您正在保護一個處理客戶 PII 的分層 Web 應用程式。在第一階段，您必須將爆炸半徑降到最低、限制特權存取並假設已遭入侵。正式的資料分類推廣將於下個季度開始。您現在應該實施哪兩個設計決策？

正確答案是實施縱深防禦和使用 Azure AD RBAC 和 PIM。縱深防禦（使用 WAF、防火牆、NSG/ASG 和 Private Endpoints）有助於最小化爆炸半徑並限制特權存取，同時假設已遭入侵。這符合保護 PII 的初始階段要求。使用 Azure AD RBAC 和 PIM 實施最小權限原則，並結合受管識別和 Azure Key Vault，能有效限制特權存取並加強安全態勢。授予所有工程師訂閱範圍的 Owner 角色違反最小權限原則。單一通用資料標籤和僅依賴靜態加密不足以滿足分類和保護 PII 的需求。在沒有利害關係人意見的情況下立即實施 DLP 不切實際且可能導致問題。