Opis kształtu i wyzwań dotyczących zabezpieczeń

Podstawowe cele zespołów ds. zabezpieczeń nie zmieniają się wraz z przyjęciem Power Platform. Metody osiągania tych celów będą jednak ewoluować. Zespoły ds. bezpieczeństwa muszą nadal priorytetowo traktować zmniejszanie ryzyka biznesowego związanego z atakami i zapewniać, że poufność, integralność i dostępność są wbudowane we wszystkie systemy informatyczne i dane.

Bezpieczeństwo to ochrona systemów i sieci informatycznych przed kradzieżą, uszkodzeniem lub zakłóceniami. Power Platform to oferta w chmurze od Microsoft. Jesteś właścicielem swoich danych, ale współdzielisz kontrolę nad obciążeniami z firmą Microsoft. Obowiązki operacyjne i związane z zabezpieczeniami dla obciążeń są podzielone między Ciebie i firmę Microsoft.

Na poniższym diagramie pokazano, w jaki sposób obowiązki związane z zabezpieczeniami są rozdzielane między Tobą a firmą Microsoft.

W tym artykule wyjaśniono zasady i rozwiązania w zakresie zabezpieczeń, które mają zastosowanie do Power Platform. Zachęca również do oceny tego, co robisz dzisiaj, aby zabezpieczyć rozwiązania Power Platform, i przedstawia kolejne kroki w celu zaprojektowania planu działania.

Fundament zabezpieczeń firmy Microsoft

Organizacje nie istnieją w izolacji. Współpracują ze sobą i ze swoimi klientami. Tworzą kluczowe łańcuchy dostaw, od których wszyscy jesteśmy zależni. Musimy współpracować, aby chronić naszych ludzi, dane i infrastrukturę. Microsoft przyjmuje odważne, kompleksowe podejście do bezpieczeństwa, które jest najlepsze w swojej klasie i oparte na sztucznej inteligencji.

Microsoft poczynił ogromne inwestycje w bezpieczeństwo od połowy lat 2000. Ponad 3500 inżynierów Microsoftu pracuje nad tym, by proaktywnie reagować na stale zmieniające się zagrożenia. Bezpieczeństwo Microsoftu zaczyna się od jądra systemu BIOS i rozciąga się aż do środowiska użytkownika. Obecnie nasz stos bezpieczeństwa jest najbardziej zaawansowany w branży. Microsoft jest powszechnie postrzegany jako światowy lider w walce ze złośliwymi podmiotami. Miliardy komputerów, tryliony loginów i zettabajty danych są powierzone ochronie Microsoftu.

Firma Microsoft dąży do osiągnięcia tego celu, koncentrując się na narzędziach i możliwościach, które obsługują następujące cele wysokiego poziomu:

• Chroń wszystko. Zadbaj o bezpieczeństwo całej organizacji dzięki zintegrowanym rozwiązaniom zabezpieczeń biznesowych, które dobrze sprawdzają się na różnych platformach i w środowiskach chmurowych. Cel ten obejmuje włączenie rozwiązań Power Platform Twojej organizacji do zasobów chronionych.
• Upraszczaj złożoność. Nadaj priorytet właściwym zagrożeniom dzięki narzędziom do zarządzania, które najlepiej wykorzystują ludzką wiedzę specjalistyczną w Twojej firmie. Włącz zarządzanie bezpieczeństwem aplikacji biznesowych Power Platform do swoich narzędzi zarządzania, aby uniknąć zwiększania złożoności.
• Złap to, czego inni nie dostrzegają. Korzystaj z wiodącej sztucznej inteligencji, automatyzacji i specjalistycznej wiedzy, aby szybko wykrywać i powstrzymywać cyberzagrożenia oraz wzmacniać swoją pozycję w zakresie bezpieczeństwa.

