Permisos
Descripción general
Esta página describe los permisos y el modelo de acceso para este agente. El agente utiliza acceso de solo lectura a los datos de cumplimiento, auditoría y seguridad de Microsoft Defender, Microsoft Purview y los servicios relacionados de Microsoft 365 a través de la Security Copilot Plugins. Su propósito es evaluar la Data Protection Baseline (DPB) de su organización, identificar posibles brechas de cumplimiento y generar información sin modificar ninguna configuración.
Cómo funciona
El agente se conecta de forma segura a su tenant mediante puntos de conexión de Microsoft Graph API para recuperar datos de cumplimiento, seguridad y registros de auditoría. Evalúa esta información frente a marcos de protección de datos y cumplimiento, como Microsoft Data Protection Baseline y GDPR, para resaltar oportunidades de mejora y áreas de riesgo.
Todas las interacciones siguen estos principios:
Acceso de solo lectura: El agente no modifica ni crea configuraciones, directivas ni marcos.
Privilegio mínimo: Solo se requieren los permisos mínimos necesarios para leer datos de cumplimiento y seguridad.
Transparencia: Todo el acceso a los datos se realiza a través de puntos de conexión de Graph API documentados y es totalmente auditable dentro de Microsoft Entra.
Roles de Microsoft Entra ID requeridos
Asigne los siguientes roles a la cuenta de administrador que instala y ejecuta el agente:
Administrador de datos de cumplimiento
Proporciona acceso de solo lectura a Microsoft Purview y a los datos de cumplimiento.
Lector de seguridad
Otorga visibilidad de solo lectura a los eventos y alertas de seguridad de Microsoft Defender.
Lector de informes
Permite acceso de solo lectura a los datos de auditoría y generación de informes en los servicios de Microsoft 365.
Estos roles están alineados con el principio de mínimo privilegio. Ajuste según los requisitos de cumplimiento y gobierno de su organización.
Transparencia en el acceso a los datos
La siguiente tabla describe los datos a los que accede el agente y su propósito.
Datos de configuración de cumplimiento y directivas
Solo lectura
Para evaluar la alineación con Data Protection Baseline y los marcos de cumplimiento.
Incidentes de seguridad y alertas
Solo lectura
Para correlacionar la postura de cumplimiento con eventos de seguridad y señales de riesgo.
Registros de auditoría
Solo lectura
Para evaluar la actividad de usuarios y administradores relacionada con los controles de protección de datos.
Datos de clasificación y etiquetado de datos
Solo lectura
Para identificar brechas de cobertura en las directivas de protección y retención de datos.
Manejo de datos:
El agente no modificar, eliminar o exportar datos del cliente fuera del límite del tenant.
Todo el acceso ocurre a través de Microsoft Graph API mediante permisos delegados o de aplicación.
Los eventos de acceso se registran en registros de auditoría de Microsoft Entra para visibilidad y seguimiento del cumplimiento.
Configuración del agente
El agente admite parámetros opcionales para personalizar la profundidad del análisis, los marcos y los intervalos de tiempo.
Marcos
Predeterminado: Data Protection Baseline (DPB) y GDPR
Define qué marcos de cumplimiento o protección evaluar.
AdditionalFrameworkText
"ISO 27001 requiere el cifrado de los datos en reposo y en tránsito..."
Permite agregar texto de marco personalizado para una evaluación de cumplimiento ampliada.
FrameworkURL
"https://learn.microsoft.com/en-us/azure/compliance/offerings/offering-soc-2"
Hace referencia a un marco de cumplimiento externo o a un documento de orientación para su comparación.
TimeRange
30 o 90 (días)
Define la ventana temporal para el análisis de datos de cumplimiento y auditoría.
Para obtener resultados precisos, asegúrese de que haya al menos 30 días de datos de cumplimiento y seguridad disponibles antes de ejecutar el agente.
Consideraciones de seguridad y cumplimiento
Toda la comunicación con Microsoft Graph está cifrada mediante HTTPS y protegida a través de los servicios de identidad de Microsoft.
El agente cumple con las confianza cero y privilegio mínimo .
El acceso puede revisarse o revocarse en cualquier momento mediante asignaciones de roles de Entra ID o administración del consentimiento de aplicaciones.
Próximos pasos
Confirme que la cuenta de administrador tiene asignados los roles requeridos.
Verifique que la recopilación de datos de Microsoft Defender y Purview esté activa durante al menos 30 días.
Obtenga más información sobre los permisos en la referencia de permisos de Microsoft Graph.
Última actualización
¿Te fue útil?