Ochrana zákaznických dat Azure

  • Článek

Přístup k zákaznickým datům provozem Microsoftu a pracovníky podpory je ve výchozím nastavení odepřen. Pokud je udělen přístup k datům souvisejícím s případem podpory, je udělen pouze pomocí modelu JIT (just-in-time) pomocí zásad, které jsou auditovány a prověřeny v souladu s našimi zásadami dodržování předpisů a ochrany osobních údajů. Požadavky na řízení přístupu jsou vytvořeny následujícími zásadami zabezpečení Azure:

  • Ve výchozím nastavení nemáte přístup k zákaznickým datům.
  • Žádné účty uživatelů nebo správců na virtuálních počítačích zákazníků.
  • Udělte nejnižší oprávnění, která je nutná k dokončení úkolu; auditování a protokolování žádostí o přístup.

podpora Azure pracovníci mají přiřazené jedinečné podnikové účty Active Directory od Microsoftu. Azure využívá k řízení přístupu ke klíčovým informačním systémům podnikové služby Microsoft Active Directory spravované technologií Microsoft Information Technology (MSIT). Vyžaduje se vícefaktorové ověřování a přístup se uděluje jenom ze zabezpečených konzol.

Ochrana dat

Azure poskytuje zákazníkům silné zabezpečení dat, a to jak ve výchozím nastavení, tak jako možnosti zákazníků.

Oddělení dat: Azure je víceklientová služba, což znamená, že na stejném fyzickém hardwaru je uloženo více zákaznických nasazení a virtuálních počítačů. Azure používá logickou izolaci k oddělení dat jednotlivých zákazníků od dat ostatních. Oddělení poskytuje škálovací a ekonomické výhody víceklientských služeb a současně přísně brání zákazníkům v přístupu k datům druhého.

Ochrana neaktivních uložených dat: Zákazníci zodpovídají za zajištění šifrování dat uložených v Azure v souladu se svými standardy. Azure nabízí širokou škálu možností šifrování, které zákazníkům poskytují flexibilitu při výběru řešení, které nejlépe vyhovuje jejich potřebám. Azure Key Vault pomáhá zákazníkům snadno udržovat kontrolu nad klíči, které používají cloudové aplikace a služby k šifrování dat. Azure Disk Encryption umožňuje zákazníkům šifrovat virtuální počítače. Šifrování služby Azure Storage umožňuje šifrovat všechna data umístěná do účtu úložiště zákazníka.

Ochrana přenášených dat: Microsoft nabízí celou řadu možností, které můžou zákazníci využít k internímu zabezpečení přenášených dat v rámci sítě Azure a externě přes internet koncovému uživateli. Patří mezi ně komunikace prostřednictvím virtuálních privátních sítí (s využitím šifrování IPsec/IKE), protokolu TLS (Transport Layer Security) 1.2 nebo novější (prostřednictvím komponent Azure, jako je Application Gateway nebo Azure Front Door), protokolů přímo na virtuálních počítačích Azure (například Windows IPsec nebo SMB) a dalších.

Šifrování ve výchozím nastavení pomocí STANDARDU MACsec (standard IEEE na vrstvě datového propojení) je navíc povolené pro veškerý provoz Azure, který cestuje mezi datovými centry Azure, aby se zajistila důvěrnost a integrita zákaznických dat.

Redundance dat: Microsoft pomáhá zajistit ochranu dat v případě, že dojde k kybernetickému útoku nebo fyzickému poškození datacentra. Zákazníci můžou zvolit:

  • Důležité informace o dodržování předpisů nebo latenci v úložišti v jednotlivých zemích nebo oblastech
  • Úložiště mimo zemi nebo oblast pro účely zabezpečení nebo zotavení po havárii

Data je možné replikovat v rámci vybrané geografické oblasti pro redundanci, ale není možné je přenést mimo ni. Zákazníci mají několik možností replikace dat, včetně počtu kopií a počtu a umístění datacentra replikace.

Při vytváření účtu úložiště vyberte jednu z následujících možností replikace:

  • Místně redundantní úložiště (LRS): Místně redundantní úložiště uchovává tři kopie vašich dat. LRS se replikuje třikrát v rámci jednoho zařízení v jedné oblasti. LRS chrání vaše data před běžnými chybami hardwaru, ale ne před selháním jednoho zařízení.
  • Zónově redundantní úložiště (ZRS):Zónově redundantní úložiště uchovává tři kopie vašich dat. ZRS se replikuje třikrát napříč dvěma až třemi zařízeními, aby poskytovala vyšší odolnost než LRS. Replikace probíhá v rámci jedné oblasti nebo napříč dvěma oblastmi. ZRS pomáhá zajistit, aby vaše data byla odolná v rámci jedné oblasti.
  • Geograficky redundantní úložiště (GRS): Geograficky redundantní úložiště je ve výchozím nastavení povolené pro váš účet úložiště při jeho vytvoření. GRS udržuje šest kopií dat. U GRS se vaše data replikují třikrát v rámci primární oblasti. Vaše data se také třikrát replikují v sekundární oblasti stovky kilometrů od primární oblasti a poskytují nejvyšší úroveň odolnosti. Pokud dojde k selhání v primární oblasti, azure Storage převezme služby při selhání sekundární oblasti. GRS pomáhá zajistit odolnost dat ve dvou samostatných oblastech.

Zničení dat: Když zákazníci odstraní data nebo opustí Azure, Microsoft dodržuje přísné standardy pro odstranění dat a fyzické zničení vyřazeného hardwaru. Microsoft provede úplné odstranění dat na žádost zákazníka a při ukončení smlouvy. Další informace najdete v tématu Správa dat v Microsoftu.

Vlastnictví zákaznických dat

Microsoft nekontroluje, neschvaluje ani nemonitoruje aplikace, které zákazníci nasazují do Azure. Microsoft navíc neví, jaký druh dat se zákazníci rozhodnou ukládat v Azure. Microsoft neuvádí vlastnictví dat nad informacemi zákazníka zadanými do Azure.

Správa záznamů

Azure vytvořil interní požadavky na uchovávání záznamů pro back-endová data. Zákazníci zodpovídají za identifikaci vlastních požadavků na uchovávání záznamů. U záznamů uložených v Azure zodpovídají zákazníci za extrahování dat a uchovávání obsahu mimo Azure za dobu uchovávání informací zadanou zákazníkem.

Azure umožňuje zákazníkům exportovat data a sestavy auditu z produktu. Exporty se ukládají místně, aby se zachovaly informace pro dobu uchovávání definovanou zákazníkem.

Elektronické zjišťování (elektronické zjišťování)

Zákazníci Azure zodpovídají za dodržování požadavků na elektronické zjišťování při jejich používání služeb Azure. Pokud zákazníci Azure musí zachovat svá zákaznická data, můžou data exportovat a uložit místně. Zákazníci si navíc můžou vyžádat export dat z oddělení zákaznické podpory Azure. Kromě toho, že zákazníkům umožníte exportovat svá data, Azure interně provádí rozsáhlé protokolování a monitorování.

Další kroky

Další informace o tom, co Microsoft dělá pro zabezpečení infrastruktury Azure, najdete tady: