Está protegiendo una aplicación web por niveles que maneja PII de clientes. En la fase uno, debe minimizar el radio de explosión, restringir el acceso privilegiado y asumir una brecha. El lanzamiento formal de la clasificación de datos comenzará el próximo trimestre. ¿Qué dos decisiones de diseño debe implementar ahora?

Las dos decisiones correctas abordan los requisitos de minimizar el radio de explosión, restringir el acceso privilegiado y asumir una brecha. La defensa en profundidad con WAF, Firewall Premium, NSG/ASG y Private Endpoints crea múltiples capas de seguridad y segmentación, lo que reduce el impacto de una brecha y elimina la exposición pública. La implementación del privilegio mínimo con Azure AD RBAC, PIM para elevación just-in-time, identidades administradas y Azure Key Vault con acceso RBAC restringe el acceso a los recursos críticos y secretos, limitando el daño potencial de una cuenta comprometida. Otorgar el rol de Propietario a todos los ingenieros viola el principio de privilegio mínimo y aumenta significativamente el radio de explosión. Usar una única etiqueta de datos genérica y depender solo del cifrado en reposo es insuficiente para la clasificación de datos de PII. Aplicar DLP inmediatamente sin la opinión de las partes interesadas es prematuro y puede causar interrupciones sin una clasificación de datos formal.