Sdílet prostřednictvím

Ochrana dat zákazníků Azure

  • Článek

Přístup k zákaznickým datům provozním pracovníkům Microsoftu a pracovníkům podpory je ve výchozím nastavení odepřen. Pokud je udělen přístup k datům souvisejícím s případem podpory, uděluje se pouze pomocí modelu JIT (just-in-time) pomocí zásad, které jsou auditovány a prověřeny v souladu s našimi zásadami dodržování předpisů a ochrany osobních údajů. Požadavky na řízení přístupu jsou stanoveny následujícími zásadami zabezpečení Azure:

  • Ve výchozím nastavení není přístup k datům zákazníků.
  • Na virtuálních počítačích zákazníka nejsou žádné uživatelské účty ani účty správců.
  • Udělit nejnižší oprávnění, které je potřeba k dokončení úkolu; žádosti o přístup k auditu a protokolování.

pomoc techniczna platformy Azure pracovníkům microsoft přiřazuje jedinečné podnikové účty Active Directory. Azure při řízení přístupu ke klíčovým informačním systémům spoléhá na microsoftovou podnikovou službu Active Directory spravovanou pomocí microsoftové informační technologie (MSIT). Vyžaduje se vícefaktorové ověřování a přístup je udělen pouze ze zabezpečených konzolí.

Ochrana dat

Azure poskytuje zákazníkům silné zabezpečení dat, a to jak ve výchozím nastavení, tak i jako možnosti zákazníka.

Oddělení dat: Azure je služba s více tenanty, což znamená, že na stejném fyzickém hardwaru se ukládá několik nasazení a virtuálních počítačů zákazníků. Azure používá logickou izolaci k oddělení dat jednotlivých zákazníků od dat ostatních. Oddělení poskytuje škálovací a ekonomické výhody služeb s více tenanty a současně přísně brání zákazníkům v přístupu k datům druhé.

Ochrana neaktivních uložených dat: Zákazníci zodpovídají za zajištění šifrování dat uložených v Azure v souladu s jejich standardy. Azure nabízí širokou škálu možností šifrování, které zákazníkům poskytují flexibilitu při volbě řešení, které nejlépe vyhovuje jejich potřebám. Azure 密钥保管库 pomáhá zákazníkům snadno udržovat kontrolu nad klíči, které používají cloudové aplikace a služby k šifrování dat. Azure Disk Encryption umožňuje zákazníkům šifrovat virtuální počítače. Šifrování služby Azure Storage umožňuje šifrovat všechna data uložená do účtu úložiště zákazníka.

Ochrana přenášených dat: Microsoft nabízí řadu možností, které můžou zákazníci využít k internímu zabezpečení přenášených dat v rámci sítě Azure a externě přes internet ke koncovému uživateli. Patří mezi ně komunikace prostřednictvím virtuálních privátních sítí (s využitím šifrování IPsec/IKE), protokolu TLS (Transport Layer Security) 1.2 nebo novějšího (prostřednictvím komponent Azure, jako je Application Gateway nebo Azure Front Door), protokolů přímo na virtuálních počítačích Azure (například Windows IPsec nebo SMB) a dalších.

Kromě toho je pro veškerý provoz Azure přenášený mezi datacentry Azure povolené "šifrování ve výchozím nastavení" pomocí maCsec (standard IEEE ve vrstvě datového propojení), aby se zajistila důvěrnost a integrita zákaznických dat.

Redundance dat: Microsoft pomáhá zajistit ochranu dat v případě kybernetického útoku nebo fyzického poškození datacentra. Zákazníci se můžou rozhodnout pro:

  • Úložiště v zemi nebo oblasti kvůli požadavkům na dodržování předpisů nebo latenci
  • Úložiště mimo zemi nebo oblast pro účely zabezpečení nebo zotavení po havárii

Data je možné replikovat v rámci vybrané geografické oblasti z důvodu redundance, ale nelze je přenášet mimo ni. Zákazníci mají několik možností replikace dat, včetně počtu kopií a počtu a umístění datacentra replikace.

Při vytváření účtu úložiště vyberte jednu z následujících možností replikace:

  • Místně redundantní úložiště (LRS): Místně redundantní úložiště uchovává tři kopie vašich dat. LRS se replikuje třikrát v rámci jednoho zařízení v jedné oblasti. LRS chrání vaše data před běžnými selháními hardwaru, ale ne před selháním jednoho zařízení.
  • Zónově redundantní úložiště (ZRS): Zónově redundantní úložiště uchovává tři kopie vašich dat. ZRS se třikrát replikuje ve dvou až třech zařízeních, aby byla zajištěna vyšší odolnost než LRS. Replikace probíhá v rámci jedné oblasti nebo mezi dvěma oblastmi. ZRS pomáhá zajistit, aby vaše data byla odolná v rámci jedné oblasti.
  • Geograficky redundantní úložiště (GRS): Geograficky redundantní úložiště je pro váš účet úložiště při vytváření ve výchozím nastavení povolené. GRS udržuje šest kopií dat. S GRS se vaše data replikují třikrát v primární oblasti. Vaše data se také replikují třikrát v sekundární oblasti vzdálené stovky kilometrů od primární oblasti, což poskytuje nejvyšší úroveň odolnosti. V případě selhání v primární oblasti služba Azure Storage převezme služby při selhání sekundární oblasti. GRS pomáhá zajistit, aby vaše data byla odolná ve dvou samostatných oblastech.

Zničení dat: Když zákazníci odstraní data nebo opustí Azure, Microsoft dodržuje přísné standardy pro odstranění dat a fyzické zničení vyřazeného hardwaru. Microsoft provede úplné odstranění dat na žádost zákazníka a při ukončení smlouvy. Další informace najdete v tématu Správa dat v Microsoftu.

Vlastnictví zákaznických dat

Microsoft nekontroluje, neschvaluje ani nesleduje aplikace, které zákazníci nasazují do Azure. Microsoft navíc neví, jaký druh dat se zákazníci rozhodnou ukládat v Azure. Společnost Microsoft si nenásadí vlastnictví dat k informacím o zákazníci, které jsou zadané do Azure.

Správa záznamů

Azure stanovil interní požadavky na uchovávání záznamů pro back-endová data. Zákazníci zodpovídají za identifikaci vlastních požadavků na uchovávání záznamů. U záznamů uložených v Azure zodpovídají zákazníci za extrahování dat a uchovávání obsahu mimo Azure po dobu uchování zadanou zákazníkem.

Azure umožňuje zákazníkům exportovat data a sestavy auditu z produktu. Exporty se ukládají místně, aby se zachovaly informace po dobu uchovávání dat definovanou zákazníkem.

Elektronické zjišťování (e-discovery)

Zákazníci Azure zodpovídají za dodržování požadavků na elektronické zjišťování při používání služeb Azure. Pokud zákazníci Azure musí zachovat svá zákaznická data, mohou data exportovat a uložit místně. Kromě toho si zákazníci můžou vyžádat export svých dat od oddělení zákaznické podpory Azure. Kromě toho, že azure umožňuje zákazníkům exportovat jejich data, provádí rozsáhlé interní protokolování a monitorování.

Další kroky

Další informace o tom, co Microsoft dělá pro zabezpečení infrastruktury Azure, najdete tady: