Controlli di conformità e sicurezza

Questo articolo consente di comprendere in che modo l'organizzazione è conforme ai vari requisiti di conformità e agli standard di sicurezza.

Conformità

Copertura della conformità

Microsoft Managed Desktop ha ottenuto le certificazioni di conformità seguenti:

• Standard di gestione della sicurezza delle informazioni (ISMS) ISO 27001
• Sistema di gestione delle informazioni sulla privacy (PIMS) ISO 27701
• Codice di condotta in materia di controllo della sicurezza informatica ISO 27017
• Codice di condotta per la protezione dei dati personali nel cloud ISO 27018
• ISO 9001 Quality Management Systems Standards
• Gestione dei servizi informatici ISO 20000-1
• Standard di gestione della continuità aziendale ISO 22301
• Attestazione Cloud Security Alliance (CSA) STAR
• Certificazione Cloud Security Alliance (CSA) STAR
• Controlli dell'organizzazione del servizio (SOC) 1, 2, 3
• Information Security Registered Assessor Program (IRAP)
• Payment Card Industry (PCI) Data Security Standard (DSS)
• Health Insurance Portability and Accountability Act (HIPAA)
• Health Information Trust Alliance (HITRUST) Common Security Framework (CSF)

Report del revisore e certificati di conformità

È possibile trovare informazioni rilevanti, inclusi i requisiti tecnici e di controllo, nel portale di attendibilità dei servizi (STP). Questo portale è il repository centrale per informazioni sulle offerte del servizio cloud Microsoft. È possibile scaricare report del revisore, certificati di conformità e altro ancora dalla sezione Report di controllo di STP.

Controlli di sicurezza

Controllo del dispositivo

Tutto il personale di Microsoft Managed Desktop usa dispositivi approvati per la gestione del servizio e l'accesso ai tenant gestiti. Questi dispositivi sono dedicati alle operazioni di produzione e richiedono l'autenticazione a più fattori, hanno una propria identità specializzata, il monitoraggio e la protezione avanzata. Inoltre, questi dispositivi a uso speciale hanno controlli che impediscono la condivisione dei dispositivi da parte dei tecnici.

Controllo persone

Microsoft Managed Desktop gestisce e aggiorna un record di accesso del personale autorizzato ai sistemi Microsoft contenenti i dati dei clienti. Tutti i tecnici del servizio devono essere conformi ai criteri e alle procedure di sicurezza Microsoft standard. Questi includono la formazione obbligatoria regolare (sicurezza, identità, privacy e conformità) e i controlli ricorrenti in background e di sicurezza.

I tecnici non mantengono l'accesso continuo ai sistemi di produzione o ai dati dei clienti. L'accesso a tutti è limitato nel tempo e deve essere rinnovato dall'utente, con revisione e approvazione di gestione obbligatorie. Tutti i diritti sono soggetti a una revisione trimestrale dell'accesso.

Microsoft Managed Desktop dispone di processi con i proprietari assegnati usati per concedere, modificare e annullare l'autorizzazione di accesso a dati e risorse. Ad esempio, se un membro del personale di Microsoft Managed Desktop lascia il team, le credenziali vengono revocate in modo tempestivo.

L'accesso a uno qualsiasi degli account del servizio interattivo è limitato al contesto di una richiesta di supporto ed è limitato ai tecnici del servizio che usano questi dispositivi. Le richieste e l'utilizzo di questi account possono provenire solo da una workstation di accesso sicuro Microsoft.

Controllo della gestione degli accessi con privilegi

Durante la gestione di una richiesta di supporto, è possibile che i tecnici del servizio debbano accedere al tenant. A tale scopo, è necessario richiedere l'accesso a un ruolo di directory specifico. Se approvata, a un account guest vengono concesse tali autorizzazioni per un massimo di otto ore. Questo approccio consente l'associazione di utenti specifici a tutte le azioni eseguite all'interno di un tenant.

Controllo dell'account del servizio

Tutte le credenziali dell'account del servizio Desktop gestito da Microsoft vengono archiviate in un insieme di credenziali delle chiavi di Azure protetto. Le credenziali vengono generate in modo casuale e ruotano ogni 13 giorni o 30 minuti se usate nel periodo provvisorio. È possibile richiedere il log di controllo tramite Microsoft Managed Desktop. Viene controllato tutto l'uso ji-in-time e il log di controllo contiene i dettagli delle richieste di servizio da parte del team di Progettazione servizi Desktop gestito da Microsoft e viene archiviato per 365 giorni in Azure.

Per altre informazioni, vedere il documento Microsoft Managed Desktop - Procedure di archiviazione, utilizzo e sicurezza dei dati nel portale di attendibilità dei servizi (STP).