Benachrichtigungen über Microsoft Azure, Dynamics 365 und Power Platform-Sicherheitsverletzungen gemäß der DSGVO

  • Artikel

Microsoft nimmt seine Verpflichtungen im Rahmen der Datenschutz-Grundverordnung (DSGVO) ernst. Microsoft ergreift im Rahmen seiner Onlinedienste umfassende Sicherheitsmaßnahmen, um sich vor Datenschutzverletzungen zu schützen. Diese Maßnahmen umfassen sowohl physische als auch logische Sicherheitskontrollen sowie automatisierte Sicherheitsprozesse, umfassende Informationssicherheits- und Datenschutzrichtlinien sowie Sicherheits- und Datenschutzschulungen für alle Mitarbeiter.

Die Sicherheit ist von Grund auf in Microsoft Azure, Dynamics 365 und Power Platofrm integriert, beginnend mit dem Security Development Lifecycle, einem obligatorischen Entwicklungsprozess, der Methoden für datenschutzbezogene Und datenschutzbasierte Standardmethoden umfasst. Das Leitprinzip der Sicherheitsstrategie von Microsoft besteht darin, eine Sicherheitsverletzung anzunehmen, was eine Erweiterung der Defense-in-Depth-Strategie ist. Durch die ständige Herausforderung der Sicherheitsfunktionen von Microsoft Azure, Dynamics 365 und Power Platofrm kann Microsoft neuen Bedrohungen einen Schritt voraus sein. Weitere Informationen zur Azure-Sicherheit finden Sie in diesen Ressourcen.

Microsoft verfügt über einen dedizierten globalen 24x7-Dienst zur Reaktion auf Vorfälle, der die Auswirkungen von Angriffen auf Microsoft Azure, Dynamics 365 und Power Platform abmildert. Microsoft wird durch mehrere Sicherheits- und Compliance-Audits (z. B. ISO/IEC 27018) bestätigt und setzt strenge Vorgänge und Prozesse in seinen Rechenzentren ein, um unbefugten Zugriff zu verhindern, einschließlich 24x7-Videoüberwachung, geschultem Sicherheitspersonal, Smartcards und biometrischen Kontrollen.

Erkennung potenzieller Sicherheitsverletzungen

Aufgrund der Natur des modernen Cloud Computings sind nicht alle Datenverletzungen, die in einer Cloudumgebung des Kunden auftreten, Microsoft Azure, Dynamics 365 oder Power Platform-Dienste beteiligt. Microsoft verwendet ein Modell für gemeinsame Verantwortung für Microsoft Azure-, Dynamics 365- und Power Platform-Dienste, um Sicherheit und betriebliche Verantwortlichkeiten zu definieren. Gemeinsame Verantwortung ist besonders dann wichtig, wenn es um die Sicherheit von Clouddiensten geht, da sowohl der Anbieter des Clouddiensts als auch die Kunden jeweils für Teile der Cloudsicherheit zuständig sind.

Microsoft überwacht oder reagiert nicht auf Sicherheitsvorfälle innerhalb des Verantwortungsbereichs des Kunden. Eine Sicherheitskompromittierung nur für Den Kunden würde nicht als Microsoft-Sicherheitsvorfall verarbeitet, und der Kundenmandant müsste den Reaktionsaufwand verwalten. Die Reaktion auf Kundenvorfälle kann die Zusammenarbeit mit dem Microsoft Azure-Kundensupport, Dynamics 365 Kundensupport und/oder Power Platform-Kundensupport umfassen, wenn entsprechende Serviceverträge eingehalten werden. Microsoft bietet auch verschiedene Dienste (z. B. Microsoft Defender für Cloud), die Kunden für die Entwicklung und Verwaltung der Reaktion auf Sicherheitsvorfälle verwenden können.

Microsoft reagiert auf eine potenzielle Datenschutzverletzung gemäß dem Prozess zur Reaktion auf Sicherheitsvorfälle, bei dem es sich um eine Teilmenge des Microsoft-Plans zur Verwaltung von Vorfällen handelt. Die Reaktion auf Azure-Sicherheitsvorfälle von Microsoft wird mithilfe eines fünfstufigen Prozesses implementiert: Erkennen, Bewerten, Diagnostizieren, Stabilisieren und Schließen. Im Verlauf der Untersuchung kann das Reaktionsteam für Sicherheitsvorfälle zwischen den Stufen der Diagnose und Stabilisierung wechseln. Eine Übersicht des Prozesses für die Reaktion auf Sicherheitsvorfälle finden Sie im Folgenden:

Stufe 1 Beschreibung
1: Erkennung Erste Anzeichen für einen potenziellen Vorfall.
2: Analyse Ein Mitglied des Anrufteams für die Reaktion auf Vorfälle bewertet die Auswirkungen und den Schweregrad des Ereignisses. Basierend auf den Beweisen kann die Bewertung zu einer weiteren Eskalation an das Sicherheitsreaktionsteam führen.
3: Diagnose Sicherheitsexperten führen eine technische oder forensische Untersuchung durch und ermitteln Strategien für Eindämmung, Risikominderung und Abhilfe. Wenn das Sicherheitsteam der Meinung ist, dass möglicherweise Kundendaten gegenüber einer unbefugten Personen offengelegt wurden, wird parallel der Prozess zur Benachrichtigung des Kunden über den Sicherheitsvorfall in Gang gesetzt.
4: Stabilisierung und Wiederherstellung Das Team für die Reaktion auf Vorfälle erstellt einen Wiederherstellungsplan, um das Problem zu beheben. Kriseneindämmungsschritte wie die Quarantäne betroffener Systeme können sofort und parallel zur Diagnose erfolgen. Es können längerfristige Entschärfungen geplant werden, die nach dem Eintreten des unmittelbaren Risikos erfolgen.
5: Abschluss und nachträgliche Analyse Das Team für die Reaktion auf Sicherheitsvorfälle erstellt eine nachträgliche Analyse, die den Vorfall detailliert untersucht, mit dem Ziel, die vorhandenen Richtlinien und Prozesse zu überarbeiten, um ein erneutes Auftreten des Ereignisses zu verhindern.

Die von Microsoft Azure, Dynamics 365 und Power Platform verwendeten Erkennungsprozesse sind darauf ausgelegt, Ereignisse zu ermitteln, die die Vertraulichkeit, Integrität und Verfügbarkeit von Azure-, Dynamics 365- und Power Platform-Diensten gefährden. Verschiedene Ereignisse können eine Untersuchung auslösen:

  • Automatisierte Systemwarnungen durch interne Überwachungs- und Warnungsframeworks. Diese Warnungen können in Form von signaturbasierten Alarmen eingehen wie Antischadsoftware oder Angriffserkennung bzw. über Algorithmen, die ein Profil der erwarteten Aktivität erstellen und bei Anomalien Warnungen ausgeben sollen.
  • Erstanbieterberichte von Microsoft-Diensten, die unter Microsoft Azure und Azure Government ausgeführt werden.
  • Sicherheitsrisiken werden dem Microsoft Security Response Center (MSRC) über Vorfall melden gemeldet. MSRC arbeitet mit Partnern und Sicherheitsforschern auf der ganzen Welt, um Sicherheitsvorfälle zu verhindern und die Sicherheit von Microsoft-Produkten zu erhöhen.
  • Kundenberichte über Portale, einschließlich des Microsoft Azure-Kundensupportportals, Dynamics 365 Kundensupport, Power Platform-Kundensupport, Microsoft Azure-Portal und Azure Government-Verwaltungsportals, in denen verdächtige Aktivitäten beschrieben werden, die der Azure-Infrastruktur zugeordnet werden (im Gegensatz zu Aktivitäten, die im Verantwortungsbereich des Kunden auftreten).
  • Aktivitäten der roten und blauen Sicherheitsteams. Diese Strategie nutzt ein hochqualifiziertes Red Team von anstößigen Microsoft-Sicherheitsexperten, um potenzielle Schwachstellen in Microsoft Azure aufzudecken und anzugreifen. Das blaue Sicherheitsteam muss die Aktivitäten des roten Teams erkennen und abwehren. Die Aktionen des roten wie auch des blauen Teams werden dazu verwendet, um zu überprüfen, ob die Sicherheitsmaßnahmen von Azure Sicherheitsvorfälle effektiv bewältigen. Die Aktivitäten von Security Red Team und Blue Team werden unter Einsatzregeln durchgeführt, um den Schutz von Kundendaten und personenbezogenen Daten zu gewährleisten.
  • Eskalationen durch Betreiber von Microsoft Azure, Dynamics 365 und Power Platform Services. Microsoft-Mitarbeiter sind dahingehend geschult, potenzielle Sicherheitsprobleme zu identifizieren und zu eskalieren.

Reaktion auf Datenverletzungen in Microsoft Azure, Dynamics 365 und Power Platform

Microsoft weist der Untersuchung geeignete Prioritäts- und Schweregrade zu, indem die funktionellen Auswirkungen, die Wiederherstellbarkeit und die Beeinträchtigung von Daten durch den Vorfall bestimmt werden. Sowohl Prioritäten als auch Schweregrade können sich im Verlauf der Untersuchung aufgrund neuer Erkenntnisse und Schlussfolgerungen ändern. Sicherheitsereignisse, die ein unmittelbares oder bestätigtes Risiko für Kundendaten darstellen, werden als Ereignisse mit hohem Schweregrad behandelt, den deren Behebung rund um die Uhr gearbeitet wird.

Das Security Incident Response Team arbeitet mit den zuständigen Microsoft-Servicetechnikern und Experten zusammen, um das Ereignis basierend auf faktenbezogenen Daten aus den Beweisen zu klassifizieren. Ein Sicherheitsereignis kann wie folgt klassifiziert werden:

  • Falsch positiv: Ein Ereignis, das die Erkennungskriterien erfüllt, aber zu einer normalen Geschäftspraxis gehört und möglicherweise herausgefiltert werden muss. Serviceteams identifizieren die Grundursache für falsch positive Ergebnisse und werden diese systematisch angehen, um sie bei Bedarf zu optimieren.
  • Sicherheitsereignis: Ein beobachtbares Vorkommen in einem System, Dienst und/oder Netzwerk für versuchten Angriff, Umgehung von Sicherheitskontrollen oder ein identifiziertes Problem, bei dem die Fakten darauf hindeuten, dass Kundendaten oder personenbezogene Daten möglicherweise verloren gegangen sind, zerstört, geändert, offengelegt oder ohne Autorisierung auf sie zugegriffen wurde.
  • Sicherheitsvorfall/Vom Kunden meldepflichtiger Sicherheits-/Datenschutzvorfall (Customer Reportable Security/Privacy Incident, CRSPI): Eine bestätigte (z. B. deklarierte) Sicherheitsverletzung, die zu versehentlicher oder unrechtmäßiger Zerstörung, Verlust, Änderung, unbefugter Offenlegung oder Zugriff auf Kundendaten oder personenbezogene Daten bei der Verarbeitung durch Microsoft führt.
  • Datenschutzereignis: Ein Sicherheitsereignis, das Sich auf Kundendaten oder personenbezogene Daten oder die Datenverarbeitung auswirkt, die zu unbeabsichtigten Folgen für den Datenschutz führt, einschließlich der Nichteinhaltung von Microsoft-Datenschutzrichtlinien, -Standards und -Kontrollen.
  • Datenschutzvorfall/Kundenberichtbarer Sicherheits-/Datenschutzvorfall (CRSPI): Ein Sicherheitsvorfall, der Kundendaten oder personenbezogene Daten, Daten oder Datenverarbeitungen betrifft, die unbeabsichtigte Folgen für den Datenschutz haben, einschließlich der Nichteinhaltung von Microsoft-Datenschutzrichtlinien, -Standards und -Kontrollen.

Damit ein CRSPI deklariert werden kann, muss Microsoft feststellen, dass wahrscheinlich ein nicht autorisierter Zugriff auf Kundendaten stattgefunden hat und/oder dass eine gesetzliche oder vertragliche Verpflichtung zur Benachrichtigung besteht. Ein Vorfall wird im Allgemeinen nach Abschluss der Diagnosestufe eines Sicherheitsvorfalls als CRSPI deklariert. Allerdings kann dies auch zu jedem beliebigen anderen Zeitpunkt stattfinden, an dem alle relevanten Informationen verfügbar sind.

Microsoft überprüft, ob das Kunden- und Geschäftsrisiko erfolgreich eingedämmt und Korrekturmaßnahmen implementiert werden. Bei Bedarf werden Sofortmaßnahmen zur Entschärfung ergriffen, um die mit dem Ereignis verbundenen unmittelbaren Sicherheitsrisiken zu beheben.

Microsoft führt zudem eine interne nachträgliche Analyse für Datenschutzverstöße durch. Im Rahmen dieser Übung wird die Suffizienz der Reaktions- und Betriebsverfahren bewertet, und alle Aktualisierungen, die möglicherweise für das SoP (Security Incident Response Standard Operating Procedure) oder verwandte Prozesse erforderlich sind, werden identifiziert und implementiert. Interne nachträgliche Analysen für Datenschutzverstöße sind streng vertrauliche Datensätze, die Kunden nicht zur Verfügung gestellt werden. Sie können aber zusammengefasst und in andere Ereignisbenachrichtigungen für Kunden eingeschlossen werden. Diese Berichte werden externen Prüfern zur Überprüfung im Rahmen von Routineüberwachungszyklen von Microsoft Azure, Dynamics 365 und Power Platform zur Verfügung gestellt.

Kundenbenachrichtigung

Microsoft benachrichtigt betroffene Kunden und Aufsichtsbehörden bei Bedarf über Datenschutzverstöße. Microsoft setzt beim Betrieb von Microsoft Azure, Dynamics 365 und Power Platform auf eine starke interne Trennung. Ein Vorteil dieses Designs ist, dass die meisten Vorfälle bestimmten Kunden zugeordnet werden können. Das Ziel ist, den betroffenen Kunden präzise, umsetzbare und zeitgerechte Informationen bereitzustellen, wenn der Schutz ihrer Daten verletzt wurde.

Der Benachrichtigungsprozess nach einem deklarierten CRSPI wird so rasch wie möglich in Gang gesetzt, wobei auch die Sicherheitsrisiken eines schnellen Handelns berücksichtigt werden. Kundenbenachrichtigungen werden ohne unangemessene Verzögerung übermittelt, und in jedem Fall in nicht mehr als 72 Stunden ab dem Zeitpunkt, zu dem wir eine Verletzung deklariert haben, außer unter bestimmten umständen, sind einige Beispiele wie folgt:

  • Microsoft ist der Meinung, dass eine Benachrichtigung das Risiko für andere Kunden erhöht. Beispielsweise kann der Akt der Benachrichtigung einen Angreifer abweisen und dazu führen, dass keine Abhilfe geschaffen werden kann.
  • Die 72-Stunden-Zeitleiste lassen möglicherweise einige Incidentdetails nicht verfügbar. Diese Details werden Kunden und Aufsichtsbehörden bereitgestellt, sobald die Untersuchung fortschreitet.

Microsoft stellt betroffenen Kunden detaillierte Informationen bereit, sodass sie interne Untersuchungen ausführen können ihre Verpflichtungen gegenüber Endbenutzern erfüllen können, ohne den Benachrichtigungsprozess übermäßig zu verzögern. Benachrichtigungen über eine Datenverletzung für Azure werden als Sicherheitsempfehlung an das Blatt mit Benachrichtigungen zur Dienstintegrität eines Kunden übermittelt. Wenn dies gerechtfertigt ist, kann eine oder mehrere der folgenden Rollen per E-Mail über einen Sicherheits- oder Datenschutzvorfall in Verbindung mit oder anstelle einer Dienstintegritätsbenachrichtigung benachrichtigt werden:

Das Microsoft Azure- oder Azure Government-Team kann sich auch dafür entscheiden, andere Microsoft-Mitarbeiter wie Mitglieder des Microsoft Customer Support Service (CSS)-Teams und die Account Manager (AM) oder Customer Success Account Manager (CSAM) des Kunden zu benachrichtigen. Diese Personen stehen häufig in enger Beziehung zum Kunden und können eine schnellere Problembehebung realisieren.

Die Benachrichtigung über eine Datenschutzverletzung für Microsoft Dynamics 365 und Power Platform wird an die Microsoft 365 Admin Center unter "Nachrichtencenter" und "Dienststatus Dashboard" übermittelt. Weitere Informationen finden Sie unter Richtlinien und Kommunikation für Power Platform und Dynamics 365-Dienste.

Integrierte Sicherheitsfeatures von Microsoft Dynamics 365 und Power Platform

Microsoft Dynamics 365 und Power Platform nutzen die Clouddienstinfrastruktur und die integrierten Sicherheitsfeatures, um Die Daten mithilfe von Sicherheitsmaßnahmen und -mechanismen zum Schutz von Daten zu schützen. Darüber hinaus bieten Dynamics 365 und Power Platform effizienten Datenzugriff und die Zusammenarbeit mit Datenintegrität und Datenschutz in den folgenden Bereichen: sichere Identität, Datenschutz, rollenbasierte Sicherheit und Bedrohungsmanagement.

Die Microsoft Dynamics 365- und Power Platform-Angebote folgen denselben technischen und organisatorischen Maßnahmen, die ein oder mehrere Microsoft Azure-Serviceteams zum Schutz vor Datenverletzungen ergreifen. Daher gelten alle Informationen, die im Benachrichtigungsdokument "Microsoft Azure Data Breach" hier dokumentiert sind, auch für Microsoft Dynamics 365 und Power Platform.

Weitere Informationen

Microsoft Trust Center