Informazioni sull'accesso degli operatori cloud

Quando si eseguono carichi di lavoro nel cloud pubblico, un problema comune per la sovranità digitale è la misura in cui l'operatore cloud ha accesso ai sistemi che eseguono il carico di lavoro. Questo articolo offre una panoramica tecnica dell'accesso dell'operatore cloud per prendere decisioni basate sui rischi che guidano l'architettura del carico di lavoro. Per informazioni sull'accesso ai dati dei clienti per le richieste delle forze dell'ordine, vedere report sulle richieste delle forze dell'ordine.

Accesso dell'operatore

Il funzionamento dell'infrastruttura e della piattaforma cloud è un lavoro collaborativo tra diversi team di servizi, ad esempio tecnici del data center, tecnici del software ed esperti di cybersecurity. A livello generale, esistono due tipi di operazioni:

• Operazioni fisiche: gestione dei data center e dell'infrastruttura fisica nelle aree cloud.
• Operazioni logiche: gestione dei componenti logici (software) che forniscono servizi cloud.

La diversa natura di queste operazioni significa che richiedono diversi tipi di specialisti. La separazione dei problemi garantisce che questi team separati eseguano questi tipi di operazioni.

Operazioni fisiche

Microsoft progetta, compila e gestisce i data center in modo da controllare rigorosamente l'accesso fisico alle aree in cui sono archiviati i dati. Microsoft adotta un approccio a più livelli alla sicurezza fisica, per ridurre il rischio che utenti non autorizzati acceda fisicamente ai dati e ad altre risorse del data center. I data center gestiti fisicamente da Microsoft hanno livelli di protezione estesi: l'approvazione dell'accesso al perimetro della struttura, al perimetro dell'edificio, all'interno dell'edificio e al piano del data center. Per altre informazioni, vedere Panoramica della sicurezza del data center.

I tecnici del data center mantengono in esecuzione l'infrastruttura fisica, che include l'installazione, la correzione e la sostituzione delle apparecchiature di rete e server e la manutenzione dei sistemi di alimentazione e raffreddamento. Se i tecnici richiedono l'accesso logico ai sistemi dei servizi online Microsoft, il loro accesso è limitato alle operazioni che devono eseguire.

I tecnici del data center possono gestire i dispositivi di archiviazione fisica. Tutti i dati nei dispositivi di archiviazione vengono crittografati, spesso con più livelli di crittografia, con chiavi a cui i tecnici del data center non hanno accesso. Per altre informazioni, vedere Panoramica sulla crittografia e sulla gestione delle chiavi. I dispositivi di archiviazione vengono eliminati in modo sicuro, come indicato in Distruzione dei dispositivi contenenti dati.

Le apparecchiature server sono progettate con una radice di attendibilità hardware che convalida l'integrità dei componenti, ad esempio host, BMC (Baseboard Management Controller) e tutte le periferiche. Per altre informazioni, vedere Integrità e sicurezza della piattaforma Azure.

I tecnici del data center potrebbero dover eseguire operazioni sulle apparecchiature di rete. Con alcune eccezioni, il traffico di rete viene crittografato in transito, quindi l'accesso accidentale o dannoso al traffico di rete non espone dati.

Operazioni logiche

La maggior parte delle operazioni logiche, note anche come operazioni della piattaforma, sono automatizzate e non richiedono l'accesso dell'operatore. Tuttavia, i tecnici potrebbero occasionalmente dover eseguire la manutenzione preventiva, correggere un problema identificato dai sistemi di monitoraggio o risolvere un problema basato su un ticket di supporto clienti. Nella maggior parte dei casi di supporto clienti, i tecnici non hanno bisogno di accedere alla piattaforma per risolvere il problema.

Identità e accesso

I servizi online Microsoft sono progettati per consentire ai tecnici microsoft di gestire i servizi senza accedere ai contenuti dei clienti. Per impostazione predefinita, i tecnici Microsoft hanno accesso permanente zero (ZSA) al contenuto del cliente e nessun accesso con privilegi all'ambiente di produzione. I servizi online Microsoft usano un modello JIT (Just-In-Time), Just-Enough-Access (JEA) per fornire ai tecnici del team di servizio l'accesso temporaneo con privilegi agli ambienti di produzione quando tale accesso è necessario per supportare i servizi online Microsoft. Il modello di accesso JIT sostituisce l'accesso amministrativo tradizionale e permanente con un processo che consente ai tecnici di richiedere l'elevazione temporanea in ruoli con privilegi quando necessario. Per altre informazioni, vedere Informazioni generali sulla gestione delle identità e degli accessi.

Nei casi in cui i tecnici Microsoft hanno bisogno di accedere a causa di un ticket di supporto, è possibile concedere l'accesso tramite Customer Lockbox, se è disponibile per il servizio e lo si è abilitato. Per altre informazioni su Customer Lockbox e sui servizi supportati, vedere Customer Lockbox for Azure e Microsoft Purview Customer Lockbox.

Se l'accesso è approvato, l'ambito dell'accesso è limitato alle operazioni che il tecnico deve eseguire ed è associato al tempo. Tutte le richieste e l'approvazione vengono registrate e monitorate per rilevare anomalie. Inoltre, il personale operativo di Azure deve usare workstation di amministrazione sicure. Con le saw, il personale amministrativo usa un account amministrativo assegnato singolarmente separato da un account utente standard. Per altre informazioni, vedere Componenti e limiti del sistema informativo di Azure.

Chiavi di crittografia

Per impostazione predefinita, i servizi online Microsoft crittografare i dati inattivi e in transito con chiavi gestite da Microsoft. Quando si usano chiavi gestite da Microsoft, i servizi online Microsoft generano e archiviano automaticamente in modo sicuro le chiavi radice usate per la crittografia del servizio. È possibile usare Crittografia del servizio con chiavi gestite dal cliente per controllare le chiavi di crittografia. I dipendenti Microsoft non possono accedere direttamente alle chiavi gestite dal cliente perché sono archiviati in Azure Key Vault o nel modulo di protezione hardware gestito di Azure Key Vault. I servizi Microsoft usano la crittografia delle buste. Inoltre, la chiave di crittografia della chiave viene archiviata nel servizio Azure Key Vault e non può essere esportata. Per altre informazioni, vedere Panoramica sulla crittografia e sulla gestione delle chiavi.

Se l'organizzazione deve controllare l'infrastruttura di gestione delle chiavi, è possibile prendere in considerazione l'uso del modulo di protezione hardware gestito di Azure Key Vault, che fornisce sovranità, disponibilità, prestazioni e scalabilità chiave.

Accesso ai dati e ai componenti del servizio

La misura in cui un tecnico con le autorizzazioni e le approvazioni appropriate ha accesso ai componenti e ai dati del servizio dipende dal servizio, dall'architettura del carico di lavoro e dalla configurazione. Prevenzione e rilevamento.

I singoli servizi possono fornire opzioni di configurazione che consentono di impedire determinati tipi di accesso dell'operatore. La configurazione può influire sulla funzionalità o sulla capacità di Microsoft di fornire supporto. Pertanto, è necessario tenere conto di questi fattori quando si decide sul livello accettabile di rischio. Microsoft Cloud for Sovereignty può essere utile con i criteri che impongono la configurazione dei servizi per soddisfare requisiti specifici.

I log di trasparenza di Microsoft Cloud for Sovereignty offrono visibilità nelle occasioni in cui i tecnici Microsoft hanno eseguito l'accesso alle risorse dei clienti tramite il servizio di accesso JITA. In questo modo è possibile rilevare l'accesso all'operatore JUST-In-Time e comprendere l'ambito dei dati che potrebbero essere stati visibili a un operatore. I servizi consentono anche di rilevare in modo più dettagliato l'accesso degli operatori tramite funzionalità di controllo, registrazione e monitoraggio. È possibile inserire i dati di registrazione e monitoraggio in un sistema SIEM (Security Information and Event Management), ad esempio Microsoft Sentinel , per un'analisi approfondita della sicurezza.