Punkt odniesienia zabezpieczeń platformy Azure dla usługi Power BI

Ten punkt odniesienia zabezpieczeń stosuje wskazówki dotyczące testu porównawczego zabezpieczeń platformy Azure w wersji 2.0 do usługi Power BI. Test porównawczy zabezpieczeń platformy Azure zawiera zalecenia dotyczące sposobu zabezpieczania rozwiązań w chmurze na platformie Azure. Zawartość jest pogrupowana według mechanizmów kontroli zabezpieczeń zdefiniowanych przez test porównawczy zabezpieczeń platformy Azure i powiązane wskazówki dotyczące usługi Power BI.

Jeśli funkcja ma odpowiednie definicje Azure Policy, są one wymienione w tym punkcie odniesienia, aby ułatwić pomiar zgodności z mechanizmami kontroli i rekomendacjami testu porównawczego zabezpieczeń platformy Azure. Niektóre zalecenia mogą wymagać płatnego planu usługi Microsoft Defender w celu włączenia niektórych scenariuszy zabezpieczeń.

Uwaga

Kontrolki nie mają zastosowania do usługi Power BI, a te, dla których zalecenia dotyczące globalnego wytycznych są zalecane, zostały wykluczone. Aby zobaczyć, jak usługa Power BI całkowicie mapuje się na test porównawczy zabezpieczeń platformy Azure, zobacz pełny plik mapowania punktu odniesienia zabezpieczeń usługi Power BI.

Bezpieczeństwo sieci

Aby uzyskać więcej informacji, zobacz Test porównawczy platformy Azure: bezpieczeństwo sieci.

NS-3: Ustanów dostęp w sieci prywatnej do usług platformy Azure

Wskazówka: Usługa Power BI obsługuje łączenie dzierżawy usługi Power BI z prywatnym punktem końcowym linku i wyłączanie publicznego dostępu do Internetu.

Odpowiedzialność: Współużytkowane

NS-4: Ochrona aplikacji i usług przed atakami w sieci zewnętrznej

Wskazówka: Usługa Power BI jest w pełni zarządzaną ofertą SaaS i ma wbudowaną ochronę przed odmową usługi, którą zarządza firma Microsoft. Klienci nie muszą podejmować żadnych działań w celu ochrony usługi przed atakami w sieci zewnętrznej.

Odpowiedzialność: Microsoft

NS-7: Bezpieczna usługa nazw domen (DNS)

Wskazówki: Nie dotyczy; Usługa Power BI nie uwidacznia podstawowych konfiguracji DNS. Te ustawienia są obsługiwane przez firmę Microsoft.

Odpowiedzialność: Microsoft

Zarządzanie tożsamością

Aby uzyskać więcej informacji, zobacz Test porównawczy platformy Azure: zarządzanie tożsamościami.

IM-1: Standaryzacja usługi Azure Active Directory jako centralnego systemu tożsamości i uwierzytelniania

Wskazówka: Usługa Power BI jest zintegrowana z usługą Azure Active Directory (Azure AD), która jest domyślną usługą zarządzania tożsamościami i dostępem platformy Azure. Należy przeprowadzić standaryzację w usłudze Azure AD, aby zarządzać tożsamościami i dostępem w organizacji.

Zabezpieczanie usługi Azure AD powinno mieć wysoki priorytet w zakresie zabezpieczeń w chmurze w organizacji. Usługa Azure AD zapewnia wskaźnik bezpieczeństwa tożsamości, który pomaga ocenić stan zabezpieczeń tożsamości w porównaniu z zaleceniami dotyczącymi najlepszych rozwiązań firmy Microsoft. Skorzystaj ze wskaźnika, aby ocenić, jak ściśle Twoja konfiguracja spełnia zalecenia dotyczące najlepszych rozwiązań, i ulepszać stan zabezpieczeń.

Uwaga: Usługa Azure AD obsługuje tożsamości zewnętrzne, które umożliwiają użytkownikom bez konta Microsoft logowanie się do aplikacji i zasobów przy użyciu tożsamości zewnętrznej.

Odpowiedzialność: Klient

IM-2: Bezpieczne i automatyczne zarządzanie tożsamościami aplikacji

Wskazówka: Usługi Power BI i Power BI Embedded obsługują korzystanie z jednostek usługi. Przechowuj wszystkie poświadczenia jednostki usługi używane do szyfrowania lub na potrzeby dostępu do usługi Power BI w magazynie kluczy, przypisuj odpowiednie zasady dostępu do magazynu i regularnie przeglądaj uprawnienia dostępu.

Odpowiedzialność: Klient

IM-3: Korzystanie z logowania jednokrotnego usługi Azure AD na potrzeby dostępu do aplikacji

Wskazówki: usługa Power BI używa usługi Azure Active Directory (Azure AD) do zapewnienia zarządzania tożsamościami i dostępem do zasobów platformy Azure, aplikacji w chmurze i aplikacji lokalnych. Obejmuje to tożsamości przedsiębiorstwa, takie jak pracownicy, a także tożsamości zewnętrzne, takie jak partnerzy, dostawcy i dostawcy. Umożliwia to logowanie jednokrotne w celu zarządzania i bezpiecznego dostępu do danych i zasobów organizacji w środowisku lokalnym i w chmurze. Połącz wszystkich użytkowników, aplikacje i urządzenia z usługą Azure AD w celu zapewnienia bezproblemowego, bezpiecznego dostępu, lepszego wglądu i większej kontroli.

Odpowiedzialność: Klient

IM-7: Eliminowanie niezamierzonego ujawnienia poświadczeń

Wskazówka: W przypadku aplikacji osadzonych usługi Power BI zaleca się zaimplementowanie skanera poświadczeń w celu identyfikowania poświadczeń w kodzie. Skaner poświadczeń ułatwia również przenoszenie odnalezionych poświadczeń do bezpieczniejszych lokalizacji, takich jak usługa Azure Key Vault.

Przechowuj wszystkie klucze szyfrowania i poświadczenia jednostki usługi używane do szyfrowania lub na potrzeby dostępu do usługi Power BI w magazynie kluczy, przypisuj odpowiednie zasady dostępu do magazynu i regularnie przeglądaj uprawnienia dostępu.

W usłudze GitHub można używać funkcji skanowania natywnego wpisu tajnego do identyfikowania poświadczeń lub innej formy wpisów tajnych w kodzie.

Odpowiedzialność: Współużytkowane

Dostęp uprzywilejowany

Aby uzyskać więcej informacji, zobacz Test porównawczy platformy Azure: dostęp uprzywilejowany.

PA-1: Ochrona i ograniczanie użytkowników z wysokim poziomem uprawnień

Wskazówka: Aby zmniejszyć ryzyko i przestrzegać zasad najniższych uprawnień, zaleca się utrzymanie członkostwa administratorów usługi Power BI w niewielkiej liczbie osób. Użytkownicy z tymi uprawnieniami uprzywilejowanymi mogą potencjalnie uzyskać dostęp do wszystkich funkcji zarządzania w organizacji i je modyfikować. Administratorzy globalni, za pośrednictwem platformy Microsoft 365 lub usługi Azure Active Directory (Azure AD), niejawnie posiadają uprawnienia administratora w usługa Power BI.

Usługa Power BI ma poniżej konta o wysokim poziomie uprawnień:

  • Administrator globalny
  • Administrator rozliczeń
  • Administrator licencji
  • Administrator użytkowników
  • Administrator usługi Power BI
  • Administrator pojemności usługi Power BI Premium
  • Administrator pojemności usługi Power BI Embedded

Usługa Power BI obsługuje zasady sesji w Azure AD w celu włączenia zasad dostępu warunkowego i trasowania sesji używanych w usłudze Power BI za pośrednictwem usługi Microsoft Defender for Cloud Apps.

Włącz dostęp uprzywilejowany just in time (JIT) dla kont administratorów usługi Power BI przy użyciu funkcji zarządzania dostępem uprzywilejowanym na platformie Microsoft 365.

Odpowiedzialność: Klient

PA-3: Regularne przeglądanie i uzgadnianie dostępu użytkowników

Wskazówka: Jako administrator usługi Power BI możesz analizować użycie dla wszystkich zasobów usługi Power BI na poziomie dzierżawy, korzystając z raportów niestandardowych utworzonych na podstawie dziennika aktywności usługi Power BI. Możesz pobrać aktywności, korzystając z interfejsu API REST lub polecenia cmdlet programu PowerShell. Możesz również filtrować dane aktywności według zakresu dat, użytkownika i typu aktywności.

Aby uzyskać dostęp do dziennika aktywności usługi Power BI, musisz spełnić następujące wymagania:

  • Musisz być administratorem globalnym lub administratorem usługi Power BI.
  • Musisz mieć lokalnie zainstalowane polecenia cmdlet do zarządzania usługą Power BI lub użyć poleceń cmdlet do zarządzania usługą Power BI w usłudze Azure Cloud Shell.

Po spełnieniu tych wymagań można postępować zgodnie z poniższymi wskazówkami, aby śledzić aktywność użytkowników w ramach usługi Power BI:

Odpowiedzialność: Klient

PA-6: Korzystanie ze stacji roboczych z dostępem uprzywilejowanym

Wskazówka: Zabezpieczone, izolowane stacje robocze mają kluczowe znaczenie dla bezpieczeństwa poufnych ról, takich jak administratorzy, deweloperzy i operatorzy usług o kluczowym znaczeniu. Używaj wysoce bezpiecznych stacji roboczych użytkowników i/lub usługi Azure Bastion na potrzeby zadań administracyjnych związanych z zarządzaniem usługą Power BI. Użyj usługi Azure Active Directory (Azure AD), usługi Microsoft Defender Advanced Threat Protection (ATP) i/lub Microsoft Intune, aby wdrożyć bezpieczną i zarządzaną stację roboczą użytkownika na potrzeby zadań administracyjnych. Zabezpieczone stacje robocze mogą być zarządzane centralnie, aby wymusić bezpieczną konfigurację, w tym silne uwierzytelnianie, oprogramowanie i sprzętowe punkty odniesienia, ograniczony dostęp logiczny i sieciowy.

Odpowiedzialność: Klient

Ochrona danych

Aby uzyskać więcej informacji, zobacz Test porównawczy platformy Azure: ochrona danych.

DP-1: Odnajdywanie, klasyfikowanie i etykietowanie danych poufnych

Wskazówki: używanie etykiet poufności z Microsoft Purview Information Protection raportów, pulpitów nawigacyjnych, zestawów danych i przepływów danych w celu ochrony poufnej zawartości przed nieautoryzowanym dostępem do danych i wyciekiem.

Używanie etykiet poufności z Microsoft Purview Information Protection do klasyfikowania i etykietowania raportów, pulpitów nawigacyjnych, zestawów danych i przepływów danych w usługa Power BI oraz ochrony poufnej zawartości przed nieautoryzowanym dostępem do danych i wyciekiem po wyeksportowaniu zawartości z usługa Power BI w plikach excel, PowerPoint i PDF.

Odpowiedzialność: Klient

DP-2: Ochrona poufnych danych

Wskazówki: usługa Power BI integruje się z etykietami poufności z Microsoft Purview Information Protection w celu ochrony poufnych danych. Aby uzyskać więcej informacji, zobacz etykiety poufności z Microsoft Purview Information Protection w usłudze Power BI

Usługa Power BI umożliwia użytkownikom usługi przenoszenie własnych kluczy w celu ochrony danych nieużywanych. Aby uzyskać więcej informacji, zobacz Korzystanie z własnych kluczy szyfrowania na potrzeby usługi Power BI

Klienci mają możliwość utrzymywania lokalnych źródeł danych i korzystania z zapytań bezpośrednich lub połączeń na żywo z lokalną bramą danych, aby zminimalizować narażenie danych w usłudze w chmurze. Aby uzyskać więcej informacji, zobacz Co to jest lokalna brama danych?

Usługa Power BI obsługuje zabezpieczenia na poziomie wiersza. Aby uzyskać więcej informacji, zobacz Zabezpieczenia na poziomie wiersza w usłudze Power BI. Należy pamiętać, że zabezpieczenia na poziomie wiersza można zastosować nawet w przypadku bezpośrednich zapytań o źródła danych, w których plik PBIX jest traktowany jako serwer proxy obsługujący zabezpieczenia.

Odpowiedzialność: Klient

DP-3: Monitorowanie nieautoryzowanego transferu danych poufnych

Wskazówki: ta kontrolka może zostać częściowo osiągnięta przy użyciu Microsoft Defender for Cloud Apps obsługi usługi Power BI.

Korzystając z Microsoft Defender for Cloud Apps z usługą Power BI, możesz pomóc w ochronie raportów, danych i usług usługi Power BI przed niezamierzonym wyciekiem lub naruszeniami. Za pomocą Microsoft Defender for Cloud Apps tworzysz zasady dostępu warunkowego dla danych organizacji przy użyciu kontrolek sesji w czasie rzeczywistym w usłudze Azure Active Directory (Azure AD), które pomagają zapewnić bezpieczeństwo analizy usługi Power BI. Po ustawieniu tych zasad administratorzy mogą monitorować dostęp i działania użytkowników, przeprowadzać analizę ryzyka w czasie rzeczywistym i ustawiać mechanizmy kontroli właściwe dla danej etykiety.

Odpowiedzialność: Klient

DP-4: Szyfrowanie poufnych informacji podczas przesyłania

Wskazówka: Upewnij się, że dla ruchu HTTP wszyscy klienci i wszystkie źródła danych łączące się z zasobami usługi Power BI mogą negocjować protokół TLS w wersji 1.2 lub nowszej.

Odpowiedzialność: Klient

DP-5: Szyfrowanie poufnych danych nieużywanych

Wskazówka: W usłudze Power BI dane są szyfrowane podczas magazynowania oraz przetwarzania. Domyślnie usługa Power BI na potrzeby szyfrowania danych używa kluczy zarządzanych przez firmę Microsoft. Organizacje mogą zdecydować się na używanie własnych kluczy do szyfrowania magazynowanej zawartości użytkowników w usłudze Power BI, od obrazów raportów po zaimportowane zestawy danych w ramach pojemności Premium.

Odpowiedzialność: Współużytkowane

Zarządzanie zasobami

Aby uzyskać więcej informacji, zobacz Test porównawczy platformy Azure: zarządzanie elementami zawartości.

AM-1: Upewnij się, że zespół ds. zabezpieczeń ma wgląd w ryzyko związane z elementami zawartości

Wskazówki: skorzystaj z usługi Microsoft Sentinel z dziennikami inspekcji pakietu Office usługi Power BI, aby upewnić się, że zespół ds. zabezpieczeń ma wgląd w zagrożenia dla zasobów usługi Power BI.

Odpowiedzialność: Klient

AM-2: Upewnij się, że zespół ds. zabezpieczeń ma dostęp do spisu elementów zawartości i metadanych

Wskazówka: Upewnij się, że zespoły zabezpieczeń mają dostęp do stale aktualizowanego spisu zasobów usługi Power BI Embedded. Zespoły ds. zabezpieczeń często potrzebują tego spisu, aby oszacować potencjalne zagrożenie w organizacji do pojawiających się zagrożeń i jako dane wejściowe w celu ciągłego ulepszania zabezpieczeń.

Usługa Azure Resource Graph umożliwia wykonywanie zapytań dotyczących wszystkich zasobów usługi Power BI Embedded w ramach subskrypcji oraz odnajdywanie tych zasobów.

Logicznie organizuj elementy zawartości zgodnie z taksonomią organizacji przy użyciu tagów, a także innych metadanych na platformie Azure (nazwa, opis i kategoria).

Odpowiedzialność: Klient

AM-3: Używanie tylko zatwierdzonych usług platformy Azure

Wskazówka: Usługa Power BI obsługuje wdrożenia oparte na usłudze Azure Resource Managerach dla usługi Power BI Embedded i można ograniczyć wdrażanie zasobów za pośrednictwem usługi Azure Policy przy użyciu niestandardowej definicji zasad.

Usługa Azure Policy pozwala przeprowadzić inspekcję i ograniczyć liczbę usług, które użytkownicy mogą aprowizować w danym środowisku. Usługa Azure Resource Graph umożliwia wykonywanie zapytań dotyczących zasobów i odnajdywanie ich w ramach subskrypcji. Za pomocą usługi Azure Monitor można tworzyć reguły wyzwalające alerty w przypadku wykrycia niezatwierdzonej usługi.

Odpowiedzialność: Klient

Rejestrowanie i wykrywanie zagrożeń

Aby uzyskać więcej informacji, zobacz Test porównawczy platformy Azure: rejestrowanie i wykrywanie zagrożeń.

LT-2: Włącz wykrywanie zagrożeń na potrzeby zarządzania tożsamościami i dostępem na platformie Azure

Wskazówka: Przekazuj wszystkie dzienniki z usługi Power BI do rozwiązania SIEM, aby móc skonfigurować niestandardowe wykrycia zagrożeń. Ponadto użyj kontrolek Microsoft Defender for Cloud Apps w usłudze Power BI, aby włączyć wykrywanie anomalii przy użyciu przewodnika tutaj.

Odpowiedzialność: Klient

LT-3: Włączanie rejestrowania działań sieci platformy Azure

Wskazówka: Usługa Power BI jest w pełni zarządzaną ofertą SaaS, a za podstawową konfigurację sieci i rejestrowanie odpowiada firma Microsoft. W przypadku klientów korzystających z linków prywatnych można skonfigurować rejestrowanie i monitorowanie.

Odpowiedzialność: Współużytkowane

LT-4: Włącz rejestrowanie zasobów platformy Azure

Wskazówka: W usłudze Power BI są dwie opcje śledzenia aktywności użytkowników: Dziennik aktywności usługi Power BI i ujednolicony dziennik inspekcji. Oba te dzienniki zawierają kompletną kopię danych inspekcji usługi Power BI, ale jest między nimi kilka kluczowych różnic, które zostały opisane poniżej.

Ujednolicony dziennik inspekcji:

  • Oprócz zdarzeń inspekcji usługi Power BI zawiera zdarzenia z usług SharePoint Online, Exchange Online, Dynamics 365 i innych.

  • Dostęp mają wyłącznie użytkownicy z uprawnieniami „Dzienniki inspekcji tylko do wyświetlania” lub „Dzienniki inspekcji”, na przykład administratorzy globalni lub audytorzy.

  • Administratorzy globalni i audytorzy mogą przeszukiwać ujednolicony dziennik inspekcji przy użyciu portalu Microsoft 365 Defender i portal zgodności Microsoft Purview.

  • Administratorzy globalni i audytorzy mogą pobierać wpisy dziennika inspekcji za pomocą interfejsów API zarządzania platformy Microsoft 365 i poleceń cmdlet.

  • Dane inspekcji są przechowywane przez 90 dni.

  • Dane inspekcji są zachowywane, nawet jeśli dzierżawa zostanie przeniesiona do innego regionu świadczenia usługi Azure.

Dziennik aktywności usługi Power BI:

  • Zawiera tylko zdarzenia inspekcji usługi Power BI.

  • Dostęp mają administratorzy globalni oraz administratorzy usługi Power BI.

  • Interfejs użytkownika do przeszukiwania dziennika aktywności nie jest jeszcze dostępny.

  • Administratorzy globalni i administratorzy usługi Power BI mogą pobierać wpisy dziennika aktywności za pomocą interfejsu API REST usługi Power BI i poleceń cmdlet zarządzania.

  • Dane aktywności są przechowywane przez 30 dni.

  • Dane aktywności nie są zachowywane, kiedy dzierżawa zostanie przeniesiona do innego regionu świadczenia usługi Azure.

Aby uzyskać więcej informacji, zapoznaj się z następującymi dokumentami:

Odpowiedzialność: Współużytkowane

LT-5: Scentralizowane zarządzanie dziennikami zabezpieczeń i analiza

Wskazówka: Usługa Power BI centralizuje dzienniki w dwóch miejscach: dziennik aktywności usługi Power BI i ujednolicony dziennik inspekcji. Oba te dzienniki zawierają kompletną kopię danych inspekcji usługi Power BI, ale jest między nimi kilka kluczowych różnic, które zostały opisane poniżej.

Ujednolicony dziennik inspekcji:

  • Oprócz zdarzeń inspekcji usługi Power BI zawiera zdarzenia z usług SharePoint Online, Exchange Online, Dynamics 365 i innych.

  • Dostęp mają wyłącznie użytkownicy z uprawnieniami „Dzienniki inspekcji tylko do wyświetlania” lub „Dzienniki inspekcji”, na przykład administratorzy globalni lub audytorzy.

  • Administratorzy globalni i audytorzy mogą przeszukiwać ujednolicony dziennik inspekcji przy użyciu portalu Microsoft 365 Defender i portal zgodności Microsoft Purview.

  • Administratorzy globalni i audytorzy mogą pobierać wpisy dziennika inspekcji za pomocą interfejsów API zarządzania platformy Microsoft 365 i poleceń cmdlet.

  • Dane inspekcji są przechowywane przez 90 dni.

  • Dane inspekcji są zachowywane, nawet jeśli dzierżawa zostanie przeniesiona do innego regionu świadczenia usługi Azure.

Dziennik aktywności usługi Power BI:

  • Zawiera tylko zdarzenia inspekcji usługi Power BI.

  • Dostęp mają administratorzy globalni oraz administratorzy usługi Power BI.

  • Interfejs użytkownika do przeszukiwania dziennika aktywności nie jest jeszcze dostępny.

  • Administratorzy globalni i administratorzy usługi Power BI mogą pobierać wpisy dziennika aktywności za pomocą interfejsu API REST usługi Power BI i poleceń cmdlet zarządzania.

  • Dane aktywności są przechowywane przez 30 dni.

  • Dane aktywności nie są zachowywane, kiedy dzierżawa zostanie przeniesiona do innego regionu świadczenia usługi Azure.

Aby uzyskać więcej informacji, zapoznaj się z następującymi dokumentami:

Odpowiedzialność: Klient

LT-6: Konfigurowanie przechowywania magazynu dzienników

Wskazówka: Skonfiguruj zasady przechowywania magazynu dla dzienników inspekcji pakietu Office zgodnie z wymaganiami dotyczącymi zgodności i regulacji oraz wymagań biznesowych.

Odpowiedzialność: Klient

LT-7: Użyj zatwierdzonych źródeł synchronizacji czasu

Wskazówki: usługa Power BI nie obsługuje konfigurowania własnych źródeł synchronizacji czasu. Usługa Power BI opiera się na źródłach synchronizacji czasu firmy Microsoft i nie jest uwidoczniona dla klientów na potrzeby konfiguracji.

Odpowiedzialność: Microsoft

Stan zabezpieczeń i zarządzanie lukami w zabezpieczeniach

Aby uzyskać więcej informacji, zobacz Test porównawczy platformy Azure: stan zabezpieczeń i zarządzanie lukami w zabezpieczeniach.

PV-1: Ustanów bezpieczne konfiguracje dla usług platformy Azure

Wskazówka: Skonfiguruj usługę Power BI przy użyciu ustawień odpowiednich dla Twojej organizacji i zasobów zakresie zabezpieczeń. Należy uważnie rozważyć ustawienia dostępu do usługi i bezpieczeństwa zawartości oraz obszarów roboczych i aplikacji. Zobacz zabezpieczenia usługi Power BI i ochronę danych w dokumencie dotyczącym wdrożenia usługi Power BI Enterprise.

Odpowiedzialność: Klient

PV-2: Utrzymaj bezpieczne konfiguracje dla usług platformy Azure

Wskazówka: Monitoruj wystąpienie usługi Power BI przy użyciu interfejsów API REST administratora usługi Power BI.

Odpowiedzialność: Klient

PV-3: Ustanawianie bezpiecznych konfiguracji dla zasobów obliczeniowych

Wskazówki: Usługa Power BI jest w pełni zarządzaną ofertą SaaS, a bazowe zasoby obliczeniowe usługi są zabezpieczone i zarządzane przez firmę Microsoft.

Odpowiedzialność: Microsoft

PV-4: Utrzymywanie bezpiecznych konfiguracji dla zasobów obliczeniowych

Wskazówki: Usługa Power BI jest w pełni zarządzaną ofertą SaaS, a bazowe zasoby obliczeniowe usługi są zabezpieczone i zarządzane przez firmę Microsoft.

Odpowiedzialność: Microsoft

PV-5: Bezpieczne przechowywanie niestandardowych obrazów systemów operacyjnych i kontenerów

Wskazówki: Usługa Power BI jest w pełni zarządzaną ofertą SaaS, a bazowe zasoby obliczeniowe usługi są zabezpieczone i zarządzane przez firmę Microsoft.

Odpowiedzialność: Microsoft

PV-6: Przeprowadzanie ocen luk w zabezpieczeniach oprogramowania

Wskazówki: Usługa Power BI jest w pełni zarządzaną ofertą SaaS. Bazowe zasoby obliczeniowe usługi są skanowane i zarządzane przez firmę Microsoft.

Odpowiedzialność: Microsoft

SL-7: szybkie i automatyczne korygowanie luk w zabezpieczeniach oprogramowania

Wskazówki: Usługa Power BI jest w pełni zarządzaną ofertą SaaS. Bazowe zasoby obliczeniowe usługi są skanowane i zarządzane przez firmę Microsoft.

Odpowiedzialność: Microsoft

PV-8: Przeprowadzanie regularnej symulacji ataków

Wskazówka: W razie potrzeby przeprowadź test penetracyjny lub działania typu „red team” na zasobach platformy Azure i zapewnij korektę wszystkich krytycznych ustaleń dotyczących zabezpieczeń.

Postępuj zgodnie z regułami testowania penetracji w chmurze firmy Microsoft, aby upewnić się, że testy penetracyjne nie naruszają zasad firmy Microsoft. Korzystaj ze strategii firmy Microsoft i wykonywania testów typu „red team” i testów na żywo w zarządzanej przez firmę Microsoft infrastrukturze, usługach i aplikacjach w chmurze.

Odpowiedzialność: Współużytkowane

Zabezpieczenia punktu końcowego

Aby uzyskać więcej informacji, zobacz Test porównawczy zabezpieczeń platformy Azure: zabezpieczenia punktu końcowego.

ES-1: Używanie wykrywania i reagowania punktu końcowego (EDR)

Wskazówki: usługa Power BI nie wdraża żadnych zasobów obliczeniowych przeznaczonych dla klientów, które wymagają od klientów skonfigurowania ochrony wykrywania i reagowania na punkty końcowe (EDR). Podstawowa infrastruktura usługi Power BI jest obsługiwana przez firmę Microsoft, która obejmuje obsługę ochrony przed złośliwym oprogramowaniem i obsługę EDR.

Odpowiedzialność: Microsoft

ES-2: Korzystanie z zarządzanego centralnie nowoczesnego oprogramowania chroniącego przed złośliwym oprogramowaniem

Wskazówki: usługa Power BI nie wdraża żadnych zasobów obliczeniowych, które wymagają od klientów skonfigurowania ochrony przed złośliwym oprogramowaniem. Podstawowa infrastruktura usługi Power BI jest obsługiwana przez firmę Microsoft, która obejmuje skanowanie przed złośliwym oprogramowaniem.

Odpowiedzialność: Microsoft

ES-3: Upewnij się, że oprogramowanie i podpisy chroniące przed złośliwym oprogramowaniem są aktualizowane

Wskazówki: usługa Power BI nie wdraża żadnych zasobów obliczeniowych przeznaczonych dla klientów, co wymagałoby od klientów spójnego aktualizowania podpisów chroniących przed złośliwym oprogramowaniem. Podstawowa infrastruktura usługi Power BI jest obsługiwana przez firmę Microsoft, która obejmuje całą obsługę złośliwego oprogramowania.

Odpowiedzialność: Microsoft

Kopia zapasowa i odzyskiwanie

Aby uzyskać więcej informacji, zobacz Test porównawczy platformy Azure: tworzenie i przywracanie kopii zapasowych.

BR-3: Weryfikowanie wszystkich kopii zapasowych, w tym kluczy zarządzanych przez klienta

Wskazówka: Jeśli używasz funkcji Bring Your Own Key (BYOK) w usłudze Power BI, musisz okresowo weryfikować, czy masz dostęp do kluczy zarządzanych przez klienta i możesz je przywracać.

Odpowiedzialność: Klient

BR-4: Zmniejszanie ryzyka utraty kluczy

Wskazówka: Jeśli używasz funkcji Bring Your Own Key (BYOK) w usłudze Power BI, musisz upewnić się, że usługa Key Vault kontrolująca klucze zarządzane przez klienta jest skonfigurowana zgodnie ze wskazówkami w dokumentacji modelu BYOK w usłudze Power BI poniżej. Włącz usuwanie nietrwałe i przeczyść ochronę w usłudze Azure Key Vault, aby chronić klucze przed przypadkowym lub złośliwym usunięciem.

W przypadku zasobów kluczy bramy upewnij się, że postępujesz zgodnie ze wskazówkami opisanymi w dokumentacji klucza odzyskiwania bramy poniżej.

Odpowiedzialność: Klient

Następne kroki