Hoje tivemos o anuncio de que a suíte de segurança agora contempla os modelos legais de novos países e incluiu o LGPD (Lei Geral de Proteção de Dados).

https://www.microsoft.com/en-us/microsoft-365/blog/2020/01/27/microsoft-compliance-score-address-changing-data-privacy-landscape/

Como Utilizar o Compliance Score

Para utilizar o novo painel de Compliance utilize o link https://servicetrust.microsoft.com/ComplianceManager/V3

Importante: Lembre-se de usar o painel em preview pois o painel clássico não permitirá incluir.

Nesse link clique em Adicionar Avaliação para incluir o módulo de avaliação do LGPD para o Office 365:

Após isso já poderá ver o widget do LGPD no seu painel:

O que é possível fazer e como usar o Compliance Manager?

A ideia do Compliance Manager é permitir que o administrador e a equipe de segurança e conformidade avaliem se estão usando corretamente as regras de uma lei nacional de proteção de dados ou norma internacional como ISO, HIPAA e PCI.

No meu exemplo na tela acima está aplicado o modelo de proteção de dados básica, HIPAA (segurança de dados para saúde) e o LGPD.

Veja que para cada um dos modelos eu tenho uma nota do que já foi implementado pela Microsoft e o que eu já fiz de itens de segurança.

Pergunta importante: O score no Compliance Manager é igual ao Score do painel Segurança e Conformidade do Office 365 (https://protection.office.com)?

A resposta é NÃO!!! Enquanto o painel do Segurança e Conformidade se refere a itens técnicos onde você escolhe o que irá ou não implementar e com isso reduzir ou aumentar o seu Score total, no painel do Compliance Manager não temos essa possibilidade, já que ele mede a aplicação dos itens da lei/norma.

Como Avaliar o meu Nível de Compliance?

A cada item do modelo que pode ser acessado em Itens de Ação ou Informações de Controle você verá uma lista com os itens cobertos pela Microsoft e os que você como corporação deverá fazer:

Ao clicar em Review será possível você indicar em que estágio está com aquele determinado Item de Ação.

Para isso informe o estágio, data que irá implementar, se os testes com a ação foram bem sucedidos e a data do teste. Também poderá incluir observações sobre como o teste foi feito, anexar os documentos e atribuir a um usuário.

Com isso você passa a ter um painel onde para auditoria será muito mais fácil levantar os dados e comprovar a aplicação do modelo de lei ou norma que você está se sujeitando:

Na parte seguinte das análises em Informações de Controle você terá uma visão como a abaixo onde terá acesso aos diferentes itens que deverá implementar conforme a lei, com destaque para o artigo que a impõe.

No caso de leis “cruzadas”, o resumo irá indicar as diferentes leis e normas com seus artigos onde é necessário implementar determinado controle:

Assim como na parte de Itens de Ação aqui você poderá abrir os itens e ver quais os controles que precisam ser implementados por você ou já são satisfeitos pela segurança do próprio Office 365:

Quem Pode Utilizar o Compliance Manager?

Essa ferramenta está disponível no EMS E5 que compõe o Microsoft 365 E5.

É possivel adquirir para pacotes de produtos Office 365 como um add-on que é o Office 365 Advanced Compliance que pode ser agregado ao O365 E1, E3 ou E5.

https://docs.microsoft.com/en-us/office365/admin/subscriptions-and-billing/buy-or-edit-an-add-on

Já a algum tempo que o OMS é uma ferramenta que sempre abordo em clientes e eventos.

É um produto muito bom, com analises ricas e que evoluiu bastante neste ultimo ano, chegando a ser o produto que muitos acham que substituirá no futuro o System Center.

O que mudou na interface?

A interface anterior era mais simples e em um portal a parte como está no post abaixo:

http://www.marcelosincic.com.br/post/Adquirindo-e-Licenciamento-o-Azure-OMS-Operation-Management-Suite.aspx

Agora a interface é integrada no painel do Azure, permite criar novos dashboards facilmente. Alem disso é possivel acessar individualmente cada um dos monitores.

Com essa integração na interface do Azure ficou muito mais fácil e funcional.

E como ficou o licenciamento?

No post onde já havia abordado o OMS falamos sobre a aquisição que era complexa pois cada modulo fazia parte de um bundle, e cada bundle se soluções era pago separado. Havia a opção de comprar por nó ou por upload de log, mas havia limitação de soluções e modulos no modelo de pagamento por upload.

