Поделиться через

Продолжающаяся передача данных, которая применяется ко всем службам границ данных ЕС

  • Статья

Существуют сценарии, в которых корпорация Майкрософт продолжит передавать данные за пределы границ данных ЕС в соответствии с требованиями к эксплуатации облачных служб, где к данным, хранящимся на границе данных ЕС, будет получать удаленный доступ персонал, расположенный за пределами границ данных ЕС, и когда использование клиентом служб границ данных ЕС приведет к передаче данных за пределы границ данных ЕС для достижения желаемых результатов клиента. Корпорация Майкрософт гарантирует, что все данные клиента и псевдонимизованные персональные данные, передаваемые за пределы границ данных ЕС, защищены с помощью мер безопасности, описанных в наших соглашениях об услугах и документации по продуктам.

Удаленный доступ к данным, хранящимся и обрабатываемым на границе данных ЕС

Облачные службы Майкрософт создаются, эксплуатируются, обеспечиваются безопасностью и обслуживаются командами экспертов со всего мира, чтобы обеспечить клиентам высочайший уровень качества обслуживания, поддержки, безопасности и надежности. Эта модель (известная как модель Microsoft DevOps) позволяет разработчикам и операционным сотрудникам совместно работать над непрерывным созданием, обслуживанием и предоставлением служб. В этом разделе описывается, как корпорация Майкрософт сводит к минимуму удаленный доступ к данным клиента и псевдонимизирует персональные данные, а также ограничивает такой доступ при необходимости.

Корпорация Майкрософт использует многоуровневый подход для защиты данных клиентов и псевдонимизованных персональных данных от несанкционированного доступа со стороны сотрудников Майкрософт, в состав которых входят как сотрудники корпорации Майкрософт, так и ее дочерние компании, а также сотрудники сторонних организаций, которые помогают сотрудникам Майкрософт. Чтобы получить доступ к данным клиента или псевдонимизованным персональным данным, сотрудники Майкрософт должны иметь хорошую справочную проверка в файле в дополнение к использованию многофакторной проверки подлинности в рамках стандартных требований к безопасности Майкрософт.

Когда сотрудникам Корпорации Майкрософт требуется доступ к данным клиента или псевдонимизованным персональным данным, хранящимся в системах Майкрософт в пределах границы данных ЕС из-за границы (считается передачей данных в соответствии с европейским законодательством о конфиденциальности, хотя данные остаются в инфраструктуре центров обработки данных Майкрософт на границе данных ЕС), мы полагаемся на технологию, гарантирующую безопасность такой передачи. с управляемым доступом и отсутствием постоянного хранилища в удаленной точке доступа. Если требуется такая передача данных, корпорация Майкрософт использует самое надежное шифрование для защиты данных клиента и псевдонимизованных персональных данных при хранении и передаче. Дополнительные сведения см. в статье Общие сведения о шифровании и управлении ключами.

Как корпорация Майкрософт защищает данные клиентов

Мы разрабатываем наши службы и процессы, чтобы максимально повысить способность персонала DevOps работать с службами, не требуя доступа к данным клиентов, используя автоматизированные инструменты для выявления и устранения проблем. В редких случаях, когда служба не работает или требуется исправление, которое невозможно выполнить с помощью автоматизированных инструментов, авторизованным сотрудникам Майкрософт может потребоваться удаленный доступ к данным, хранящимся в пределах границ данных ЕС, включая данные клиентов. Доступ к данным клиента по умолчанию отсутствует. доступ предоставляется сотрудникам Корпорации Майкрософт только в том случае, если он требуется для задачи. Доступ к данным клиента должен осуществляться для соответствующей цели, должен быть ограничен объемом и типом Данных клиента, необходимыми для достижения соответствующей цели, и в тех случаях, когда цель может быть достигнута только за счет этого уровня доступа. Корпорация Майкрософт использует JIT-утверждения доступа, которые предоставляются только до тех пор, пока это необходимо для достижения этой цели. Корпорация Майкрософт также использует управление доступом на основе ролей (RBAC), где индивидуальный доступ регулируется строгими требованиями, такими как принцип "необходимо знать", обязательное непрерывное обучение и контроль со стороны одного или нескольких руководителей.

