Trabalhar com ações de melhoria no Gestor de Conformidade

Visão Geral

As ações de melhoria ajudam a centralizar as suas atividades de conformidade. Cada ação de melhoramento recomenda uma ação a tomar, com orientações detalhadas destinadas a ajudá-lo a alinhar-se com as normas e regulamentos de proteção de dados. As ações de melhoria podem ser atribuídas aos utilizadores na sua organização para realizarem trabalhos de implementação e teste. Também pode armazenar provas, adicionar notas e registar status atualizações na ação. Muitas ações de melhoria vêm com testes e monitorização automáticas.

O Gestor de Conformidade funciona num modelo de responsabilidade partilhada em que algumas ações são concluídas automaticamente por si e por outras pela Microsoft para cumprir os requisitos de um regulamento, padrão ou certificação. As ações listadas no separador Ações de melhoria no Gestor de Conformidade são aquelas que a sua organização é responsável por concluir.

Teste e monitorização automatizados

Embora algumas ações de melhoria devam ser testadas manualmente pela sua organização, muitas ações podem ser testadas e monitorizadas automaticamente. O Gestor de Conformidade identifica automaticamente as definições no seu ambiente do Microsoft 365 e no seu ambiente multicloud que ajudam a determinar quando determinadas configurações cumprem os requisitos de implementação de ações de melhoria. O Gestor de Conformidade utiliza quatro tipos de automatização, explicados abaixo.

Automatização incorporada

O Gestor de Conformidade tem funcionalidades incorporadas para receber sinais de outras soluções da Microsoft e serviços não Microsoft. O Gestor de Conformidade deteta sinais de outras soluções do Microsoft Purview às quais a sua organização pode subscrever, incluindo Gestão do Ciclo de Vida de Dados, Proteção de Informações, Prevenção de Perda de Dados, Conformidade de Comunicações e Gestão de Riscos Internos. O Gestor de Conformidade também deteta sinais de Microsoft Priva (esta capacidade está em pré-visualização). A automatização aplica-se especificamente à solução e não está confinada aos serviços cloud. Saiba mais sobre as definições de teste automático.

Automatização da Pontuação de Segurança da Microsoft

O Gestor de Conformidade deteta sinais de ações de melhoramento complementares que são monitorizadas pela Classificação de Segurança da Microsoft. Através destes sinais, o Gestor de Conformidade pode testar automaticamente determinadas ações de melhoria para fornecer uma avaliação de controlo contínua. Quando uma ação de melhoramento é testada e implementada com êxito, recebe o máximo de pontos possíveis para essa ação, que é creditada na classificação de conformidade geral.

Microsoft Defender para a automatização da Cloud

A integração com o Defender para a Cloud permite que o Gestor de Conformidade facilite as ações de melhoria e forneça monitorização contínua em vários serviços cloud da Microsoft e não microsoft, como o Microsoft Azure, Amazon Web Services (AWS) e Google Cloud Platform (GCP). A infraestrutura de cloud desta monitorização significa que a ação status pode ser avaliada e classificada ao nível da subscrição do serviço pretendido. Pode ver resultados específicos de implementação e teste para cada ação de melhoria em cada subscrição do seu serviço. A classificação geral que recebe para a ação de melhoramento é uma agregação das classificações individuais de cada subscrição nesse serviço. Saiba mais sobre o suporte e a classificaçãode várias clouds.

Conectores

Estamos a implementar uma seleção de conectores criados especificamente para que o Gestor de Conformidade suporte outros serviços que não sejam da Microsoft. Os conectores para Salesforce e Zoom estão agora disponíveis, com mais conectores a serem lançados em breve. Saiba mais em Trabalhar com conectores no Gestor de Conformidade.

Tipo de teste

O Gestor de Conformidade fornece opções para testar ações de melhoria. Na página de detalhes da ação de melhoramento, o tipo de teste status na barra de informações superior mostra como a ação é testada. A partir daqui, pode escolher como pretende que a ação seja testada: Manual ou Automático.

Manual

As ações de melhoria definidas para testes manuais são ações que testa e implementa manualmente. Defina a implementação e teste necessários status estados e carregue quaisquer ficheiros de provas no separador Provas. Para algumas ações, este é o único método disponível para testar ações de melhoria.

Automático

Determinadas ações de melhoramento podem ser testadas automaticamente pelo Gestor de Conformidade. Obtenha detalhes sobre as ações de melhoramento que podem e não podem ser testadas automaticamente.

Para as ações de melhoramento que podem ser testadas automaticamente, verá a opção Automático para Tipo de teste. O Gestor de Conformidade deteta sinais de outras soluções de conformidade e serviços cloud. Quando os sinais indicam que uma ação de melhoramento foi implementada com êxito, recebe automaticamente os pontos elegíveis para essa ação, que têm em conta as classificações dos controlos e avaliações relacionados. Saiba mais sobre a classificação.

O teste automático está ativado por predefinição para todas as ações de melhoramento elegíveis. Pode ajustar estas definições para testar automaticamente apenas determinadas ações de melhoria ou pode desativar os testes automáticos para todas as ações. Saiba mais sobre como funciona o teste automatizado e como ajustar as suas definições em Configurar testes automatizados.

Página de ações de melhoramento

Todas as ações de melhoramento geridas pela sua organização estão listadas na página Ações de melhoria no Gestor de Conformidade. A lista de ações de melhoramento apresenta informações básicas relacionadas com cada ação, como os regulamentos a que correspondem, testes status e origem, proprietário e tipo de ação. Veja abaixo as descrições de algumas das colunas. Filtre as colunas para personalizar a sua vista.

Pontos alcançados

Cada ação de melhoria vale vários pontos que contribuem para a classificação de conformidade geral. Esta coluna mostra quantos pontos foram obtidos do total disponível para alcançar.

Serviço

O serviço é a origem de dados, como o Microsoft Azure ou o Amazon Web Services, que a ação de melhoria avalia e afeta.

Group

Esta coluna mostra os grupos de avaliação aos quais a ação de melhoramento está associada. Saiba mais sobre os grupos de avaliação.

Soluções

As soluções são a localização onde executa a ação recomendada; por exemplo, em Conformidade de Comunicações da Microsoft, Microsoft Priva ou Microsoft Defender para a Cloud.

Categorias

O Gestor de Conformidade agrupa ações de melhoramento em categorias gerais para o ajudar a compreender que áreas precisam de atenção para reforçar a sua postura de conformidade geral. As categorias são: Controlar o Acesso, Descobrir e Responder, Governar Informações, Infraestrutura cloud, Gerir Conformidade, Gerir Dispositivos, Gerir Riscos Internos, Gestão de Privacidade, Proteger Contra Ameaças e Proteger Informações.

Tipo de ação

As ações de melhoramento podem ser técnicas ou não técnicas:

• As ações técnicas são implementadas ao interagir com a tecnologia de uma solução (por exemplo, alterar uma configuração).

• As ações não tecnológicas são geridas pela sua organização e implementadas de outras formas que não funcionam com a tecnologia de uma solução. Existem dois tipos de ações não técnicas: documentação e operacional.

Saiba como o tipo de ação afeta a classificação das ações de melhoria.

Página de detalhes da ação de melhoria

Selecione uma ação de melhoria na lista na página Ações de melhoria para ver a página de detalhes da ação. A página de detalhes fornece orientações de implementação detalhadas e uma ligação para o iniciar na solução ou serviço adequado. Eis o que pode fazer a partir de uma página de detalhes de ações de melhoramento:

• Obtenha status básicas rapidamente a partir da barra de informações superior.
• Atribua um proprietário, que é responsável por realizar o trabalho.
• Veja as orientações de implementação no separador Detalhes . Siga uma ligação direta para a solução recomendada para iniciar o trabalho de implementação e adicionar notas de implementação.
• Reveja as status da ação nas subscrições dos seus serviços cloud no separador Detalhes e analise os detalhes ao nível da subscrição.
• Carregue e armazene ficheiros de provas e ligações no separador Provas .
• Verifique o separador Controlos relacionados para ver todos os controlos que incluem a ação de melhoramento. Pode filtrar a lista de controlo por regulamento.