Agora ficou muito mais fácil, só existe um modo de cobrança que é por upload de dados.

Ou seja, agora você pode pagar pelo tamanho dos logs que envia, o que é bem mais prático e simples!

https://azure.microsoft.com/pt-br/blog/introducing-a-new-way-to-purchase-azure-monitoring-services/

Se não utiliza o Log Insights por não entender como pagar, agora ficou simples e bem mais barato!

Em 14 de Julho de 2015, menos de um ano da data de hoje, o suporte ao Windows 2003 acaba e muitas empresas ainda não estão tomando os passos necessários.

A Microsoft disponibilizou um site onde podemos baixar os datasheets e utilizar um assistente para gerar relatórios: http://www.microsoft.com/en-us/server-cloud/products/windows-server-2003/

Quais os Riscos e Problemas

• Fim das Atualizações (Updates) – Apenas os sistemas operacionais Windows Server 2008 e superiores receberão atualizações
• No Compliance – Operadoras de cartão de crédito e sistemas bancários internacionais (SOX, Basiléia, etc) não permitiram transações a partir desta versão
• Segurança Afetada – Todos os novos métodos de invasão, falhas de protocolo ou problemas de SO não receberão correção, significando maior investimento em ferramentas adicionais ou inviabilização de métodos e aplicações
• Alto Custo de Manutenção – Os novos servidores e hypervisors não irão mais fornecer drivers para o Windows 2003, impossibilitando refresh de hardware e atualização de versão do hypervisor/VM tools

Como Começar a Partir de Agora

O primeiro passo é realizar um Assessment no ambiente para descobrir todas as aplicações, para isso podemos utilizar o MAP (Microsoft Assessment and Planning) que gera relatórios muito bons para migração. Ele até mesmo gera os dados de compliance de hardware e indicações para virtualização.

Para utilizar o MAP foi criado um MVA no ano passado, o foco era migração de Windows XP, mas o funcionamento da ferramenta e geração de dados é similar: http://www.marcelosincic.com.br/blog/post/MVA-sobre-MAP-%28Microsoft-Assessment-Planning-and-Toolkit%29.aspx

O segundo passo é analisar compatibilidade das aplicações existentes, o que inclui a versão do web server e dos componentes de aplicações que estejam nestes servidores, versões de banco de dados, etc.

É aqui que está o grande risco, muitos dos profissionais de TI que converso e empresas estão focando em migrar AD, File Server e outros papeis do Windows, que a Microsoft preparou métodos fáceis de migração já que são Roles do sistema operacional. O problemas são as aplicações desenvolvidas internamente ou não.

Por exemplo, o SQL Server 2005 executado no Windows 2003 precisará ser migrado para SQL Server 2008 R2, aplicações escritas em .NET 1.x-2.x executando no IIS do Windows 2003 precisarão ser avaliadas muito criteriosamente, SharePoint 2003 e 2007 precisarão ser migrados para SharePoint 2010 ou 2013…

Estes exemplos deixam claro que o trabalho da migração vai muito além de apenas virtualizar!

Para isso existem muitos softwares que fazem o papel de analisador, como por exemplo, o Dell ChangeBase e o AppZero. O primeiro analisa todas as aplicações instaladas (similar ao Microsoft ACT) e testa automaticamente os métodos padrão e nativos de compatibilização. O segundo possui diversos métodos adicionais de compatibilização e faz um tracking de uma aplicação, gerando um pacote MSI, o que é extremamente útil em cenários onde não temos um instalador e não sabemos as dependências de uma aplicação.

O terceiro passo é analisar as opções, onde podemos avaliar um P2V (migração de máquina física para virtual) on-premisse, migração de sites ou banco de dados para o Microsoft Azure, criação de VMs em ambiente cloud com transferência de serviços e dados, etc.

Esta fase é onde precisamos criar planos bem definidos de migração para cada uma das aplicações e funções que hoje estão no Windows 2003. É a fase onde devemos nos concentrar em parada de serviços, seqüencia das operações, processos de migração, etc.

Conclusão

Deixar para depois a migração dos servidores é muito mais sério do que a migração de estações. Até hoje muitas empresas ainda possuem XP e sentem as dificuldades e custos de manter um sistema operacional sem suporte. Comece desde já a se preparar e será muito mais fácil.

Em um próximo artigo irei falar mais sobre o MAP e outras ferramentas para o Assessment.