Bedrohungen für Rechenzentren, Sicherheitsrisiken und Risikobewertung

Microsoft liefert rund um die Uhr mehr als 200 Clouddienste für Kunden. Einige Beispiele sind Unternehmensdienste wie Microsoft Azure, Microsoft 365, Microsoft Dynamics und Verbraucherdienste wie Bing, MSN, Outlook.com, Skype und Xbox Live. Microsoft hostet diese Dienste in seiner Cloudinfrastruktur, die global verteilte Rechenzentren, Edge Computing-Knoten, Service Operations Center und eines der größten globalen Netzwerke der Welt mit einem umfangreichen Faserbedarf umfasst, der alle verbindet. Seit der Eröffnung des ersten Rechenzentrums im Jahr 1989 hat Microsoft Milliarden von Dollar in seine Infrastruktur investiert und konzentriert sich weiterhin auf die Bereitstellung zuverlässiger, skalierbarer und sicherheitsoptimierter Onlinedienste, während gleichzeitig Vorgänge und Kosten effizient verwaltet werden, wenn dienste wachsen.

Die Microsoft-Clouddienste wurden auf der Basis von Vertrauen und Sicherheit entwickelt. Der Schutz von Kundendaten und -anwendungen in der Cloud ist eine Priorität, und Microsoft verwendet dazu modernste Technologien, Prozesse und Verschlüsselung. Microsoft speichert Kundendaten in geografisch verteilten Rechenzentren, die durch Ebenen von tiefgehenden logischen und physischen Sicherheitsmaßnahmen geschützt sind. Microsoft entwirft und betreibt seine Rechenzentren, um Dienste und Daten vor Schäden durch Naturkatastrophen, Umweltbedrohungen oder unbefugten Zugriff zu schützen.

Methodik zur Bedrohungs-, Sicherheits- und Risikobewertung

Das TvRA-Programm (Threat, Vulnerability, And Risk Assessment) hilft Ihnen zu verstehen, wie Microsoft die Auswirkungen physischer und ökologischer Bedrohungen auf seine Rechenzentren identifiziert und abmildert. Microsoft ist bestrebt, seine Risikobewertungen und -methoden kontinuierlich zu aktualisieren, um Verbesserungen zu erzielen und sich die Bedingungen zu ändern. Die TVRA-Analysen und -Schlussfolgerungen können sich daher ändern, und die Berichte werden als Zeitpunkt betrachtet.

Microsoft erleichtert den TVRA-Prozess, indem die folgenden Schritte ausgeführt werden:

Risikoidentifikation

TVRAs berücksichtigen eine Vielzahl von Bedrohungsszenarien, die sich aus natürlichen und vom Menschen erzeugten (einschließlich zufälliger) Gefahren ergeben. Die Ergebnisse variieren je nach Standort, Entwurf, Umfang der Dienste und anderen Faktoren des Rechenzentrums. Die TVRA wählt die Bedrohungsszenarien aus, die im TVRA-Dokument hervorgehoben werden sollen, basierend auf Den Kundenanforderungen, einer unabhängigen Bewertung des Landes/der Region, des Ortes und der Standortbewertung der Risikoumgebung, die von Risikoinformationen von Drittanbietern und Erstanbietern bereitgestellt wird. Für Regionen mit mehreren Rechenzentren werden die TVRA-Bewertungen aggregiert, um eine ganzheitliche Sicht auf die physischen und umweltbedingten Bedrohungen, Schwachstellen und Risiken für die zu bewertenden Standorte zu gewährleisten.

Zu den Arten von Bedrohungsszenarien, die für TVRAs in Rechenzentren bewertet werden, gehören:

• Externe Bedrohungen: Vorfälle, die auf absichtliche oder versehentliche externe menschliche Aktivitäten resultieren. Zum Beispiel zivile Unruhen, Terrorismus, kriminelle Aktivitäten, Diebstahl von außen, improvisierte Sprengsätze, bewaffnete Angriffe, Brandstiftung, unbefugtes Eindringen und Flugzeugabstürze.
• Interne Bedrohungen: Vorfälle, die sich aus internen absichtlichen oder versehentlichen menschlichen Aktivitäten ergeben. Zum Beispiel interner Diebstahl und Sabotage.
• Naturgefahren: ein natürlicher Prozess oder ein Phänomen, das sich negativ auf Rechenzentren auswirken kann. Zum Beispiel tropische Stürme, Wirbelstürme, Überschwemmungen, Erdrutsche, Dürre, Waldbrände, Erdbeben, vulkanische Aktivität und schwere Stürme mit Blitzen, Hagel, starken Winden oder Starkregen.
• Umweltbedrohungen: Umgebungsbedingungen, die sich negativ auf Rechenzentren auswirken könnten. Zum Beispiel Wasserstress, Hitzestress und Pandemien.

Risikoanalyse

Microsoft bewertet Bedrohungen basierend auf einer Bewertung ihres inhärenten Risikos. Das inhärente Risiko wird als Funktion der inhärenten Auswirkungen einer Bedrohung und der inhärenten Wahrscheinlichkeit des Auftretens einer Bedrohung berechnet, wenn keine Managementmaßnahmen und Kontrollen vorhanden sind. Internes Expertenfeedback und externe Risikoindizes informieren über diese Bewertungen.

Restrisiko

Das Restrisiko ist das Risiko, das bleibt, nachdem Sie überlegt haben, wie effektiv Ihre Kontrollen sind. Sie bewerten die Effektivität von Steuerelementen, indem Sie sich aktuelle Verwaltungsaktionen und Kontrollen ansehen, die darauf ausgelegt sind, Bedrohungen zu verhindern oder zu erkennen. Sie bewerten auch die Wahrscheinlichkeit, dass diese Steuerelemente wie beabsichtigt funktionieren. Diese Bewertungen stammen aus internem KMU-Feedback zur Kontrolleffektivität für die in der TVRA adressierten Rechenzentrumsstandorte.

Bericht

Nach Abschluss der Bewertung generiert Microsoft einen TVRA-Bericht zur genehmigung durch die interne Verwaltung. Dieser Bericht unterstützt das allgemeine Risikomanagement von Microsoft. Wenn ein Kunde einen TVRA-Bericht benötigt, sollte eine Anfrage vom Kontoteam an das Microsoft Compliance & Assurance-Team gesendet werden.

Ressourcen

• Azure Globale Infrastruktur