Müşteri PII'sini işleyen katmanlı bir web uygulamasını güvence altına alıyorsunuz. Birinci aşamada, etki alanını (blast radius) en aza indirmeli, ayrıcalıklı erişimi kısıtlamalı ve ihlal varsayımında bulunmalısınız. Resmi bir veri sınıflandırma dağıtımı önümüzdeki çeyrekte başlayacak. Şimdi hangi iki tasarım kararını uygulamalısınız?

Doğru cevaplar, PII işleyen katmanlı bir web uygulamasını güvence altına almak için en iyi uygulamaları temsil eder. İlk doğru cevap, derinlemesine savunmayı vurgular: Azure Application Gateway WAF, web saldırılarına karşı koruma sağlar; Azure Firewall Premium ve NSG'ler/ASG'ler ağ segmentasyonu ve trafik filtrelemesi için kullanılır; Private Endpoint'ler ise veri hizmetlerinin genel erişimini kaldırarak saldırı yüzeyini azaltır. İkinci doğru cevap, ayrıcalıklı erişimi kısıtlama ve ihlal varsayımında bulunma ilkelerini uygular: Azure AD RBAC ve PIM ile en az ayrıcalık ilkesi (just-in-time yükseltme ile) yetkisiz erişimi önler; yönetilen kimlikler, kimlik bilgilerini yönetme yükünü azaltır; Azure Key Vault ise sırların güvenli bir şekilde saklanmasını ve RBAC ile erişimini sağlar. Yanlış cevaplar şunlardır: Tüm mühendislere abonelik kapsamında Sahip (Owner) rolü vermek, en az ayrıcalık ilkesini ihlal eder ve "blast radius"ı artırır. Tek bir genel veri etiketi kullanmak ve yalnızca "encryption-at-rest" özelliğine güvenmek, veri sınıflandırma ve koruma için yetersizdir, özellikle PII için. Paydaş girdisi veya keşif olmaksızın DLP'yi hemen uygulamak, yanlış etiketlemelere ve iş süreçlerinde aksaklıklara yol açabilir.