البرنامج التعليمي: تحسين التوافق التنظيمي لديك

  • مقالة
  • قراءة خلال 10 دقائق

يساعد نظام Microsoft Defender في السحابة في تبسيط العملية لتلبية متطلبات التوافق التنظيمي باستخدام لوحة معلومات التوافق التنظيمي. يُقيم نظام Microsoft Defender في الحسابة بيئة المجموعة المختلطة لديك باستمرار لتحليل عوامل الخطر وفقا لعناصر التحكم وأفضل الممارسات في المعايير التي طبقتها على اشتراكاتك. تعكس لوحة المعلومات حالة توافقك مع هذه المعايير.

عند تفعيل نظام Microsoft Defender في السحابة على اشتراك Azure، يتم تعيين معيار أمان Azure تلقائيًا إلى هذا الاشتراك. ويستند هذا المعيار الذي يحظى باحترام واسع النطاق إلى عناصر التحكم الواردة من Center for Internet Security (CIS) وNational Institute of Standards and Technology (NIST) مع التركيز على الأمان المرتكز على السحابة.

تعرض لوحة معلومات التوافق التنظيمي حالة جميع التقييمات داخل بيئتك للمعايير واللوائح التي اخترتها. بينما تعمل على التوصيات والحد من عوامل الخطر في بيئتك، يتحسن موقف التوافق الخاص بك.

في هذا البرنامج التعليمي، ستتعلم كيفية:

  • تقييم توافقك التنظيمي باستخدام لوحة معلومات التوافق التنظيمي
  • تحسين وضعية التوافق من خلال اتخاذ إجراء بشأن التوصيات
  • تنزيل تقارير PDF/CSV بالإضافة إلى تقارير التصديق الخاصة بحالة التوافق
  • إعداد تنبيهات حول التغييرات التي طرأت على حالة التوافق
  • تصدير بيانات التوافق كتدفق مستمر وكلقطات أسبوعية

في حال لم يكن لديك اشتراك في Azure، يمكنك إنشاء حساب مجاني قبل البدء.

المتطلبات الأساسية

لمعرفة الميزات التي يغطيها هذا البرنامج التعليمي:

  • تشغيل ميزات الأمان المحسنة يمكنك تفعيل ذلك مجانا لمدة 30 يوماً.
  • يجب تسجيل الدخول باستخدام حساب لديه حق وصول القارئ إلى بيانات الامتثال للسياسة. يمكن للقارئ العمومي للاشتراك الوصول إلى بيانات توافق النهج، ولكن دور " قارئ الأمان" لا يمكنه ذلك. على الأقل، ستحتاج إلى تعيين أدوار Resource Policy Contributor وSecurity Admin.

تقييم توافقك التنظيمي

تعرض لوحة معلومات التوافق التنظيمي معايير التوافق المحددة مع جميع متطلباتها، حيث يتم تعيين المتطلبات المدعومة إلى تقييمات الأمان المعمول بها. تعكس حالة هذه التقييمات مدى توافقك مع المعيار.

استخدم لوحة معلومات التوافق التنظيمي للمساعدة في تركيز انتباهك على الثغرات في التوافق مع المعايير واللوائح التي اخترتها. تمكنك طريقة العرض المركزة هذه أيضًا من مراقبة توافقك باستمرار على مر الوقت في بيئات ديناميكية سحابية ومختلطة.

  1. من قائمة نظام Microsoft Defender في السحابة، اخترالتوافق التنظيمي.

    في أعلى الشاشة، توجد لوحة معلومات تتضمن نظرة عامة على حالة التوافق ومجموعة لوائح التوافق المدعومة. سترى درجة توافقك الإجمالية، وعدد التقييمات الناجحة مقابل الفاشلة المرتبطة بكل معيار.

    Regulatory compliance dashboard.

