Descripción del acceso del operador en la nube

Al ejecutar cargas de trabajo en la nube pública, una preocupación común en torno a la soberanía digital es la medida en que el operador de nube tiene acceso a los sistemas que ejecutan la carga de trabajo. En este artículo se proporciona información general técnica sobre el acceso del operador en la nube para ayudarle a tomar decisiones basadas en riesgos que impulsen la arquitectura de la carga de trabajo. Para obtener información sobre el acceso a los datos de los clientes para las solicitudes de cumplimiento de la ley, consulte el Informe de solicitudes de cumplimiento de la ley.

Acceso del operador

El funcionamiento de la infraestructura y la plataforma en la nube es un esfuerzo de colaboración entre diferentes equipos de servicio, como técnicos del centro de datos, ingenieros de software y expertos en ciberseguridad. En un nivel alto, hay dos tipos de operaciones:

• Operaciones físicas: administración de los centros de datos y la infraestructura física en las regiones en la nube.
• Operaciones lógicas: administración de los componentes lógicos (de software) que proporcionan servicios en la nube.

La naturaleza diferente de estas operaciones significa que requieren diferentes tipos de especialistas. La separación de problemas garantiza que estos equipos independientes realicen estos tipos de operaciones.

Operaciones físicas

Microsoft diseña, compila y opera centros de datos de forma que controla estrictamente el acceso físico a las áreas donde se almacenan los datos. Microsoft adopta un enfoque por capas para la seguridad física, para reducir el riesgo de que los usuarios no autorizados obtengan acceso físico a los datos y a otros recursos del centro de datos. Los centros de datos administrados físicamente por Microsoft tienen amplias capas de protección: aprobación de acceso en el perímetro de la instalación, en el perímetro del edificio, dentro del edificio y en la planta del centro de datos. Para obtener más información, consulte Información general sobre la seguridad del centro de datos.

Los técnicos del centro de datos mantienen la infraestructura física en ejecución, lo que incluye la instalación, corrección y sustitución de equipos de red y servidor, y el mantenimiento de sistemas de alimentación y refrigeración. Si los técnicos requieren acceso lógico a los sistemas de Microsoft servicios en línea, su acceso se limita a las operaciones que necesitan realizar.

Los técnicos del centro de datos pueden controlar los dispositivos de almacenamiento físico. Todos los datos de los dispositivos de almacenamiento se cifran, a menudo con varias capas de cifrado, con claves a las que los técnicos del centro de datos no tienen acceso. Para obtener más información, consulte Información general sobre el cifrado y la administración de claves. Los dispositivos de almacenamiento se eliminan de forma segura, como se menciona en Destrucción de dispositivos con rodamientos de datos.

El equipo de servidor está diseñado con una raíz de confianza de hardware que valida la integridad de componentes como el host, el controlador de administración de placa base (BMC) y todos los periféricos. Para obtener más información, consulte Integridad y seguridad de la plataforma Azure.

Es posible que los técnicos del centro de datos necesiten realizar operaciones en equipos de red. Con algunas excepciones, el tráfico de red se cifra en tránsito, por lo que el acceso accidental o malintencionado al tráfico de red no expone ningún dato.

Operaciones lógicas

La mayoría de las operaciones lógicas, también conocidas como operaciones de plataforma, se automatizan y no requieren acceso del operador. Sin embargo, es posible que en ocasiones los ingenieros necesiten realizar un mantenimiento preventivo, corregir un problema identificado por los sistemas de supervisión o corregir un problema basado en una incidencia de soporte técnico al cliente. En la mayoría de los casos de soporte técnico al cliente, los ingenieros no necesitan acceso a la plataforma para solucionar el problema.

Identidad y acceso

Microsoft servicios en línea están diseñados para permitir a los ingenieros de Microsoft operar servicios sin tener acceso al contenido del cliente. De forma predeterminada, los ingenieros de Microsoft tienen acceso permanente cero (ZSA) al contenido del cliente y ningún acceso con privilegios al entorno de producción. Microsoft servicios en línea usar un modelo Just-In-Time (JIT), Just-Enough-Access (JEA) para proporcionar a los ingenieros del equipo de servicio acceso con privilegios temporales a entornos de producción cuando se requiere dicho acceso para admitir Microsoft servicios en línea. El modelo de acceso JIT reemplaza el acceso administrativo tradicional y persistente por un proceso para que los ingenieros soliciten la elevación temporal a roles con privilegios cuando sea necesario. Para obtener más información, consulte Información general sobre la administración de identidad y acceso.

En los casos en los que los ingenieros de Microsoft necesitan acceso debido a una incidencia de soporte técnico, puede conceder el acceso a través de la Caja de seguridad del cliente, si está disponible para el servicio y lo ha habilitado. Para obtener más información sobre la caja de seguridad del cliente y los servicios admitidos, consulte Caja de seguridad del cliente para Azure y Caja de seguridad del cliente de Microsoft Purview.

Si se aprueba el acceso, ese acceso se limita a las operaciones que el ingeniero debe realizar y está limitado en el tiempo. Todas las solicitudes y aprobación se registran y supervisan en busca de anomalías. Además, el personal de operaciones de Azure debe usar estaciones de trabajo de administración seguras (SAW). Con las SAW, el personal administrativo usa una cuenta administrativa asignada individualmente independientemente de una cuenta de usuario estándar. Para más información, consulte Componentes y límites del sistema de información de Azure.

Claves de cifrado

De forma predeterminada, Microsoft servicios en línea cifrar los datos en reposo y en tránsito con claves administradas por Microsoft. Al usar claves administradas por Microsoft, Microsoft servicios en línea generar y almacenar de forma automática y segura las claves raíz usadas para el cifrado del servicio. Puede usar El cifrado de servicio con claves administradas por el cliente para controlar las claves de cifrado. Los empleados de Microsoft no pueden acceder directamente a las claves administradas por el cliente porque se almacenan en Azure Key Vault o Azure Key Vault HSM administrado. Los servicios de Microsoft usan el cifrado de sobre. Además, la clave de cifrado de claves se almacena en azure Key Vault servicio y no se puede exportar. Para obtener más información, consulte Información general sobre el cifrado y la administración de claves.

Si su organización necesita controlar la infraestructura de administración de claves, puede considerar la posibilidad de usar Azure Key Vault Managed HSM, que proporciona soberanía, disponibilidad, rendimiento y escalabilidad clave.

Acceso a los componentes y datos del servicio

La medida en que un ingeniero con los permisos y aprobaciones adecuados tiene acceso a los componentes y datos del servicio depende del servicio, la arquitectura de la carga de trabajo y la configuración.

Prevención y detección

Los servicios individuales pueden proporcionar opciones de configuración que le ayuden a evitar ciertos tipos de acceso de operador. La configuración puede afectar a la funcionalidad o a la capacidad de Microsoft para proporcionar soporte técnico. Por lo tanto, debe tener estos factores en cuenta al decidir sobre el nivel aceptable de riesgo. Microsoft Cloud for Sovereignty puede ayudar con las directivas que aplican la configuración de los servicios para cumplir requisitos específicos.

Microsoft Cloud for Sovereignty registros de transparencia proporcionan visibilidad en ocasiones en las que los ingenieros de Microsoft han accedido a los recursos del cliente mediante el servicio de acceso Just-In-Time. Esto le permite detectar este tipo de acceso de operador Just-In-Time y comprender el ámbito de los datos que podrían haber sido visibles para un operador. Los servicios también pueden ayudarle a detectar el acceso del operador con más detalle a través de las funcionalidades de auditoría, registro y supervisión. Puede alimentar los datos de registro y supervisión en un sistema de administración de eventos e información de seguridad (SIEM), como Microsoft Sentinel, para realizar un análisis de seguridad exhaustivo.