Microsoft Discovery 是一個建立在 Azure 企業雲端基礎架構上的企業代理式人工智慧科學研究平台。 由於 Microsoft Discovery 在 Azure 上執行，因此其設計可在組織用來管理敏感研究與開發（R&D）環境的安全性、合規性、透明度及治理框架下運作。
本文為資安審查者、架構師與部署者提供評估 Microsoft Discovery 的單一起點。 它總結了平台的安全控管，說明共同責任模型，並將平台能力對應到第三方風險評估常用問卷——共享評估 標準化資訊收集（SIG） 問卷的風險領域。 用它來引導安全性審查，接著參閱連結文章，以取得具權威性的控制措施層級詳細資訊。 依 SIG 領域組織的問題層級答案，請參閱 基於 SIG 的安全與合規常見問題。
Important
本文 僅供參考。 這不構成認證、證明、稽核或合規保證，也不代表 Microsoft Discovery 已依照此處提及的任何框架進行認證或獨立稽核。 如需最新權威的 Microsoft 認證、稽核報告及控制實作細節，請使用 Microsoft 信任中心及服務信任入口網站。
部署與信任邊界
Microsoft Discovery 將資源部署到你自己的 Azure 訂閱和 Microsoft Entra 租戶中，而不是 Microsoft 管理的訂閱。 當你配置工作空間、超級電腦或書架時，服務會在你的訂閱中建立一個 管理資源群組 （MRG），代表你管理後端資源。
此部署模式具有直接的安全影響：
- 客戶資料及其儲存資源會保持在您的訂閱與租戶範圍內。
- 你負責周邊環境的身分識別、網路和存取控制設定。
- 你付費並管理底層的 Azure 資源，並且可以套用自己的 Azure 原則、日誌記錄和監控。
關於資源模型與資料流程，請參見 服務架構概述。
共同責任模型
Microsoft Discovery 的安全機制遵循 Azure 共同責任模式。 下表說明了該模型如何應用於 Discovery 部署，前提是資源會落入你的訂閱。
| 責任 | Microsoft | 客戶 |
|---|---|---|
| Azure 資料中心的物理與平台安全 | 負責 | 不負責任 |
| 控制平面與管理服務操作 | 負責 | 不負責任 |
| 靜態資料（預設金鑰）及傳輸中資料在 Azure 骨幹網上的加密 | 負責 | 不負責任 |
| 內建 AI 安全控制（內容過濾、系統防護） | 負責 | 不負責任 |
| 訂閱、虛擬網路與防火牆設定 | 不負責任 | 負責 |
| 身份治理與最低權限角色指派 | 不負責任 | 負責 |
| 客戶管理的金鑰（如有選擇）、金鑰保存庫 與金鑰生命週期 | 不負責任 | 負責 |
| 資料分類與在擷取之前保護資料 | 不負責任 | 負責 |
| 在您的訂閱中啟用審計日誌、保留與監控功能 | 不負責任 | 負責 |
| 業務持續性與具狀態資源的複寫 | 不負責任 | 負責 |
關於 AI 專屬的職責，請參見 Microsoft Discovery 中的負責任 AI。
SIG 問卷領域地圖
共享評估標準化資訊收集（SIG）問卷將第三方風險問題組織成風險領域。 下表將每個 SIG 風險領域對應到 Microsoft Discovery 如何處理該領域，以及在哪裡可以找到權威細節，讓你能有效率地完成 SIG Lite 或 SIG Core 評估。 由繼承的 Azure 平台控制所滿足的領域，會指向中央權威資訊來源。
| SIG 風險領域 | Microsoft Discovery 如何處理此問題 | Reference |
|---|---|---|
| 企業風險管理 | 在 Microsoft 企業治理下運作，具備集中管理、稽核追蹤及人工監督檢查點。 | Microsoft 信任中心 |
| 雲端服務 | 以 Azure 服務的形式提供；資源會部署至您自己的訂用帳戶和租用戶中，並遵循 Azure 共同責任模型。 | 服務架構， 共同責任 |
| 合規性管理 | 基於 Azure 建置;繼承 Azure 平台相容性。 認證與審計報告均由中央公開發布。 | 信託中心， 服務信託入口網站 |
| 存取控制 | Microsoft Entra ID 認證、Azure RBAC、內建及專案層級角色，以及最低權限管理身份。 | 角色分配、Project 層級存取控制 |
| 應用程式安全 / 應用程式管理 | 根據 Microsoft 的安全開發生命週期開發;你保護你所建置的自訂代理程式和工具。 | 負責任的人工智慧最佳實務 |
| 人工智慧 | Foundry Guardrails 內容篩選、禁止使用原則、基礎化與引用，以及 RAI 評估。 | 負責任的人工智慧， 行為準則 |
| 資產與資訊管理 | 透過儲存體容器和資產存放在訂用帳戶中的資料；資料分類權歸您所有。 | 資料處理與 儲存資產 |
| 資訊保證 | 預設為靜態加密（Microsoft 管理金鑰），並可選擇由客戶管理的金鑰;與操作員的密鑰隔離。 | 靜止狀態資料加密 |
| 伺服器安全性 | 後端運行於 Azure 管理服務;平台強化與修補則作為 Azure 作業的一部分處理。 | 服務信任入口網站 |
| 端點安全性 | 管理資料平面中沒有客戶端點;存取方式為 Entra ID 保護的介面與 API。 | 網路安全性 |
| 網路安全性 | 網路安全邊界、私有端點、虛擬網路注入，以及預設私有的資料平面存取。 | 網路安全性 |
| 資訊科技營運管理 | 透過 Azure 監視器 提供應用程式、活動及可由客戶設定的稽核記錄，並支援關聯識別碼追蹤。 | 可觀察性， 啟用審計日誌 |
| 事故管理 | 端對端相關識別碼用於追蹤;平台事件回應與資安通知集中處理。 | 相關識別碼， 信任中心 |
| 資安/威脅管理 | 運行於繼承 Azure 威脅偵測與安全操作的 Azure 託管服務上。 | Azure 安全性基本概念 |
| 作戰韌性 | 多區域服務架構;客戶可複製自身的有狀態資源以進行災難復原。 | 業務持續性與災害復原 |
| 實體與環境安全 | 由 Azure 資料中心提供，並作為 Azure 平台的一部分獨立稽核。 | 服務信任入口網站 |
| 人力資源安全性 | Microsoft 人員篩選、訓練及存取治理皆集中運作與文件化。 | 服務信任入口網站 |
| 供應鏈風險管理 / 第 N 方管理 | 建立在命名的 Azure 服務之上;子處理商清單與供應鏈保證皆集中發布。 | 信任中心 |
| 隱私權管理 | 資源會部署於您的訂用帳戶中；控制平面區域和跨區域資料平面部署支援駐留。 | 資料駐留與 信託中心隱私 |
Note
SIG 問卷同時包含環境、社會與治理（ESG）領域。 Microsoft 在企業層級處理 ESG;請參考 Microsoft Trust Center 及 Microsoft 永續與企業責任資源，而非 Microsoft Discovery 產品文件。
控制框架映射
如果你的組織採用非 SIG 框架來標準化，不要只根據這些文件重建人行道。 Microsoft 集中發布框架映射、認證範圍及審核證據。 請參閱 Microsoft Discovery 合規指引，了解您在 Discovery 中評估哪些控制、哪些控制是從 Azure 繼承的，以及哪個權威來源回答每個問題。
身分識別與存取權管理
Microsoft Discovery 透過 Microsoft Entra ID 驗證使用者，並透過 Azure RBAC 授權操作。 Discovery 的特色在於角色模型：內建的平台角色（如平台管理員、平台貢獻者和平台讀者）、專案層級的角色用來隔離調查，以及資源特定角色以提供最低權限存取。
服務對服務存取使用使用者 指派的管理身份 ，這些身份由你在自己的訂閱中建立並控制，而非秘密或連線字串。 Discovery 定義了不同的身份欄位，因此你可以指派獨立的身份並設定有範圍的角色，並限制代理工具的執行權限。
瞭解詳情：
Microsoft電子資料搜尋中的角色分配 - Microsoft Discovery 中的管理身份
