Vous sécurisez une application web à plusieurs niveaux qui gère les informations personnelles identifiables (PII) des clients. Dans la première phase, vous devez minimiser le rayon d'impact, restreindre l'accès privilégié et partir du principe qu'une violation est possible. Un déploiement formel de la classification des données commencera le trimestre prochain. Quelles sont les deux décisions de conception que vous devriez implémenter dès maintenant ?

Les deux décisions de conception correctes sont essentielles pour minimiser le rayon d'impact et restreindre l'accès privilégié, conformément aux principes de sécurité "présumer la violation" et "confiance zéro". La défense en profondeur (Application Gateway WAF, Azure Firewall Premium, NSG/ASG, Private Endpoints) crée des couches de protection et réduit la surface d'attaque en éliminant l'exposition publique des services de données. L'implémentation du principe du moindre privilège avec Azure AD RBAC, PIM pour l'élévation juste-à-temps, les identités gérées et Azure Key Vault sécurise l'accès aux ressources et aux secrets. Accorder le rôle Propriétaire à tous les ingénieurs viole le principe du moindre privilège et augmente considérablement le risque en cas de compromission. Utiliser une seule étiquette générique et se fier uniquement au chiffrement au repos est insuffisant pour la classification des PII. Appliquer la DLP sans l'avis des parties prenantes ou de découverte est prématuré et risque de perturber les opérations sans une compréhension adéquate des données.