Microsoft Discovery için Güvenlik ve Uyumluluk Genel Özeti

Microsoft Discovery, Azure'un kurumsal bulut altyapısı üzerine inşa edilmiş bilimsel araştırmalar için kurumsal bir ajanik yapay zeka platformudur. Azure üzerinde çalıştığı için, Microsoft Discovery kuruluşların hassas araştırma ve geliştirme (Ar-D) ortamlarını yönetmek için kullandığı güvenlik, uyumluluk, şeffaflık ve yönetişim çerçeveleri içinde çalışacak şekilde tasarlanmıştır. D.

Bu makale, güvenlik incelemecilerine, mimarlara ve deployer'lara Microsoft Discovery'yi değerlendirmek için tek bir başlangıç noktası sunar. Platformun güvenlik kontrollerini özetliyor, paylaşılan sorumluluk modelini açıklıyor ve platformun yeteneklerini, üçüncü taraf risk değerlendirmeleri için yaygın kullanılan Paylaşılan Değerlendirmeler Standartlaştırılmış Bilgi Toplama (SIG) anketinin risk alanlarına eşliyor. Bunu bir güvenlik incelemesi için yönlendirmek için kullanın, ardından otoriter, kontrol düzeyinde detaylar için bağlantılı makaleleri takip edin. SIG alan adına göre düzenlenen soru düzeyindeki yanıtlar için SIG tabanlı güvenlik ve uyum SSS'ye bakınız.

Important

Bu makale yalnızca bilgilendirme amacıyla sunulmuştur. Bu, bir sertifikasyon (belge), doğrulama, denetim veya uyumluluk garantisi anlamına gelmez ve Microsoft Discovery'nin burada referans verilen herhangi bir çerçeveye göre sertifikalandırıldığı veya bağımsız olarak denetlendiği anlamına gelmez. Microsoft sertifikaları, denetim raporları ve kontrol uygulama detaylarının mevcut ve yetkili listesi için Microsoft Trust Center ve Service Trust Portal'ı kullanın.

Dağıtım ve güven sınırı

Microsoft Discovery, kaynakları Microsoft tarafından yönetilen bir aboneliğe değil, kendi Azure aboneliğinize ve Microsoft Entra kiracınıza dağıtır. Bir çalışma alanı, süper bilgisayar veya kitaplık oluşturduğunuzda hizmet, aboneliğinizde sizin adınıza işlettiği arka uç kaynaklarını barındıran bir yönetilen kaynak grubu (MRG) oluşturur.

Bu dağıtım modelinin doğrudan güvenlik sonuçları vardır:

  • Müşteri verileri ve bunları saklayan kaynaklar, aboneliğiniz ve kiracı sınırlarınız içinde kalır.
  • İlgili ortamın kimlik, ağ ve erişim denetimi yapılandırması sizin sorumluluğunuzdadır.
  • Altta yatan Azure kaynaklarını siz yönetiyorsunuz ve kendi Azure İlkesi'nizi uygulayabiliyorsunuz, loging yapabiliyor ve izleme yapabilirsiniz.

Kaynak modeli ve veri akışı için bkz. Hizmet mimarisi genel büzeri.

Paylaşılan sorumluluk modeli

Microsoft Discovery'deki güvenlik, Azure paylaşılan sorumluluk modelini takip eder. Aşağıdaki tablo, kaynakların aboneliğinizde yer aldığı durumda bu modelin özellikle bir Discovery dağıtımı için nasıl uygulandığını göstermektedir.

Sorumluluk Microsoft Bilişim Sistemleri Müşteri
Azure veri merkezlerinin fiziksel ve platform güvenliği Sorumlu Sorumlu değil
Kontrol düzlemi ve yönetilen hizmet işletimi Sorumlu Sorumlu değil
Azure omurgasında duran (varsayılan anahtarlar) ve geçiş halindeki verilerin şifrelenmesi Sorumlu Sorumlu değil
Yerleşik yapay zeka güvenlik kontrolleri (içerik filtreleme, sistem korumaları) Sorumlu Sorumlu değil
Abonelik, sanal ağ ve güvenlik duvarı yapılandırması Sorumlu değil Sorumlu
Kimlik yönetimi ve en az ayrıcalıklı rol atamaları Sorumlu değil Sorumlu
Müşteri tarafından yönetilen anahtarlar (seçilirse), Key Vault ve anahtar yaşam döngüsü Sorumlu değil Sorumlu
Veri sınıflandırması ve alınmadan önce veri koruma Sorumlu değil Sorumlu
Aboneliğinizde denetim kaydı, tutma ve izleme imkanı sağlamak Sorumlu değil Sorumlu
İş sürekliliği ve durum bilgisi tutan kaynakların çoğaltılması Sorumlu değil Sorumlu

Yapay zekaya özgü sorumluluklar için bkz. Microsoft Discovery'de Sorumlu Yapay Zeka.

SIG anket alan haritası

Paylaşılan Değerlendirmeler Standartlaştırılmış Bilgi Toplama (SIG) anketi, üçüncü taraf risk sorularını risk alanlarına düzenler. Aşağıdaki tablo, her SIG risk alanını Microsoft Discovery'nin bunu nasıl ele aldığı ve yetkili detayların nerede bulunabileceğine göre eşler, böylece SIG Lite veya SIG Core değerlendirmesini verimli bir şekilde tamamlayabiliyorsunuz. Miras alınan Azure platform kontrolleriyle tatmin edilen alan adları, gerçeğin merkezi kaynaklarına işaret eder.

SIG risk alanı Microsoft Discovery bunu nasıl ele alıyor Reference
Kurumsal Risk Yönetimi Microsoft kurumsal yönetişimi altında, merkezi yönetim, denetim izleri ve insan denetimi kontrol noktalarıyla işletilmektedir. Microsoft Güven Merkezi
Cloud Services Azure hizmeti olarak sunuluyor; kaynaklar Azure paylaşılan sorumluluk modeli altında kendi aboneliğinize ve kiracınıza dağıtılıyor. Hizmet mimarisi, Paylaşılan sorumluluk
Uyumluluk Yönetimi Azure üzerinde inşa edildi; Azure platform uyumluluğunu devralıyor. Sertifikalar ve denetim raporları merkezi olarak yayımlanır. Güven Merkezi, Hizmet Güven Portalı
Erişim Denetimi Microsoft Entra ID doğrulama, Azure RBAC, yerleşik ve proje düzeyindeki roller ve en az ayrıcalıklı yönetilen kimlikler. Rol atamaları, Project düzeyinde erişim kontrolü
Uygulama Güvenliği / Uygulama Yönetimi Microsoft'un Güvenlik Geliştirme Yaşam Döngüsü kapsamında geliştirilen bu program; oluşturduğunuz özel ajanları ve araçları güvence altına alırsınız. Sorumlu Yapay Zeka en iyi uygulamaları
Yapay Zeka Foundry Guardrails içerik filtreleme, yasaklı kullanım politikası, dayanaklandırma ve atıflar ile RAI değerlendirmeleri. Sorumlu Yapay Zeka, Davranış Kuralları
Varlık ve Bilgi Yönetimi Aboneliğinizde depolama konteynerleri ve varlıklar aracılığıyla veriler saklanır; veri sınıflandırmasına sahip olursunuz. Veri işleme,Depolama varlıkları
Bilgi Güvencesi Varsayılan olarak bekleyen verilerin şifrelenmesi (Microsoft tarafından yönetilen anahtarlar) ve isteğe bağlı müşteri tarafından yönetilen anahtarlar; anahtarların operatörlerden yalıtılması. Veri hâlinde şifreleme
Sunucu Güvenliği Backend, Azure yönetilen hizmetlerde çalışır; platform sertleştirme ve yamalama Azure işlemlerinin bir parçası olarak gerçekleştirilir. Hizmet Güveni Portalı
Uç Nokta Güvenliği Yönetilen veri düzleminde müşteri uç noktaları yoktur; erişim Entra ID ile güvenli arayüzler ve API'ler üzerinden yapılır. Ağ güvenliği
Ağ Güvenliği ağ güvenliği sınırları, özel uç noktalar, sanal ağ ekleme ve varsayılan olarak özel veri düzlemi erişimi. Ağ güvenliği
BT Operasyonları Yönetimi Azure İzleyici üzerinden, korelasyon kimliği izlemesiyle uygulama, etkinlik ve müşteri tarafından yapılandırılabilen denetim günlükleri. Gözlemlenebilirlik, Denetim kaydını etkinleştir
Olay Yönetimi Takip için uçtan uca korelasyon kimlikleri; platform olay yanıtı ve ihlal bildirimi merkezi olarak yönetilir. Korelasyon Kimlikleri, Güven Merkezi
Siber güvenlik / Tehdit Yönetimi Azure tehdit algılama ve güvenlik işlemlerini devralan Azure yönetilen servislerde çalışır. Azure güvenliğiyle ilgili temel bilgiler
Operasyonel Dayanıklılık Çok bölgeli hizmet mimarisi; müşteriler felaket kurtarma için kendi durumlu kaynaklarını çoğaltıyor. İş sürekliliği ve olağanüstü durum kurtarma
Fiziksel ve Çevresel Güvenlik Azure veri merkezleri tarafından sağlanmakta ve Azure platformunun bir parçası olarak bağımsız olarak denetlenmektedir. Hizmet Güveni Portalı
İnsan Kaynakları Güvenliği Microsoft personel taraması, eğitimi ve erişim yönetimi merkezi olarak işletildi ve belgelendi. Hizmet Güveni Portalı
Tedarik Zinciri Risk Yönetimi / N’inci Taraf Yönetimi Isimli Azure hizmetleri üzerine inşa edilmiştir; alt işlemci listesi ve tedarik zinciri güvencesi merkezi olarak yayımlanır. Güven Merkezi
Gizlilik Yönetimi Kaynaklar aboneliğinizde dağıtılır; kontrol düzlemi bölgeleri ve bölgeler arası veri düzlemi dağıtım desteği veri yerleşikliğini destekler. Veri yerleşimi, Güven Merkezi gizliliği

Note

SIG anketi ayrıca Çevre, Sosyal ve Yönetişim (ESG) alanını da içerir. Microsoft, ESG'yi kurumsal düzeyde ele alır; Microsoft Discovery ürün dokümantasyonu yerine Microsoft Trust Center ve Microsoft sürdürülebilirlik ve kurumsal sorumluluk kaynaklarına bakabilirsiniz.

Kontrol çerçevesi eşlemeleri

Eğer organizasyonunuz SIG dışında bir çerçevede standartlaşıyorsa, bu dokümantasyondan bir yaya geçidi yeniden inşa etmeyin. Microsoft, çerçeve eşlemelerini, sertifikasyon kapsamlarını ve denetim kanıtlarını merkezi olarak yayımlar. Discovery'de hangi kontrolleri değerlendirdiğiniz, hangi kontrolleri Azure'dan miras aldığınız ve hangi yetkili kaynağın her soruya yanıt verdiği hakkında bilgi almak için Microsoft Discovery için Uyum rehberine bakınız.

Kimlik ve erişim yönetimi

Microsoft Discovery, kullanıcıları Microsoft Entra ID üzerinden doğrular ve Azure RBAC üzerinden eylemleri yetkiler. Discovery'e özgü olan ise rol modeldir: yerleşik platform rolleri (örneğin Platform Yöneticisi, Platform Katkı Sağlayıcısı ve Platform Okuyucu), soruşturmaları izole eden proje düzeyindeki roller ve en az ayrıcalıklı erişim için kaynak özel roller.

Servis-hizmet erişimi, sırlar veya bağlantı dizileri yerine kendi aboneliğinizde oluşturduğunuz ve kontrol ettiğiniz kullanıcı tarafından atanan yönetilen kimlikleri kullanır. Keşif, farklı kimlik yuvaları tanımlar, böylece kapsamlı rollere sahip ayrı kimlikler ataabilir ve ajan aracı yürütmesini ihtiyaç duyduğu izinlerle sınırlı tutabilirsiniz.

Daha fazla bilgi edinin:

Veri koruma ve şifreleme

Microsoft Discovery, otomatik ve şeffaf şekilde etkinleştirilmiş Azure veri şifrelemesini kullanıyor. Keşife özgü karar temel modeldir:

  • Microsoft tarafından yönetilen anahtarlar (varsayılan): müşteri eylemi gerekmez.
  • Müşteri tarafından yönetilen anahtarlar (CMK): çalışma alanı, süper bilgisayar ve kitaplık kaynakları için mevcuttur. Kaynak oluşturma zamanında CMK'yı seçmelisiniz; model sonrasında değiştirilemez.

Servis operatörleri, mühendisler ve destek personeli şifreleme anahtarlarına erişemiyor. Daha fazla bilgi için bkz. Veri şifreleme hareketsiz durumda.

Ağ güvenliği

Microsoft Discovery, üç Azure ağ denetimini katmanlı olarak bir araya getirir ve 2026-02-01-preview API sürümü ve sonraki sürümlerle yönetilen çalışma alanları ile kitap rafları için ağ sağlamlaştırmasını varsayılan olarak etkinleştirir:

  • Ağ güvenliği sınırları, yönetilen kaynaklara yalnızca yetkili Discovery bileşenlerinin erişebilmesini sağlayacak şekilde sınırlar.
  • Özel uç noktalar, çalışma alanı ve kitap rafı veri düzlemi API trafiğini Microsoft omurgası üzerinden yönlendirir.
  • Sanal ağ enjeksiyonu , sunduğunuz ve devrettiğiniz alt ağlarda çalışma alanı platform hizmetleri ve ajanları çalıştırır.

