Hoe kunt u ervoor zorgen dat organisaties meer klachten gaan indienen met Microsoft Azure?

Organisaties die Microsoft Azure gebruiken, voldoen aan de regelgeving (HIPAA, GDPR, PCI DSS, CCPA, NYDFS en vergelijkbare standaarden) door een combinatie van Azure Policy, Microsoft Defender for Cloud, Microsoft Purview Compliance Manager en de sleutelbeheeropties van Azure Key Vault. Dit is belangrijk omdat Azure Blueprints, een van de tools waarop deze sector al jaren vertrouwt, gefaseerd wordt uitgefaseerd tot en met 31 januari 2027. Aanbevolen actie: migreer alle op Blueprints gebaseerde governance nu naar Azure Deployment Stacks plus Template Specs, voordat de migratieperiode sluit.

Gepubliceerd: februari 2022. Bijgewerkt: augustus 2026. Beoordeeld door het Compliance Advisory Team van Encryption Consulting.

Voor de basisprincipes van Azure Key Vault raadpleegt u Microsoft Azure Services – Azure Key Vault . Voor een vergelijking van Azure's sleutelbeheer met AWS en GCP raadpleegt u AWS KMS versus Azure Key Vault versus GCP KMS . Voor certificaatgebaseerde identiteitsbeheer in verschillende clouds raadpleegt u Cloudgebaseerde PKI – GCP, AWS en Azure.

Wat betekent compliance voor organisaties die Azure gebruiken?

Compliance betekent dat een organisatie voldoet aan de specifieke beveiligings- en privacynormen die gelden voor haar branche en klantenbestand. Denk hierbij aan normen zoals HIPAA en HITECH voor zorggegevens, GDPR voor Europese persoonsgegevens, PCI DSS voor betaalkaartgegevens en regelgeving op staatsniveau zoals CCPA en NYDFS. Elke norm stelt zijn eigen minimumvereisten vast. Een organisatie moet haar Azure-workloads daarom afstemmen op de normen die van toepassing zijn, in plaats van ervan uit te gaan dat één algemene beveiligingsaanpak voor alle workloads geldt. Azure zorgt er niet automatisch voor dat een organisatie aan de normen voldoet; het biedt de onderliggende beheermogelijkheden (versleuteling, toegangsbeheer, monitoring en audittools) die een organisatie configureert en gebruikt om aan die normen te voldoen.

Is Azure Blueprints nog steeds een compliance-tool waarop je kunt vertrouwen?

Nee. Azure Blueprints, voorheen een veelgebruikte manier om governance-artefacten (beleid, roltoewijzingen en resourcesjablonen) te bundelen in een herbruikbaar, door de organisatie goedgekeurd raamwerk, wordt gefaseerd uitgefaseerd. Elke compliance-architectuur die nog steeds gebruikmaakt van Blueprints heeft nu een migratieplan nodig, geen plan dat later moet worden opgesteld.

Datum	Wat verandert
July 31, 2026	Het is niet langer mogelijk om nieuwe blauwdrukdefinities en nieuwe versies van bestaande definities te creëren.
October 31, 2026	Bestaande definities kunnen niet langer worden gewijzigd; nieuwe toewijzingen kunnen niet langer worden aangemaakt.
December 31, 2026	Bestaande opdrachten kunnen niet meer worden gewijzigd.
31 januari 2027	Volledige uitfasering: de Blueprints API reageert niet meer, de toegang tot het portaal wordt verwijderd en alle blueprint-artefacten die niet vooraf zijn geëxporteerd, worden verwijderd.

De door Microsoft aanbevolen vervanging combineert twee services: Azure Deployment Stacks verzorgt de toewijzing, implementatie en levenscyclusbeheer (inclusief het afdwingen van weigering van toewijzing, ter vervanging van Blueprint-vergrendelingen), terwijl Template Specs of een Git-repository de opslag en versiebeheer van definities verzorgt. Exporteer alle bestaande blueprint-definities, versies en toewijzingen ruim vóór 31 januari 2027, aangezien alles wat op die datum niet is geëxporteerd, niet meer kan worden hersteld.

Azure Policy wordt niet beïnvloed door deze uitfasering en blijft de huidige tool voor het definiëren en afdwingen van bedrijfsregels voor Azure-resources; het was altijd al de onderliggende governance-engine van Blueprints en blijft zelfstandig functioneren, ook nadat Blueprints is verdwenen.

Hoe werkt native versus extern sleutelbeheer in Azure Key Vault?

Azure Key Vault en de bijbehorende services bieden verschillende niveaus van sleutelbeheer, waarbij elke optie een afweging biedt tussen kosten, isolatie en wie uiteindelijk de controle over het sleutelmateriaal heeft:

Sleutelbeheerlaag	Hoe werkt onze technologie?	Beste pasvorm
Key Vault Standard (native, software)	Sleutels worden in een multi-tenantomgeving softwarematig beveiligd.	Standaard voor de meeste workloads; laagste kosten.
Key Vault Premium (native, HSM-ondersteund)	Sleutels worden beschermd in een gedeelde, door meerdere gebruikers beheerde pool van hardwarebeveiligingsmodules.	Werkbelastingen die hardwarematig ondersteunde sleutels vereisen zonder de kosten van een aparte HSM.
Azure Key Vault Managed HSM (native, dedicated)	De sleutels bevinden zich in een speciale, voor één gebruiker bestemde, FIPS 140-3 Level 3 gevalideerde HSM-pool die Microsoft namens de klant beheert.	Gereguleerde werkzaamheden vereisen specifieke hardwarebeheer en volledige administratieve controle over de HSM.
Azure Dedicated HSM (door de klant beheerde hardware)	Een fysiek HSM-apparaat voor één gebruiker in Azure dat rechtstreeks door de klant, en niet door Microsoft, wordt beheerd.	Organisaties met een compliance-vereiste dat de cloudprovider de HSM nooit zelf beheert.
BYOK (geïmporteerd sleutelmateriaal)	Sleutelmateriaal dat buiten Azure is gegenereerd (vaak in een on-premises HSM) wordt geïmporteerd in Key Vault of Managed HSM, die vervolgens de levenscyclus ervan beheert.	Organisaties die de herkomst van sleutels moeten bewijzen of die al sleutels genereren via een bestaande on-premise HSM.

Gebruik standaard Key Vault Standard of Premium, tenzij een specifieke vereiste de dedicated pool van Managed HSM of de door de klant beheerde hardware van Dedicated HSM vereist. Beide opties brengen aanzienlijk hogere kosten en operationele overhead met zich mee en zijn alleen de moeite waard als een specifieke compliance-vereiste dat niveau van isolatie vereist.

Hoe moet IAM worden gestructureerd voor Azure Key Vault en compliance-tools?

Azure Role-Based Access Control (RBAC) is het door Microsoft aanbevolen machtigingsmodel voor Key Vault. Het vervangt het oudere systeem met toegangsbeleid op kluisniveau door dezelfde gedetailleerde, controleerbare roltoewijzingen die in de rest van Azure worden gebruikt.

1. Migreer kluizen die nog steeds gebruikmaken van het oude toegangsbeleidsmodel naar Azure RBAC, aangezien RBAC integreert met Azure AD Conditional Access en een consistent auditspoor genereert voor alle services.
2. Scheid de Key Vault Crypto Officer rol (sleutellevenscyclusbeheer: creëren, roteren, verwijderen) van Key Vault Crypto-gebruiker (Alleen versleutelings-/ontsleutelings-/ondertekeningsbewerkingen), waarbij aan elk een andere identiteit wordt toegekend.
3. De roltoewijzingen worden op kluis- of sleutelniveau ingesteld in plaats van op abonnementsniveau, zodat een enkele te brede toekenning niet alle sleutels in het abonnement blootlegt.
4. Controleer de roltoewijzingen op kluizen met dezelfde frequentie als andere toegangscontroles tot productieomgevingen, aangezien een verlopen Crypto User-toekenning gelijk staat aan permanente decryptietoegang.

Hoe moet je sleutelrotatie in Azure aanpakken?

