappningar, certifieringsomfattningar och revisionsbevis centralt. Se Compliance-vägledning för Microsoft Discovery för information om vilka kontroller du bedömer i Discovery, vilka kontroller du ärver från Azure och vilken auktoritativ källa som svarar på varje fråga.

Identitets- och åtkomsthantering

Microsoft Discovery autentiserar användare via Microsoft Entra ID och auktoriserar åtgärder via Azure RBAC. Det som är specifikt för Discovery är rollmodellen: inbyggda plattformsroller (såsom Platform Administrator, Platform Contributor och Platform Reader), projektnivåroller som isolerar undersökningar och resursspecifika roller för åtkomst med minsta privilegium.

Service-to-service-åtkomst använder användartilldelade hanterade identiteter som du skapar och kontrollerar i din egen prenumeration, istället för hemligheter eller anslutningssträngar. Discovery definierar separata identitetsutrymmen, så att du kan tilldela separata identiteter med roller med avgränsad omfattning och hålla körningen av agentverktyg begränsad till endast de behörigheter som behövs.

Lära sig mer:

Dataskydd och kryptering

Microsoft Discovery använder Azure-datakryptering i vila, aktiverad automatiskt och transparent. Det Discovery-specifika beslutet är nyckelmodellen:

  • Microsoft-hanterade nycklar (standard): ingen kundåtgärd krävs.
  • Kundhanterade nycklar (CMK): tillgängliga för arbetsplats-, superdator- och bokhylleresurser. Du måste välja CMK vid resursskapandetid; modellen kan inte ändras efteråt.

Serviceoperatörer, ingenjörer och supportpersonal kan inte komma åt krypteringsnycklar. För mer information, se Datakryptering i vila.

Nätverkssäkerhet

Microsoft Discovery kombinerar tre nätverkskontroller i Azure och aktiverar nätverkshärdning som standard för arbetsytor och bokhyllor som hanteras med 2026-02-01-previewAPI-versionen och senare versioner:

  • Nätverkssäkerhetsperimeter begränsar hanterade resurser så att endast auktoriserade upptäcktskomponenter kan nå dem.
  • Privata slutpunkter dirigerar API-trafik för arbetsytans och bokhyllans dataplan via Microsofts stamnät.
  • Virtuell nätverksinjektion kör arbetsytans plattformstjänster och agenter i ditt virtuella nätverk, i undernät som du etablerar och delegerar.

Important

Nätverkssäkerhetsperimeter är ännu inte tillgängliga i alla regioner och för alla Azure-resurstyper. Se till att din installation sker i en region som stödjer nätverkssäkerhetsperimeter.

För nätverksspecifika krav och konfigurationsvägledning, se Nätverkssäkerhet, Virtuella nätverk och subnät, samt End-to-end nätverkshärdad utplacering.

Loggning, övervakning och revision

Microsoft Discovery integreras med Azure Monitor och visar tre kategorier av loggar:

  • Applikationsloggar samlas automatiskt in i en dedikerad Log Analytics-arbetsyta inom varje resurss MRG.
  • Aktivitetsloggar registrerar kontrollplanets operationer på Discovery-resurser.
  • Revisionsloggar kan aktiveras via diagnostiska inställningar och exporteras till ett lagringskonto eller en Log Analytics-arbetsyta som du äger, för långsiktig bevarande.

Korrelations-ID:n låter dig spåra en operation från början till ände över plattformskomponenter. För mer information, se Observerbarhet och Aktivera revisionsloggning.

AI-säkerhet och ansvarsfull AI

Microsoft Discovery följer Microsoft Responsible AI Standard. Säkerhetskontroller inkluderar innehållsfiltrering av Foundry Guardrails som som standard tillämpas på modeller skapade i Discovery, jordning med källhänvisningar och systemnivå-skyddsåtgärder. Plattformen tillämpar en policy för förbjuden användning (till exempel ingen vapenutveckling och inga försök att kringgå säkerhetssystem) och utvärderas för säkerhet och faktagrundning före varje lansering.

För mer information, se Responsible AI in Microsoft Discovery, Platform Card och Code of Conduct.

Affärskontinuitet och haveriberedskap

Microsoft Discovery använder en mycket tillgänglig, multiregion-arkitektur utformad för att undvika enskilda felpunkter i sina tjänstekomponenter. Tjänsten replikerar inte automatiskt kundstatus mellan regionala distributioner, så du replikerar dina egna tillståndsbundna resurser för att uppfylla dina återställningsmål. Mer information finns i Affärskontinuitet och haveriberedskap.

Plats för datalagring

Microsoft Discovery-styrplanet finns tillgängligt i östra USA, Sveriges centrala och södra Storbritannien. Resurser i den hanterade resursgruppen (dataplanet) kan distribueras till andra regioner genom distribution mellan regioner, vilket kan hjälpa dig att uppfylla krav på datahemvist eller kapacitet. Du väljer Azure-regionerna för dessa dataplansresurser i din prenumeration. För den aktuella, auktoritativa redogörelsen för Microsoft dataresidens och datahanteringsåtaganden, se Microsoft Trust Center och dina tillämpliga Microsoft-produktvillkor.

Efterlevnad och certifieringar

Microsoft Discovery är byggt på Azure och ärver säkerhetsoperationerna och efterlevnadsnivån från Azure-plattformen och de hanterade tjänster den använder (såsom Azure Storage, Azure Kubernetes Service, Azure AI-sökning och Azure Key Vault). Microsoft publicerar sina certifieringar, revisionsrapporter (till exempel SOC och ISO) och kontrollmappningar centralt istället för per tjänst.

För att utvärdera efterlevnad för ditt scenario:

Relaterat innehåll

  • Uppdaterades senast