Normes de conformité réglementaire dans Defender for Cloud
Microsoft Defender for Cloud simplifie le processus de conformité réglementaire en vous aidant à identifier les problèmes qui vous empêchent de respecter une norme de conformité particulière ou d’obtenir une certification de conformité.
Les normes sectorielles, les normes réglementaires et les référentiels (benchmarks) sont représentés dans Defender for Cloud sous forme de normes de sécurité, et apparaissent dans le tableau de bord de conformité réglementaire.
Contrôles de conformité
Chaque norme de sécurité est composée de plusieurs contrôles de conformité, qui sont des groupes logiques de recommandations de sécurité associées.
Defender for Cloud évalue en continu l’environnement concerné par rapport à tous les contrôles de conformité pouvant être évalués automatiquement. Sur la base de ces évaluations, il indique si les ressources sont conformes ou non conformes aux contrôles.
Remarque
Si des normes comportent des contrôles de conformité qui ne peuvent pas être évalués automatiquement, Defender for Cloud n’est pas en mesure de déterminer si une ressource est conforme au contrôle. Dans ce cas, le contrôle apparaît en gris.
Affichage des normes de conformité
Le tableau de bord de conformité réglementaire offre une vue d’ensemble interactive de l’état de la conformité.
Dans le tableau de bord, vous pouvez :
- Obtenir un résumé des contrôles des normes qui ont été validés.
- Obtenir un résumé des normes ayant le taux de réussite le plus faible pour les ressources.
- Examiner les normes appliquées dans le périmètre sélectionné.
- Examiner les évaluations des contrôles de conformité pour chaque norme appliquée.
- Obtenir un rapport récapitulatif pour une norme spécifique.
- Gérer les stratégies de conformité afin de voir les normes attribuées à un périmètre spécifique.
- Exécuter une requête pour créer un rapport de conformité personnalisé.
- Créer un « workbook de conformité dans le temps » pour suivre l’état de conformité au fil du temps.
- Télécharger les rapports d’audit.
- Examiner les offres de conformité pour les audits Microsoft et ceux de tiers.
Détails des normes de conformité
Pour chaque norme de conformité, vous pouvez consulter :
- Le périmètre de la norme.
- Chaque norme décomposée en groupes de contrôles et sous‑contrôles.
Lorsque vous appliquez une norme à un périmètre, vous pouvez voir un résumé de l’évaluation de la conformité pour les ressources situées dans ce périmètre, pour chaque contrôle de la norme.
Le statut des évaluations reflète la conformité à la norme. Il existe trois états :
- Un cercle vert indique que les ressources du périmètre sont conformes au contrôle.
- Un cercle rouge indique que les ressources ne sont pas conformes au contrôle.
- Les contrôles non disponibles ne peuvent pas être évalués automatiquement ; Defender for Cloud ne peut donc pas déterminer si les ressources sont conformes.
Vous pouvez explorer les contrôles en profondeur pour obtenir des informations sur les ressources ayant réussi ou échoué les évaluations, ainsi que les étapes de remédiation.
Normes de conformité par défaut
Par défaut, lorsque vous activez Defender for Cloud, les normes suivantes sont activées :
- Pour Azure : Microsoft Cloud Security Benchmark (MCSB).
- Pour AWS : Microsoft Cloud Security Benchmark (MCSB) et la norme AWS Foundational Security Best Practices.
- Pour GCP : Microsoft Cloud Security Benchmark (MCSB) et GCP Default.
Normes de conformité disponibles
Les normes suivantes sont disponibles dans Defender for Cloud :
| Normes pour les abonnements Azure | Normes pour les comptes AWS | Normes pour les projets GCP |
|---|---|---|
| Norme protégée ISM du gouvernement australien | Bonnes pratiques de sécurité AWS Foundational | Loi générale brésilienne sur la protection des données personnelles (LGPD) |
| PBMM fédéral du Canada | AWS Well‑Architected Framework | California Consumer Privacy Act (CCPA) |
| CIS Azure Foundations | Loi générale brésilienne sur la protection des données personnelles (LGPD) | CIS Controls |
| CMMC | California Consumer Privacy Act (CCPA) | CIS GCP Foundations |
| FedRAMP « H » & « M » | CIS AWS Foundations | CIS Google Cloud Platform Foundation Benchmark |
| HIPAA/HITRUST | Profil CRI | CIS Google Kubernetes Engine (GKE) Benchmark |
| ISO/IEC 27001 | Matrice des contrôles Cloud CSA (CCM) | Profil CRI |
| ISM Restricted de la Nouvelle‑Zélande | — | Matrice des contrôles Cloud CSA (CCM) |
| NIST SP 800‑171 | ISO/IEC 27001 | Cybersecurity Maturity Model Certification (CMMC) |
| NIST SP 800‑53 | ISO/IEC 27002 | FFIEC Cybersecurity Assessment Tool (CAT) |
| PCI DSS | NIST Cybersecurity Framework (CSF) | — |
| RMIT Malaysia | NIST SP 800‑172 | ISO/IEC 27001 |
| SOC 2 | PCI DSS | ISO/IEC 27002 |
| SWIFT CSP CSCF | — | ISO/IEC 27017 |
| UK OFFICIAL et UK NHS | — | NIST Cybersecurity Framework (CSF) |
| Digital Operations Resilience Act (DORA) | — | NIST SP 800‑53 |
| Loi européenne sur l’IA (EU AI Act) | — | NIST SP 800‑171 |
| Système d’information coréen pour le Cloud public (k‑ISMS‑P) | — | NIST SP 800‑172 |
| CIS Azure Foundation Benchmark v3.0 | — | PCI DSS |
| Sarbanes‑Oxley Act (SOX) | — | — |
| SOC 2 | — | — |
