GDPR に基づく Microsoft Azure、Dynamics 365、Power Platform の侵害通知
Microsoft では、一般データ保護規則 (GDPR) の下での義務を重く受け止めています。 Microsoft では、データ侵害から保護するために、オンライン サービス内で広範なセキュリティ対策を講じています。 これらの対策には、物理的および論理的なセキュリティ制御だけでなく、自動化されたセキュリティ プロセス、包括的な情報セキュリティとプライバシー ポリシー、すべての担当者に対するセキュリティとプライバシーのトレーニングの両方が含まれます。
セキュリティは、Microsoft Azure、Dynamics 365、Power Platofrm に最初から組み込まれており、セキュリティ開発ライフサイクルから始まります。これは、設計によるプライバシーと既定のプライバシー手法を組み込んだ必須の開発プロセスです。 Microsoft のセキュリティ戦略の指針は、多層防御戦略の延長である "侵害を想定" することです。 Microsoft Azure、Dynamics 365、Power Platofrm のセキュリティ機能に絶えず挑戦することで、Microsoft は新たな脅威を常に先取りできます。 Azure セキュリティの詳細については、これらの リソースを確認してください。
Microsoft には、Microsoft Azure、Dynamics 365、Power Platform に対する攻撃の影響を軽減するために機能する、24 時間 365 日の専用のインシデント対応サービスがあります。 複数のセキュリティとコンプライアンス監査 ( ISO/IEC 27018 など) によって証明された Microsoft は、24 時間 365 日のビデオ監視、トレーニング済みのセキュリティ担当者、スマート カード、生体認証制御など、不正なアクセスを防ぐために、データ センターで厳格な操作とプロセスを採用しています。
潜在的な侵害の検出
最新のクラウド コンピューティングの性質上、顧客のクラウド環境で発生するすべてのデータ侵害に Microsoft Azure、Dynamics 365、または Power Platform サービスが含まれるわけではありません。 Microsoft では、Microsoft Azure、Dynamics 365、Power Platform サービスの共有責任モデルを使用して、セキュリティと運用上の責任を定義します。 クラウド サービス プロバイダーとお客様の双方がクラウド セキュリティの特定部分に対して責任を負っているため、クラウド サービスのセキュリティは、共同責任の考えに基づいて検討する必要があります。
Microsoft は、お客様の責任の範囲内でセキュリティ インシデントを監視したり、対応したりすることはありません。 お客様専用のセキュリティ侵害は、Microsoft セキュリティ インシデントとして処理されず、顧客テナントが対応作業を管理する必要があります。 顧客インシデント対応には、Microsoft Azure カスタマー サポート、カスタマー サポート、Power Platform カスタマー サポートDynamics 365、適切なサービス 契約が含まれる場合があります。 また、Microsoft では、セキュリティ インシデント対応の開発と管理に使用できるさまざまなサービス (たとえば、Microsoft Defender for Cloud) も提供しています。
Microsoft は、Microsoft インシデント管理計画のサブセットであるセキュリティ インシデント対応プロセスに従って、潜在的なデータ侵害に対応します。 Microsoft の Azure セキュリティ インシデント対応は、5 段階のプロセス (検出、評価、診断、安定、閉じる) を使用して実装されます。 セキュリティインシデント対応チームは、調査の進捗に合わせて、診断段階と安定段階と交互に対応します。 インシデント対応プロセスの概要は以下のとおりです：
| ステージ | 説明 |
|---|---|
| 1: 検出 | 潜在的なインシデントの最初の兆候です。 |
| 2: 評価 | 通話中のインシデント対応チーム メンバーは、イベントの影響と重大度を評価します。 証拠に基づいて、評価はセキュリティ対応チームにさらなるエスカレーションをもたらす場合とそうでない場合があります。 |
| 3: 診断 | セキュリティ対応チームの専門家がテクニカルまたはフォレンシックな調査を行い、封じ込め、移行、回避のストラテジーを特定します。 不正な目的を持つ個人や無許可の個人に顧客データが漏洩した可能性があるとセキュリティ チームが判断した場合には、カスタマー インシデント通知プロセスが並行して開始されます。 |
| 4: 安定化と回復 | インシデント対応チームは、問題を軽減するための復旧計画を作成します。 影響を受けるシステムの検疫などの危機封じ込め手順は、診断と並行して直ちに発生する可能性があります。 即時リスクが経過した後に発生する長期的な軽減策が計画される場合があります。 |
| 5: クローズと事後分析 | インシデント対応チームはインシデントの詳細を示す事後分析を作成します。その目的は、ポリシー、手順、プロセスを改訂してイベントの再発を防ぐことです。 |
Microsoft Azure、Dynamics 365、Power Platform で使用される検出プロセスは、Azure、Dynamics 365、Power Platform サービスの機密性、整合性、可用性を危険にさらすイベントを検出するように設計されています。 いくつかのイベントによって、調査が開始されます。
- 内部監視および警告フレームワークによる自動システム警告。 これらの警告はマルウェア対策、侵入検知などのシグネチャ ベースのアラームとして出されることも、または予期されるアクティビティをプロファイル化して異常があれば警告を発するアルゴリズムを介して出されることもあります。
- Microsoft Azure および Azure Government で実行されている Microsoft サービスからの第一者レポート。
- セキュリティ脆弱性が [問題を報告する] を通して Microsoft Security Response Center (MSRC) に報告されます。 MSRC は世界各地のパートナーやセキュリティ調査員と連携してセキュリティ インシデントの防止と Microsoft 製品のセキュリティ向上に努めています。
- Microsoft Azure カスタマー サポート ポータル、Dynamics 365カスタマー サポート、Power Platform カスタマー サポート、Microsoft Azure Portal、Azure Government 管理ポータルを含むポータルを介した顧客レポート。これは、Azure インフラストラクチャに起因する疑わしいアクティビティ (顧客の責任範囲内で発生するアクティビティではなく) を記述します。
- セキュリティのレッド チームとブルー チームのアクティビティ。 この戦略では、高度なスキルを持つ攻撃的な Microsoft セキュリティエキスパートの Red チームを使用して、Microsoft Azure の潜在的な弱点を明らかにし、攻撃します。 セキュリティ対応担当のブルー チームは、レッド チームのアクティビティを検知して防御しなければなりません。 レッド チームとブルー チームの両方のアクティビティを使用して、セキュリティ インシデントが Azure のセキュリティ対応措置により効果的に管理されているかどうかが検証されます。 セキュリティレッドチームとブルーチームの活動は、顧客データと個人データの保護を確保するために、契約ルールの下で運営されています。
- Microsoft Azure、Dynamics 365、Power Platform Services のオペレーターによるエスカレーション。 Microsoft スタッフは潜在的なセキュリティ問題を特定してエスカレーションする訓練を受けています。
Microsoft Azure、Dynamics 365、Power Platform のデータ侵害対応
Microsoft はインシデントによる機能上の影響、回復可能性、情報に対する影響を判断することで、適切な優先度と重大度レベルを調査に対して割り当てます。 調査が進むにつれて、新たな発見や結論に応じて優先度と重大度が変更されることがあります。 お客様データに対する緊急または確定されたリスクを伴うセキュリティ イベントは重大度「高」として扱われ、24 時間体制でその解決に努めます。
セキュリティ インシデント対応チームは、該当する Microsoft サービス エンジニアや主題の専門家と協力して、証拠からの事実データに基づいてイベントを分類します。 セキュリティ イベントは次のように分類されます:
- 誤検知: 検出基準を満たすが、通常のビジネス プラクティスの一部であることが判明し、除外する必要がある可能性があるイベント。サービス チームは、誤検知の根本原因を特定し、必要に応じて体系的な方法で対処します。
- セキュリティ イベント: システム、サービス、ネットワークにおける、攻撃の試行、セキュリティ制御の回避、または顧客データまたは個人データが遺失、破壊、変更、開示、または不正にアクセスされた可能性があることが事実により特定された問題が観測可能なレベルで発生すること。
- セキュリティ インシデント/お客様の報告可能なセキュリティ/プライバシー インシデント (CRSPI): Microsoft による処理中に、偶発的または違法な破壊、損失、改ざん、不正な開示、または顧客データまたは個人データへのアクセスにつながる、確認された (宣言された) セキュリティ違反。
- プライバシー イベント: Microsoft のプライバシー ポリシー、標準、制御への準拠違反など、プライバシーに対する意図しない結果をもたらす顧客データまたは個人データまたはデータ処理に影響を与えるセキュリティ イベント。
- プライバシー インシデント/顧客の報告可能なセキュリティ/プライバシー インシデント (CRSPI): Microsoft のプライバシー ポリシー、標準、制御への準拠違反など、プライバシーに対する意図しない結果をもたらす顧客データまたは個人データ、データ、またはデータ処理に影響を与えるセキュリティ インシデント。
CRSPI を宣言するには、顧客データへの無許可アクセスが発生した (またはその可能性が高い) および/または通知が行われる必要がある法的責任または契約責任があると Microsoft により判断される必要があります。 一般的にインシデントで CRSPI が宣言されるのは、セキュリティ インシデントの診断ステージの完了後です。 ただし、該当するすべての情報を入手できた時点で宣言される可能性があります。
Microsoft は、顧客とビジネス のリスクが正常に含まれていること、および是正措置が実装されていることを確認します。 必要に応じて、イベントに関連する即時のセキュリティ リスクを解決するための緊急対策手順が実行されます。
Microsoft では、データ侵害に関する社内向けの事後分析も行います。 この演習の一環として、対応手順と運用手順の十分性が評価され、セキュリティ インシデント対応標準運用手順 (SOP) または関連プロセスに必要な更新プログラムが特定され、実装されます。 データ侵害の内部事後分析は、非常に機密性の高い社外秘の記録であり、顧客には公開されません。 ただし、事後分析は要約の上、他の顧客のイベント通知に含めることができます。 これらのレポートは、Microsoft Azure、Dynamics 365、Power Platform の定期的な監査サイクルの一環としてレビューするために外部監査者に提供されます。
お客様への通知
Microsoft は、必要に応じてデータ侵害を影響を受けるお客様と規制当局に通知します。 Microsoft は、Microsoft Azure、Dynamics 365、Power Platform の運用において、内部コンパートメント化の負荷が高いものに依存しています。 この設計の利点として、ほとんどのインシデントを特定の顧客に限定できます。 ユーザーのデータが漏洩された場合に、正確かつ実用的な通知をユーザーに提供することが目標です。
CRSPI の宣言後の通知は、出来るだけ迅速に行われますが、その一方で、迅速に対応するリスクも検討しています。 お客様の通知は期限切れなく配信され、特定の状況を 除き 、侵害を宣言した時点から 72 時間以内に、次のような例があります。
- Microsoft では、通知を実行すると他のユーザーへのリスクが増大すると考えています。 たとえば、通知する行為は敵対者を引き離し、修復できない可能性があります。
- 72 時間のタイムラインでは、インシデントの詳細が使用できなくなる場合があります。 そうした詳細情報は、調査の進捗に合わせてお客様と規制当局に提供されます。
Microsoft は、お客様が内部調査を行ってエンド ユーザーへの責務を果たせるよう、詳細な情報を影響を受けるお客様に提供すると同時に、通知プロセスを不必要に遅らせないようにします。 Azure のデータ侵害の通知は、セキュリティ アドバイザリとして顧客の Microsoft Azure サービス正常性通知ブレード に配信されます。 保証がある場合、次のロールの 1 つ以上が、サービス正常性通知と組み合わせて、またはサービス正常性通知の代わりに、セキュリティまたはプライバシー インシデントの電子メールを介して通知される場合があります。
Microsoft Azure または Azure Government チームは、Microsoft のカスタマー サポート サービス (CSS) チームのメンバー、顧客のアカウント マネージャー (AM) または Customer Success Account Manager (CSAM) などの他の Microsoft 担当者に通知することもできます。 多くの場合、このような個人はお客様との関係が深く、迅速な修復をお手伝いできます。
Microsoft Dynamics 365 と Power Platform のデータ侵害の通知は、[メッセージ センター] と [サービス正常性 ダッシュボード] の下のMicrosoft 365 管理センターに配信されます。 詳細については、「Power Platform および Dynamics 365 サービスのポリシーと通信」を参照してください。
Microsoft Dynamics 365と Power Platform の組み込みのセキュリティ機能
Microsoft Dynamics 365 と Power Platform では、クラウド サービス インフラストラクチャと組み込みのセキュリティ機能を利用して、セキュリティ対策とデータ保護メカニズムを使用してデータを安全に保ちます。 さらに、Dynamics 365と Power Platform は、セキュリティで保護された ID、データ保護、ロールベースのセキュリティ、脅威管理という領域で、データの整合性とプライバシーを使用した効率的なデータ アクセスとコラボレーションを提供します。
Microsoft Dynamics 365 と Power Platform のオファリングは、1 つ以上の Microsoft Azure サービス チームがデータ侵害プロセスに対してセキュリティ保護するために取るのと同じ技術および組織の対策に従います。 そのため、ここに記載されている 「Microsoft Azure Data Breach」通知ドキュメントに記載されている情報は、Microsoft Dynamics 365 および Power Platform にも適用されます。