Je beveiligt een gelaagde webapplicatie die klant-PII verwerkt. In fase één moet je de blast radius minimaliseren, geprivilegieerde toegang beperken en uitgaan van een inbreuk. Een formele uitrol van gegevensclassificatie start volgend kwartaal. Welke twee ontwerpbeslissingen moet je nu implementeren?

De twee correcte opties pakken de vereisten voor het minimaliseren van de blast radius, het beperken van geprivilegieerde toegang en het aannemen van een inbreuk aan. Het afdwingen van 'defense in depth' met WAF, Firewall Premium, NSG's/ASG's en Private Endpoints creëert meerdere verdedigingslagen en vermindert de blootstelling. Het implementeren van 'least privilege' met Azure AD RBAC, PIM, managed identities en Key Vault zorgt ervoor dat gebruikers en services alleen de benodigde toegang hebben, en alleen wanneer nodig, wat de impact van een inbreuk beperkt. Het toewijzen van de rol Eigenaar op abonnementsniveau schendt het principe van 'least privilege' en vergroot de blast radius. Het gebruik van één generiek gegevenslabel en alleen encryptie-at-rest voldoet niet aan de toekomstige classificatiebehoeften en is geen robuuste beveiligingsstrategie. Het onmiddellijk afdwingen van DLP zonder input van belanghebbenden is onpraktisch en kan de bedrijfsvoering verstoren, vooral omdat een formele uitrol van gegevensclassificatie nog moet beginnen.