Implementação e teste

Atribuir um proprietário

Para iniciar o trabalho de implementação numa ação de melhoramento, pode fazer o trabalho sozinho ou atribuí-lo a outro utilizador como proprietário. O proprietário pode ser proprietário de uma política empresarial, um implementador de TI ou outro funcionário com a responsabilidade de realizar a tarefa. Depois de identificar o destinatário adequado, certifique-se de que tem uma função suficiente do Gestor de Conformidade para realizar o trabalho.

Para atribuir um proprietário a uma ação de melhoramento, abra a página de detalhes da ação de melhoramento. Na caixa Proprietário na barra de informações na parte superior da página, comece a escrever o nome de um utilizador e selecione o nome quando for apresentado. O utilizador atribuído recebe um e-mail a explicar que a ação de melhoramento lhes foi atribuída, com uma ligação direta para a ação de melhoramento.

Atribuir várias ações de melhoria a um único utilizador

Pode atribuir várias ações de melhoria a um utilizador ao seguir estes passos:

1. No Gestor de Conformidade, aceda à página Ações de melhoria .
2. Selecione a caixa de verificação à esquerda das ações de melhoramento que pretende atribuir.
3. Selecione Atribuir ao utilizador na parte superior da tabela de ações de melhoramento. É apresentado o painel de lista de opções Atribuir ações de melhoramento .
4. Introduza o nome de um utilizador na barra de pesquisa para procurar o utilizador ou selecione um nome na lista de pessoas sugeridas. Depois de escolher o utilizador, selecione Atribuir.

Regressa à página Ações de melhoria com o novo proprietário listado na coluna Atribuído a para as ações que atribuiu.

Trabalho de implementação

A orientação de implementação varia consoante vá para Microsoft Defender para a Cloud efetuar o trabalho para concluir a ação. Saiba mais sobre o suporte para várias clouds. Abaixo encontram-se as instruções para a implementação de cada tipo de ação.

Ações que implementa no Defender para a Cloud

Na página de detalhes de uma ação de melhoramento, veja a origem teste na barra de informações superior. Se a origem de teste for o Defender para a Cloud, a ação diz respeito a serviços cloud como o Microsoft Azure, Amazon Web Services (AWS) e Google Cloud Platform (GCP) e a ação é implementada e monitorizada através da integração do Gestor de Conformidade com o Defender para a Cloud. Estas ações pertencem à categoria da cloud de infraestrutura. Se podem ou não ser testados automaticamente depende do tipo de ação:

• As ações técnicas são testadas e monitorizadas automaticamente.
• As ações não técnicas têm de ser testadas manualmente.

Veja as instruções de implementação para cada tipo de ação abaixo.

Monitorização da subscrição

Para ações implementadas no Defender para a Cloud, a secção Monitorização da subscrição no separador Detalhes mostra uma lista de todas as subscrições relacionadas (ver glossário). Esta vista fornece uma vista mais granular sobre os status da ação nas subscrições de cada serviço. Selecione um nome de subscrição para ver um painel de lista de opções com detalhes de implementação, recursos virtuais status e as avaliações relacionadas.

Implementação para ações manuais:

• Na página de detalhes da ação de melhoramento, reveja Como implementar a documentação de orientação e execute os passos necessários. Isto pode envolver trabalho não técnico que ocorre offline.

• Cada subscrição listada em Monitorização de subscrições tem de ter a respetiva status atualizada. Cada subscrição contém um único recurso virtual, que representa a própria subscrição. Selecione o nome da subscrição para apresentar um painel de lista de opções para essa subscrição. Selecione as status, data e notas adequadas.

• Quando terminar, clique em Salvar.

Implementação para ações automáticas:

• Selecione cada subscrição, uma de cada vez, listada em Monitorização da subscrição.
• Se uma subscrição mostrar que existem recursos virtuais que não estão concluídos, selecione a subscrição e, no painel de lista de opções, selecione o separador Recursos virtuais .
• Inspecione a status de cada recurso para determinar quais requerem remediação.
• Para os recursos que precisam de remediação, veja a documentação de orientação Como implementar . Em seguida, selecione Ir para o Defender para a Cloud para fazer as alterações necessárias.

Atualizações à apresentação de status da ação de melhoramento dentro de 24 horas.

Ações que não implementa no Defender para a Cloud

A documentação de orientação de implementação no separador Detalhes fornece instruções e uma ligação para a solução onde vai para realizar o trabalho de implementação. Para executar e registar o seu trabalho de implementação:

1. Reveja a documentação de orientação Como implementar e siga a ligação para a solução relacionada para realizar o trabalho necessário. Isto pode envolver trabalho não técnico que ocorre offline.

2. Depois de executar o trabalho de implementação, selecione uma das seguintes opções de status no menu pendente Implementação status na barra de informações superior:

   • Não implementado
   • Implementado
   • Implementação alternativa – selecione esta opção se tiver utilizado outras ferramentas que não sejam da Microsoft ou tiver efetuado outras ações não incluídas nas recomendações da Microsoft
   • Planejado
   • Fora do âmbito – não é relevante para a sua organização e não contribui para a sua classificação

3. Em seguida, tem de registar a data da implementação status alterar. Selecione Editar notas acima da barra de informações da ação. O painel de lista de opções Editar detalhes da ação é aberto no separador Implementação. Também pode editar a implementação status aqui.

4. No campo Data de implementação , selecione uma data de implementação.

5. No campo notas, introduza notas de implementação opcionais (saiba mais sobre as notas).

6. Selecione Guardar no painel de lista de opções para fechar o painel.

7. Selecione Guardar ou Guardar e feche acima da barra de informações da ação para guardar as alterações que efetuou.

As ações comuns são sincronizadas entre grupos. Quando duas avaliações diferentes no mesmo grupo partilham ações de melhoramento que são geridas por si, quaisquer atualizações efetuadas aos detalhes de implementação de uma ação ou status serão sincronizadas automaticamente com a mesma ação em qualquer outra avaliação no grupo. Esta sincronização permite-lhe implementar uma ação de melhoramento e cumprir vários requisitos em vários regulamentos.

Trabalho de teste

O teste status de uma ação de melhoria é apresentado no campo Status de Teste na página de detalhes da ação. Após a implementação de uma ação de melhoramento, pode atualizar a status de teste para ações testadas manualmente ao seguir as instruções abaixo. Um utilizador com permissões de edição pode ajustar a ação status.

1. Na página de detalhes da ação de melhoramento, pode selecionar uma das seguintes opções de status no menu pendente Testar status na barra de informações superior:

   • Nenhum – não foi iniciado qualquer trabalho na ação
   • Não avaliado - a ação não foi testada
   • Aprovado – a implementação foi verificada por um avaliador
   • Falha de baixo risco
   • Risco médio falhado
   • Falha de alto risco
   • Fora do âmbito – a ação está fora do âmbito da avaliação e não contribui para a sua classificação
   • A determinar
   • Não foi possível determinar
   • Parcialmente testado
   • Em andamento

2. Em seguida, tem de registar a data de teste. Selecione Editar notas acima da barra de informações da ação. É apresentado o painel de lista de opções Editar detalhes da ação .

3. No separador Teste e verificação , selecione uma data de teste. Também pode editar o teste status aqui.

4. No campo notas, introduza notas de teste opcionais (saiba mais sobre as notas).

5. Selecione Guardar no painel de lista de opções para fechar o painel.

6. Selecione Guardar ou Guardar e feche acima da barra de informações da ação para guardar as alterações que efetuou.

Para ações testadas manualmente que são implementadas no Defender para a Cloud, veja as instruções de implementação sobre como definir status de teste nas subscrições.