Important

Ağ güvenlik sınırları henüz tüm bölgelerde ve tüm Azure kaynak türleri için mevcut değil. Dağıtımınızın ağ güvenlik sınırlarını destekleyen bir bölgede olduğundan emin olun.

Dağıtıma özgü ağ gereksinimleri ve yapılandırma rehberliği için Ağ güvenliği, Sanal ağlar ve alt ağlar ile Uçtan uca ağ sertleştirilmiş dağıtım bölümlerine bakınız.

Kayıt Tutma, İzleme ve Denetim

Microsoft Discovery Azure İzleyici ile entegre olur ve üç log kategorisini ortaya çıkarır:

  • Uygulama günlükleri, her kaynağın MRG'si içindeki özel bir Log Analytics çalışma alanında otomatik olarak toplanır.
  • Etkinlik kayıtları, Keşif kaynaklarında kontrol düzlemi işlemlerini kaydeder.
  • Denetim logları,tanılama ayarları aracılığıyla isteğe bağlı olarak kabul edilir ve uzun vadeli tutma için sahip olduğunuz bir depolama hesabına veya Log Analytics çalışma alanına aktarılır.

Korelasyon ID'leri, platform bileşenleri arasında bir işlemi uçtan uca takip etmenizi sağlar. Daha fazla bilgi için Gözlemlenebilirlik ve Denetim Kaydını Etkinleştir bölümlerine bakabilirsiniz.

Yapay zeka güvenliği ve sorumlu yapay zeka

Microsoft Discovery, Microsoft Sorumlu Yapay Zeka Standardı'nı takip eder. Güvenlik kontrolleri arasında, Discovery'de oluşturulan modellere varsayılan olarak uygulanan Foundry Guardrails içerik filtreleme, alıntılarla temellendirme ve sistem düzeyinde güvenlik önlemleri yer alır. Platform, yasaklı kullanıma ilişkin bir politika uygular (örneğin, silah geliştirmeye ve güvenlik sistemlerinin atlatılmasına izin verilmez) ve her sürüm öncesinde güvenlik ve gerçeklere dayalı olma açısından değerlendirilir.

Daha fazla bilgi için Microsoft Discovery'de Sorumlu Yapay Zeka, Platform kartı ve davranış kuralları bölümlerine bakınız.

İş sürekliliği ve olağanüstü durum kurtarma

Microsoft Discovery, hizmet bileşenlerinde tek bir arıza noktasını önlemek için tasarlanmış çok erişilebilir, çok bölgeli bir mimari kullanır. Hizmet, bölgesel dağıtımlar arasında müşteri durumunu otomatik olarak kopyalamaz, bu yüzden kurtarma hedeflerinize ulaşmak için kendi durumlu kaynaklarınızı çoğaltırsınız. Daha fazla bilgi için bkz. İş sürekliliği ve olağanüstü durum kurtarma.

Veri yerleşimi

Microsoft Discovery kontrol uçağı Doğu ABD, İsveç Orta ve Birleşik Krallık Güney'de mevcuttur. Yönetilen kaynak grubu (veri düzlemi) kaynakları, bölgeler arası dağıtım yoluyla diğer bölgelere dağıtılabilir; bu da veri ikamet veya kapasite gereksinimlerini karşılamanıza yardımcı olabilir. Aboneliğinizde bu veri düzlemi kaynakları için Azure bölgelerini seçersiniz. Microsoft'un veri ikamet ve veri işleme taahhütlerine dair mevcut ve yetkili açıklama için Microsoft Güven Merkezi'ne ve geçerli Microsoft ürün şartlarına bakınız.

Uyumluluk ve sertifikalar

Microsoft Discovery, Azure üzerinde inşa edilmiştir ve Azure platformunun güvenlik operasyonlarını ve uyumluluk durumunu ve kullandığı yönetilen hizmetleri (Azure Depolama, Azure Kubernetes Service, Azure Yapay Zeka Arama ve Azure Key Vault gibi) devralır. Microsoft, sertifikalarını, denetim raporlarını (örneğin SOC ve ISO) ve kontrol eşlemelerini hizmet başına değil, merkezi olarak yayımlar.

Senaryonuzda uyumluluğu değerlendirmek için:

İlgili içerik

  • Son güncelleştirme: