Azure-Guardrail-Drift,
mit Freigabenachweis.

• Azure Policy-Drift

  Unterstützte Collectors vergleichen Zuweisungen und Exemptions mit der letzten Baseline, damit Sie sehen, was sich wann und in welchem Geltungsbereich geändert hat.

• Ausnahmenregister

  Jede akzeptierte Abweichung erhält einen Eigentümer, Genehmiger, ein Ablaufdatum und einen dokumentierten Grund — zugeordnet zu CIS Azure und ISO 27001:2022 A.8.9.

• Defender for Cloud-Zuordnung

  Empfehlungen kommen mit dem Namen des betroffenen Controls, nicht mit einer rohen Empfehlungs-ID, plus Flags für Landing-Zone-Abweichungen.

• RBAC- und Tag-Drift

  Rollen-Zuweisungen und Ressourcen-Tag-Änderungen werden täglich pro Abonnement verglichen, damit Zugriffs- und Tagging-Drifts an einer Stelle sichtbar werden.

• Erkennung von Expositionsmustern

  Öffentliche IPs, internetzugängliche Speicherkonten und erweiterter Key Vault-Zugriff werden gemäß ISO 27001:2022 A.8.20 markiert.

• Monatliche Audit-Pakete

  Signierte Exporte landen in Cloudflare R2 mit zeitlich begrenzten Download-URLs — eine Datei für das, was abgewichen ist und wer freigegeben hat.

1. 1

   Verbinden Sie Ihre Abonnements

   Das assistierte Collector-Setup gewährt Lesezugriff auf Azure Policy, Ausnahmen, RBAC und Tags. Es wird nichts in Ihre Umgebung zurückgeschrieben.

2. 2

   Drift wird erkannt und weitergeleitet

   Jeder Scan vergleicht den aktuellen Zustand mit der letzten Baseline. Neue Abweichungen und Defender-Erkenntnisse werden Kontrollen zugeordnet, und der Drift-Überblick öffnet ITSM-Tickets.

3. 3

   Ausnahmen und Prüfungsunterlagen werden abgelegt

   Akzeptierte Abweichungen werden mit Verantwortlichem, Genehmiger und Ablaufdatum in das Ausnahmenregister aufgenommen. Am Monatsende ist ein signiertes Audit-Paket für Ihren Prüfer bereit.

Guardrail Ledger wird als Cloud Horizons-Modul ausgeliefert — enthalten in den Plänen Cloud Horizons Growth und Business, nicht separat erhältlich. Siehe Cloud Horizons Preise

• Wo werden Collector-Daten gespeichert?

  Schreibgeschützte Scan-Ergebnisse und Ledger-Einträge werden in EU-Regionen verarbeitet. Monatliche Audit-Pakete werden in Cloudflare R2 geschrieben, mit signierten, zeitlich begrenzten Download-URLs. Collectors schreiben niemals in Ihre Azure-Abonnements zurück.

• Wie funktioniert die Anmeldung?

  Guardrail Ledger verwendet Microsoft Entra SSO über Spot Suite OIDC. Ihr Team meldet sich mit einem Geschäftskonto an und landet in Ihrer Customer Environment — keine separate Benutzerdatenbank.

• Welche Compliance-Frameworks werden abgedeckt?

  Drift und Ausnahmen werden CIS Azure Foundations, ISO 27001:2022, NIS2 Art. 21 und DORA RTS-Klauseln zum Änderungsmanagement zugeordnet. Defender-Empfehlungen und Landing-Zone-Abweichungen enthalten den Kontrollnamen, nicht nur die Azure-Ressourcen-ID.

• Was beinhaltet die 30-tägige Testphase?

  Guardrail Ledger ist in Cloud Horizons Growth und Business enthalten — Bei Kartenzahlung ist eine 30-tägige kostenlose Testphase enthalten; Zahlung auf Rechnung ist ohne Kreditkarte möglich und ab dem ersten Tag kostenpflichtig. Die Testphase deckt Drift-Überwachung, das Ausnahmenregister und monatliche Audit-Pakete ab. Der Starter-Plan enthält keine Governance-Module.