Microsoft 365 Compliance-Programm

Microsoft basiert auf Vertrauen, und Microsoft 365-Kunden benötigen erstklassige Sicherheits- und Datenschutzfunktionen in ihren Produkten. Die gründliche Überwachung von Microsoft 365 stellt sicher, dass die Sicherheitsfunktionen, Datenverarbeitungsmethoden, zugehörige Richtlinien und Tools effektiv implementiert wurden und die entsprechenden Standards erfüllen. Das interne Complianceprogramm von Microsoft 365 wurde entwickelt, um sicherzustellen, dass Sicherheit und Datenschutz in allen Phasen des Entwicklungs- und Betriebslebenszyklus berücksichtigt werden.

Jeder neue Dienst und diejenigen, die wesentliche Änderungen an ihrer Funktionalität vornehmen, müssen drei zugehörige Überprüfungsmaßnahmen ausführen: Sicherheit, Datenschutz und Compliance. Bewertungen werden durchgeführt, um den Umfang des Diensts zu verstehen, was zu einer Liste der Anforderungen führt, die vor der Bereitstellung erfüllt werden müssen.

Sicherheit

Die Sicherheitsbewertung befindet sich im Besitz des Microsoft 365-Sicherheitsteams und ist darauf ausgelegt, alle Sicherheitslösungen zu identifizieren, die Serviceteams installieren und konfigurieren müssen. Microsoft 365 hat Lösungen entwickelt, um jeden einzelnen Dienst zu schützen und mit den zentralisierten Systemen zu verbinden, die Microsoft als Ganzes schützen. Dazu gehören Lösungen wie Identitäts- und Zugriffsverwaltung, Antischadsoftware, zentrale Protokollierung und Verschlüsselung von Daten. Serviceteams müssen auch Datenflussdiagramme für die Bedrohungsmodellierung erstellen, um potenzielle Angriffsvektoren zuzuordnen. Das Microsoft 365-Sicherheitsteam bietet Serviceteams Anleitungen und führt eine abschließende Überprüfung und Genehmigung der Dienstsicherheitsfunktionen durch.

Datenschutz

Der Datenschutz konzentriert sich auf Kundendaten, die das Serviceteam überträgt, verarbeitet und speichert. Zu den Aufgaben gehören das Identifizieren gesammelter Datentypen, Aufbewahrungszeiträume, Klassifizierung und Interaktionen von Drittanbietern. Ein dedizierter Datenschutzmanager und ein/e Rechtsanwalt/n führen eine Überprüfung der Datenverarbeitungsfunktionen durch. Bedrohungsmodelle werden auch zum Schutz vor unerwarteten Datenlecks verwendet. Der Datenschutzmanager muss die offizielle Genehmigung und Überprüfung des Abschlusses der Datenschutzbewertung bereitstellen.

Compliance

Viele Kunden haben regionale und branchenspezifische Complianceanforderungen, die erfüllt sein müssen, um Clouddienste wie Microsoft 365 nutzen zu können. Ein Ziel der Konformitätsbewertung ist es, sicherzustellen, dass der Dienst und alle nachgeschalteten Abhängigkeiten die Konformitätsanforderungen für die geltenden Standards wie ISO 27001, SOC 2, FedRAMP für Behördenkunden und andere hier beschriebene erfüllen.

Der letzte Schritt dieses drei Bewertungsprozesses ist die abschließende Vertrauensüberprüfung, die eine umfassende Überprüfung des Sicherheits-, Datenschutz- und Compliancestatus des Diensts umfasst. Es wird überprüft, ob jeder Dienst ordnungsgemäß geschützt ist, bewährte Methoden befolgt, alle relevanten gesetzlichen Anforderungen erfüllt und alle identifizierbaren Risiken bei Bedarf berücksichtigt und angegangen wurden. Darüber hinaus wird an dieser Stelle die ganzheitliche Beziehung zu allen anderen Diensten und Umgebungen berücksichtigt.

Teams, die einen neuen Dienst entwickeln, werden ermutigt, an einer Beratenden Überprüfungssitzung in Kombination mit anderen Bewertungen teilzunehmen. Die Serviceteams erhalten Ratschläge zu ihrem Entwurf, einschließlich Anleitungen zur Vermeidung potenzieller Fallstricke und Hindernisse vor Beginn der Entwicklung.

Sobald die Bemühungen um Sicherheit, Datenschutz und Compliance abgeschlossen und genehmigt wurden, kann ein Dienst für Kunden allgemein verfügbar sein oder muss je nach Größe, Umfang und Dienst auf eine Überwachung warten.