- 專案層級的存取控制
資料保護與加密
Microsoft Discovery 採用靜態 Azure 資料加密，且自動且透明啟用。 Discovery 專屬判定是關鍵模型：
- Microsoft 管理的金鑰（預設）：無需客戶操作。
- 客戶管理金鑰（CMK）： 適用於工作空間、超級電腦及書架資源。 你必須在資源創建時選擇 CMK;模型之後無法更改。
服務人員、工程師和支援人員無法存取加密金鑰。 欲了解更多資訊，請參閱 靜態資料加密。
網路安全
Microsoft Discovery 分層套用三項 Azure 網路控制，並針對使用 2026-02-01-preview API 版本及更新版本管理的工作區和書架，預設啟用網路強化：
- 網路安全邊界 限制受管理資源，只有授權的發現元件能存取。
- 私有端點會將工作空間和書架資料平面的 API 流量路由到 Microsoft 骨幹網。
- 虛擬網路注入 會在你的虛擬網路內執行工作空間平台服務和代理，並在你配置和委派的子網路中執行。
Important
網路安全邊界尚未在所有區域及所有 Azure 資源類型上提供。 確保你的部署地點位於支援 網路安全邊界的區域。
關於部署特定的網路需求與設定指引，請參見 網路安全、 虛擬網路與子網，以及 端對端網路強化部署。
日誌記錄、監控與稽核
Microsoft Discovery 與 Azure 監視器 整合，並呈現三種日誌類別：
- 應用程式日誌會自動收集到每個資源的 MRG 內專用的 Log Analytics 工作區。
- 活動記錄 會記錄 Discovery 資源上的控制平面作業。
- 稽核記錄可透過診斷設定選擇啟用，並匯出至您擁有的儲存體帳戶或 Log Analytics 工作區，以供長期保留。
關聯識別碼可讓你跨平台元件對某項作業進行端對端追蹤。 欲了解更多資訊，請參閱 可觀察性 及 啟用稽核記錄。
人工智慧安全與負責任的人工智慧
Microsoft Discovery 遵循 Microsoft 負責任 AI 標準。 安全控制包括：預設套用於在 Discovery 中建立之模型的 Foundry Guardrails 內容過濾、附引文依據的內容定錨，以及系統層級的防護措施。 該平台執行禁止使用政策（例如禁止武器開發及禁止繞過安全系統），並在每次釋放前進行安全性與接地性評估。
欲了解更多資訊，請參閱 Microsoft Discovery 中的負責任 AI、Platform 卡及行為準則。
商務持續性和災害復原
Microsoft Discovery 採用高度可調、多區域架構，旨在避免服務元件出現單點故障。 該服務不會在區域部署間自動複製客戶狀態，因此你會複製自己的有狀態資源以達成復原目標。 如需相關資訊，請參閱商務持續性和災害復原。
資料存放位置
Microsoft Discovery 控制平面可於美國東部、瑞典中部和英國南部使用。 管理資源群組（資料平面）資源可以透過跨區域部署部署到其他區域，這有助於你滿足資料駐留或容量需求。 你可以在訂閱中選擇這些資料平面資源的 Azure 區域。 有關 Microsoft 資料駐留及資料處理承諾的最新權威聲明，請參閱 Microsoft 信任中心及您適用的 Microsoft 產品條款。
合規性和認證
Microsoft Discovery 是建立在 Azure 之上，並繼承了 Azure 平台及其所使用的託管服務（例如 Azure 儲存體、Azure Kubernetes Service、Azure AI 搜尋服務 和 Azure Key Vault）的安全操作與合規態勢。 Microsoft 會集中發布其認證、稽核報告（例如 SOC 和 ISO），並以集中方式控制映射，而非依服務進行。
若要評估您的情境是否符合規範：
- 請檢視 Microsoft Trust Center 的合規服務及其如何應用於 Azure 服務。
- 可從服務信託入口網站下載稽核報告及控制文件。
- 使用合規指引，將你在 Discovery 評估的控制與你從 Azure 繼承的控制區分開來。