  2. حدد علامة تبويب لمعيار التوافق الذي يناسبك (1). سترى الاشتراكات التي يتم تطبيق المعيار عليها (2)، وقائمة جميع عناصر التحكم لهذا المعيار (3). بالنسبة لعناصر التحكم القابلة للتطبيق، يمكنك عرض تفاصيل التقييمات الناجحة والفاشلة المرتبطة بعنصر التحكم هذا (4)، وعدد الموارد المتأثرة (5). يجرى تمييز بعض عناصر التحكم باللون الرمادي. لا تحتوي عناصر التحكم هذه على أي تقييم ذو صلة بنظام Microsoft Defender في السحابة يتعلق بها. تحقق من متطلباتهم وقيّمها في بيئتك. وقد يكون بعضها ذي صلة بالعملية وليس بالتقنية.

    Exploring the details of compliance with a specific standard.

تحسين وضعية التوافق

باستخدام المعلومات الموجودة في لوحة معلومات التوافق التنظيمي، يمكنك تحسين وضع توافقك عن طريق حل التوصيات مباشرة داخل لوحة المعلومات.

  1. حدد أيًّا من التقييمات الفاشلة التي تظهر في لوحة المعلومات لعرض تفاصيل تلك التوصية. وتتضمن كل توصية مجموعة من خطوات الإصلاح لحل المشكلة.

  2. حدد موردًا معينًا لعرض مزيد من التفاصيل وحل التوصية الخاصة بهذا المورد.
    على سبيل المثال، في المعيار Azure CIS 1.1.0، حدد التوصية Disk encryption should be applied on virtual machines.

    Selecting a recommendation from a standard leads directly to the recommendation details page.

  3. في هذا المثال، عند تحديد Take action من صفحة تفاصيل التوصية، ستنتقل إلى صفحات جهاز Azure الظاهري من مدخل Microsoft Azure، حيث يمكنك تمكين التشفير من علامة التبويب Security:

    Take action button on the recommendation details page leads to the remediation options.

    للمزيد من المعلومات حول كيفية تطبيق التوصيات، راجع تنفيذ توصيات الأمان في نظام Microsoft Defender في السحابة

  4. بعد اتخاذ إجراء لحل التوصيات، سترى النتيجة في تقرير لوحة معلومات التوافق بسبب تحسن درجة التوافق.

    ملاحظة

    تعمل التقييمات كل 12 ساعة تقريبًا؛ لذلك لن ترى التأثير في بيانات التوافق الخاصة بك إلا بعد التشغيل التالي للتقييم ذي الصلة.

إنشاء تقارير وشهادات حالة التوافق

  • لإنشاء تقرير بتنسيق PDF مع ملخص لحالة التوافق الحالية لمعيار معين، حدد Download report.

    يقدم التقرير ملخصاً رفيع المستوى لحالة التوافق الخاصة بك للمعيار المحدد استناداً إلى بيانات تقييم نظام Microsoft Defender في السحابة. تم تنظيم التقرير وفقًا لعناصر التحكم في ذلك المعيار المحدد. يمكن مشاركة التقرير مع أصحاب المصلحة المعنيين، وقد يوفر أدلة للمدققين الداخليين والخارجيين.

    Using the toolbar in Defender for Cloud's regulatory compliance dashboard to download compliance reports.

  • لتنزيل تقارير المصادقة لـ Azure وDynamics للمعايير المطبقة على اشتراكاتك، استخدم الخيار Audit reports.

    Using the toolbar in Defender for Cloud's regulatory compliance dashboard to download Azure and Dynamics certification reports.

    حدد علامة التبويب لأنواع التقارير ذات الصلة (PCI، وSOC، وISO، وغيرها)، واستخدم عوامل التصفية للعثور على التقارير المحددة التي تحتاج إليها:

    Filtering the list of available Azure Audit reports using tabs and filters.

    على سبيل المثال، من علامة التبويب PCI يمكنك تحميل ملف ZIP يحتوي على شهادة موقعة رقميًا توضح توافق Microsoft Azure، وDynamics 365، والخدمات الأخرى عبر الإنترنت لإطار عمل ISO22301، بالإضافة إلى الضمانات اللازمة لتفسير الشهادة وتقديمها.

    ملاحظة

    عند تنزيل أحد تقارير المصادقة هذه، سيظهر لك إشعار الخصوصية التالي:

    من خلال تنزيل هذا الملف، فإنك توافق على Microsoft لتخزين المستخدم الحالي والاشتراكات المحددة في وقت التنزيل. يتم استخدام هذه البيانات لإعلامك في حالة حدوث تغييرات أو تحديثات على تقرير التدقيق الذي تم تنزيله. يتم استخدام هذه البيانات من قبل Microsoft وشركات التدقيق التي تنتج الشهادة/التقارير فقط عند الحاجة إلى الإعلام.

تكوين عمليات التصدير المتكررة لبيانات حالة التوافق

إذا كنت ترغب في تتبع حالة التوافق باستخدام أدوات المراقبة الأخرى في بيئتك، يشمل نظام Microsoft Defender في السحابة آلية تصدير لتسهيل هذا الأمر. قم بتكوين التصدير المستمر لإرسال بيانات محددة إلى Azure Event Hub أو مساحة عمل Log Analytics. تعرف على المزيد في التصدير المستمر لبيانات نظام Microsoft Defender في السحابة

استخدم التصدير المستمر للبيانات إلى Azure Event Hub أو مساحة عمل Log Analytics:

  • تصدير جميع بيانات التوافق التنظيمي في تدفق مستمر:

    Continuously export a stream of regulatory compliance data.

  • تصدير لقطات أسبوعية لبيانات التوافق التنظيمية لديك:

    Continuously export a weekly snapshot of regulatory compliance data.

تلميح

يمكنك أيضًا تصدير التقارير يدويًا حول نقطة زمنية واحدة مباشرةً من لوحة معلومات التوافق التنظيمي. أنشئ تقارير PDF/CSV هذه أو تقارير مصادقة Azure وDynamics باستخدام خيارات شريط الأدوات Download report أو Audit reports. راجع Assess your regulatory compliance

تشغيل عمليات أتمتة سير العمل عند إجراء تغييرات على التوافق

يمكن للميزة أتمتة سير العمل فى ظام Microsoft Defender في السحابة تشغيلLogic Apps كلما تغير أحد تقييمات التوافق التنظيمية.

على سبيل المثال، قد تطلب من نظام Microsoft Defender في السحابة بإرسال رسائل إلكترونية إلى أي مستخدم معين عند فشل تقييم التوافق. ستحتاج إلى إنشاء تطبيق المنطق أولا (باستخدام Azure Logic Apps) ثم إعداد المشغل في أتمتة سير عمل جديدة كما هو موضح في أتمتة الاستجابات لمشغلات Defender for Cloud.

Using changes to regulatory compliance assessments to trigger a workflow automation.

الأسئلة المتداولة - لوحة معلومات التوافق التنظيمي

ما المعايير المدعومة في لوحة معلومات التوافق؟

افتراضيًا، تعرض لك لوحة معلومات التوافق التنظيمي معيار أمان Azure. يُعد معيار أمان Azure المبادئ التوجيهية المؤلفة بواسطة Microsoft والمخصصة لـ Azure لأفضل ممارسات الأمان والتوافق استنادًا إلى أطر التوافق الشائعة. تعرّف على المزيد في Azure Security Benchmark introduction.

لتتبع توافقك مع أي معيار آخر، ستحتاج إلى إضافته بشكل صريح إلى لوحة المعلومات.

يمكنك إضافة معايير أخرى مثل Azure CIS 1.3.0، وNIST SP 800-53، وNIST SP 800-171، وSWIFT CSP CSCF-v2020، وUK Official وUK NHS، وHIPAA، وCanada Federal PBMM، وISO 27001، وSOC2-TSP، وPCI-DSS 3.2.1.

