zgodność z ISO 27001 w Microsoft 365
Udowodnisz, że kontrole działały w lutym, a nie tylko w tym tygodniu?
Certyfikacja biegnie w cyklu trzyletnim - audyt etapu 1 i 2, potem coroczne audyty nadzoru, potem recertyfikacja - a pytanie nadzoru jest zawsze to samo: pokaż, że kontrole działały cały rok, a nie że istnieją w tym tygodniu. 1Security mierzy kontrole załącznika A po stronie tenanta w sposób ciągły - prawa dostępu, logowanie, relacje z dostawcami, ochronę etykietami - zapisuje datowaną migawkę w każdy poniedziałek i eksportuje pakiet dowodowy per rama, więc rok jest już zapisany, zanim audyt zostanie umówiony.
Scenariusz
Certyfikacja była projektem. Utrzymanie certyfikatu to praca.
ISO/IEC 27001:2022 wymaga działającego systemu zarządzania bezpieczeństwem informacji, opartego na 93 kontrolach załącznika A w czterech obszarach i deklaracji stosowania, która mówi, które z nich deklarujesz. Etap 2 sprawdza, czy projekt istnieje. Coroczny audyt nadzoru sprawdza, czy działał - i tu programy się wykrwawiają, bo dowody złożone tydzień przed audytem dowodzą, że kontrola istniała w tamtym tygodniu. Audytor pyta o marzec.
A oto arytmetyka, która czyni stronę tenanta wykonalną: w jedenastu ramach - ISO/IEC 27001 obok NIS2, RODO, DORA i unijnego AI Act - obowiązki zwijają się do 15 wspólnych wymagań, z których 11 mierzy się wprost z danych tenanta, a tylko cztery to poświadczane dokumenty. Kontrole załącznika A, które żyją w Microsoft 365, to dokładnie te mierzalne: prawa dostępu (A.5.18), dostęp uprzywilejowany (A.8.2), logowanie i monitorowanie (A.8.15, A.8.16), relacje z dostawcami i chmurą (A.5.19, A.5.23). Kontrole zarządzania incydentami A.5.24 do A.5.28 - planowanie, ocena, reakcja, wyciąganie wniosków, zbieranie dowodów - dowodzi się tak samo: każda detekcja niesie kartę Historia i Komentarze pisaną w trakcie pracy i generowany z niej Zapis incydentu, a dziennik powiadomień pokazuje, że alertowanie działało w każdym tygodniu roku. Jedna naprawa rusza ISO 27001, NIS2 i SOC 2 w tym samym przebiegu.
A jeśli certyfikatu jeszcze nie ma, ta sama ocena odpowiada na wcześniejsze pytanie. Ramy, których nie przyjęto, i tak są mierzone i pokazywane z własnym procentem gotowości, więc jak blisko certyfikowalności jest tenant, widać zanim ktokolwiek zdecyduje o projekcie - ze świadomie ostrożnymi statusami, bo nieocenione nigdy nie liczy się jako zaliczone. ISO/IEC 42001, siostrzana norma zarządzania AI, siedzi w tej samej jedenastce i jest oceniana w tym samym przebiegu.
Przejście
Od deklaracji stosowania do pakietu dowodowego, na ekranach.
Każdy krok to ekran z filtrem i artefaktem na końcu, nie warsztat.
- 01
Otwórz widok ram ISO 27001
Ekran Zgodność ocenia tenanta względem ISO/IEC 27001 kontrola po kontroli, w porządku samej normy, a każda cytuje wspólne wymagania, które ją spełniają - z chipami w rodzaju "NIS2 ×2" pokazującymi, co jeszcze rusza naprawa. Lista robocza układa otwarte wymagania według liczby artykułów, które odblokowują, a artykuły zmienione od ostatniej migawki mówią, z czego się zmieniły. Tam, gdzie wiesz, że pełny obraz jest inny - na przykład urządzenia zarządzane w innym narzędziu - zapisujesz własną ocenę z uzasadnieniem, a status zmierzony pozostaje widoczny obok.
