Permisos
Descripción general
Esta página describe el modelo de permisos y acceso para este agente. El agente utiliza acceso de solo lectura a datos de cumplimiento, auditoría y seguridad de Microsoft Defender, Microsoft Purview y servicios relacionados de Microsoft 365 a través del Complementos de Security Copilot. Su propósito es evaluar la Línea base de protección de datos (DPB) postura, identificar posibles brechas de cumplimiento y generar información sin modificar ninguna configuración.
Cómo funciona
El agente se conecta de forma segura a su tenant usando los endpoints de Microsoft Graph API para recuperar datos de cumplimiento, seguridad y registros de auditoría. Evalúa esta información en relación con marcos de protección de datos y cumplimiento, como la Línea base de protección de datos de Microsoft y el GDPR, para resaltar oportunidades de mejora y áreas de riesgo.
Todas las interacciones siguen estos principios:
Acceso de solo lectura: El agente no modifica ni crea configuraciones, políticas o marcos.
Privilegio mínimo: Solo se requieren los permisos mínimos necesarios para leer datos de cumplimiento y seguridad.
Transparencia: Todo el acceso a los datos se realiza a través de endpoints documentados de Graph API y es totalmente auditable dentro de Microsoft Entra.
Roles requeridos en Entra ID
Asigne los siguientes roles a la cuenta de administrador que instala y ejecuta el agente:
Administrador de datos de cumplimiento
Proporciona acceso de solo lectura a Microsoft Purview y a los datos de cumplimiento.
Lector de seguridad
Concede visibilidad de solo lectura en eventos y alertas de seguridad de Microsoft Defender.
Lector de informes
Permite el acceso de solo lectura a datos de auditoría e informes en los servicios de Microsoft 365.
Estos roles están alineados con el principio de privilegio mínimo. Ajuste según los requisitos de cumplimiento y gobernanza de su organización.
Transparencia en el acceso a datos
La siguiente tabla describe los datos a los que accede el agente y su propósito.
Datos de configuración de cumplimiento y políticas
Solo lectura
Para evaluar la alineación con la Línea base de protección de datos y marcos de cumplimiento.
Incidentes y alertas de seguridad
Solo lectura
Para correlacionar la postura de cumplimiento con eventos de seguridad y señales de riesgo.
Registros de auditoría
Solo lectura
Para evaluar la actividad de usuarios y administradores relacionada con los controles de protección de datos.
Datos de clasificación y etiquetado de datos
Solo lectura
Para identificar brechas de cobertura en las políticas de protección y retención de datos.
Manejo de datos:
El agente no modifica, elimina ni exporta datos de clientes fuera del límite del inquilino.
Todo el acceso ocurre a través del Microsoft Graph API utilizando permisos delegados o de aplicación.
Los eventos de acceso se registran en registros de auditoría de Microsoft Entra para visibilidad y seguimiento de cumplimiento.
Configuración del agente
El agente admite parámetros opcionales para personalizar la profundidad del análisis, los marcos y los rangos de tiempo.
Marcos
Predeterminado: Línea base de protección de datos (DPB) y GDPR
Define qué marcos de cumplimiento o protección evaluar.
TextoMarcoAdicional
"ISO 27001 requiere cifrado de datos en reposo y en tránsito..."
Permite agregar texto de marco personalizado para una evaluación de cumplimiento ampliada.
URLMarco
"https://learn.microsoft.com/en-us/azure/compliance/offerings/offering-soc-2"
Hace referencia a un marco de cumplimiento externo o documento de orientación para comparación.
IntervaloDeTiempo
30 o 90 (días)
Define la ventana de tiempo para el análisis de datos de cumplimiento y auditoría.
Para obtener resultados precisos, asegúrese de al menos 30 días de datos de cumplimiento y seguridad estén disponibles antes de ejecutar el agente.
Consideraciones de seguridad y cumplimiento
Toda la comunicación con Microsoft Graph está cifrada usando HTTPS y asegurada mediante los servicios de identidad de Microsoft.
El agente cumple con las principios de confianza cero y privilegio mínimo de Microsoft.
El acceso se puede revisar o revocar en cualquier momento a través de asignaciones de roles de Entra ID o gestión de consentimiento de aplicaciones.
Próximos pasos
Confirme que la cuenta de administrador tiene asignados los roles requeridos.
Verifique que la recopilación de datos de Microsoft Defender y Purview esté activa durante al menos 30 días.
Obtenga más información sobre permisos en la referencia de permisos de Microsoft Graph.
Última actualización
¿Te fue útil?