Stai proteggendo un'applicazione web a livelli che gestisce PII dei clienti. Nella fase uno, devi minimizzare il raggio d'azione dell'esplosione (blast radius), limitare l'accesso privilegiato e assumere una violazione. Il lancio formale della classificazione dei dati inizierà il prossimo trimestre. Quali due decisioni di progettazione dovresti implementare ora?

Le due opzioni corrette affrontano direttamente i requisiti di minimizzazione del raggio d'azione dell'esplosione, limitazione dell'accesso privilegiato e assunzione di una violazione. L'applicazione della difesa in profondità (WAF, Firewall Premium, NSG/ASG, Private Endpoints) crea più livelli di protezione e segmentazione, riducendo l'impatto di una potenziale violazione e rimuovendo l'esposizione pubblica. L'implementazione del privilegio minimo con Azure AD RBAC, PIM, identità gestite e Key Vault garantisce che gli utenti e i servizi abbiano solo l'accesso necessario, riducendo il rischio di abuso di privilegi e proteggendo i segreti. Concedere il ruolo di Owner a livello di sottoscrizione a tutti gli ingegneri viola il principio del privilegio minimo e aumenta drasticamente il raggio d'azione dell'esplosione. L'uso di una singola etichetta dati generica e l'affidamento esclusivo alla crittografia a riposo non soddisfano i requisiti di classificazione e non affrontano la limitazione dell'accesso. L'applicazione immediata della DLP senza input degli stakeholder è prematura e potrebbe causare interruzioni, dato che la classificazione formale inizierà solo il prossimo trimestre.