Сотрудники Майкрософт, имеющие доступ к данным клиента, работают с защищенных рабочих станций администрирования (SAW). SAW — это компьютеры с ограниченной функцией, которые снижают риск компрометации вредоносных программ, фишинговых атак, фиктивных веб-сайтов и сквозных хэш-атак (PtH), помимо других рисков безопасности, и поддерживаются контрмеры, предназначенные для того, чтобы затруднить кражу данных. Например, сотрудники Корпорации Майкрософт, работающие с SAW, имеют ограниченный доступ к Интернету на таких устройствах и не могут получить доступ к внешним или съемным носителям, так как эти возможности заблокированы в реализации SAW. Программа Microsoft SAW и среды с высоким риском получила награды CSO50 от csoonline.com в 2022, 2020 и 2019 годах.

В дополнение к описанным выше элементам управления клиенты могут установить дополнительные элементы управления доступом для многих облачных служб Майкрософт, включив customer Lockbox. Реализация функции "Защищенное хранилище клиента" немного отличается в зависимости от службы, но обычно это гарантирует, что сотрудники Корпорации Майкрософт не смогут получить доступ к данным клиента для выполнения операций обслуживания без явного согласия клиента. Примеры блокировки клиента в действии см. в разделах Customer Lockbox in Office 365, Customer Lockbox для Microsoft Azure и Customer Lockbox в Power Platform и Dynamics 365.

Доступ к данным клиента также регистрируется и отслеживается корпорацией Майкрософт. Корпорация Майкрософт регулярно проводит аудит, чтобы проверить и убедиться, что меры управления доступом работают в соответствии с требованиями политики, включая договорные обязательства Майкрософт.

Как корпорация Майкрософт защищает псевдонимизованные персональные данные в системных журналах

В настоящее время для доступа к псевдонимизованным персональным данным, хранящимся на границе данных ЕС, сотрудники Корпорации Майкрософт могут использовать либо SAW, либо инфраструктуру виртуальных рабочих столов (VDI). Меры безопасности, относящиеся к SAW, описанные в предыдущем разделе, также применяются при использовании SAW для доступа к псевдонимизованным персональным данным. При использовании VDI для доступа к псевдонимизованным персональным данным на границе данных ЕС корпорация Майкрософт применяет ограничения доступа, чтобы обеспечить безопасную среду для доступа к данным. Как и в случае с SAW, список служебных программ, разрешенных для виртуальных идентификаторов, ограничен и подвергается строгим тестам безопасности перед сертификацией для запуска на виртуальных идентификаторах. При использовании VDI доступ к псевдонимизованным персональным данным на границе данных ЕС осуществляется через виртуальные машины, размещенные на физическом компьютере, расположенном в границах данных ЕС, и никакие данные не сохраняются за пределами границы данных ЕС.

Согласно нашим стандартным политикам, массовая передача данных за пределами границы данных ЕС запрещена, а пользователи VDI могут получать доступ только к предварительно утвержденным url-адресам. Кроме того, сотрудники Корпорации Майкрософт, использующие среду VDI, не имеют административного доступа к физическим компьютерам, расположенным на границе данных ЕС.

Дополнительные сведения о технологиях, используемых для защиты данных клиентов и псевдонимизированных персональных данных, см. в следующих ресурсах:

Передача данных, инициированная клиентом

Передача клиентов, инициируемых в рамках возможностей службы

Граница данных ЕС не предназначена для вмешательства или ограничения результатов обслуживания, которые клиенты намерены использовать при использовании наших служб. Таким образом, если администратор клиента или пользователь предпринимает действие в службах, которые инициируют передачу данных за пределы границы данных ЕС, корпорация Майкрософт не будет ограничивать такие передачи, инициированные клиентом; это нарушит обычные бизнес-операции для клиентов. Передача данных, инициированная пользователем за пределы границы данных ЕС, может происходить по разным причинам, например:

  • Пользователь обращается к данным, хранящимся в пределах границы данных ЕС, или взаимодействует со службой за пределами области границ данных ЕС.
  • Пользователь решает общаться с другими пользователями, физически расположенными за пределами границы данных ЕС. Примеры включают отправку сообщения электронной почты или SMS, инициализацию чата Teams или голосовой связи, например звонка по телефонной сети общего пользования (ТСОП), голосовой почты, межсезонных собраний и т. д.
  • Пользователь настраивает службу для перемещения данных за пределы границы данных ЕС.
  • Пользователь решает объединить службы границ данных ЕС с другими предложениями Майкрософт или сторонними предложениями или подключенным интерфейсом с учетом отдельных условий, которые применяются к службам границ данных ЕС (например, с помощью дополнительного интерфейса Bing, доступного через приложения Microsoft 365, или с помощью доступного соединителя для синхронизации данных из службы границ данных ЕС с учетной записью, которую пользователь может иметь у поставщика, отличного от Корпорации Майкрософт).
  • Администратор клиента решает подключить службы границ данных ЕС к другим службам, предлагаемым корпорацией Майкрософт или третьей стороной, если на эти другие службы распространяется действие отдельных условий, которые применяются к службам границ данных ЕС (например, путем настройки службы границ данных ЕС для отправки запросов в Bing или путем установления соединения между службой границ данных ЕС и службой, размещенной у поставщика, отличного от Корпорации Майкрософт, с помощью у клиента также есть учетная запись).
  • Пользователь получает и использует приложение из магазина приложений, представленного в службе границ данных ЕС (например, в магазине Teams), где к приложению применяются условия, не относящиеся к службе границ данных ЕС, например лицензионное соглашение с конечным пользователем от поставщика приложения.
  • Организация запрашивает или подписывается на профессиональные службы безопасности, когда корпорация Майкрософт действует в удаленном центре безопасности или выполняет судебно-медицинский анализ от имени (и в составе) группы безопасности организации.

Выполнение запросов на права субъектов данных GDPR по всему миру

Корпорация Майкрософт внедрила системы, позволяющие нашим клиентам отвечать на запросы о правах субъектов данных (DSR) в соответствии с Общим регламентом по защите данных (GDPR) (например, удалять персональные данные в ответ на запрос в соответствии со статьей 17 GDPR), когда клиенты считают это подходящим, и эти системы доступны клиентам по всему миру. Чтобы наши клиенты могли поддерживать соответствие GDPR, сигналы DSR, включающие идентификаторы пользователей, должны обрабатываться глобально, чтобы гарантировать удаление или экспорт всех данных, связанных с субъектом данных, по запросу. Когда наш клиент определяет, что удаление данных является подходящим в ответ на запрос субъекта данных, запрашивающего удаление его персональных данных, все персональные данные, связанные с этим субъектом данных, должны находиться и удаляться из всех хранилищ данных Майкрософт, как в пределах, так и за пределами границы данных ЕС. Аналогичным образом, когда администратор клиента отправляет запрос на экспорт, корпорация Майкрософт должна экспортировать все персональные данные об этом субъекте данных в хранилище, указанное администратором клиента, даже если за пределами границы данных ЕС. Дополнительные сведения см. в разделе GDPR: Запросы субъектов данных (DSR).

Данные профессиональных служб

Когда клиенты предоставляют корпорации Майкрософт данные в ходе взаимодействия с корпорацией Майкрософт для получения поддержки или платных консультационных услуг, эти данные являются данными профессиональных услуг, как определено в дополнительном приложении майкрософт по защите данных о продуктах и услугах (DPA). Данные профессиональных служб в настоящее время хранятся в США центрах обработки данных Майкрософт.

Доступ к данным профессиональных служб сотрудниками Майкрософт во время взаимодействия со службой поддержки ограничен утвержденными системами управления поддержкой, использующими элементы управления безопасностью и проверкой подлинности, включая двухфакторную проверку подлинности и виртуализированные среды, по мере необходимости. Другие сотрудники Корпорации Майкрософт могут получать доступ только к данным профессиональных служб, связанным с определенными обязательствами, путем предоставления необходимого бизнес-обоснования и утверждения руководителем. Данные шифруются как при передаче, так и при хранении.

Данные профессиональных услуг, предоставляемые, полученные и обработанные во время платного консалтинга, получают доступ к команде, которую клиент привлекает для предоставления приобретенных услуг. Ведется работа, позволяющая клиентам ИЗ ЕС указать, что их данные профессиональных услуг должны храниться и обрабатываться в границах данных ЕС.

Защита клиентов

Чтобы защититься от глобальных угроз кибербезопасности, корпорация Майкрософт должна выполнять операции по обеспечению безопасности глобально. Для этого корпорация Майкрософт передает (как описано в разделе Операции по обеспечению безопасности) ограниченные псевдонимизированные персональные данные за пределами границы данных ЕС, а в редких случаях — ограниченные данные клиентов. Вредоносные субъекты работают глобально, запускают географически распределенные атаки, используют скоординированную скрытность и уклоняются от обнаружения. Анализ контекстных данных об угрозах через географические границы позволяет службам безопасности Майкрософт защищать клиентов, обеспечивая высокое качество автоматического обнаружения, защиты и реагирования.

Результаты этого межграничного анализа приводят к нескольким сценариям защиты, включая оповещение клиентов о вредоносных действиях, атаках или попытках взлома.

Наличие надежной защиты безопасности приносит пользу нашим клиентам и экосистеме вычислений, а также поддерживает нормативные обязательства в отношении безопасности данных клиентов, псевдонимизованных персональных данных и критически важной инфраструктуры. В соответствии с GDPR и Хартией основных прав ЕС подход Корпорации Майкрософт обеспечивает ценность, повышая конфиденциальность, защиту данных и безопасность.

Доступ к ограниченным данным клиента и псевдонимизованным персональным данным, передаваемым за пределы ЕС для операций по обеспечению безопасности, ограничен сотрудниками службы безопасности Майкрософт, а использование ограничивается целями безопасности, включая обнаружение, расследование, устранение инцидентов безопасности и реагирование на них. Передаваемые данные клиента и псевдонимизированные персональные данные защищаются с помощью шифрования и ограничений доступа. Дополнительные сведения о доступе к данным, хранящимся и обрабатываемым на границе данных ЕС , рассматриваются ранее в этой статье.

Ниже приведены примеры возможностей, стоящих перед клиентом, предоставляемых корпорацией Майкрософт за счет использования сигналов между границами:

  • Чтобы обеспечить защиту от сложных современных угроз безопасности, корпорация Майкрософт использует свои возможности расширенной аналитики, включая искусственный интеллект, для анализа статистических данных, связанных с безопасностью, включая журналы действий, для защиты от, обнаружения, исследования, реагирования на эти атаки и устранения этих атак. Ограниченные данные клиентов и глобальные псевдонимизированные персональные данные используются для создания статистических сводок для снижения ложноположительных результатов, повышения эффективности и создания уникальных моделей машинного обучения для расширенного обнаружения известных и неизвестных угроз практически в реальном времени. Глобальные модели позволяют нам точно настраивать и включать пользовательские модели для конкретных операций. Без этой возможности централизованной аналитики для глобальных данных эффективность этих служб значительно снизится, и мы не сможем защитить наших клиентов и обеспечить согласованный пользовательский интерфейс.
  • Гипермасштабируемое облако обеспечивает разнообразный непрерывный анализ системных журналов, связанных с безопасностью, без предварительного знания о конкретной атаке. Во многих случаях глобальные системные журналы позволяют корпорации Майкрософт или ее клиентам останавливать ранее неизвестные атаки, в то время как в других случаях корпорация Майкрософт и клиенты могут использовать системные журналы для выявления угроз, которые изначально не были обнаружены, но могут быть найдены позже на основе новой аналитики угроз.
  • Обнаружение скомпрометированного корпоративного пользователя путем идентификации имен входа в одну учетную запись из нескольких географических регионов в течение короткого периода времени (известные как атаки с невозможным перемещением). Чтобы обеспечить защиту от таких сценариев, продукты безопасности Майкрософт (и, по мере необходимости, группы по операциям безопасности и аналитике угроз) централизованно обрабатывают и хранят такие данные, как Microsoft Entra журналы проверки подлинности, созданные системой проверки подлинности, в разных географических регионах.
  • Обнаружение кражи данных из предприятия путем агрегирования нескольких сигналов вредоносного доступа к хранилищу данных из различных расположений— метод, используемый злоумышленниками для полета под радаром обнаружения (известный как "низкие и медленные" атаки).