As ações testadas automaticamente podem mostrar uma status de Fora do âmbito quando a monitorização automática através do Defender para a Cloud é configurada pela primeira vez. Isto acontece porque pode demorar até 24 horas a processar os sinais do Defender para a Cloud. Os estados das ações de melhoria são atualizados a cada 24 horas.

As ações testadas automaticamente também podem mostrar um dos seguintes estados de teste:

• A ser detetado - a aguardar sinais que indiquem status de teste
• Não foi possível detetar – não foi possível detetar um teste status; será verificado automaticamente novamente
• Parcialmente testada - a acção foi parcialmente testada; nem passa nem falha

Exportar histórico de testes

Pode exportar um relatório que mostra um histórico de todas as alterações nos status de teste para uma ação de melhoria. Estes relatórios são especialmente úteis para monitorizar o progresso em ações que são testadas automaticamente, uma vez que essas ações são atualizadas regularmente ou frequentemente com base nos dados do seu inquilino.

Na página de detalhes de uma ação de melhoramento, selecione Exportar histórico de testes acima da barra de informações superior. O relatório é transferido como um ficheiro do Excel.

Introduzir e ver notas

Pode introduzir notas para referência interna sobre o seu trabalho de implementação ou teste. Estas notas podem ser adicionadas ou editadas por qualquer utilizador com permissões de edição e não apenas pelo proprietário atribuído da ação.

As notas não são apresentadas na página de detalhes da ação de melhoramento. Para ver notas ou adicionar notas, tem de selecionar o comando Editar notas no canto superior direito da página de detalhes da ação de melhoramento. Quando seleciona Editar notas, é apresentado o painel de lista de opções Editar detalhes da ação . É apresentado um campo de texto para notas nos separadores Implementação e Teste e verificação do painel de lista de opções (é também aqui que pode selecionar status e datas para trabalhos de implementação e teste.)

Depois de adicionar notas, selecione Guardar no painel de lista de opções. O painel é fechado. Em seguida, selecione Guardar ou Guardar e feche acima da barra de informações da ação para guardar as suas notas.

Armazenar provas

Pode carregar provas relacionadas com o trabalho de implementação e teste, sob a forma de ficheiros ou ligações, diretamente para o separador Provas da página de detalhes de uma ação de melhoramento. Este ambiente é um repositório seguro e centralizado para o ajudar a demonstrar a satisfação dos controlos para cumprir as normas e regulamentos de conformidade. Qualquer utilizador com acesso só de leitura pode ler conteúdo nesta secção. Apenas os utilizadores com direitos de edição podem carregar, transferir e eliminar provas.

Carregar provas

• Na página de detalhes da ação de melhoramento, aceda ao separador Provas .
• Selecione Adicionar provas e selecione Documento ou Ligação.
• Para um documento, procure selecionar o ficheiro que pretende carregar e, em seguida, selecione Concluído. Os tipos de ficheiro aceites são:
  • Documentos (.doc, .xls, .ppt, .txt, .pdf)
  • Imagens (.jpg, .png)
  • Vídeo (.mkv)
  • Ficheiros comprimidos (.zip, .rar)
• Para uma ligação, introduza um nome para a ligação e o respetivo URL e, em seguida, selecione Concluído.

Eliminar provas

Pode eliminar provas quando a ação de melhoramento ainda não tiver atingido um passe ou falhar status. Para eliminar ficheiros de provas ou ligações, selecione o menu de ação (os três pontos) à direita do nome do item e selecione Eliminar. Confirme a eliminação quando lhe for pedido.

Quando uma ação de melhoria tem um teste status de Aprovado, Falhado ou Fora do âmbito, os ficheiros de provas e as ligações já não podem ser eliminados.

Atribuir ação de melhoria ao avaliador para conclusão

Depois de concluir o trabalho, realizar testes e carregar provas, o próximo passo é atribuir a ação de melhoria a um avaliador para validação. O avaliador valida o trabalho, examina as provas e seleciona o teste adequado status.

• Se a ação status estiver definida como "Passar": a ação está concluída e recebe o número total de pontos.

