Ochrana zákaznických dat Azure

Přístup k zákaznickým datům provozními a pracovníky podpory Microsoftu je ve výchozím nastavení odepřen. Pokud je udělen přístup k datům souvisejícím s případem podpory, uděluje se pouze pomocí modelu JIT (just-in-time) pomocí zásad auditovaných a prověřovaných v souladu s našimi zásadami dodržování předpisů a ochrany osobních údajů. Požadavky na řízení přístupu jsou vytvořeny následujícími zásadami zabezpečení Azure:

  • Ve výchozím nastavení nemáte přístup k zákaznickým datům.
  • Žádné účty uživatelů nebo správců na virtuálních počítačích zákazníka
  • Udělte nejnižší oprávnění, která je nutná k dokončení úkolu; žádosti o přístup k auditu a protokolu

podpora Azure pracovníci mají přiřazené jedinečné podnikové účty Active Directory od Microsoftu. Azure spoléhá na microsoftovou službu Active Directory spravovanou technologií Microsoft Information Technology (MSIT) a řídí přístup k klíčovým informačním systémům. Vyžaduje se vícefaktorové ověřování a přístup je udělen pouze ze zabezpečených konzol.

Ochrana dat

Azure poskytuje zákazníkům silné zabezpečení dat, a to ve výchozím nastavení i jako možnosti zákazníka.

Oddělení dat: Azure je služba s více tenanty, což znamená, že na stejném fyzickém hardwaru se ukládá více nasazení zákazníků a virtuální počítače. Azure používá logickou izolaci k oddělení dat jednotlivých zákazníků od dat ostatních. Oddělení poskytuje škálovací a ekonomické výhody služeb s více tenanty, zatímco přísně brání zákazníkům v přístupu k datům jiného.

Ochrana neaktivních uložených dat: Zákazníci zodpovídají za zajištění šifrování dat uložených v Azure v souladu se standardy. Azure nabízí širokou škálu možností šifrování, díky kterým si zákazníci můžou vybrat řešení, které nejlépe vyhovuje jejich potřebám. Azure Key Vault pomáhá zákazníkům snadno udržovat kontrolu nad klíči, které používají cloudové aplikace a služby k šifrování dat. Azure Disk Encryption umožňuje zákazníkům šifrovat virtuální počítače. Azure Storage šifrování služby umožňuje šifrovat všechna data umístěná do účtu úložiště zákazníka.

Ochrana přenášených dat: Microsoft nabízí řadu možností, které můžou zákazníci využít k zabezpečení přenášených dat interně v rámci sítě Azure a externě přes internet koncovému uživateli. Patří mezi ně komunikace prostřednictvím virtuálních privátních sítí (s využitím šifrování IPsec/IKE), protokolu TLS (Transport Layer Security) 1.2 nebo novější (prostřednictvím komponent Azure, jako jsou Application Gateway nebo Azure Front Door), protokolů přímo na virtuálních počítačích Azure (například Windows IPsec nebo SMB) a dalších.

Šifrování ve výchozím nastavení pomocí MACsec (standard IEEE na vrstvě datového propojení) je navíc povolené pro veškerý provoz Azure mezi datovými centry Azure, aby se zajistila důvěrnost a integrita zákaznických dat.

Redundance dat: Microsoft pomáhá zajistit ochranu dat, pokud dojde k kybernetickému útoku nebo fyzickému poškození datacentra. Zákazníci můžou zvolit:

  • Důležité informace o dodržování předpisů nebo latenci v úložišti v jednotlivých zemích nebo oblastech
  • Úložiště mimo zemi nebo mimo oblast pro účely zabezpečení nebo zotavení po havárii

Data je možné replikovat v rámci vybrané geografické oblasti pro redundanci, ale nelze je přenést mimo ni. Zákazníci mají několik možností pro replikaci dat, včetně počtu kopií a počtu a umístění datacentra replikace.

Při vytváření účtu úložiště vyberte jednu z následujících možností replikace:

  • Místně redundantní úložiště (LRS): Místně redundantní úložiště udržuje tři kopie vašich dat. LRS se replikuje třikrát v rámci jednoho zařízení v jedné oblasti. LRS chrání vaše data před běžnými selháními hardwaru, ale ne před selháním jednoho zařízení.
  • Zónově redundantní úložiště (ZRS): Zónově redundantní úložiště udržuje tři kopie dat. ZRS se replikuje třikrát napříč dvěma až třemi zařízeními, aby poskytovala vyšší odolnost než LRS. Replikace probíhá v rámci jedné oblasti nebo napříč dvěma oblastmi. ZRS pomáhá zajistit, aby vaše data byla odolná v jedné oblasti.
  • Geograficky redundantní úložiště (GRS): Geograficky redundantní úložiště je ve výchozím nastavení povolené pro váš účet úložiště při vytváření. GRS udržuje šest kopií dat. S GRS se vaše data replikují třikrát v primární oblasti. Vaše data se také replikují třikrát v sekundární oblasti stovky kilometrů od primární oblasti a poskytují nejvyšší úroveň odolnosti. V případě selhání v primární oblasti Azure Storage převzetí služeb při selhání sekundární oblasti. GRS pomáhá zajistit, aby vaše data byla odolná ve dvou samostatných oblastech.

Zničení dat: Když zákazníci odstraní data nebo opustí Azure, Microsoft dodržuje přísné standardy pro odstranění dat a fyzické zničení vyřazeného hardwaru. Microsoft provede úplné odstranění dat na žádost zákazníka a ukončení smlouvy. Další informace najdete v tématu Správa dat v Microsoftu.

Vlastnictví zákaznických dat

Microsoft nekontroluje, schvaluje ani monitoruje aplikace, které zákazníci nasazují do Azure. Microsoft navíc neví, jaký druh dat se zákazníci rozhodnou ukládat v Azure. Microsoft neukládá vlastnictví dat nad informacemi o zákazních, které jsou zadané do Azure.

Správa záznamů

Azure nastavil požadavky na uchovávání interních záznamů pro back-endová data. Zákazníci zodpovídají za identifikaci vlastních požadavků na uchovávání záznamů. U záznamů uložených v Azure jsou zákazníci zodpovědní za extrakci svých dat a uchovávání obsahu mimo Azure za dobu uchovávání určené zákazníkem.

Azure umožňuje zákazníkům exportovat data a sestavy auditu z produktu. Exporty se ukládají místně, aby se zachovaly informace pro časové období uchovávání definované zákazníkem.

Elektronické zjišťování (e-discovery)

Zákazníci Azure zodpovídají za dodržování požadavků na zjišťování e-discovery při jejich používání služeb Azure. Pokud zákazníci Azure musí zachovat data zákazníků, můžou data exportovat a uložit místně. Zákazníci si navíc můžou vyžádat export svých dat z oddělení zákaznické podpory Azure. Kromě toho, aby zákazníci mohli exportovat svá data, Azure provádí rozsáhlé protokolování a monitorování interně.

Další kroky

Další informace o tom, co Microsoft dělá pro zabezpečení infrastruktury Azure, najdete tady: