FAQ do Atestado do Publisher

A ligação para uma home page para a empresa ou aplicação.

Trata-se de dados pré-preenchidos a partir das informações do serviço de aplicações. Atualize-o conforme necessário.

Trata-se de dados pré-preenchidos a partir das informações do serviço de aplicações. Atualize-o conforme necessário.

Isto é necessário, uma vez que está relacionado com práticas e regulamentos de processamento de dados para diferentes países/regiões.

As informações da aplicação fornecem uma descrição geral do que a aplicação pode fazer.

A ligação para uma página que descreve mais informações sobre a aplicação onde o utilizador pode obter mais informações sobre a aplicação? Se não tiver esta página, marque Não.

O ambiente de alojamento dos serviços de back-end ou repositórios de código estará no âmbito da Certificação do Microsoft 365. Identifique o tipo de alojamento; IaaS = Infraestrutura como um Serviço, PaaS/Sem Servidor = Plataforma como um Serviço, ISV alojado = O ambiente de alojamento é propriedade e/ou operado por si próprio (ou seja, os seus próprios datacenters ou colocalização num datacenter de terceiros), Híbrido = O ambiente pode ser composto por vários tipos de alojamento (ou seja, ISV Alojado e PaaS).

Os exemplos incluem: Microsoft Azure, Amazon AWS, Google... Isto também pode incluir soluções exclusivas para a sua empresa.

Se a sua aplicação processar ou armazenar quaisquer dados de cliente Microsoft, como QUAISQUER dados consumidos a partir de pontos finais de recursos da Microsoft, como o Microsoft Graph ou o inquilino do cliente, selecione sim. Caso contrário, selecione não.

Forneça tipos específicos de dados que são processados pela sua aplicação, como Dados do Perfil de Utilizador, Dados de Correio do Utilizador, etc.

Transport Layer Security (TLS) 1.1 ou superior são protocolos de segurança para estabelecer canais de encriptação através de redes de computadores. A utilização do TLS ajuda a evitar ataques de escuta e de man-in-the-middle. Para fornecer a melhor encriptação de classe aos nossos clientes, a aplicação suporta o TLS 1.1 ou superior?

A aplicação ou a infraestrutura subjacente armazena dados de clientes Microsoft?|Se a sua aplicação processar ou armazenar quaisquer dados de cliente Microsoft, como QUAISQUER dados consumidos a partir de pontos finais de recursos da Microsoft, como o Microsoft Graph ou o inquilino do cliente, selecione sim. Caso contrário, selecione não.

Forneça tipos específicos de dados armazenados na sua base de dados, tais como Dados de Perfil de Utilizador, Dados de Correio do Utilizador, Informações do inquilino, como id de inquilino, ID de comunicação do utilizador, etc.

Especifique a região onde os dados do cliente Microsoft serão armazenados. Exemplo. Alemanha, Japão.

Quando o cliente pede para eliminar dados ou anular a subscrição, a sua organização segue normas estritas para armazenar dados ou eliminar dados?

A menção do período de tempo para o armazenamento de informações do cliente após o cliente ter deixado o seu serviço.

A encriptação é uma ferramenta essencial para a segurança, uma vez que restringe o acesso, o Key Vault permite que as aplicações e os utilizadores armazenem e utilizem vários tipos de dados secretos/chave. Todos os acessos aos dados dos clientes, chaves de encriptação/segredos são processados e recolhidos, analisados e geridos? Estas informações são necessárias, uma vez que estão relacionadas com o processamento de dados e as práticas de segurança.

Os dados do cliente podem ser Nome de utilizador ou ID do funcionário, localização, informações de uma pessoa, endereço IP específico do utilizador, etc. Se a sua organização Transferir quaisquer dados de cliente da Microsoft ou conteúdo do cliente para terceiros ou subcontratantes, selecione sim. Caso contrário, selecione não.

O serviço de terceiros pode ser call center, BPO, data entry, etc. Se tiver um contrato para partilhar dados de clientes da Microsoft com qualquer um desses serviços de terceiros, selecione sim. Caso contrário, selecione não.

Segurança

Os testes de penetração, também denominados testes de caneta, são a prática de testar um sistema informático, uma rede ou uma aplicação Web para encontrar vulnerabilidades de segurança que um atacante pode explorar.

Se a sua organização tiver um documento formal de um plano de recuperação após desastre (DR) que contém instruções detalhadas sobre como responder a incidentes não planeados, como desastres naturais, falhas de energia, ciberataques e quaisquer outros eventos disruptivos, selecione sim. Caso contrário, selecione não.

