強化安全態勢與合規

本文說明如何利用零信任原則強化態勢與合規，作為Microsoft（安全採用模型）的一部分（security-adoption-model.md）。

此商業情境能幫助您達成以下目標：

持續提升安全態勢與合規性

作為企業領袖，你必須履行受託責任，以防範安全風險。 防護必須涵蓋安全事件，防止不斷演變的威脅，並符合法規遵循要求，且通常資源有限。

此商業情境是我們結構化採用模型的一部分，幫助您利用基於零信任原則的現代安全方法達成業務目標。

此指引協助貴組織持續識別風險、優先處理及強化全組織防護，提升安全態勢並維持合規。

此指引的運作方式

本文屬於一個結構 化採用模型 的一部分，將安全策略與實作連結起來：

  • 從這樣的 商業情境 開始，定義你想要達成的成果。

  • 辨識適用於此情境的安全性領域。

    利用這些學科來定義情境所需的策略、架構、流程與控制。 逐一檢視每個領域，了解組織中需要規劃、設計及實施的事項。

  • 使用 technical solutions 利用 Microsoft 技術實施這些需求，並在 技術支柱（如身份與資料）中施加控制。

此方法確保安全態勢的改善與合規性持續維持，成為整體 零信任 架構的一部分，而非獨立行動。

為何安全態勢需要新方法

組織面臨兩大交織挑戰：一方面要防禦日益複雜的威脅，另一方面又要履行日益擴大的法規與合規義務。

  • 安全態勢：您的資安態勢代表組織整體預防、偵測及回應網路威脅的能力。 強大的安全態勢是可衡量、可量化的，並隨著風險與技術演進持續提升。
  • 法規遵循：遵守法規要求遵守法律、法規及產業標準，如 GDPR、CCPA、HIPAA 及資料駐留要求。 合規不是一次性的努力——它需要持續的管控、證據與營運紀律。

你可以透過以下方式滿足這兩項要求：

  • 系統化實施安全控管的方法
  • 內建功能常常超出合規要求
  • 整合工具，降低複雜度與營運成本
  • 可衡量的進度追蹤與報告

商業價值

持續提升安全態勢與合規的價值惠及整個組織，但不同職務有所不同。

角色 價值
商業領導 透過整合式安全機制運作，在避免引入不必要阻礙的同時，確保與業務成果一致。 在符合法規與法規要求的同時，縮短安全事件後的復原時間。 限制安全與合規失敗對財務、法律及聲譽的影響。
科技職務 建立標準化的安全態勢，具備自動化合規、可預測成本及減少營運摩擦，同時符合技術與安全需求。
資訊安全角色 提升對組織風險的可視性與控制。 逐步增加攻擊摩擦，以降低攻擊者的投資報酬率（ROI），並限制爆炸半徑與暴露攻擊面。

整合安全領域

資安領域代表了執行此商業情境所需的結構化問責領域。

  • 規劃與監督領域定義了所需的策略、治理及跨組織協調。
  • 技術策略領域定義所需的架構、營運與控制能力。
  • 營運紀律透過監控、回應與持續改進，確保資安控管能隨時間持續有效。 他們偵測濫用、回應威脅，並持續改進安全防護。

規劃與監督領域

Discipline Action
策略、整合與治理 建立定義安全態勢與合規目標、優先事項及風險容忍度的治理流程。 設定可衡量的目標並追蹤安全成熟度的進展。
端對端安全架構 在整個科技產業中實施安全控管與監控。 將這些控制整合為資產所有者與管理者的統一視圖，設計出預設安全的架構，同時支持合規要求。

技術策略學科

Discipline Action
存取與身份 確保組織對資產存取採取有意識且合理的管理方式。

實施基於身份的安全控管，支持零信任原則，並提供存取模式的可視化。
基礎設施安全 持續且有效地對技術資產中的所有基礎設施資產實施監控與安全控管，包括所有雲端、本地資料中心及舊有系統。

建立、監控並執行涵蓋常見作業系統、裝置、應用程式及其他元件的安全基線與配置標準。
發展安全 持續且有效地在現有軟體與新開發中實施安全控管。

整合並自動化將安全控管納入開發流程。

建立流程，快速修正軟體生命週期中任何時間（包括發布後）發現的安全漏洞。
資料安全 持續且有效地實施安全控管，確保儲存智慧財產、商業機密、受管制資料及其他敏感資料的資料資產獲得安全與隱私保障。

實施符合法規要求並防止資料遺失的控管措施。
OT與物聯網安全 確保組織對與物理流程及物理世界互動的OT/物聯網裝置採取有意識且穩健的做法。

作戰領域

Discipline Action
安全行動 根據最頻繁且最具影響力的安全事件，優先監控與緩解，並運用來自安全運營（SecOps）及外部來源的威脅情報。 持續提升偵測與應變能力。
安全態勢管理 持續評估、衡量並改善組織內的安全態勢。

導入如 Microsoft 安全性 曝險管理 和 Secure Score 等工具來追蹤進度。

根據風險與業務影響優先排序修復。

所需技術支柱

技術支柱代表了支持此商業情境的 Microsoft 核心安全能力。

支柱 安全暴露管理 GitHub 進階安全性 Priva
身分識別 Microsoft 安全性 Exposure Management 能識別與身份相關的風險，包括過度特權帳號、過時的憑證，以及利用身份錯誤設定的攻擊路徑。 GitHub Advanced Security 偵測原始碼中的硬編碼憑證與 API 金鑰，以降低憑證外洩所帶來的身份風險。 與儲存庫存取控制整合確保只有授權使用者能修改敏感程式碼。 Microsoft Priva 與 Microsoft Entra 整合，追蹤哪些身份存取了個人資料，並支援主體權利請求，幫助個人掌控其個人資訊。
端點 Microsoft 安全性 Exposure Management 彙整端點漏洞、錯誤設定與暴露風險，提供裝置安全態勢的統一視圖。 NA Microsoft Priva 監控端點上的個人資料處理，並協助識別儲存在使用者裝置上資料的隱私風險。
Networks Microsoft 安全性 Exposure Management 會繪製網路攻擊面圖，識別暴露服務，並突顯可能促成橫向移動的網路分段缺口。 NA Microsoft Priva 協助識別個人資料何時跨越網路邊界移動，並支援跨境合規的資料傳輸評估。
應用程式 Microsoft 安全性 Exposure Management 能發現應用程式的漏洞、高風險設定及影子 IT，協助保護應用程式攻擊面。 GitHub Advanced Security 中的程式碼掃描（SAST）能在發布前識別安全漏洞與程式碼錯誤，減少部署應用程式中可被利用的漏洞數量。 安全活動與 Copilot Autofix 協助團隊大規模修復問題，支持一致的應用程式安全標準。 Microsoft Priva 能在 Microsoft 365 應用程式中發現個人資料，並提供個人資訊在協作工具中如何使用的可視性。
數據 Microsoft 安全性 Exposure Management 識別資料外洩風險，包括過度共享的檔案、敏感資料處於脆弱地點，以及與資料相關的攻擊路徑。 秘密掃描可偵測存放庫中外洩的認證資訊、權杖和連線字串，而推送保護則有助於在提交前防止新的機密外洩。 這降低了透過機密洩漏而取得資料的風險，並支持符合資料保護要求。 Microsoft Priva 提供以隱私為核心的功能，包括個人資料發現、隱私風險管理、主體權利申請自動化及同意管理。
基礎設施 Microsoft 安全性 Exposure Management 提供多雲環境中雲端及本地基礎設施的漏洞、配置錯誤及合規缺口的可視化。 相依性掃描與相依性審查可在基礎設施或應用程式部署前，識別開源元件與組態檔案中的已知漏洞，降低繼承風險並支持預設安全的基礎設施態勢。 Microsoft Priva 擴展了儲存在雲端基礎設施中資料的隱私可視性，協助組織在多雲環境中維持隱私合規。
人工智慧 Microsoft 安全性 Exposure Management 運用 AI 來建模攻擊路徑，根據可利用性與業務影響優先排序風險，並提供智慧型態態改進建議。 GitHub Advanced Security 同時掃描 AI 輔助與人工撰寫的程式碼，協助團隊在 AI 加速開發時維持安全標準。 AI 輔助修復加速漏洞修復，且不繞過安全控管。 Microsoft Priva 透過協助組織了解個人資料如何在 AI 訓練與推論情境中使用，來支援 AI 工作負載的隱私合規。

下一步

檢閱資安各領域。

  • 上次更新時間：