- 02
Udowodnij kontrole dostawców
A.5.19 i A.5.23 pytają, jak zarządzane są relacje z dostawcami i chmurą. Ekran Aplikacje wymienia każdą aplikację OAuth i integrację z wydawcą, kanałem dostępu i administratorem, który wyraził zgodę. Ekran Domeny wymienia każdą zewnętrzną organizację widzianą w gościach, udostępnionych plikach i poczcie, z konfiguracją obok zaobserwowanej aktywności i oznaczonymi sprzecznościami.
- 03
Odpowiedz na dostęp i logowanie pomiarem
Otwórz panel wymagania, a werdykt przychodzi z liczbami: konta uśpione względem okna 90 dni dla A.5.18, logowania poza Conditional Access dla A.8.2, świeżość pozyskiwania logów i otwarte krytyczne epizody anomalii dla A.8.15 i A.8.16, pliki zastrzeżone bez chroniącej etykiety dla kontroli danych. Linki następnego kroku lądują na ekranie, gdzie żyje każda liczba. Dla A.5.26 do A.5.28 otwórz dowolny epizod: akcje reakcji, zmiany statusu i komentarze są już na jego karcie Historia i Komentarze, a Zapis incydentu je eksportuje.
- 04
Wręcz audytorowi datowany rok
Migawki całego dokumentu statusu zapisują się w każdy poniedziałek i na żądanie, więc prośba o stan z marca ma prawdziwą odpowiedź zamiast rekonstrukcji. Pakiet dowodowy per rama eksportuje się jako datowany dokument i jest serwowany przez REST API tylko do odczytu - ten sam artefakt dla jednostki certyfikującej, audytu wewnętrznego i zarządu.
Klocki
Jedno połączenie tylko do odczytu. Cały stos Microsoft 365.
Każdy klocek to ekran, który Twój zespół otwiera pierwszego dnia. Każdy odpowiada na pytanie o własnego tenanta, na które nic w centrach administracyjnych dziś nie odpowiada.
Lokalizacje
Skąd naprawdę pochodzi każde logowanie i każda akcja, na mapie, dla każdego tenanta. Naruszenia według lokalizacji, niemożliwa podróż, listy dozwolonych per osoba. Działa bez logów logowań premium.
Lokalizacje
Skąd naprawdę pochodzi każde logowanie i każda akcja, na mapie, dla każdego tenanta. Naruszenia według lokalizacji, niemożliwa podróż, listy dozwolonych per osoba. Działa bez logów logowań premium.
Co jest potrzebne
Business Premium wystarczy. Bez agentów, bez migracji, bez E5 na start.
1Security czyta tenanta, na którym już pracujesz, z Twoimi licencjami i Twoim modelem uprawnień, na podstawie zgody tylko do odczytu, która zajmuje minuty. Nie ma nic do zainstalowania i nic do migrowania: stoi obok Entra, Purview, Defendera i Twojego SIEM i odpowiada na pytania, które leżą pomiędzy nimi.
Historia aktywności jest przechowywana do trzech lat w cenie licencji, na każdym pakiecie, więc dochodzenie albo audyt mają za sobą zapis bez dodatku retencyjnego.
To też tańsza droga. Większość organizacji kupuje sobie potrzebne kontrole najwyższym pakietem Microsoft. Z 1Security na pakiecie standardowym dochodzą tam za około ćwierć mniej, z większą częścią pracy wykonaną, na licencji, za którą już płacą.
- Business Premium wystarczy
- Bez wymogu E5
- Zgoda tylko do odczytu
- 3 lata logów w cenie
- Około 25% taniej niż droga licencyjna
- Nasza chmura, Twoja chmura, on-premise
Co za tym stoi
Trzy części platformy za odpowiedzią na ISO 27001.
Te same 15 wymagań ocenia NIS2, RODO, DORA i unijny AI Act w tym samym przebiegu - jedna naprawa rusza każdą ramę, która ją cytuje.
Monitorowanie zgodności
Jedenaście ram mierzonych ciągle z danych tenanta, ze zrzutami, listą roboczą i pakietem dowodowym per rama.
Poznaj funkcję →Ocena bezpieczeństwa
Microsoft Secure Score obok oceny z obserwacji, a każda kontrola odsyła do artykułów ISO 27001, które rusza - praca nad utwardzaniem i dowody audytowe to ta sama lista.
Poznaj funkcję →Pokrycie etykietami
Które pliki zastrzeżone naprawdę noszą chroniącą etykietę poufności - mierzona połowa kontroli ochrony informacji, policzona plik po pliku.
Poznaj funkcję →
Microsoft Innovation Alley
Polecane przez program innowacji samego Microsoftu.
Microsoft Innovation Alley współpracuje z 1Security i poleca je ekosystemowi, co odpowiada na pytanie, które projekt bezpieczeństwa stawia jako pierwsze: czy dostawcy można zaufać w trybie tylko do odczytu w tenancie, który trzyma Twoje dane.
Weź to na spotkanie sterujące. Odpowiada na pytanie o zaufanie, zanim zostanie zadane.
FAQ
Częste pytania.
Czy to daje nam certyfikat ISO 27001?
Nie - certyfikat wydaje akredytowana jednostka po własnym audycie, a SZBI obejmuje ludzi i procesy poza jakimkolwiek narzędziem. 1Security dowodzi w sposób ciągły wycinka Microsoft 365: kontrole załącznika A po stronie tenanta jako mierzone statusy z datowaną historią, czyli materiał, na którym audyt nadzoru spędza najwięcej czasu.
Ile załącznika A to naprawdę pokrywa?
Kontrole obserwowalne w tenancie: prawa dostępu, dostęp uprzywilejowany, logowanie i monitorowanie, relacje z dostawcami i chmurą oraz ochronę informacji etykietami. Kontrole fizyczne, procesy HR i systemy poza Microsoft 365 potrzebują własnych źródeł dowodów. Pakiet dowodowy jest uczciwy co do tego, co obejmuje.
Jak udowodnić A.5.28, zbieranie dowodów?
Z samej detekcji. Każda anomalia albo incydent to epizod, którego panel trzyma przypisaną aktywność w oknie incydentu, wyprowadzone z niej wskaźniki, akcje powstrzymujące uruchomione przez ekran Akcje i kartę Historia i Komentarze z każdą zmianą statusu, werdyktem o powadze i komentarzem, z osobą i czasem. Przycisk Raport zamienia tę jedną detekcję w Zapis incydentu jako PDF, PowerPoint, HTML, CSV albo JSON, a wygenerowany raport sam zapisuje się na karcie. Dziennik powiadomień na ekranie Alerty dodaje, co wysłano, do kogo i co wstrzymano z jakiego powodu, przechowywane do trzech lat.
Czy potrzebujemy do tego licencji E5?
Nie. Pomiar, przechowywana historia i pakiet dowodowy działają na standardowym połączeniu tylko do odczytu i licencjach, które już masz. Tam, gdzie konkretna naprawa wymaga premium SKU Microsoftu, produkt mówi to na samej akcji, zamiast pozwolić Ci odkryć to w połowie naprawy.
Jesteśmy w trakcie certyfikacji. Czy to się jeszcze przyda?
To najlepszy moment. Migawki zaczynają się gromadzić w dniu podłączenia tenanta, więc zanim przyjdzie etap 2 albo pierwszy audyt nadzoru, istnieje datowany zapis działania kontroli - a lista robocza mówi, które otwarte luki zamykają najwięcej artykułów, zanim znajdzie je audytor.
A co z ISO 42001?
ISO/IEC 42001, norma systemu zarządzania AI, jest jedną z jedenastu ram ocenianych tą samą oceną - zasilaną wymaganiami po stronie AI, jak odpowiedzialna osoba per agent i przechwycone instrukcje agentów. Jeśli nadzór nad AI jest na mapie certyfikacji, procent gotowości już jest na ekranie.
Platforma 1Security
Zgodność z ISO 27001 to dopiero początek
Zgodność z ISO 27001 to jeden ekran platformy 1Security dla Microsoft 365. Lokalizacje, urządzenia, aplikacje, agenci AI, logi, uprawnienia, dane wrażliwe, zgodność, raporty i akcje działają na tym samym połączeniu tylko do odczytu, na licencji, którą już masz.
- Uprawnienia i udostępnianieKto do czego sięga, przez jaką grupę, link lub gościa, i czy ktokolwiek tak chciał. Mapa udostępniania, o którą pyta każdy audyt.
- Dane wrażliweDane osobowe, poświadczenia, dane finansowe i medyczne znalezione przez nasze klasyfikatory, z drugą opinią Microsoft tam, gdzie klient ją ma.
- Etykiety poufnościPokrycie etykietami i luki w witrynach i plikach, żeby ochrona, za którą klient zapłacił, była faktycznie zastosowana.
- Pliki, witryny i przeglądarka kolumnowaPrzeglądaj tenanta jak system plików: witryna, biblioteka, folder, plik, z uprawnieniami i poufnością każdego poziomu obok. Problem rozwiązany sam w sobie.
- Użytkownicy, grupy i cykl życiaUśpione konta, goście, którzy nigdy nie odeszli, grupy zagnieżdżone na trzy poziomy, osieroceni właściciele, administratorzy bez MFA. Przegląd, który wszędzie indziej jest arkuszem.
- Domeny zewnętrzneKażda obca organizacja z przyczółkiem w tenancie, jej wiarygodność, dryf i kto ją zaprosił.
- Alerty Microsoft 365Jeden model alertów dla polityk, aktywności i anomalii - z dowodami w komplecie i progiem, który ustawiasz sam.
- Monitoring Microsoft 365Monitoring w czasie rzeczywistym, który łapie masowe pobieranie, zanim się skończy - użytkownicy, pliki, aplikacje, agenci AI i urządzenia.
- Bezpieczeństwo CopilotRzeczywisty zasięg każdego agenta AI - policzony przed wdrożeniem, obserwowany i ograniczany po nim.
- Wykrywanie urządzeń w cieniuKażde urządzenie sięgające po Twoje dane, odtworzone z realnej aktywności - także maszyny, które nigdy nigdzie się nie zarejestrowały.
- Wykrywanie niemożliwych podróżyLokalizacje jako tożsamości, nie adresy IP: kraj, miasto i sieć dla każdej akcji, nowe miejsca logowań i osie podróży z werdyktami - bez E5 i P2.
- Monitoring dostępu warunkowegoZadeklarowany dostęp warunkowy zestawiony z obserwowanymi logowaniami: werdykty pokrycia, udział ruchu bez polityki i zakresy, z których biura wyrosły.
- Zarządzanie dostępem Office 365Rzeczywisty dostęp, rozwiązany do końca - kto może sięgnąć po co, którą ścieżką, i jedno miejsce, by go odebrać.
- Ład SharePointKażda witryna oceniona według ekspozycji i porzucenia - linki, goście i dostęp Copilota pod kontrolą.
- Cykl życia użytkownika Office 365Dostęp w całym cyklu życia konta - zasięg, uśpione konta i odzyskiwanie licencji w jednym przepływie.
- Audyt Microsoft 365Do trzech lat przeszukiwalnej historii aktywności - każda akcja powiązana z osobą, urządzeniem i lokalizacją.
- Inwentaryzacja Microsoft 365Osiem żywych inwentarzy na jednym grafie uprawnień - w tym witryny, urządzenia i agenci AI, których nikt nigdzie nie zarejestrował.
- Raportowanie Office 365Odpowiedzi zamiast eksportów - liczby na poziomie regulatora, zapisane widoki i API tylko do odczytu dla SOC.
- Uprawnienia do plików Microsoft 365Kto ma dostęp do dowolnego pliku i dlaczego - ludzie, linki, aplikacje i agenci AI na jednej mapie, z naprawą w tym samym miejscu.
- Wykrywanie danych wrażliwychGdzie mieszkają dane regulowane i wszystko, co może do nich sięgnąć - dwa silniki detekcji, bez licencji premium.
- Monitoring poczty Office 365Wychodzące treści wrażliwe, nadużycia wysyłki delegowanej i dowody całego wątku, które przeżywają usunięcie.
- Pokrycie etykietami PurviewCo naprawdę pokrywają Twoje etykiety wrażliwości i które z nich cokolwiek chronią.
- Inwentaryzacja agentów AIKażdy agent w tenancie z policzonym realnym zasięgiem, przejrzanym szablonem i barierkami, które da się zweryfikować.
- Zastrzeganie danych przed AIZadeklaruj typ danych jako zamknięty dla AI, a każdy agent, aplikacja i użytkownik, którzy wciąż do niego sięgają, staje się naruszeniem na żywo - z zapisem dla audytora.
- Śledzenie wydatków na AIInterakcje, kredyty Copilota i tokeny Azure w jednym rejestrze per agent - z kolumną wydatków obok tego, do czego każdy agent sięga.
- Przegląd dostępu użytkownikówKażda tożsamość z tym, co dosięga, co zrobiła i czy powinna istnieć - łącznie z gośćmi tylko-SharePoint, którzy żyją poza katalogiem.
- Analiza dostępu grupCo naprawdę odblokowuje członkostwo w grupie - rozwiązane zagnieżdżenie, wydobyci członkowie zewnętrzni, policzony zasięg rażenia.
- Zarządzanie aplikacjami i zgodami OAuthKażda aplikacja z przyczółkiem w tenancie: jak weszła, kto ją wpuścił i co naprawdę może czytać.
- Automatyzacja naprawZnaleziska stają się naprawami w skali tenanta - policzone przed włączeniem i wystawione za oknem przeglądu.
- Optymalizacja licencji Microsoft 365Stanowiska, za które płacisz, a nikt ich nie używa - jednostki nieprzypisane, licencje u gości i uśpione konta, które wciąż kosztują.
- Wykrywanie anomalii w Microsoft 365Każda polityka, użytkownik, aplikacja i agent mierzone własną linią bazową - z linią alertu, którą przesuwasz i od razu widzisz efekt.
- Lokalizacje logowań Office 365Każde miejsce, z którego sięga się po Twój tenant, z konfiguracją Dostępu warunkowego nałożoną na obserwowaną rzeczywistość.
- Ujednolicony dziennik audytu Microsoft 365Kto co zrobił, kiedy, skąd i na jakim urządzeniu - do trzech lat retencji na standardowej licencji.
- Inwentaryzacja witryn SharePointKażda witryna, witryna kanału i OneDrive na jednej liście, uszeregowane po zasięgu zewnętrznym, porzuceniu i tym, co czyta Copilot.
- Analityka aktywności Microsoft 365Skrajności zamiast średnich - masowe pobranie w ciągu godziny i wszystko, czego nikt nie tknął od roku.
- Śledzenie trendów Microsoft 365Dowolna liczba w tenancie śledzona w czasie, ze zmianą i odchyleniem - i alertowaniem na tym samym obiekcie.
- Monitorowanie zgodności Microsoft 365Gotowość na jedenaście regulacji mierzona z danych tenanta - z cotygodniowymi migawkami i pakietem dowodów dla audytora.
- Ocena bezpieczeństwa Microsoft 365Microsoft Secure Score obok oceny mierzonej z tego, co naprawdę dzieje się w tenancie - jedna lista zadań według punktów do zdobycia.
- Monitorowanie domen zewnętrznychKażda organizacja, z którą tenant wymienia dane, rozpoznana jako realna firma - z flagami dryfu i egzekwowalnym werdyktem per domena.
- Wszystkie funkcjeZobacz wszystko
Wejdź na audyt nadzoru z rokiem już zapisanym.
Podłącz tylko do odczytu, a statusy kontroli ISO 27001, lista robocza i pierwszy pakiet dowodowy lądują tego samego dnia - a każdy kolejny poniedziałek dopisuje się do zapisu.
Albo dalej składaj segregator na tydzień przed audytem.