Governança, Conformidade e Proteção de Recursos no Azure

radio_button_uncheckedshort_text1. Objetivos de governança e conformidade no Azure

Este capítulo relaciona governança de dados, regras para configuração de recursos, proteção contra alterações administrativas acidentais e evidências de conformidade da Microsoft. Microsoft Purview, Azure Policy, bloqueios de recursos e o Portal de Confiança do Serviço ajudam a manter o ambiente de nuvem visível, controlado e auditável.

• Explicar como o Microsoft Purview descobre, classifica, protege e governa dados.
• Descrever definições, atribuições, iniciativas, avaliações, correções e isenções do Azure Policy.
• Comparar os bloqueios Excluir e Somente leitura e compreender sua herança.
• Localizar materiais de segurança, privacidade, conformidade e auditoria no Portal de Confiança do Serviço.
• Aplicar os mesmos controles às alterações propostas pelo Copilot ou por automações com agentes.

radio_button_uncheckedshort_text2. A governança combina controles complementares

Nenhum serviço isolado atende a todas as necessidades de governança. O Microsoft Purview concentra-se no patrimônio de dados; o Azure Policy compara o estado dos recursos com as regras da organização; os bloqueios impedem operações administrativas destrutivas; e o Portal de Confiança do Serviço disponibiliza documentação sobre controles e garantias da Microsoft.

O RBAC do Azure continua essencial porque define quem pode executar ações de gerenciamento. A governança fica mais forte quando autorização, políticas, bloqueios, controles de dados e evidências de auditoria atuam em conjunto.

radio_button_uncheckedshort_text3. Microsoft Purview e a visão unificada dos dados

Microsoft Purview é uma família de soluções para governança, segurança, riscos e conformidade de dados. Ela reúne informações sobre dados locais, multinuvem e de software como serviço em uma visão mais unificada, facilitando a compreensão de um ambiente distribuído entre vários sistemas.

O módulo de origem destaca descoberta automatizada, classificação de dados confidenciais e linhagem de ponta a ponta. O portfólio atual da Microsoft apresenta governança, segurança e conformidade como áreas conectadas para administrar os dados ao longo de seu ciclo de vida.

radio_button_uncheckedshort_text4. Descoberta, classificação e linhagem

Essas capacidades tornam os dados mais fáceis de localizar e mais seguros para utilizar. Elas também oferecem a investigadores, proprietários de dados e auditores um contexto compartilhado para decisões.

radio_button_uncheckedshort_text5. Soluções de risco, segurança e conformidade

O Microsoft 365 ocupa uma posição central em muitas capacidades de risco e conformidade do Microsoft Purview. Serviços como Microsoft Teams, OneDrive e Exchange fornecem sinais e locais nos quais o Purview pode monitorar e administrar informações corporativas.

• Proteger informações confidenciais em nuvens, aplicativos e dispositivos.
• Identificar riscos relacionados aos dados e administrar exigências regulatórias.
• Iniciar e acompanhar atividades de conformidade regulatória com controles e evidências.
• Aplicar políticas consistentes aos dados enquanto eles são armazenados, compartilhados ou utilizados.

radio_button_uncheckedshort_text6. Governança de dados em ambientes heterogêneos

As capacidades de governança do Microsoft Purview alcançam fontes do Azure, bancos de dados SQL, sistemas Hive, ambientes locais e serviços de terceiros, como Amazon S3. O objetivo é criar um mapa atualizado que acrescente classificação e linhagem aos ativos descobertos.

Um catálogo pesquisável permite que consumidores autorizados encontrem dados sem transformar a descoberta em acesso irrestrito. Proprietários e administradores continuam controlando permissões e podem acompanhar como os dados são armazenados e usados.

radio_button_uncheckedshort_text7. Resultados esperados com o Microsoft Purview

• Encontrar dados confidenciais e compreender onde eles aparecem.
• Oferecer um ambiente controlado de descoberta para consumidores de dados.
• Obter informações sobre armazenamento, movimentação, transformação e utilização.
• Ampliar o acesso de maneira segura, preservando propriedade, políticas e responsabilidade.

Esses resultados não substituem identidade, autorização ou controles dos serviços de origem. O Purview acrescenta contexto e governança, enquanto cada sistema continua aplicando suas próprias permissões.

radio_button_uncheckedshort_text8. Finalidade do Azure Policy

Azure Policy permite criar, atribuir e administrar regras que verificam ou controlam a configuração de recursos. Ele ajuda a transformar padrões corporativos e de conformidade em avaliações repetíveis, em vez de depender de inspeções manuais.

Uma política pode apenas auditar uma condição, acrescentar ou alterar configuração por meio de correção, ou impedir a criação de um estado não compatível. O efeito escolhido deve corresponder ao risco e ao estágio de adoção da regra.

radio_button_uncheckedshort_text9. Definições, atribuições, escopos e herança

As atribuições são herdadas pelos descendentes do escopo. Uma política aplicada a uma assinatura, por exemplo, pode avaliar os grupos de recursos e recursos contidos nela, salvo exclusões ou isenções devidamente configuradas.

radio_button_uncheckedshort_text10. Avaliação de recursos novos e existentes

O Azure Policy não se limita a novos recursos. Ele também examina recursos existentes, inclusive aqueles criados antes da atribuição. Uma definição que permita somente tamanhos aprovados de máquina virtual pode avaliar criações, redimensionamentos e máquinas já implantadas.

O resultado de não conformidade torna o desvio visível. Um efeito de negação pode impedir uma nova configuração incompatível, enquanto uma tarefa de correção pode ajustar determinados recursos existentes quando a definição oferece suporte a isso.

radio_button_uncheckedshort_text11. Políticas internas, correção e integração com Azure DevOps

O Azure Policy inclui definições internas para áreas como Armazenamento, Rede, Computação, Microsoft Defender para Nuvem e Azure Monitor. Essas definições aceleram a adoção, mas ainda precisam ser revisadas e testadas para o contexto da organização.

Algumas políticas podem corrigir recursos automaticamente, por exemplo adicionando uma marca AppName exigida. Isenções tratam casos aprovados sem esconder a regra geral. A integração com Azure DevOps também permite avaliar controles antes ou depois de uma implantação.

radio_button_uncheckedshort_text12. Proteções para Copilot e automações com agentes

Alterações geradas por Copilot, scripts ou agentes continuam sujeitas aos mesmos controles do Azure. Azure Policy pode restringir regiões, exigir marcas, permitir somente SKUs aprovados e impor linhas de base de segurança, independentemente de a alteração ter sido proposta por uma pessoa ou por automação.

A identidade que executa a mudança ainda precisa de autorização via RBAC do Azure. Registros de atividade, resultados de conformidade, aprovações e isenções formam a trilha necessária para explicar o que foi proposto, permitido, negado ou corrigido.

radio_button_uncheckedshort_text13. Iniciativas e objetivos amplos de conformidade

Uma iniciativa agrupa várias definições de política para atender a um objetivo maior. Ela pode ser atribuída e acompanhada como uma unidade, o que simplifica a medição de um padrão que exigiria dezenas de verificações isoladas.

O material de origem cita uma iniciativa histórica para habilitar o monitoramento de segurança, com mais de cem definições. Entre os exemplos estavam bancos de dados ou servidores SQL sem criptografia, vulnerabilidades na linha de base do sistema operacional e ausência de proteção de ponto de extremidade. O nome atual do serviço é Microsoft Defender para Nuvem.

radio_button_uncheckedshort_text14. Finalidade dos bloqueios de recursos

Os bloqueios de recursos reduzem o risco de exclusão ou alteração acidental de recursos críticos. Eles complementam o RBAC do Azure: a função define o que uma identidade está autorizada a fazer, enquanto o bloqueio impede determinadas operações de gerenciamento mesmo para identidades com permissões amplas.

Bloqueios podem ser aplicados a assinaturas, grupos de recursos ou recursos individuais. Eles protegem operações no plano de gerenciamento; portanto, é necessário confirmar separadamente como cada serviço trata operações no plano de dados.

radio_button_uncheckedshort_text15. Bloqueios Excluir e Somente leitura

O bloqueio Somente leitura produz efeito semelhante a restringir usuários autorizados a permissões de gerenciamento do tipo Leitor. O impacto operacional exato deve ser testado, pois alguns serviços executam gravações no plano de gerenciamento durante tarefas administrativas normais.

radio_button_uncheckedshort_text16. Escopo, herança e precedência dos bloqueios

Um bloqueio aplicado ao grupo de recursos também alcança seus recursos. Um bloqueio de assinatura pode chegar a todos os grupos e recursos descendentes. Essa herança facilita a proteção ampla, mas também pode bloquear mudanças em níveis inferiores que o operador não esperava.

Os bloqueios são aplicados independentemente das permissões de RBAC. Até mesmo um Proprietário precisa remover o bloqueio aplicável antes de realizar uma operação impedida por ele. A remoção continua exigindo a autorização apropriada.

radio_button_uncheckedshort_text17. Gerenciamento e alteração de recursos bloqueados

Os bloqueios podem ser visualizados, criados ou removidos na área Bloqueios do recurso no portal do Azure. Também podem ser administrados com Azure PowerShell, CLI do Azure ou um modelo do Azure Resource Manager.

A alteração de um recurso protegido é propositalmente um processo em duas etapas: primeiro, uma identidade autorizada remove o bloqueio; depois, executa a operação permitida. Se a proteção ainda for necessária, o bloqueio deve ser reaplicado após a mudança aprovada, preservando as evidências do procedimento.

radio_button_uncheckedshort_text18. Portal de Confiança do Serviço da Microsoft

O Portal de Confiança do Serviço da Microsoft reúne informações de segurança, privacidade, conformidade e garantia sobre serviços de nuvem da Microsoft. Seus relatórios explicam os controles e processos usados para proteger os serviços e os dados dos clientes.

O portal está disponível em servicetrust.microsoft.com. Parte do material exige autenticação com uma conta corporativa ou de estudante do Microsoft Entra e aceitação do contrato de confidencialidade da Microsoft aplicável aos documentos de conformidade.

radio_button_uncheckedshort_text19. Navegação, biblioteca e disponibilidade de documentos

Segundo a fonte, relatórios e documentos permanecem disponíveis para download por pelo menos 12 meses após a publicação ou até que uma versão mais nova seja disponibilizada. Um processo de auditoria deve registrar a versão e a data da coleta em vez de presumir que o link sempre apresentará a mesma evidência.

radio_button_uncheckedshort_text20. Avaliação do módulo com respostas explicadas

radio_button_uncheckedshort_text21. Resumo do capítulo e prática contínua

Microsoft Purview proporciona visibilidade e governança sobre os dados. Azure Policy avalia e corrige a conformidade das configurações. Bloqueios de recursos protegem contra ações destrutivas acidentais. O Portal de Confiança do Serviço fornece artefatos de garantia da Microsoft. RBAC do Azure e auditoria conectam esses controles a identidades e evidências responsáveis.

A fonte recomenda o módulo Introdução ao Azure Policy do Microsoft Learn e menciona pagamento conforme o uso e uma avaliação gratuita do Azure de até 30 dias. Consulte as ofertas e a documentação atuais antes de depender de detalhes promocionais ou sujeitos a mudança.

Explore com o Copilot Chat

• Crie um plano de governança que mostre como Microsoft Purview, Azure Policy, bloqueios de recursos e Portal de Confiança do Serviço trabalham juntos.
• Projete um fluxo assistido por agentes no qual o agente sugere três controles de política e pessoas aprovam exceções e correções.
• Monte uma lista recorrente de evidências de auditoria combinando artefatos do Portal de Confiança do Serviço e dados de conformidade do Azure Policy.

1. Visão geral do Microsoft Purview
2. Visão geral do Azure Policy
3. Proteger recursos do Azure com bloqueios
4. Portal de Confiança do Serviço da Microsoft