Zabezpieczasz wielowarstwową aplikację internetową, która przetwarza dane PII klientów. W pierwszej fazie musisz zminimalizować zakres potencjalnych szkód (blast radius), ograniczyć dostęp uprzywilejowany i założyć naruszenie bezpieczeństwa (assume breach). Formalne wdrożenie klasyfikacji danych rozpocznie się w następnym kwartale. Które dwie decyzje projektowe należy wdrożyć teraz?

Pierwsza poprawna odpowiedź, "Wymuś obronę w głębi...", jest kluczowa dla minimalizacji zakresu potencjalnych szkód i założenia naruszenia bezpieczeństwa. Wdrożenie wielu warstw zabezpieczeń (WAF, Firewall, NSG/ASG) utrudnia atakującym dostęp i poruszanie się po sieci, a Private Endpoints usuwają publiczną ekspozycję, zmniejszając powierzchnię ataku. Druga poprawna odpowiedź, "Wdróż zasadę najmniejszych uprawnień...", bezpośrednio adresuje ograniczenie dostępu uprzywilejowanego. Użycie RBAC, PIM do podnoszenia uprawnień just-in-time, tożsamości zarządzanych i Key Vault z dostępem RBAC zapewnia, że użytkownicy i usługi mają tylko niezbędne uprawnienia, co minimalizuje ryzyko w przypadku kompromitacji. Pozostałe opcje są nieprawidłowe, ponieważ przyznawanie roli Owner narusza zasadę najmniejszych uprawnień, poleganie wyłącznie na szyfrowaniu w spoczynku nie wystarcza do klasyfikacji, a natychmiastowe wymuszanie DLP bez analizy jest niepraktyczne i może prowadzić do błędów.