Te cele zabezpieczeń napędzają innowacje w następujących zintegrowanych produktach zabezpieczeń firmy Microsoft:

• Microsoft Defender: Powstrzymaj cyberataki na urządzenia, tożsamości, aplikacje, pocztę e-mail i chmury dzięki wiodącym w branży produktom do rozszerzonego wykrywania i reagowania (XDR).
• Microsoft Sentinel: Wyprzedź cyberzagrożenia dzięki opartemu na sztucznej inteligencji zarządzaniu informacjami i zdarzeniami bezpieczeństwa (SIEM), które agreguje dane z całego przedsiębiorstwa, aby zapewnić niezrównaną widoczność.
• Tożsamość Microsoft Entra: Weryfikuj każde żądanie tożsamości i dostępu w chmurach, platformach i urządzeniach za pomocą ujednoliconego zestawu produktów do obsługi tożsamości i dostępu.
• Microsoft Purview: Chroń dane wszędzie tam, gdzie się znajdują, dzięki produktom do ochrony informacji, nadzoru i zgodności, które zostały zaprojektowane tak, aby ze sobą współpracować.
• Microsoft Priva: Szanuj prywatność klientów i pracowników dzięki produktom, które zmniejszają ryzyko i zarządzają zgodnością na jednej platformie.
• Microsoft Intune: Wzmocnij bezpieczeństwo urządzeń i umożliwia bezproblemową pracę hybrydową dzięki rodzinie produktów do zarządzania punktami końcowymi.

Produkty te współpracują ze sobą, tworząc silniejszą obronę. Power Platform opiera się na tym fundamencie, aby zwiększyć bezpieczeństwo tworzonych aplikacji biznesowych.

Bezpieczeństwo w Power Platform

Platforma Power Platform jest zbudowania na solidnej podstawie bezpieczeństwa. Używa tego samego stosu zabezpieczeń, który zapewnia platformie Azure prawo do obsługi i ochrony najbardziej poufnych danych na świecie. Integruje się z najbardziej zaawansowanymi narzędziami do ochrony informacji i zgodności z usługą Microsoft 365. Power Platform zapewnia kompleksową ochronę zaprojektowaną z myślą o najtrudniejszych problemach naszych klientów w erze chmury:

Usługa Power Platform podlega warunkom świadczenia usług online przez firmę Microsoft i oświadczeniu o ochronie prywatności przez firmę Microsoft dla przedsiębiorstw. Informacje na temat miejsca przetwarzania danych znajdują się w Warunkach świadczenia usług online przez Microsoft oraz w Uzupełniającej informacji o ochronie danych.

Centrum zaufania firmy Microsoft jest głównym źródłem informacji dotyczących zgodności Power Platform. Dowiedz się więcej na stronie Oferta Microsoft w zakresie zgodności.

Usługa Power Platform jest zgodna z cyklem rozwoju bezpieczeństwa (Security Development Lifecycle – SDL). SDL to zestaw ścisłych praktyk, które wspierają zapewnienie bezpieczeństwa i wymogi zgodności. Więcej informacji o tych rozwiązaniach można uzyskać w witrynie Microsoft Security Development Lifecycle Practices.

Dowiedz się więcej o poszczególnych funkcjach zabezpieczeń i znajdź odpowiedzi na często zadawane pytania zabezpieczające:

• Dokumentacja zabezpieczeń i funkcji nadzoru na platformie Microsoft Power Platform
• Bezpieczeństwo Power Platform CLI — omówienie
• Przechowywanie i zarządzanie danymi
• Zabezpieczenia Power Platform — często zadawane pytania

Oceń bieżący stan zabezpieczeń

Ocena bieżącego stanu zabezpieczeń jest ważna, aby upewnić się, że środowiska Power Platform i obciążenia są bezpieczne i zgodne z wymaganiami organizacyjnymi i prawnymi. Proces ten obejmuje dokładną ocenę istniejących środków bezpieczeństwa, narzędzi i praktyk w celu zidentyfikowania luk i obszarów wymagających poprawy.

Oto szczegółowe spojrzenie na to, co pociąga za sobą ta ocena:

1. Narzędzia i technologie zabezpieczeń: należy zapoznać się z narzędziami i technologiami zabezpieczeń, których obecnie używasz do ochrony środowiska Power Platform. Rozważ:
   • Zasady danych: Czy używasz zasad danych, aby zapobiec nieautoryzowanemu udostępnianiu danych?
   • Szyfrowanie: Czy dane są szyfrowane zarówno podczas przechowywania, jak i przesyłania?
   • Zarządzanie tożsamościami i dostępem (IAM): czy używasz zaawansowanych funkcji tożsamości, takich jak Dostęp warunkowy Tożsamości Microsoft Entra lub Privileged Identity Management (PIM), do uwierzytelniania i autoryzacji?
2. Zasady i wytyczne dotyczące zabezpieczeń: Zapoznaj się z wszelkimi istniejącymi zasadami lub wytycznymi dotyczącymi zabezpieczeń Power Platform. Zastanów się, czy te zasady są wystarczająco aktualne i kompleksowe, aby przeciwdziałać obecnym zagrożeniom. Kluczowe wskaźniki do oceny to:
   • Kontrola dostępu użytkowników: Czy istnieją jasne zasady dotyczące tego, kto może uzyskać dostęp do jakich danych i zasobów?
   • Wytyczne dotyczące rozwoju: Czy ustanowiono bezpieczne praktyki kodowania na potrzeby tworzenia aplikacji i workflowów? Czy te wytyczne są łatwo dostępne dla twórców? Czy istnieją procesy umożliwiające szkolenie nowych twórców w zakresie tych wytycznych?
3. Monitorowanie i audytowanie: Oceń, w jaki sposób obecnie monitorujesz i przeprowadzasz audytowanie działań w ramach programu Power Platform. Skuteczne monitorowanie i audyt są niezbędne do wykrywania incydentów związanych z bezpieczeństwem i reagowania na nie. Najważniejsze pytania, które należy zadać, to:
   • Dzienniki aktywności: Czy rejestrujesz szczegółowe dzienniki działań użytkowników i zmian na platformie?
   • Mechanizmy alertów: Czy masz skonfigurowane alerty dotyczące podejrzanych działań lub naruszeń zasad?
4. Wymagania dotyczące przepisów i zgodności: Zidentyfikuj wszelkie określone wymagania dotyczące przepisów lub zgodności, które mają zastosowanie do Twojej organizacji. Na przykład Ogólne rozporządzenie o ochronie danych (RODO), Ustawa o przenośności i odpowiedzialności w ubezpieczeniach zdrowotnych (HIPAA) lub inne standardy branżowe. Upewnij się, że środki bezpieczeństwa Power Platform są zgodne z tymi wymaganiami. Rozważ:
   • Audyty zgodności: Czy regularnie przeprowadzasz audyty w celu zapewnienia zgodności?
   • Dokumentacja: Czy posiadasz niezbędną dokumentację, aby wykazać zgodność podczas audytów?

Oceń te aspekty i uzyskaj jasne zrozumienie obecnego stanu zabezpieczeń, a następnie opracuj plan strategiczny w celu ulepszenia środków bezpieczeństwa.

Zrozumienie poziomu dojrzałości zabezpieczeń jest niezbędne do opracowania niezawodnej strategii zabezpieczeń Power Platform. Oceń swój bieżący stan zabezpieczeń, aby określić, na czym stoisz pod względem praktyk i kontroli zabezpieczeń. Podziel organizację na określony poziom dojrzałości — początkowy, zdolny lub wydajny — aby ustalić jasny punkt odniesienia. Ten punkt odniesienia pomaga wskazać konkretne działania potrzebne do przejścia na wyższy poziom dojrzałości. Rozwiązując te działania, zwiększasz środki bezpieczeństwa i zapewniasz lepszą ochronę danych, aplikacji i użytkowników.

Typowe wyzwania związane z bezpieczeństwem w aplikacjach biznesowych

W erze sztucznej inteligencji krajobraz ochrony danych szybko ewoluuje. W miarę jak ataki stają się coraz bardziej wyrafinowane, a przedsiębiorstwa coraz częściej wykorzystują dane w scenariuszach opartych na sztucznej inteligencji, rośnie zapotrzebowanie na dostęp do danych. Jednocześnie przepisy i wymagania dostosowują się do tych nowych potrzeb. Aplikacje biznesowe stoją przed wyjątkowymi wyzwaniami w zakresie bezpieczeństwa, które obejmują wszystkie branże.

Oto niektóre z typowych wyzwań i sposoby Power Platform ich rozwiązania:

• Ograniczone mechanizmy kontroli w celu powstrzymania osób atakujących: Większość aplikacji biznesowych ma minimalne mechanizmy kontroli, aby zapobiec atakom po uzyskaniu dostępu. Tradycyjne środki bezpieczeństwa często nie są w stanie powstrzymać wyrafinowanych ataków, które wykorzystują luki w zabezpieczeniach systemu.
• Zagrożenia wewnętrzne: Osoby atakujące to często osoby z wewnątrz, które mają uzasadnione uprawnienia do korzystania z systemów. Ci insiderzy wiedzą, jak ominąć wbudowane mechanizmy kontroli i wykorzystać wyjątki w organizacji. Wykrywanie i łagodzenie zagrożeń wewnętrznych wymaga zaawansowanych środków bezpieczeństwa, które wykraczają poza standardowe mechanizmy kontroli dostępu.
• Ataki subtelne: Najtrudniejsze do wykrycia ataki to te, które wprowadzają drobne poprawki, przynosząc korzyści atakującemu, a jednocześnie wyrządzając szkodę organizacji. Te subtelne zmiany mogą łatwo pozostać niezauważone bez solidnego monitorowania i analizy.

Platforma Power Platform oferuje szereg zabezpieczeń i narzędzi zaprojektowanych w celu skutecznego radzenia sobie z tymi wyzwaniami — oto kilka przykładów funkcji platformy Power Platform, które wspierają Twoje bezpieczeństwo. Zapoznaj się z innymi artykułami z tej serii, aby dowiedzieć się więcej o niektórych z tych obszarów, a także przejrzyj naszą dokumentację dotyczącą zabezpieczeń i nadzoru, aby dowiedzieć się, jak skonfigurować i obsługiwać zabezpieczenia i nadzór dla Power Platform.

1. Kompleksowe monitorowanie i integracja: Poleganie wyłącznie na monitorowaniu działań w aplikacjach biznesowych nie wystarczy, aby wykryć problemy. Musisz zintegrować te aplikacje z innymi źródłami danych, aby identyfikować podejrzane działania, które w przeciwnym razie mogłyby pozostać niezauważone, i reagować na nie. Na przykład fakt, że przepływ w chmurze pobiera informacje o klientach i Dataverse wysyła wiadomość e-mail, sam w sobie może nie być podejrzany. Jednak w połączeniu z innymi sygnałami, takimi jak częstotliwość przebiegów przepływu w chmurze, nietypowe lokalizacje geograficzne lub aktywność poza godzinami pracy, można wykryć bardziej złożone zagrożenia wewnętrzne. Integracja Power Platform z Microsoft Sentinel pozwala na zaawansowane wykrywanie zagrożeń i reagowanie na nie. Korelując dane z różnych źródeł, usługa Microsoft Sentinel może identyfikować wzorce i anomalie, które wskazują na potencjalne zagrożenia bezpieczeństwa, umożliwiając proaktywne środki w celu ograniczenia ryzyka.

2. Ochrona danych: Implementowanie zasad danych w ramach platformy Power Platform pomaga zapobiegać nieautoryzowanemu udostępnianiu danych i zapewnia ochronę poufnych informacji. Te zasady można dostosować do określonych potrzeb organizacyjnych i wymagań dotyczących zgodności. Funkcja zapory IP w umożliwia administratorom definiowanie i egzekwowanie kontroli dostępu Power Platform opartej na adresach IP, zapewniając, że tylko autoryzowane adresy IP mogą uzyskać dostęp do środowiska Power Platform. Dzięki zaporze IP organizacje mogą ograniczyć ryzyko związane z nieautoryzowanym dostępem i naruszeniami danych, zwiększając ogólne bezpieczeństwo swoich wdrożeń Power Platform. Pomoc techniczna usługi Virtual Network w Power Platform umożliwia organizacjom izolowanie ruchu sieciowego i wymuszanie rygorystycznych zasad zabezpieczeń. Integracja z siecią wirtualną umożliwia środowiskom Power Platform bezpieczne łączenie się z sieciami lokalnymi i innymi usługami Azure, zapewniając, że dane pozostają w zaufanych granicach sieci.

3. Zarządzanie tożsamością i dostępem (IAM): Użyj tożsamość Microsoft Entra, aby zapewnić solidne zarządzanie tożsamością i dostępem. Funkcje, takie jak dostęp warunkowy i uwierzytelnianie wieloskładnikowe, zwiększają bezpieczeństwo, zapewniając, że tylko autoryzowani użytkownicy mogą uzyskiwać dostęp do krytycznych zasobów.

4. Bezpieczne praktyki programistyczne: Niezbędne jest ustanowienie bezpiecznych praktyk kodowania na potrzeby tworzenia obciążeń. Upewnij się, że te wytyczne są łatwo dostępne dla twórców i przeprowadź szkolenie dla nowych twórców w zakresie tych praktyk. Ta strategia pomaga tworzyć bezpieczne aplikacje od podstaw.

5. Zarządzane zabezpieczenia: Zarządzane zabezpieczenia to zestaw funkcji premium, który oferuje zaawansowaną ochronę i umożliwia administratorom zabezpieczeń efektywne zarządzanie danymi i zasobami klientów oraz zabezpieczanie dostępu do nich. Łączy w sobie najbardziej zaawansowaną ochronę przed zagrożeniami Microsoft, ochronę danych i prywatności, zarządzanie tożsamością i dostępem oraz możliwości zgodności, aby pomóc klientom sprostać dzisiejszym wyzwaniom związanym z cyberbezpieczeństwem.

Rozważ 10 najważniejszych zagrożeń bezpieczeństwa OWASP

Open Worldwide Application Security Project® (OWASP) to fundacja non-profit zajmująca się poprawą bezpieczeństwa oprogramowania. OWASP zidentyfikował 10 największych zagrożeń bezpieczeństwa związanych z platformami niskokodowy/brak kodu. Ta lista jest regularnie aktualizowana na podstawie opinii społeczności zajmującej się bezpieczeństwem, aby zapewnić, że pozostaje aktualna i kompleksowa.

Zagrożenia te są powszechne na wszystkich platformach niskokodowy/brak kodu, a ich rozwiązanie wymaga połączenia funkcji zabezpieczeń specyficznych dla platformy i procesów zabezpieczeń organizacji. Chociaż korzystanie z platformy niskokodowy/brak kodu może złagodzić niektóre zagrożenia bezpieczeństwa, nie eliminuje ich wszystkich.

Chociaż wytyczne OWASP są ogólne i mają zastosowanie do każdego produktu i organizacji, Microsoft publikuje konkretne wytyczne dotyczące ograniczania 10 najważniejszych zagrożeń bezpieczeństwa niskokodowych/brak kodu Power Platform. Te wskazówki zawierają szczegółowe strategie i najlepsze rozwiązania, które pomogą Ci skutecznie zabezpieczyć środowisko Power Platform. Dowiedz się więcej: Wytyczne Microsoft dotyczące zagrożeń bezpieczeństwa niskokodowych/brak kodu dla Power Platform

Rozumiejąc i rozwiązując te 10 najważniejszych zagrożeń bezpieczeństwa, możesz znacznie zwiększyć bezpieczeństwo swoich rozwiązań niskokodowych/brak kodu. Rozważ bieżące wyzwania związane z bezpieczeństwem i sposób, w jaki odnoszą się one do tych zagrożeń. Wdrożenie zalecanych środków bezpieczeństwa pomaga chronić dane i aplikacje organizacji, zapewniając bezpieczne i odporne środowisko Power Platform.

Znajdź odpowiednią równowagę zabezpieczeń

Znajdź właściwą równowagę w środkach bezpieczeństwa, aby utrzymać zarówno produktywność, jak i bezpieczeństwo w organizacji. Użytkownicy potrzebują wystarczających wskazówek dotyczących zabezpieczeń, aby chronić swoje zasoby, ale zbyt restrykcyjne środki mogą zmniejszyć ich wydajność. Gdy protokoły bezpieczeństwa są zbyt uciążliwe lub nie są dobrze rozumiane, użytkownicy mogą być sfrustrowani i próbować je ominąć, co prowadzi do ryzykownych praktyk "Shadow IT". Takie praktyki nie tylko podważają wysiłki na rzecz bezpieczeństwa, ale także zwiększają ogólne ryzyko dla organizacji. Dlatego ważne jest, aby wdrożyć solidne, ale przyjazne dla użytkownika środki bezpieczeństwa, zapewniające użytkownikom wydajną pracę przy jednoczesnym zachowaniu bezpieczeństwa ich składników majątku.

Bezpieczeństwo w naturalny sposób powoduje tarcia, które mogą spowolnić procesy. Ważne jest, aby określić, które elementy są zdrowe w procesach IT, a które nie.

• Zdrowe tarcie: Podobnie jak opór ćwiczeń wzmacnia mięsień, zintegrowanie odpowiedniego poziomu tarcia bezpieczeństwa wzmacnia system lub aplikację, zmuszając do krytycznego myślenia we właściwym czasie. Proces ten obejmuje rozważenie, w jaki sposób i dlaczego osoba atakująca może próbować naruszyć bezpieczeństwo aplikacji lub systemu podczas projektowania (znane jako modelowanie zagrożeń) oraz przeglądanie, identyfikowanie i naprawianie potencjalnych luk w zabezpieczeniach, które osoby atakujące mogą wykorzystać w kodzie oprogramowania, konfiguracjach lub praktykach operacyjnych.

• Niezdrowe tarcie: Niezdrowe tarcie bardziej hamuje wartość niż chroni. Przykładem mogą być błędy zabezpieczeń generowane przez narzędzia, które zwracają wysoki odsetek wyników fałszywie dodatnich (takich jak fałszywe alarmy) lub gdy wysiłek związany z wykrywaniem lub naprawianiem problemów z zabezpieczeniami znacznie przekracza potencjalny efekt ataku.

Spraw, aby bezpieczeństwo było priorytetem

Bezpieczeństwo powinno być Twoim pierwszym zmartwieniem po rozpoczęciu wdrażania Power Platform, a nie dodatkową myślą. Ignorowanie wymagań bezpieczeństwa może prowadzić do poważnych zagrożeń prawnych, finansowych i biznesowych oraz opóźnień w projekcie. Może to również mieć wpływ na ogólną skalowalność i wydajność rozwiązania.

Spraw, aby bezpieczeństwo było priorytetem od pierwszego dnia. Weź pod uwagę wpływ zabezpieczeń na skalowalność, wydajność, zgodność, plany wdrażania, raportowanie i aspekty operacyjne. Uwzględnij konkretne przykłady z każdego produktu, które opierają się na omówionych koncepcjach.

Następny krok

Kompleksowa strategia zabezpieczeń dla wdrożenia Power Platform tworzy strukturę, która chroni poufne dane, jest zgodna ze standardami prawnymi i obsługuje skalowalność przedsiębiorstwa.

Informacje pokrewne

• Zabezpieczenia niskokodowe i nadzór
• Zgodność z Microsoft
• Dokumentacja zabezpieczeń i funkcji nadzoru na platformie Microsoft Power Platform
• Microsoft Copilot Studio Dokumentacja dotycząca zabezpieczeń i ładu
• Więcej informacji można znaleźć na stronie Microsoft Copilot Studio – możliwości w zakresie zgodności.
• Odpowiedzialna sztuczna inteligencja Często zadawane pytania dotyczące Microsoft Power Platform
• Często zadawane pytania dotyczące odpowiedzialnego AI dla Copilot Studio