Чтобы свести к минимуму влияние этой работы на конфиденциальность, специалисты по поиску угроз безопасности корпорации Майкрософт ограничивают текущие передачи в создаваемые системой журналы и сведения о конфигурации служб, необходимые для обнаружения и исследования ранних индикаторов вредоносных действий или нарушений. Эти псевдонимизированные данные объединяются и хранятся в основном в США но могут включать другие регионы центра обработки данных по всему миру для работы по обнаружению угроз, как описано ранее. Псевдонимизированные персональные данные передаются и защищаются в соответствии с условиями DPA и применимыми договорными обязательствами. В редких случаях, когда данные клиента получают доступ или передаются в результате исследования безопасности, это делается с помощью повышенных утверждений и элементов управления, как описано в разделе Как Корпорация Майкрософт защищает данные клиентов ранее в этой статье.

Операции безопасности

Операции по обеспечению безопасности Майкрософт используют набор внутренних служб для мониторинга, исследования и реагирования на угрозы, с которыми сталкиваются клиенты платформы для повседневной работы. Перекрестные псевдонимизированные персональные данные или ограниченные данные клиентов, обрабатываемые для этих операций, помогают блокировать вредоносные попытки атак на облачную инфраструктуру и microsoft веб-службы.

Псевдонимизированные персональные данные, обрабатываемые в целях безопасности, передаются в любой регион Azure по всему миру. Это позволяет операциям безопасности Корпорации Майкрософт, таким как Центр реагирования на безопасность ( MSRC), предоставлять службы безопасности 24 часа в сутки, 365 дней в году эффективно и эффективно в ответ на глобальные угрозы. Эти данные используются для мониторинга, расследований и реагирования на инциденты безопасности на платформе, продуктах и службах Корпорации Майкрософт, защищая клиентов и корпорацию Майкрософт от угроз их безопасности и конфиденциальности. Например, если IP-адрес или номер телефона определяется для использования в мошеннических действиях, они публикуются глобально, чтобы заблокировать доступ к любым рабочим нагрузкам, использующим их.

  • Аналитики безопасности получают доступ к агрегированным данным из расположений по всему миру, так как MSRC имеет следующую модель операций, с распределенным опытом и навыками, чтобы обеспечить непрерывный мониторинг и реагирование на расследования безопасности, включая, помимо прочего, следующие сценарии: клиент определил вредоносные действия в своем клиенте или подписках и обратился в службу поддержки Майкрософт за помощью в устранении инцидента.
  • MSRC имеет четкие признаки компрометации в клиенте, подписке или ресурсе клиента и уведомляет клиента, помогает исследовать инцидент и реагировать на него после утверждения от клиента.
  • В ходе расследования, если будет выявлен инцидент конфиденциальности, влияющий на клиента, MSRC, следуя строгому протоколу, будет выполнять дальнейшее расследование для поддержки уведомления и реагирования на инцидент, влияющий на конфиденциальность.
  • Обмен аналитическими сведениями об угрозах и исследованиями между внутренними группами безопасности Майкрософт для гибкого реагирования и исправления.

Дополнительные сведения о доступе к данным, хранящимся и обрабатываемым на границе данных ЕС , рассматриваются ранее в этой статье.

Аналитика угроз безопасности

Службы аналитики угроз Майкрософт отслеживают, изучают и реагируют на угрозы, с которыми сталкиваются клиентские среды. Данные, собираемые для расследований безопасности, могут включать в себя псевдонимизированные персональные данные в системных журналах и ограниченные данные клиентов. Эти данные используются для блокирования вредоносных попыток атак на облачные инфраструктуры наших клиентов и своевременной аналитики угроз и признаков компрометации для организаций, помогая им повысить уровень защиты.

Для расследования угроз, когда обнаружены доказательства угрозы национального государства или других вредоносных действий сложных субъектов, команды Майкрософт собирают аналитику угроз, например Центр аналитики угроз Майкрософт (MSTIC), оповещают клиентов о отмеченных действиях. MSTIC может выявлять вредоносные действия с помощью глобально объединенных системных журналов и диагностических данных, собранных из различных продуктов и служб Майкрософт, в сочетании с экспертным анализом сотрудниками MSTIC.

Доступ географически распределенных групп аналитиков к глобально объединенным системным журналам в целях безопасности критически важен для своевременного выявления атаки или нарушения безопасности, обеспечивая непрерывное расследование. Аналитики MSTIC обладают определенными знаниями и навыками злоумышленников, которые невозможно просто реплицировать в других регионах, так как они могут обладать определенным региональным опытом злоумышленников. В результате операции анализа MSTIC обязательно пересекают геополитические границы, чтобы предоставить клиентам наивысший уровень знаний. Дополнительные сведения об элементах управления доступом см. в статье Удаленный доступ к данным, хранящимся и обработанным на границе данных ЕС ранее в этой статье.

Предоставление клиентам наилучшей аналитики угроз требует, чтобы MSTIC использовала глобальные сигналы для таких сценариев, как:

  • Злонамеренная деятельность национальных государств, которая используется для достижения целей национальной разведки.
  • Вредоносные действия государств нации, которые используют вредоносные программы и тактики для разрушительных, неустранимых атак или используются для маскировки личности злоумышленника (ложный флаг) и обеспечения правдоподобного отрицания. Вредоносные преступные действия, используемые в незаконных схемах финансового вымогательства (например, атаки программ-шантажистов на гражданские критически важные ресурсы или инфраструктуру).

Службы в предварительной версии и пробных версиях

В границу данных ЕС включены только общедоступные платные службы Майкрософт. Службы, которые находятся в предварительной версии или доступны в качестве бесплатных пробных версий, не включены.

Устаревшие службы

Службы, которые по состоянию на 31 декабря 2022 г. корпорация Майкрософт объявила об устареваниях, не включены в границу данных ЕС. Облачные службы Майкрософт следуют современной политике жизненного цикла, и в большинстве случаев, когда мы объявили, что служба является устаревшей, мы также рекомендуем альтернативное или последующее предложение продукта, которое находится в область для границы данных ЕС. Например, Microsoft Stream (классическая версия) является корпоративной видеослужбой для Microsoft 365, заменяемой Stream (в SharePoint). Хотя конкретные даты устаревания для Stream (классическая версия) еще не объявлены, клиентам было сообщено, что Stream (классическая версия) будет не рекомендуется использовать в 2024 году. Рекомендации по миграции и средства общедоступной предварительной версии доступны, чтобы помочь клиентам в переходе на Stream (в SharePoint), который находится в пределах границы данных ЕС.

Локальное программное обеспечение и клиентские приложения

Данные, хранящиеся в локальном программном обеспечении и клиентских приложениях, не входят в границу данных ЕС, так как корпорация Майкрософт не контролирует, что происходит в локальных средах клиентов. Диагностические данные, созданные при использовании локального программного обеспечения и клиентских приложений, также не включаются в границу данных ЕС.

Данные каталога

Корпорация Майкрософт может реплицировать ограниченные данные каталога Microsoft Entra из Microsoft Entra (включая имя пользователя и адрес электронной почты) за пределами границы данных ЕС для предоставления службы.

Сетевой транзит

Чтобы уменьшить задержку маршрутизации и обеспечить устойчивость маршрутизации, корпорация Майкрософт использует переменные сетевые пути, которые иногда могут привести к маршрутизации трафика клиента за пределы границы данных ЕС. Это может включать балансировку нагрузки по прокси-серверам.

Качество и управление службами и платформами

Сотрудникам Корпорации Майкрософт может потребоваться глобальная консолидация некоторых псевдонимизованных персональных данных из системных журналов, чтобы обеспечить эффективную работу служб, а также вычислить и отслеживать глобальные метрики качества служб в режиме реального времени. Ограниченный объем псевдонимизованных персональных данных, таких как идентификаторы объектов или первичные уникальные идентификаторы (PUID), могут быть включены в эти передачи и используются для решения различных проблем, связанных с работоспособностью служб и управлением. Примеры включают вычисление количества пользователей, затронутых событием, влияющим на службу, для определения его распространенности и серьезности или вычисление ежемесячных активных пользователей (MAU) и ежедневных активных пользователей (DAU) служб, чтобы обеспечить полноту и точность расчетов выставления счетов на основе этих данных. Псевдонимизированные персональные данные, передаваемые для вычислений MAU и DAU, хранятся за пределами границы данных ЕС только до тех пор, пока это необходимо для компиляции статистической аналитики.