Migliorare la conformità alle normative

  • Articolo

Microsoft Defender per il cloud consente di soddisfare i requisiti di conformità alle normative valutando continuamente le risorse rispetto ai controlli di conformità e identificando i problemi che impediscono di ottenere una certificazione di conformità specifica.

Nel dashboard Conformità alle normative è possibile gestire e interagire con gli standard di conformità. È possibile visualizzare gli standard di conformità assegnati, attivare e disattivare gli standard per Azure, AWS e GCP, esaminare lo stato delle valutazioni rispetto agli standard e altro ancora.

Integrazione con Purview

I dati di conformità di Defender per il cloud ora si integrano perfettamente con Microsoft Purview Compliance Manager, consentendo di valutare e gestire centralmente la conformità nell'intero patrimonio digitale dell'organizzazione.

Quando si aggiunge uno standard al dashboard di conformità (incluso il monitoraggio degli standard di conformità di altri cloud come AWS e GCP), i dati di conformità a livello di risorsa vengono visualizzati automaticamente in Compliance Manager per lo stesso standard.

Compliance Manager fornisce quindi azioni di miglioramento e stato nell'infrastruttura cloud e in tutti gli altri asset digitali in questo strumento centrale. Per altre informazioni, vedere Supporto multicloud in Microsoft Purview Compliance Manager.

Prima di iniziare

  • Per impostazione predefinita, quando si abilita Defender per il cloud in una sottoscrizione di Azure, in un account AWS o in un piano GCP, il piano MCSB è abilitato.
  • È possibile aggiungere altri standard di conformità non predefiniti quando almeno un piano a pagamento è abilitato in Defender per il cloud.
  • È necessario aver eseguito l'accesso con un account con accesso in lettura ai dati di conformità dei criteri. Il ruolo Lettore per la sottoscrizione ha accesso ai dati di conformità dei criteri, ma il ruolo con autorizzazioni di lettura per la sicurezza non lo è. È necessario disporre almeno dei ruoli Collaboratore criteri di risorsa e Sicurezza Amministrazione assegnati.

Valutare la conformità alle normative

Il dashboard Conformità alle normative mostra gli standard di conformità abilitati. Mostra i controlli all'interno di ogni standard e le valutazioni della sicurezza per tali controlli. Lo stato di queste valutazioni riflette la conformità allo standard.

Il dashboard consente di concentrarsi sulle lacune negli standard e monitorare la conformità nel tempo.

  1. Nel portale di Defender per il cloud aprire la pagina Conformità alle normative.

    Screenshot that shows the exploration of the details of compliance with a specific standard.

  2. Usare il dashboard in base agli elementi numerati nell'immagine.

    • (1). Selezionare uno standard di conformità per visualizzare l'elenco di tutti i controlli per tale standard.
    • (2). Visualizzare le sottoscrizioni in cui viene applicato lo standard di conformità.
    • (3). Selezionare ed espandere un controllo per visualizzare le valutazioni associate. Selezionare una valutazione per visualizzare le risorse associate e le possibili azioni correttive.
    • (4). Selezionare Dettagli controllo per visualizzare le schede Panoramica, Azioni e Azioni Microsoft.
    • (5). In Azioni è possibile visualizzare le valutazioni automatiche e manuali associate al controllo.
    • (6). Le valutazioni automatizzate mostrano il numero di risorse e tipi di risorse non riusciti e consentono di collegarsi direttamente alle informazioni di correzione.
    • (7). Le valutazioni manuali possono essere attestate manualmente e le prove possono essere collegate per dimostrare la conformità.

Esaminare i problemi

È possibile usare le informazioni nel dashboard per analizzare i problemi che potrebbero influire sulla conformità allo standard.

  1. Nel portale di Defender per il cloud aprire Conformità alle normative.

  2. Selezionare uno standard di conformità alle normative e selezionare un controllo di conformità per espanderlo.

  3. Selezionare Dettagli controllo.

    Screenshot that shows you where to navigate to select control details on the screen.

    • Selezionare Panoramica per visualizzare le informazioni specifiche sul controllo selezionato.
    • Selezionare Azioni per visualizzare una visualizzazione dettagliata delle azioni automatizzate e manuali che è necessario eseguire per migliorare il comportamento di conformità.
    • Selezionare Azioni Microsoft per visualizzare tutte le azioni eseguite da Microsoft per garantire la conformità allo standard selezionato.

  4. In Azioni è possibile selezionare una freccia giù per visualizzare altri dettagli e risolvere il suggerimento per tale risorsa.

    Screenshot that shows you where the down arrow is on the screen.

    Per altre informazioni su come applicare le raccomandazioni, vedere Implementazione di raccomandazioni sulla sicurezza in Microsoft Defender per il cloud.

    Nota

    Dato che le valutazioni vengono eseguite a intervalli di circa 12 ore, l'impatto sui dati di conformità sarà visibile solo dopo l'esecuzione successiva della valutazione appropriata.

Correggere una valutazione automatizzata

La conformità alle normative ha valutazioni automatizzate e manuali che potrebbero essere necessarie per la correzione. Usando le informazioni del dashboard di conformità alle normative, è possibile migliorare la postura di conformità risolvendo le raccomandazioni direttamente all'interno del dashboard.

  1. Nel portale di Defender per il cloud aprire Conformità alle normative.

  2. Selezionare uno standard di conformità alle normative e selezionare un controllo di conformità per espanderlo.

  3. Selezionare una delle valutazioni non superate riportate nel dashboard per visualizzare i relativi dettagli. Ogni raccomandazione include un set di passaggi di correzione per risolvere il problema.

