El cifrado en reposo no está habilitado. Esto expone los datos a accesos no autorizados y posibles robos.

El cifrado en reposo no está habilitado. Esto expone los datos a accesos no autorizados y posibles robos.

Los canales de comunicación de datos insuficientemente protegidos pueden poner los datos críticos de la organización en riesgo de robo, manipulación o divulgación.

El cifrado en reposo no está habilitado. Esto expone los datos a accesos no autorizados y posibles robos.

Los canales de comunicación de datos insuficientemente protegidos pueden poner los datos críticos de la organización en riesgo de robo, manipulación o divulgación.

El cifrado en reposo no está habilitado. Esto expone los datos a accesos no autorizados y posibles robos.

Los canales de comunicación no cifrados son propensos al espionaje y manipulaciones.

De forma predeterminada, en la versión apiVersion 2019-04-01 y versiones posteriores, las cuentas de almacenamiento de Azure requieren una conexión segura para responder a las solicitudes, pero el requisito se puede deshabilitar con la propiedad supportsHttpsTrafficOnly.

La desactivación de la seguridad de transferencia expone los datos a accesos no autorizados, posibles robos y manipulaciones.

Ejemplo 1: La siguiente plantilla de ejemplo muestra una cuenta de almacenamiento que no aplica una transferencia segura.

resource example 'Microsoft.Storage/storageAccounts@2021-02-01' = {
    ...
    properties: {
        ...
        supportsHttpsTrafficOnly: false
    }
}

De forma predeterminada, los clústeres de Azure Kubernetes Service (AKS) no envían eventos de registro a Monitor Azure. Esto puede permitir que el comportamiento malintencionado no se detecte y evitar el análisis forense en caso de infracción.

Ejemplo 1: La siguiente plantilla de ejemplo muestra un clúster de AKS que no envía eventos de registro a Monitor Azure.

resource example 'Microsoft.ContainerService/managedClusters@2018-03-31' = {
    ...
    properties: {
        ...
        addonProfiles: {}
    }
}

Un período de retención breve reduce la cantidad de información de registro que la organización puede consultar en caso de investigación. Los estándares de la industria recomiendan diferentes períodos de retención según el tipo de datos y las obligaciones legales requeridas para la organización.

La ausencia de registros de auditoría limita la capacidad de detectar y responder a incidentes relacionados con la seguridad e impide la investigación forense.

Ejemplo 1: La siguiente plantilla de ejemplo define un perfil de registro de Monitor Azure que no recopila todos los eventos administrativos del registro de actividad.

targetScope = 'subscription'

resource example 'microsoft.insights/logprofiles@2016-03-01' = {
    ...
    properties: {
        ...
        categories: [ 'Write' ]
    }
}

Los sistemas no supervisados brindan a los atacantes una forma de sondear y potencialmente penetrar las defensas sin ser detectados.

Si no recibe una alerta oportuna sobre los eventos relacionados con la seguridad, el personal de seguridad no podrá responder a los incidentes a tiempo para reducir el impacto de un ataque o una infracción.

Ejemplo 1: La siguiente plantilla de ejemplo define correctamente un contacto de seguridad, pero deshabilita explícitamente la entrega de notificaciones por correo electrónico de alerta de seguridad a ese contacto.

targetScope = 'subscription'

param emailAddress string
param phoneNumber string

resource example 'Microsoft.Security/securityContacts@2020-01-01-preview' = {
    ...
    properties: {
        ...
        emails: emailAddress
        phone: phoneNumber
        alertNotifications: {
            state: 'Off'
            minimalSeverity: 'High'
        }
    }
}

Un período de retención breve reduce la cantidad de información de registro que la organización puede consultar en caso de investigación. Los estándares de la industria recomiendan diferentes períodos de retención según el tipo de datos y las obligaciones legales requeridas para la organización.

La ausencia de registros de auditoría limita la capacidad de detectar y responder a incidentes relacionados con la seguridad e impide la investigación forense.

Ejemplo 1: La siguiente plantilla de ejemplo muestra una configuración de Azure SQL Server sin la auditoría habilitada.

@secure()
param sqlLogin string

@secure()
param sqlLoginPass string

param location string = resourceGroup().location

resource sqlServer 'Microsoft.Sql/servers@2021-11-01-preview' = {
    name: 'server name'
    location: location
    tags: {
        displayName: 'server name'
    }
    properties: {
        administratorLogin: sqlLogin
        administratorLoginPassword: sqlLoginPass
        version: '12.0'
        publicNetworkAccess: 'Disabled'
    }
}

Las claves administradas por el cliente no se utilizan para cifrar datos en reposo.

Las claves administradas por el cliente permiten a las organizaciones usar claves criptográficas de su elección para cifrar datos. Esto brinda a las organizaciones un mejor control de los procesos de cifrado.

De este modo, las claves administradas por el cliente suelen ser parte de la solución para satisfacer requisitos que incluyen, entre otros:
- Registros de auditoría para el acceso a datos confidenciales
- Residencia de datos
- Reemplazo, deshabilitación o destrucción de claves

Las claves administradas por el cliente no se utilizan para cifrar datos en reposo.

Las claves administradas por el cliente permiten a las organizaciones usar claves criptográficas de su elección para cifrar datos. Esto brinda a las organizaciones un mejor control de los procesos de cifrado.

De este modo, las claves administradas por el cliente suelen ser parte de la solución para satisfacer requisitos que incluyen, entre otros:
- Registros de auditoría para el acceso a datos confidenciales
- Residencia de datos
- Reemplazo, deshabilitación o destrucción de claves

Las claves administradas por el cliente no se utilizan para cifrar datos en reposo.

Las claves administradas por el cliente permiten a las organizaciones usar claves criptográficas de su elección para cifrar datos. Esto brinda a las organizaciones un mejor control de los procesos de cifrado.

De este modo, las claves administradas por el cliente suelen ser parte de la solución para satisfacer requisitos que incluyen, entre otros:
- Registros de auditoría para el acceso a datos confidenciales
- Residencia de datos
- Reemplazo, deshabilitación o destrucción de claves

Las claves administradas por el cliente no se utilizan para cifrar datos en reposo.

Las claves administradas por el cliente permiten a las organizaciones usar claves criptográficas de su elección para cifrar datos. Esto brinda a las organizaciones un mejor control de los procesos de cifrado.

De este modo, las claves administradas por el cliente suelen ser parte de la solución para satisfacer requisitos que incluyen, entre otros:
- Registros de auditoría para el acceso a datos confidenciales
- Residencia de datos
- Reemplazo, deshabilitación o destrucción de claves

Los mecanismos de autenticación débiles exponen a las organizaciones a accesos no autorizados.

Los mecanismos de autenticación pueden fallar por varias razones, tales como:
- Contraseñas débiles
- Validación incorrecta
- Gestión de credenciales débiles

Los mecanismos de autenticación débiles exponen a las organizaciones a accesos no autorizados.

Los mecanismos de autenticación pueden fallar por varias razones, tales como:
- Contraseñas débiles
- Validación incorrecta
- Gestión de credenciales débiles