• Se a ação status estiver definida como "Falha": a ação não cumpre os requisitos e o avaliador pode atribuí-la de volta ao utilizador adequado para mais trabalho.

Uma função de Avaliador do Gestor de Conformidade permite que um utilizador efetue este trabalho, sem todos os direitos para criar avaliações. Saiba como definir permissões e como conceder acesso baseado em funções a avaliações e regulamentos.

Aceitar atualizações para ações de melhoramento

Quando uma atualização está disponível para uma ação de melhoramento, verá uma notificação junto ao respetivo nome. Pode aceitar a atualização ou adiá-la mais tarde.

O que causa uma atualização

Uma atualização ocorre quando existem alterações relacionadas com classificação, automatização ou âmbito. As alterações podem envolver novas orientações para ações de melhoria com base em alterações regulamentares ou podem dever-se a alterações de produtos. Apenas as ações de melhoramento geridas pelas suas organizações recebem notificações de atualização.

Onde vê as notificações de atualização de avaliação

Quando uma ação de melhoramento é atualizada, verá uma etiqueta atualização pendente junto ao respetivo nome na página de ações de melhoramento e na página de detalhes das respetivas avaliações relacionadas.

Aceda à página de detalhes da ação de melhoramento e selecione o botão Rever atualização na faixa superior para rever os detalhes sobre as alterações e aceitar ou adiar a atualização.

Rever a atualização para aceitar ou adiar

Quando seleciona Rever atualização na página de detalhes da ação de melhoramento, é apresentado um painel de lista de opções no lado direito do ecrã. O painel de lista de opções fornece detalhes importantes sobre a atualização, tais como as avaliações afetadas e as alterações na classificação e no âmbito.

Selecione Aceitar atualização para aceitar todas as alterações à ação de melhoramento. As alterações aceites são permanentes.

Se selecionar Cancelar, a atualização não será aplicada à ação de melhoramento. No entanto, continua a ver a notificação Atualização pendente até aceitar a atualização.

• Por que recomendamos aceitar atualizações: aceitar atualizações ajuda a garantir que tem a documentação de orientação mais atualizada sobre como utilizar soluções e tomar as ações de melhoramento adequadas para o ajudar a cumprir os requisitos da certificação em questão.

• Por que motivo poderá querer adiar uma atualização: se estiver a meio da conclusão de uma avaliação que inclua a ação de melhoramento, poderá querer garantir que concluiu o trabalho antes de aceitar a atualização. Pode adiar a atualização mais tarde ao selecionar Cancelar no painel de lista de opções rever atualização.

Aceitar todas as atualizações de uma só vez

Se tiver várias atualizações e quiser aceitá-las todas de uma só vez, selecione a ligação Aceitar todas as atualizações na parte superior da tabela de ações de melhoramento. É apresentado um painel de lista de opções que lista o número de ações a atualizar. Selecione o botão Aceitar atualizações para aplicar todas as atualizações.

Quando regressar à página de ações de melhoramento, poderá ver uma mensagem na parte superior da página a pedir-lhe para atualizar a página para que as atualizações sejam concluídas.

Configurar alertas para alterações de ações de melhoramento

Pode configurar alertas para notificá-lo imediatamente quando ocorrem determinadas alterações às ações de melhoramento, como uma alteração na implementação ou teste status, ou um aumento ou diminuição da classificação. Receber notificações rápidas de tais alterações pode ajudá-lo a manter-se a par dos possíveis riscos de conformidade. Visite Alertas do Gestor de Conformidade e políticas de alertas para saber como configurar alertas.

Exportar um relatório de todas as ações de melhoria

Na página de ações de melhoramento, selecione Exportar ações acima da lista de ações. É transferido um ficheiro do Excel. O ficheiro contém todas as suas ações de melhoramento e as categorias de filtro mostradas na página de ações de melhoramento. Este é o mesmo ficheiro a utilizar para atualizar várias ações de melhoramento ao mesmo tempo. Obtenha detalhes sobre como trabalhar com o ficheiro para atualizar várias ações de melhoramento.