  4. Selezionare una determinata risorsa per visualizzare altri dettagli e risolvere la relativa raccomandazione.
    Ad esempio, nello standard Azure CIS 1.1.0, selezionare la raccomandazione La crittografia dei dischi deve essere applicata alle macchine virtuali.

    Screenshot that shows that selecting a recommendation from a standard leads directly to the recommendation details page.

  5. In questo esempio se si seleziona Intervieni nella pagina di dettagli della raccomandazione, si viene indirizzati nelle pagine del portale di Azure relative alle macchine virtuale di Azure, dove è possibile abilitare la crittografia dalla scheda Sicurezza:

    Screenshot that shows the take action button on the recommendation details page leads to the remediation options.

    Per altre informazioni su come applicare le raccomandazioni, vedere Implementazione di raccomandazioni sulla sicurezza in Microsoft Defender per il cloud.

  6. Dopo l'intervento per la risoluzione delle raccomandazioni, il risultato sarà visibile nel report del dashboard relativo alla conformità tramite il miglioramento del punteggio di conformità.

Le valutazioni vengono eseguite circa ogni 12 ore, quindi si noterà l'impatto sui dati di conformità solo dopo la successiva esecuzione della valutazione pertinente.

Correggere una valutazione manuale

La conformità alle normative ha valutazioni automatiche e manuali che potrebbero essere necessarie per la correzione. Le valutazioni manuali sono valutazioni che richiedono l'input del cliente per correggerle.

  1. Nel portale di Defender per il cloud aprire Conformità alle normative.

  2. Selezionare uno standard di conformità alle normative e selezionare un controllo di conformità per espanderlo.

  3. Nella sezione Attestazione manuale e evidenza selezionare una valutazione.

  4. Selezionare le sottoscrizioni pertinenti.

  5. Selezionare Attest.

  6. Immettere le informazioni pertinenti e allegare prove per la conformità.

  7. Seleziona Salva.

È possibile generare report e certificati sullo stato di conformità.

  1. Per generare un report PDF con un riepilogo dello stato di conformità corrente per uno standard specifico, selezionare Scarica report.

    Il report fornisce un riepilogo generale dello stato di conformità per lo standard selezionato in base ai dati delle valutazioni di Microsoft Defender per il cloud. Il rapporto è organizzato in base ai controlli di quel particolare standard. Il report può essere condiviso con gli stakeholder appropriati e può essere usato per fornire giustificativi a revisori interni ed esterni.

    Screenshot that shows using the toolbar in Defender for Cloud's regulatory compliance dashboard to download compliance reports.

  2. Per scaricare i report di certificazione di Azure e Dynamics per gli standard applicati alle sottoscrizioni, usare l'opzione Report di controllo.

    Screenshot that shows using the toolbar in Defender for Cloud's regulatory compliance dashboard to download Azure and Dynamics certification reports.

  3. Selezionare la scheda per i tipi di report pertinenti (PCI, SOC, ISO e altri) e usare i filtri per trovare i report specifici necessari:

    Screenshot that shows filtering the list of available Azure Audit reports using tabs and filters.

    Ad esempio, dalla scheda PCI è possibile scaricare un file ZIP contenente un certificato firmato digitalmente che dimostra la conformità di Microsoft Azure, Dynamics 365 e Altri servizi online con il framework di ISO22301, insieme al materiale collaterale necessario per interpretare e presentare il certificato.

Quando si scarica uno di questi report di certificazione, viene visualizzata la seguente informativa sulla privacy:

Scaricando questo file, si concede il consenso a Microsoft per archiviare l'utente corrente e le sottoscrizioni selezionate al momento del download. Questi dati vengono usati per notificare l'utente in caso di modifiche o aggiornamenti al report di controllo scaricato. Questi dati vengono utilizzati da Microsoft e dalle società di controllo che producono la certificazione/report solo quando è richiesta la notifica.

Esportare continuamente lo stato di conformità

Se si vuole tenere traccia dello stato di conformità con altri strumenti di monitoraggio nell'ambiente in uso, Microsoft Defender per il cloud include un meccanismo di esportazione per semplificare questa operazione. Configurare l'esportazione continua per inviare dati selezionati a un Hub eventi di Azure o a un'area di lavoro Log Analytics. Altre informazioni sono disponibili nell'esportazione continua dei dati Defender per il cloud.

Usare i dati di esportazione continua in un Hub eventi di Azure o in un'area di lavoro Log Analytics:

  1. Esportare tutti i dati di conformità alle normative in un flusso continuo:

    Screenshot that shows how to continuously export a stream of regulatory compliance data.

  2. Esportare snapshot settimanali dei dati di conformità alle normative:

    Screenshot that shows how to continuously export a weekly snapshot of regulatory compliance data.

Suggerimento

È anche possibile esportare manualmente i report relativi a un singolo punto nel tempo direttamente dal dashboard di conformità alle normative. Generare questi report PDF/CSV o report di certificazione di Azure e Dynamics usando le opzioni della barra degli strumenti Scarica report o Report di controllo.

Attivare un flusso di lavoro quando cambiano le valutazioni

La funzionalità di automazione del flusso di lavoro di Microsoft Defender per il cloud può attivare App per la logica ogni volta che una delle valutazioni di conformità alle normative cambia stato.

Ad esempio, potrebbe essere necessario Defender per il cloud inviare un messaggio di posta elettronica a un utente specifico quando una valutazione di conformità non riesce. È prima necessario creare l'app per la logica (usando App per la logica di Azure) e quindi configurare il trigger in una nuova automazione del flusso di lavoro, come illustrato in Automatizzare le risposte ai trigger Defender per il cloud.

Screenshot that shows how to use changes to regulatory compliance assessments to trigger a workflow automation.

Passaggi successivi

Per altre informazioni, vedere queste pagine correlate: