Controles de conformidade regulatória do Azure Policy para o Gerenciamento de API do Azure

Artigo
03/18/2024

APLICA-SE A: todas as camadas do Gerenciamento de API

A Conformidade Regulatória no Azure Policy fornece definições de iniciativas criadas e gerenciadas pela Microsoft, conhecidas como internos, para os domínios de conformidade e os controles de segurança relacionados a diferentes padrões de conformidade. Esta página lista os domínios de conformidade e os controles de segurança para o Gerenciamento de API do Azure. Você pode atribuir os itens internos a um controle de segurança individualmente a fim de ajudar a manter seus recursos do Azure em conformidade com o padrão específico.

O título de cada definição de política interna leva à definição da política no portal do Azure. Use o link na coluna Versão da Política para ver a origem no repositório GitHub do Azure Policy.

Importante

Cada controle está associado a uma ou mais definições do Azure Policy. Essas políticas podem ajudar você a avaliar a conformidade com o controle. No entanto, muitas vezes não há uma correspondência individual ou completa entre um controle e uma ou mais políticas. Portanto, a Conformidade no Azure Policy refere-se apenas às próprias políticas. Isso não garante que você esteja totalmente em conformidade com todos os requisitos de um controle. Além disso, o padrão de conformidade inclui controles que não são abordados por nenhuma definição do Azure Policy no momento. Portanto, a conformidade no Azure Policy é somente uma exibição parcial do status de conformidade geral. As associações entre os controles e as definições de Conformidade Regulatória do Azure Policy para esses padrões de conformidade podem mudar com o tempo.

FedRAMP Alto

Para examinar como as iniciativas internas disponíveis do azure Policy de todos os serviços do azure são mapeadas para esse padrão de conformidade, confira Conformidade regulatória do azure Policy – FedRaMP High. Para obter mais informações sobre esse padrão de conformidade, confira FedRAMP High.

Domínio	ID do controle	Título do controle	Política _{(Portal do Azure)}	Versão da política _(GitHub)
Controle de acesso	AC-4	Política de fluxo de informações	Os serviços do Gerenciamento de API devem usar uma rede virtual	1.0.2
Proteção do sistema e das comunicações	SC-7	Proteção de limite	Os serviços do Gerenciamento de API devem usar uma rede virtual	1.0.2
Proteção do sistema e das comunicações	SC-7 (3)	Pontos de acesso	Os serviços do Gerenciamento de API devem usar uma rede virtual	1.0.2

FedRAMP Moderado

Para examinar como as iniciativas internas disponíveis do azure Policy de todos os serviços do azure são mapeadas para esse padrão de conformidade, confira Conformidade regulatória do azure Policy – FedRaMP Moderate. Para obter mais informações sobre esse padrão de conformidade, confira FedRAMP Moderate.

Domínio	ID do controle	Título do controle	Política _{(Portal do Azure)}	Versão da política _(GitHub)
Controle de acesso	AC-4	Política de fluxo de informações	Os serviços do Gerenciamento de API devem usar uma rede virtual	1.0.2
Proteção do sistema e das comunicações	SC-7	Proteção de limite	Os serviços do Gerenciamento de API devem usar uma rede virtual	1.0.2
Proteção do sistema e das comunicações	SC-7 (3)	Pontos de acesso	Os serviços do Gerenciamento de API devem usar uma rede virtual	1.0.2

Referência de segurança de nuvem da Microsoft

O parâmetro de comparação de segurança da nuvem da Microsoft fornece recomendações sobre como você pode proteger suas soluções de nuvem no Azure. Para ver como esse serviço é completamente mapeado para o parâmetro de comparação de segurança da nuvem da Microsoft, confira os Arquivos de mapeamento do Azure Security Benchmark.

Para analisar como os itens internos do azure Policy disponíveis para todos os serviços do azure são mapeados para esse padrão de conformidade, confira Conformidade Regulatória do azure Policy: parâmetro de comparação de segurança da nuvem da Microsoft.

Domínio	ID do controle	Título do controle	Política _{(Portal do Azure)}	Versão da política _(GitHub)
Segurança de rede	NS-2	Proteger serviços de nuvem usando controles de rede	Os serviços do Gerenciamento de API devem usar uma rede virtual	1.0.2
Segurança de rede	NS-2	Proteger serviços de nuvem usando controles de rede	O Gerenciamento de APIs deve desabilitar o acesso à rede pública nos pontos de extremidade de configuração do serviço	1.0.1
Gerenciamento de Identidades	IM-4	Autenticar servidor e serviços	Os pontos de extremidade de API no Gerenciamento de API do Azure devem ser autenticados	1.0.1
Gerenciamento de Identidades	IM-4	Autenticar servidor e serviços	As chamadas do Gerenciamento de API para back-ends de API devem ser autenticadas	1.0.1
Gerenciamento de Identidades	IM-4	Autenticar servidor e serviços	As chamadas do Gerenciamento de API para back-ends de API não devem ignorar a impressão digital do certificado ou a validação de nome	1.0.2
Gerenciamento de Identidades	IM-8	Restringir a exposição de credenciais e segredos	A versão mínima da API do Gerenciamento de API deve ser definida como 2019-12-01 ou superior	1.0.1
Gerenciamento de Identidades	IM-8	Restringir a exposição de credenciais e segredos	Os valores secretos nomeados do Gerenciamento de API devem ser armazenados no Azure Key Vault	1.0.2
Acesso privilegiado	PA-7	Seguir a administração Just Enough (princípio de privilégios mínimos)	As assinaturas de Gerenciamento de API não devem ter escopo para todas as APIs	1.1.0
Proteção de dados	DP-3	Criptografar dados confidenciais em trânsito	As APIs do Gerenciamento de API devem usar apenas protocolos criptografados	2.0.2
Proteção de dados	DP-6	Usar um processo de gerenciamento de chaves seguro	Os valores secretos nomeados do Gerenciamento de API devem ser armazenados no Azure Key Vault	1.0.2
Gerenciamento de ativos	AM-2	Usar apenas serviços aprovados	A versão da plataforma de Gerenciamento de API do Azure deve ser stv2	1.0.0
Gerenciamento de ativos	AM-3	garantir a segurança do gerenciamento do ciclo de vida dos ativos	Os pontos de extremidade de API que não são usados devem ser desabilitados e removidos do serviço de Gerenciamento de API do Azure	1.0.1
Gerenciamento de postura e vulnerabilidades	PV-2	Auditar e impor configurações seguras	O ponto de extremidade de gerenciamento direto do Gerenciamento de API não deve estar habilitado	1.0.2
Gerenciamento de postura e vulnerabilidades	PV-2	Auditar e impor configurações seguras	A versão mínima da API do Gerenciamento de API deve ser definida como 2019-12-01 ou superior	1.0.1
Gerenciamento de postura e vulnerabilidades	PV-2	Auditar e impor configurações seguras	A versão da plataforma de Gerenciamento de API do Azure deve ser stv2	1.0.0

NIST SP 800-171 R2

Para examinar como as iniciativas internas disponíveis do Azure Policy de todos os serviços do Azure são mapeadas para esse padrão de conformidade, confira Conformidade regulatória do Azure Policy – NIST SP 800-171 R2. Para obter mais informações sobre esse padrão de conformidade, confira NIST SP 800-171 R2.

Domínio	ID do controle	Título do controle	Política _{(Portal do Azure)}	Versão da política _(GitHub)
Controle de acesso	3.1.3	Controle o fluxo de CUI de acordo com autorizações aprovadas.	Os serviços do Gerenciamento de API devem usar uma rede virtual	1.0.2
Proteção do Sistema e das Comunicações	3.13.1	Monitore, controle e proteja as comunicações (ou seja, informações transmitidas ou recebidas por sistemas organizacionais) nos limites externos e os principais limites internos dos sistemas organizacionais.	Os serviços do Gerenciamento de API devem usar uma rede virtual	1.0.2
Proteção do Sistema e das Comunicações	3.13.2	Empregar designs de arquitetura, técnicas de desenvolvimento de software e princípios de engenharia de sistemas que promovem a segurança de informações efetiva em sistemas organizacionais.	Os serviços do Gerenciamento de API devem usar uma rede virtual	1.0.2
Proteção do Sistema e das Comunicações	3.13.5	Implemente sub-redes para componentes do sistema publicamente acessíveis que estejam fisicamente ou logicamente separados de redes internas.	Os serviços do Gerenciamento de API devem usar uma rede virtual	1.0.2

NIST SP 800-53 Rev. 4

Para examinar como as iniciativas internas disponíveis do Azure Policy de todos os serviços do Azure são mapeadas para esse padrão de conformidade, confira Conformidade regulatória do Azure Policy – NIST SP 800-53 Rev. 4. Para obter mais informações sobre esse padrão de conformidade, confira NIST SP 800-53 Rev. 4.

Domínio	ID do controle	Título do controle	Política _{(Portal do Azure)}	Versão da política _(GitHub)
Controle de acesso	AC-4	Política de fluxo de informações	Os serviços do Gerenciamento de API devem usar uma rede virtual	1.0.2
Proteção do sistema e das comunicações	SC-7	Proteção de limite	Os serviços do Gerenciamento de API devem usar uma rede virtual	1.0.2
Proteção do sistema e das comunicações	SC-7 (3)	Pontos de acesso	Os serviços do Gerenciamento de API devem usar uma rede virtual	1.0.2

NIST SP 800-53 Rev. 5

Para examinar como as iniciativas internas disponíveis do azure Policy de todos os serviços do azure são mapeadas para esse padrão de conformidade, confira Conformidade regulatória do azure Policy – NIST SP 800-53 Rev. 5. Para obter mais informações sobre esse padrão de conformidade, confira NIST SP 800-53 Rev. 5.

Domínio	ID do controle	Título do controle	Política _{(Portal do Azure)}	Versão da política _(GitHub)
Controle de acesso	AC-4	Política de fluxo de informações	Os serviços do Gerenciamento de API devem usar uma rede virtual	1.0.2
Proteção do Sistema e das Comunicações	SC-7	Proteção de limite	Os serviços do Gerenciamento de API devem usar uma rede virtual	1.0.2
Proteção do Sistema e das Comunicações	SC-7 (3)	Pontos de acesso	Os serviços do Gerenciamento de API devem usar uma rede virtual	1.0.2

Tema de nuvem do NL BIO

Para analisar como os componentes do Azure Policy disponíveis para todos os serviços do Azure são mapeados para esse padrão de conformidade, confira Detalhes da Conformidade Regulatória do Azure Policy com o NL BIO Cloud Theme. Para obter mais informações sobre esse padrão de conformidade, confira Segurança Cibernética do Governo de Segurança da Informação de Linha de Base – Governo Digital (digitaleoverheid.nl).

Domínio	ID do controle	Título do controle	Política _{(Portal do Azure)}	Versão da política _(GitHub)
U.07.1 Separação de dados – Isolado	U.07.1	O isolamento permanente de dados é uma arquitetura multilocatário. Os patches são realizados de maneira controlada.	Os serviços do Gerenciamento de API devem usar uma rede virtual	1.0.2

Reserve Bank of India IT Framework for Banks v2016

Para examinar como as iniciativas internas disponíveis do azure Policy de todos os serviços do azure são mapeadas para esse padrão de conformidade, confira Conformidade regulatória do azure Policy – RBI ITF de Bancos v2016. Para obter mais informações sobre esse padrão de conformidade, consulte RBI ITF de Bancos v2016 (PDF).

Domínio	ID do controle	Título do controle	Política _{(Portal do Azure)}	Versão da política _(GitHub)
Patch/vulnerabilidade e Gerenciamento de alterações		Patch/vulnerabilidade e Gerenciamento de alterações — 7.7	Os serviços do Gerenciamento de API devem usar uma rede virtual	1.0.2

RMIT Malásia

Para examinar como as iniciativas internas disponíveis do azure Policy de todos os serviços do azure são mapeadas para esse padrão de conformidade, confira Conformidade regulatória do azure Policy – IRMIT Malásia. Para saber mais sobre esse padrão de conformidade, confira RMIT Malásia.

Domínio	ID do controle	Título do controle	Política _{(Portal do Azure)}	Versão da política _(GitHub)
Resiliência de rede	10.33	Resiliência de rede – 10.33	Os serviços do Gerenciamento de API devem usar uma rede virtual	1.0.2

Próximas etapas

Saiba mais sobre a Conformidade Regulatória do Azure Policy.
Confira os internos no repositório Azure Policy GitHub.