O antimalware oferece uma solução proativa contra vírus mais recentes e inovadores que o software antivírus não está equipado para processar. Os controlos de aplicação são controlos sobre as funções de entrada, processamento e saída. Selecione a opção adequada

Estas informações são necessárias, uma vez que estão relacionadas com práticas de segurança.

Sempre que subscrever a proteção antivírus, firewall ou antisspyware, terá de atualizar continuamente os ficheiros dos sistemas para identificar alterações, melhorias ou novos parâmetros que ajudem o seu computador a detetar e a eliminar esses vírus. Estes são denominados patches de segurança. Se tiver uma política que regule o contrato de nível de serviço (SLA) para aplicar patches, selecione sim. Caso contrário, selecione não.

PII são todos os dados que podem ser utilizados para identificar uma determinada pessoa. Exemplo. Nome, endereço de e-mail.

Pode encontrar exemplos na nossa página Microsoft Docs, clicar numa aplicação e clicar em Processamento de Dados. Pode ver exemplos de outras justificações no acesso aos dados através de bots.

Informações Pessoais Identificáveis (PII) são todos os dados que podem ser utilizados para identificar uma pessoa específica. Exemplo. Nome, endereço de e-mail.

Porque é que as informações pessoais identificáveis têm de ser armazenadas?

OII são todos os dados que podem ser utilizados para identificar uma organização/inquilino. Exemplo. ID do inquilino ou endereço IP, dados de utilização do inquilino, nome de domínio do inquilino no endereço de e-mail (joe@contoso.com).

As informações identificativas organiazcionais (OII) são todos os dados que podem ser utilizados para identificar uma organização/inquilino. Exemplo. ID do inquilino ou endereço IP, dados de utilização do inquilino, nome de domínio do inquilino no endereço de e-mail (joe@contoso.com).

Porque é que as informações identificativas organizacionais têm de ser armazenadas?

|EUII são todos os dados que podem ser utilizados para identificar os dados do cliente. Exemplo. ID ou nome de utilizador do funcionário, informações de localização de uma pessoa, endereço IP específico do utilizador. |

Exemplo. Google Cloud, AWS

Exemplo. Encriptação, 2FA

Exemplo. Restrito, Confidencial, Interal, Público

O Multi-Factor Authentication (MFA) é um sistema de segurança que verifica a identidade de um utilizador ao exigir várias credenciais. Em vez de pedir apenas um nome de utilizador e palavra-passe, a MFA requer outras credenciais ( adicionais), como um código do smartphone do utilizador, a resposta a uma pergunta de segurança, uma impressão digital ou um reconhecimento facial.

As definições de restrição de IP são utilizadas para limitar ou conceder acesso aos IPs que podem aceder a recursos específicos dentro do serviço. Para aplicações que suportam restrições de IP, um administrador da organização pode limitar os endereços IP que qualquer utilizador na organização pode utilizar para aceder ao sistema através da interface de utilizador ou apIs.

Os registos de auditoria são os registos eletrónicos que catalogam cronologicamente eventos ou procedimentos para fornecer suporte, documentação e histórico, que são utilizados para autenticar ações operacionais e de segurança ou mitigar desafios. O registo de auditoria do utilizador incluirá informações sobre atividades do utilizador, tais como tentativas de início de sessão, acesso a ficheiros, etc.

O registo de auditoria de administrador incluirá atividades de administrador, tais como a concessão de novas permissões, alteração de configurações, chamadas à API, etc.

O registo de auditoria de dados incluirá atividades de alterações em bases de dados, como quando foi um atributo modificado pela última vez, qual era o valor anterior do registo e quem o modificou, etc.

Exemplo. comprimento mínimo da palavra-passe, combinação de carateres, não permitir a reutilização de palavras-passe antigas, não permitir a utilização de informadores pessoais (como nome, e-mail, etc.), permitir a renovação da palavra-passe após um determinado período de tempo.

Security Assertion Markup Language - SAML - é um padrão aberto para trocar dados de autenticação e autorização entre partes, especificamente entre um fornecedor de identidade e um fornecedor de serviços.

Os testes de penetração, também denominados testes de caneta, são a prática de testar um sistema informático, uma rede ou uma aplicação Web para encontrar vulnerabilidades de segurança que um atacante pode explorar.

Conformidade

Isto é necessário para empresas sediadas nos EUA e não nos EUA com aplicações relacionadas com serviços de saúde ou prestam serviços a serviços de helthcare.

Isto é necessário para aplicações relacionadas com serviços de saúde ou prestam serviços a serviços de cuidados helthcare.

Isto é necessário para empresas sediadas nos EUA e não nos EUA com aplicações relacionadas com serviços financeiros ou prestam serviços a instituições financeiras

Relatórios sobre o processamento não financeiro com base num ou mais dos critérios do serviço Trust em segurança, privacidade, disponibilidade, confidencialidade e integridade de processamento. Saiba mais

Selecione Tipo 1 ou Tipo 2, se tiver obtido ambos e, em seguida, selecione Tipo 2

Relatórios baseados nos Critérios do Serviço de Confiança, que podem ser distribuídos livremente e conter apenas a afirmação da gestão de que cumpriram os requisitos dos critérios escolhidos? Saiba Mais

O DSS (Padrão de Segurança de Dados) da PCI (Indústria de Cartões de Pagamento) é um padrão de segurança de informação global criado para prevenir fraudes por meio do maior controle de dados de cartões de crédito. A conformidade com o PCI DSS é necessária para qualquer organização que armazene, processe ou transmita dados de pagamentos e titulares de cartões. Saiba mais

A ISO 27001 é um certificado fornecido às empresas que mantêm diretrizes internacionalmente reconhecidas e princípios gerais para iniciar, implementar e melhorar a gestão da segurança da informação numa organização. Saiba mais

O ISO 27018 estabelece controlos geralmente aceites com diretrizes para processar e proteger Informações Pessoais (PII) num ambiente de computação na cloud pública? Saiba mais

A ISO 27017 estabelece controlos e diretrizes geralmente aceites para processar e proteger as informações dos utilizadores num ambiente público de computação na cloud. Saiba mais

A ISO 27002 estabelece diretrizes comuns para normas de segurança de informações organizacionais e práticas de gestão de segurança de informações. Saiba mais

O FedRAMP é um programa governamental dos EUA que fornece uma abordagem padronizada à avaliação de segurança, autorização e monitorização contínua de produtos e serviços cloud. Saiba mais

As autorizações fedRAMP são concedidas em três níveis de impacto com base nas diretrizes NIST, baixas, médias e altas. Estes níveis classificam o impacto que a perda de confidencialidade, integridade ou disponibilidade pode ter numa organização — baixo (efeito limitado), médio (efeito adverso grave) e elevado (efeito grave ou catastrófico).

A FERPA é uma lei federal que protege a privacidade dos registos de educação dos estudantes. Saiba mais

Isto é necessário para empresas sediadas nos EUA e não nos EUA com aplicações que também possam ser utilizadas por crianças.

As informações da aplicação fornecem uma descrição geral do que a aplicação pode fazer.

O NIST SP 800-171 é uma Publicação Especial NIST que fornece requisitos recomendados para proteger a confidencialidade de informações não classificadas controladas (CUI). O Instituto Nacional de Normas e Tecnologia dos EUA (NIST) promove e mantém normas e orientações de medição para ajudar a proteger os sistemas de informação e informação das agências federais. Saiba mais

A CSA SSTAR dedica-se a definir as melhores práticas para ajudar a garantir um ambiente de computação na cloud mais seguro e a ajudar potenciais clientes da cloud a tomar decisões informadas durante a transição das operações de TI para a cloud. Saiba mais

Existem cinco níveis de certificaiton oferecidos pelo CSA STAR, Monitorização Contínua, Avaliação, Autoavarição, Atestado, Certificação. Selecione o que obteve.

O Regulamento Geral sobre a Proteção de Dados (RGPD) introduz novas regras para organizações que oferecem bens e serviços a pessoas na União Europeia (UE) ou que recolhem e analisam dados para residentes na UE, independentemente da localização de si ou da sua empresa. Saiba mais

O aviso de privacidade destinado ao exterior tem de conter informações organizacionais, dados recolhidos, como são recolhidos os dados, como utiliza os dados pessoais, como os dados pessoais são partilhados, segurança de dados, retenção de dados, Direitos legais do cliente, para obter mais informações, visite a página RGPD

Embora a criação de perfis seja o processo de avaliação de aspectos sobre uma pessoa, a tomada de decisões automatizada é o processo de tomar decisões sobre o indivíduo através de meios tecnológicos e sem o envolvimento de um ser humano. RGPD – direitos relacionados com a tomada de decisões e a criação de perfis automatizados.

RGPD - Direito a objeto

RGPD - Processamento de dados

Se processar dados relacionados com origem racial ou étnica, opinião política, crenças religiosas ou filosóficas, dados genéticos ou biométricos, dados de saúde, selecione sim. Caso contrário, selecione não.

O RGPD define uma idade geral de consentimento aos 16 anos, o que significa que não pode processar legalmente os dados de um titular dos dados com 15 anos ou menos.

Nos casos em que trabalha com dados de menores de 16 anos, só pode processar os dados com permissão do encarregado de educação ou tutor. Qualquer processamento sem o consentimento de um adulto com responsabilidade parental é ilegal nos termos da legislação da UE.

RGPD – O direito de apagar

RGPD – O direito de restringir o processamento

RGPD – O direito à retificação

Estas informações são necessárias, uma vez que estão relacionadas com as práticas de privacidade e segurança.

Saiba mais sobre a Plataforma de Identidades da Microsoft. Saiba mais

O identificador exclusivo da aplicação atribuída a uma aplicação pelo Azure AD.Saiba mais

Introduza o APPID da Aplicação do Azure. Saiba mais

Introduza o ID do inquilino que é apresentado abaixo do AppId da Aplicação do Azure na consola de Registos de aplicações.

Introduza o ID do inquilino que é apresentado abaixo do AppId da Aplicação do Azure na consola de Registos de aplicações.

Estas informações são necessárias, uma vez que estão relacionadas com as práticas de Identidade.

O Azure AD atribui uma aplicação exclusiva ou um ID de cliente à sua aplicação. O portal abre a página Descrição Geral da sua aplicação. Para adicionar capacidades à sua aplicação, pode selecionar outras opções de configuração, incluindo imagem corporativa, certificados e segredos, permissões de API e muito mais.

Eis a lista de permissões aceitáveis. Referência de permissões do Microsoft Graph

As permissões delegadas são usadas por aplicativos que têm um usuário conectado presente. Para esses aplicativos, o usuário ou um administrador concorda com as permissões que o aplicativo solicita e o aplicativo pode agir como o usuário conectado ao fazer chamadas ao Microsoft Graph. Algumas permissões delegadas podem ser autorizadas por usuários não administradores, mas algumas permissões com maiores privilégios exigem o consentimento do administrador. As permissões de aplicativo são usadas pelos aplicativos que são executados sem um usuário conectado. Por exemplo, aplicativos executados em segundo plano ou como daemons. As permissões de aplicativo só podem ser concedidas por um administrador. Saiba Mais.

Por que escolheu essa Permissão de Gráfico perticular?

As permissões de privilégios mínimos são o conjunto mínimo de permissões que a sua aplicação precisa de pedir para fornecer a funcionalidade pretendida aos clientes. Para aplicações que chamam o Microsoft Graph, a documentação de referência do Graph Explorer e da API pode ajudá-lo a determinar as permissões de privilégios menores para o seu cenário. Saiba mais

Saiba mais sobre a lista de verificação de integração da plataforma de identidades da Microsoft na nossa página de documentos

A Biblioteca de Autenticação da Microsoft (MSAL) permite que os programadores adquiram tokens da plataforma de identidades da Microsoft para autenticar utilizadores e aceder a APIs Web protegidas. Saiba mais

A Biblioteca de Autenticação da Microsoft (MSAL) permite que os programadores adquiram tokens da plataforma de identidades da Microsoft para autenticar utilizadores e aceder a APIs Web protegidas. Saiba mais

As políticas de Acesso Condicional mais simples são as instruções if-then, se um utilizador quiser aceder a um recurso, tem de concluir uma ação. Exemplo: um gestor de folha de pagamentos quer aceder à aplicação folha de pagamentos e é necessário fazer a autenticação multifator para aceder à mesma. Saiba mais

Mencione todos os tipos de políticas de Acesso Condicional que suporta. Exemplo. Bloquear a acessibilidade por localização, Bloquear autenticação legada. Pode encontrar exemplos na nossa página de documentos

(CAE) é uma capacidade para melhorar a resiliência e diminuir o COGS para serviços/cargas de trabalho que dependem da autenticação do Azure AD. Saiba mais

Se a sua aplicação armazenar credenciais no código, selecione sim. Caso contrário, selecione não.

Se a sua aplicação ou suplemento utilizar APIs da Microsoft adicionais, selecione sim. Caso contrário, selecione não.

Exemplo. MSAL