고객 PII를 처리하는 계층화된 웹 애플리케이션을 보호하고 있습니다. 1단계에서는 블래스트 반경을 최소화하고, 권한 있는 액세스를 제한하며, 침해를 가정해야 합니다. 공식적인 데이터 분류 롤아웃은 다음 분기에 시작됩니다. 지금 구현해야 할 두 가지 설계 결정은 무엇입니까?

첫 번째 정답은 심층 방어 원칙을 적용하여 여러 보안 계층을 통해 블래스트 반경을 최소화합니다. Azure Application Gateway WAF는 웹 공격으로부터 보호하고, Azure Firewall Premium 및 NSG/ASG는 네트워크 세분화를 제공하며, Private Endpoints는 데이터 서비스의 공용 노출을 제거하여 PII를 보호합니다. 두 번째 정답은 Azure AD RBAC 및 PIM을 통해 최소 권한 원칙을 구현하여 Just-In-Time 권한 상승을 가능하게 하고, 관리 ID를 사용하여 서비스 간 인증을 간소화하며, Azure Key Vault에 비밀을 안전하게 저장하여 침해를 가정하고 권한 있는 액세스를 제한합니다. 오답들은 다음과 같습니다. 모든 엔지니어에게 구독 범위에서 Owner 역할을 부여하는 것은 최소 권한 원칙에 위배되어 보안 위험을 증가시킵니다. 단일 데이터 레이블을 사용하고 저장 데이터 암호화에만 의존하는 것은 데이터 분류 요구 사항을 충족하지 못하며, 데이터 거버넌스에 대한 포괄적인 접근 방식이 아닙니다. 이해 관계자 의견 없이 Microsoft Purview Information Protection을 즉시 적용하는 것은 효과적이지 않으며, 데이터 분류는 신중한 계획과 협업이 필요합니다.