Azure Key Vault ondersteunt ingebouwde automatische rotatiebeleidsregels, waarmee een organisatie een rotatieperiode en een optioneel meldingvenster vóór het verlopen van de sleutel kan definiëren. Net als bij alle belangrijke cloudservices voor sleutelbeheer, creëert rotatie alleen een nieuwe sleutelversie voor toekomstige bewerkingen; gegevens die al door een eerdere versie worden beschermd, worden niet opnieuw versleuteld en de eerdere versie wordt niet automatisch verwijderd. Een volledig rotatieplan vereist een aparte herversleutelingsstap en een expliciet schema voor het buiten gebruik stellen van oude sleutelversies zodra deze niet meer nodig zijn.

Wat moet u registreren voor Azure Compliance en Key Management?

• Diagnostische logboeken van Key Vault, Deze gegevens worden naar Azure Monitor of Log Analytics verzonden en bevatten informatie over elke belangrijke bewerking, de identiteit van de beller en de specifieke gebruikte sleutelversie.
• Microsoft Defender voor Cloud-waarschuwingen voor afwijkende toegangspatronen tot Key Vault en andere bewaakte resources.
• Wijzigingen in de nalevingsstatus van Azure-beleid, Het bijhouden van momenten waarop een resource wel of niet meer voldoet aan een toegewezen beleid.
• Beoordelingsgeschiedenis van Microsoft Purview Compliance Manager, Hierin wordt de status van verbeteringsacties voor standaarden zoals HIPAA en GDPR in de loop van de tijd vastgelegd.

Wat kosten de compliance- en sleutelbeheertools van Azure?

Key Vault Standard en Premium worden gefactureerd per sleutelbewerking en per HSM-beveiligde sleutelversie; Managed HSM en Dedicated HSM hebben een aanzienlijk hoger vast tarief om de capaciteit van de dedicated hardware te dekken. Microsoft Defender for Cloud factureert per beveiligde resource zodra de uitgebreidere abonnementen zijn ingeschakeld. De belangrijkste beoordelingsfuncties van Microsoft Purview Compliance Manager zijn inbegrepen bij bepaalde Microsoft 365- en compliance-gerichte abonnementen en worden niet apart gefactureerd. Azure Deployment Stacks en Template Specs, als native Azure Resource Manager-functies, brengen geen extra servicekosten met zich mee bovenop de kosten voor de resources die ze implementeren. Controleer de actuele tarieven per eenheid op de prijspagina's van Microsoft zelf voordat u een budget opstelt voor een migratie van Blueprints, aangezien deze tools volledig op andere modellen worden gefactureerd en gelicentieerd.

Hoe ziet een architectuur voor naleving van regelgeving in meerdere clouds eruit voor Azure, AWS en GCP?

Elke grote cloud implementeert dezelfde conceptuele lagen, een governance-engine op basis van beleid als code, een service voor continue monitoring van de beveiligingsstatus en een gelaagde sleutelbeheerservice, onder verschillende namen: Azure Policy en Defender for Cloud op Azure, AWS Config en Security Hub op AWS en Organization Policy en Security Command Center op GCP. Een consistente architectuur voor naleving van meerdere clouds koppelt dezelfde controledoelstellingen (encryptie in rust, toegang tot sleutels met minimale privileges, continue monitoring) aan de native tools van elke cloud, in plaats van te proberen één governance-engine voor alle drie te gebruiken, aangezien geen van de clouds de resources van een andere cloud native beheert.

Bekijk onze vergelijking van AWS KMS, Azure Key Vault en GCP KMS voor een volledig overzicht van de specifieke verschillen in sleutelbeheer tussen de drie, en Cloud-based PKI – GCP, AWS en Azure voor een vergelijking van certificaatgebaseerde identiteit.

Wat zijn de beperkingen van de compliance-tools van Azure?

• De gefaseerde uitfasering van Azure Blueprints dwingt elke organisatie die er governance omheen heeft gebouwd tot een daadwerkelijk migratieproject; Deployment Stacks en Template Specs zijn geen directe vervanging, maar vereisen het opnieuw schrijven van de governance-artefacten.
• Zowel Managed HSM als Dedicated HSM brengen aanzienlijk hogere kosten met zich mee dan Standard of Premium Key Vault. Deze kosten moeten worden gerechtvaardigd aan de hand van een daadwerkelijke compliance-vereiste en mogen niet zomaar standaard worden geaccepteerd.
• Het migreren van kluizen van het oude toegangsbeleidsmodel naar RBAC vereist zorgvuldige planning, aangezien de twee modellen niet altijd één-op-één overeenkomen en een overhaaste migratie kan leiden tot overmatige toegang of juist tot het blokkeren van legitieme toegang.
• Zowel Microsoft Defender for Cloud als Purview Compliance Manager vereisen initiële afstemming; de standaard waarschuwings- en beoordelingsdrempels genereren ruis die moet worden afgestemd op het daadwerkelijke risicoprofiel van de organisatie.

Beslissingschecklist: Compliance moderniseren op Azure

1. Inventariseer alle Azure Blueprints-definities en -toewijzingen die momenteel in gebruik zijn en plan de migratie ervan vóór de deadline van 31 juli 2026 voor nieuwe definities.
2. Herbouw governance-artefacten met behulp van Azure Deployment Stacks voor toewijzing en levenscyclusbeheer, en Template Specs of Git voor de opslag van definities.
3. Kies een Key Vault-niveau (Standard, Premium, Managed HSM of Dedicated HSM) op basis van een daadwerkelijk gedocumenteerde vereiste, niet op basis van een standaardinstelling.
4. Migreer alle kluizen die nog steeds gebruikmaken van het oude toegangsbeleidsmodel naar Azure RBAC, waarbij sleutelbeheer en sleutelgebruik van elkaar worden gescheiden.
5. Schakel automatische rotatie van Key Vault in en documenteer het afzonderlijke herversleutelingsproces voor bestaande gegevens.

Wat zou Encryption Consulting aanbevelen?

De meeste Azure-klanten waarmee we samenwerken, gebruiken nog steeds op Blueprints gebaseerd beheer zonder een migratieplan. Dit zorgt ervoor dat een geplande uitfasering verandert in een ongeplande hectiek. De Compliance Advisory-diensten van Encryption Consulting brengen uw daadwerkelijke wettelijke verplichtingen (HIPAA, GDPR, PCI DSS en andere) in kaart en koppelen deze aan de juiste Azure-controles. Daarnaast plannen we uw migratie van Blueprints naar Deployment Stacks en biedt onze HSM-as-a-Service- oplossing hardwarematige sleutelbewaring zonder dat u de HSM-infrastructuur zelf hoeft te beheren.

Veelgestelde Vragen / FAQ

Wanneer verdwijnt Azure Blueprints nu precies?

De volledige uitfasering staat gepland voor 31 januari 2027, maar de geleidelijke afbouw begint eerder: nieuwe blauwdrukken kunnen niet meer worden opgesteld vanaf 31 juli 2026, en verdere beperkingen gelden vanaf 31 oktober en 31 december 2026.

Wat moet Azure Blueprints vervangen?

Microsoft raadt Azure Deployment Stacks aan voor toewijzing, implementatie en levenscyclusbeheer, in combinatie met Template Specs of een Git-repository voor het opslaan en versiebeheer van de onderliggende sjablonen.

Is Azure Security Center nog steeds de juiste tool?

Azure Security Center is hernoemd naar Microsoft Defender for Cloud; de onderliggende functionaliteit voor continue bewaking van de beveiligingsstatus is onder die naam nog steeds beschikbaar.

Wat is het verschil tussen Azure Key Vault Premium en Managed HSM?

Premium beschermt sleutels in een gedeelde, multi-tenant pool van hardwarebeveiligingsmodules; Managed HSM beschermt sleutels in een dedicated, single-tenant FIPS 140-3 Level 3 gevalideerde HSM-pool met volledige beheersbare controle, tegen een navenant hogere prijs.

Worden bestaande gegevens automatisch opnieuw versleuteld wanneer een Key Vault-sleutel wordt geroteerd?

Nee. Rotatie creëert alleen een nieuwe actieve sleutelversie voor toekomstige bewerkingen; gegevens die al met de vorige versie zijn versleuteld, blijven daarvan afhankelijk totdat een expliciet herversleutelingsproces wordt uitgevoerd.

Heeft u hulp nodig bij het plannen van uw Azure Blueprints-migratie of het koppelen van uw compliancevereisten aan de juiste Azure-controls? Neem dan contact op met het Compliance Advisory-team van Encryption Consulting.

Referenties

Uitfasering van Azure Blueprints – learn.microsoft.com

Hoe u de juiste Azure-sleutelbeheeroplossing kiest – learn.microsoft.com