Conformidade regulatória é o tipo de tópico que profissionais de TI ignoram até chegarem numa auditoria. E ai descobrem que não tem evidências, não tem políticas documentadas e não tem como provar o que o sistema faz com os dados.
O SC-900 cobre conformidade porque é isso que separa um ambiente cloud profissional de um ambiente que ‘parece’ seguro. O Microsoft Purview é a ferramenta central nesse contexto.
Conceitos de conformidade
GDPR, Regulamento europeu de proteção de dados pessoais. Princípios: consentimento, minimização, transparência, direito ao esquecimento.
ISO 27001, Padrão internacional para gestão de segurança da informação.
SOC 2, Relatório de auditoria para provedores de serviço sobre segurança, disponibilidade e privacidade.
PCI DSS, Padrão para organizações que processam cartões de pagamento.
HIPAA, Lei americana de proteção de dados de saúde.
Microsoft Purview
Suite unificada de governança, conformidade e segurança de dados:
Information Protection, Rótulos de Sensibilidade
# Criar rótulo de sensibilidade (via PowerShell)
Connect-IPPSSession
New-Label -Name "Confidencial" `
-DisplayName "Confidencial" `
-Tooltip "Dados confidenciais da empresa" `
-EncryptionEnabled $true `
-EncryptionProtectionType Template `
-SiteAndGroupProtectionEnabled $true
# Publicar rótulo
New-LabelPolicy -Name "Politica-Rotulos" `
-Labels "Publico","Interno","Confidencial","Altamente-Confidencial" `
-ExchangeLocation "All"
DLP, Prevenção de Perda de Dados
# Criar política DLP para detectar CPF em emails
New-DlpCompliancePolicy -Name "Proteger-CPF" `
-ExchangeLocation All `
-Mode Enable
New-DlpComplianceRule -Name "Regra-CPF" `
-Policy "Proteger-CPF" `
-ContentContainsSensitiveInformation @{Name="Brazil CPF Number"; minCount="1"} `
-BlockAccess $true `
-NotifyUser "LastModifier"
eDiscovery
Para investigações legais, preserva e exporta conteúdo de email, Teams, SharePoint:
# Criar caso de eDiscovery
New-ComplianceCase -Name "Investigacao-2026-001"
# Colocar caixa postal em hold (preservar evidências)
New-CaseHoldPolicy -Name "Hold-Joao" `
-Case "Investigacao-2026-001" `
-ExchangeLocation "joao@empresa.com"
Insider Risk Management
Detecta riscos de ameaças internas correlacionando comportamentos:
- Exfiltração de dados antes de demissão
- Compartilhamento de dados sensíveis
- Violações de políticas de segurança
Communication Compliance
Monitora comunicações (email, Teams) para violações de políticas:
- Linguagem de assédio
- Possível insider trading em serviços financeiros
- Compartilhamento de informações confidenciais
Microsoft Compliance Manager
Dashboard de conformidade que mede progresso e sugere ações:
# Ver pontuação de conformidade (via portal Purview)
# O Compliance Manager calcula uma pontuação de 0-1000+
# baseada nos controles implementados
# Controles são divididos em:
# - Ações da Microsoft (já implementadas)
# - Ações do cliente (sua responsabilidade)
Pontuação de conformidade, quanto maior, mais controles implementados. Mapeada para regulamentos específicos: GDPR, ISO 27001, NIST, SOC 2.
Azure Policy para conformidade
# Atribuir iniciativa de conformidade PCI DSS
az policy assignment create \
--name "pci-dss" \
--policy-set-definition "PCI v3.2.1:2018" \
--scope /subscriptions/{subscription-id}
# Ver recursos não conformes
az policy state list \
--filter "complianceState eq 'NonCompliant'" \
--query "[].{Recurso:resourceId, Politica:policyDefinitionName}" \
--output table
O que cai no exame
- Principais regulamentos: GDPR, HIPAA, PCI DSS, ISO 27001, SOC 2
- Rótulos de sensibilidade para classificação e proteção de dados
- DLP para detectar e impedir vazamento de informações
- eDiscovery para investigações legais
- Compliance Manager e pontuação de conformidade
- Diferença entre rótulos de sensibilidade e rótulos de retenção