ستتم إضافة المزيد من المعايير إلى لوحة المعلومات وتضمينها في المعلومات حول Customize the set of standards in your regulatory compliance dashboard.

لماذا تظهر بعض عناصر التحكم غير منشطة؟

لكل معيار توافق في لوحة المعلومات، توجد قائمة بعناصر التحكم للمعيار. بالنسبة لعناصر التحكم المطبقة، يمكنك عرض تفاصيل التقييمات الناجحة والفاشلة.

يجرى تمييز بعض عناصر التحكم باللون الرمادي. لا تحتوي عناصر التحكم هذه على أي تقييم ذو صلة بنظام Microsoft Defender في السحابة يتعلق بها. قد يكون بعضها متعلق بالإجراءات أو العمليات، وبالتالي لا يمكن التحقق منها باستخدام نظام Microsoft Defender في السحابة وبعضها ليس له أي نُهج أو تقييمات مؤتمتة تم تنفيذها حتى الآن، ولكن سيكون لها في المستقبل. وقد تكون بعض عناصر التحكم مسؤولية المنصة كما هو موضح في Shared responsibility in the cloud.

كيف يمكنني إزالة معيار مدمج، مثل PCI-DSS، أو ISO 27001، أو SOC2 TSP، من لوحة المعلومات؟

لتخصيص لوحة معلومات التوافق التنظيمي، والتركيز فقط على المعايير التي تنطبق عليك، يمكنك إزالة أي من المعايير التنظيمية المعروضة غير ذات الصلة بمؤسستك. لإزالة معيار، اتبع الإرشادات الموجودة في Remove a standard from your dashboard.

لقد أجريت التغييرات المقترحة بناء على التوصية، ولكن لا تنعكس في لوحة المعلومات؟

بعد اتخاذ إجراء لحل التوصيات، انتظر 12 ساعة للاطلاع على التغييرات على بيانات التوافق. تعمل التقييمات كل 12 ساعة تقريبًا؛ لذلك لن ترى التأثير على بيانات التوافق الخاصة بك إلا بعد تشغيل التقييم.

ما الأذونات التي أحتاج إليها للوصول إلى لوحة معلومات التوافق؟

لعرض بيانات التوافق، يجب أن يكون لديك على الأقل وصول Reader إلى بيانات توافق النهج أيضًا؛ لذا فإن Security Reader وحده لا يكفي. إذا كان لديك دور القارئ العالمي في الاشتراك، فسيكون ذلك كافيًا أيضًا.

الحد الأدنى من الأدوار للوصول إلى لوحة المعلومات وإدارة معايير هو Resource Policy Contributor وSecurity Admin.

لوحة معلومات التوافق التنظيمي لا يتم تحميلها لديّ

لاستخدام لوحة معلومات الامتثال التنظيمي، يجب تمكين Defender for Cloud على مستوى الاشتراك. إذا لم يتم تحميل لوحة المعلومات بشكل صحيح، فجرب الخطوات التالية:

  1. امسح ذاكرة التخزين المؤقت للمستعرض.
  2. جرب مستعرضًا آخر.
  3. جرب فتح لوحة المعلومات من موقع شبكة مختلف.

كيف يمكنني عرض التقرير حول عناصر التحكم الناجحة والفاشلة وفقًا للمعيار في لوحة المعلومات؟

في لوحة المعلومات الرئيسية، يمكنك رؤية تقرير عن عناصر التحكم الناجحة والفاشلة لـ (1) معايير التوافق الـ 4 الأدنى في لوحة المعلومات. لرؤية حالة عناصر التحكم الناجحة/الفاشلة، حدد (2) Show all x (حيث يمثل «x» عدد المعايير التي تتبعها). تعرض طائرة السياق حالة التوافق لكل معيار من المعايير المتتبعة.

Summary section of the regulatory compliance dashboard.

كيف يمكنني تنزيل تقرير ببيانات التوافق بتنسيق غير PDF؟

عند تحديد Download report، حدد المعيار والتنسيق (PDF أو CSV). وسيعكس التقرير الناتج المجموعة الحالية من الاشتراكات التي حددتها في عامل تصفية المدخل.

  • يعرض تقرير PDF حالة ملخصة للمعيار الذي حددته
  • يقدم تقرير CSV نتائج مفصلة لكل مورد، لصلته بالسياسات المرتبطة بكل عنصر تحكم

حاليًا، لا يوجد دعم لتنزيل تقرير لنهج مخصص؛ يوجد فقط للمعايير التنظيمية المقدمة.

كيف يمكنني إنشاء استثناءات لبعض النُهج في لوحة معلومات التوافق التنظيمي؟

بالنسبة للنهج المضمنة في نظام Microsoft Defender في السحابة والمدرجة ضمن مستوى الأمان، يمكنك إنشاء استثناءات لمورد واحد أو أكثر مباشرةً في المدخل كما هو موضح في Exempting resources and recommendations from your secure score.

بالنسبة إلى النُهج الأخرى، يمكنك إنشاء إعفاء مباشرةً في النهج نفسه، عن طريق اتباع الإرشادات الواردة في Azure Policy exemption structure.

ما هي خطط أو تراخيص Microsoft Defender التي أحتاجها لاستخدام لوحة معلومات التوافق التنظيمي؟

إذا تم تمكين أيخطة من خطط Microsoft Defender علىأي من موارد Azure، فبإمكانك الوصول إلى لوحة معلومات التوافق التنظيمية في نظام Microsoft Defender في السحابة وجميع بياناته.

كيف يمكنني معرفة القياس أو المعيار الذي يجب استخدامه؟

يُعد معيار أمان Azure ‏(ASB) مجموعة متعارف عليها من توصيات الأمان وأفضل ممارساته تحددها Microsoft، وتتماشى مع أطر عمل مراقبة التوافق الشائعة بما في ذلك CIS Microsoft Azure Foundations Benchmark وNIST SP 800-53. يُعد ASB معيارًا شاملاً، ومصممًا للتوصية بقدرات الأمان الأكثر تطورًا لمجموعة واسعة من خدمات Azure. نوصي باستخدام ASB للعملاء الذين يرغبون في تقوية موقف الأمان لديهم ومواءمة حالة توافقهم مع معايير الصناعة.

تم تأليف معيار CIS Benchmark بواسطة كيان مستقل -Center for Internet Security (CIS)- ويحتوي على توصيات بشأن مجموعة فرعية من خدمات Azure الأساسية. نحن نعمل مع CIS في محاولة لضمان أن توصياتهم محدثة بأحدث التحسينات في Azure، ولكنها تتخلف في بعض الأحيان وتصبح قديمة. ومع ذلك، يحب بعض العملاء استخدام هذا التقييم الموضوعي من جهة خارجية من CIS كأساس أمني أولي وأساسي.

منذ أن أصدرنا معيار أمان Azure، اختار العديد من العملاء الانتقال إليه كبديل لمعايير CIS.

الخطوات التالية

في هذا البرنامج التعليمي، تعلمت كيفية استخدام لوحة معلومات التوافق التنظيمي في نظام Microsoft Defender في السحابة بغرض:

  • اعرض وراقب موقف توافقك فيما يتعلق بالمعايير واللوائح التي تهمك.
  • حسّن حالة التوافق من خلال حل التوصيات ذات الصلة ومشاهدة درجة التوافق تتحسن.

يمكن للوحة معلومات التوافق التنظيمي تبسيط عملية التوافق بشكل كبير، وخفض الوقت اللازم لجمع أدلة التوافق لبيئة Azure والبيئة المختلطة ومتعددة السحابات بشكل كبير.

لمعرفة المزيد، راجع هذه الصفحات ذات الصلة: