Dynamics 365 biztonság

A Microsoft Dynamics 365, és a Microsoft Power Platform előfizetés alapú, szolgáltatott szoftver (SaaS) szolgáltatás, amely Microsoft Azure-adatközpontokból van szolgáltatva. Ezek az online szolgáltatások az üzleti szervezetek által használt, kritikus fontosságú alkalmazásokhoz és rendszerekhez szükséges teljesítmény, skálázhatóság, biztonság, felügyeleti képességek és szolgáltatásszintek figyelembe vételével vannak kialakítva.

A Microsoftnál a bizalom alapvető fontosságú a szolgáltatás teljesítése, a szerződési kötelezettségek és az iparági akkreditáció szempontjából ezért vezettük be a Megbízható felhő kezdeményezést. A Megbízható felhő kezdeményezés a Cloud Security Alliance (CSA) iparági csoport programja, amelynek célja, hogy segítsen a felhőszolgáltatóknak az iparági ajánlásoknak megfelelő biztonságos és együttműködő identitás létrehozásában, illetve hozzáférést és megfelelést biztosítson a felügyeleti konfigurációkhoz és gyakorlatokhoz. Ez a követelmények, irányelvekből és ellenőrzött folyamatokból álló csomag biztosítja, hogy felhőszolgáltatásainkat a legmagasabb színvonalon nyújtsuk a műszaki, jogi és megfelelési támogatás tekintetében is. Kiemelten fontos számunkra az adatok integritásának megőrzése a felhőben, amit a következő három alapelv alkalmazásával érünk el:

Biztonság: Védelem a kiberfenyegetésekkel szemben. Adatvédelem: Az adatokhoz való hozzáférés szabályozási lehetősége. Megfelelés: Példátlan mértékű beruházás a globális szabványok teljesítése érdekében.

A Microsoftnál az ügyfelek adatai biztonságának megóvása érdekében alkalmazott megközelítésbe beletartozik egy biztonságfelügyeleti keretrendszer, amely a technológiákat, a műveleti eljárásokat és a legújabb globális szabványoknak megfelelő irányelveket alkalmaz, és gyorsan tud igazodni a biztonsági trendekhez és az iparágspecifikus igényekhez. Emellett olyan, az ügyfelek által felügyelt eszközöket is biztosítunk, amelyek a szervezethez és a biztonsági igényekhez igazodnak. A Microsoft 365 biztonsági és megfelelőségi központ segítségével nyomon követheti a felhasználók és a rendszergazdák tevékenységeit, a biztonsági fenyegetéseket, az adatvesztéssel kapcsolatos incidenseket stb. A Jelentések irányítópult használható a szervezet biztonsági és megfelelési funkcióihoz kapcsolódó naprakész jelentések elkészítéséhez. A Microsoft Entra jelentések segítségével mindig értesülhet a szokatlan vagy gyanús bejelentkezési tevékenységekről.

Megjegyzés

A Azure Active Directory mostantól Microsoft Entra ID. További információk

Biztonsági irányelveink meghatározzák az adatbiztonsági szabályokat és a szolgáltatási környezet követelményeit. A Microsoft időszakosan elvégzi az információbiztonsági felügyeleti rendszerek (ISMS) felülvizsgálatát, és az eredményeket áttekinti az informatikai vezetőkkel. A folyamat részeként folyamatosan figyelemmel kísérjük az ISMS felügyeleti környezet hatékonyságát és javítását, áttekintjük a biztonsági problémákat, az ellenőrzések eredményeit, nyomon követjük a rendszer állapotát, valamint megtervezzük és nyomon követjük a szükséges javító intézkedéseket.

Ezek a felügyeleti elemek a következők:

• Fizikai és logikai hálózati határok a szigorúan betartatásáról módosításellenőrzési házirendek gondoskodnak.
• Feladatkörök szétválasztása, ahol egy üzleti igény szükséges egy környezet eléréséhez.
• Nagy mértékben korlátozott fizikai és logikai hozzáférés a felhőkörnyezethez.
• Szigorú ellenőrzések a Microsoft Biztonságfejlesztési életciklus és Műveleti biztonsági garancia gyakorlatain alapulnak, és meghatározzák a programozási eljárásokat, minőségbiztosítási tesztelést és kódpromóciót.
• Folyamatos biztonsággal, adatvédelemmel és a biztonságos programozási eljárásokkal kapcsolatos figyelemfelhívások és oktatás.
• A rendszerelérés folyamatos naplózása és ellenőrzése.
• Rendszeres megfelelési ellenőrzések az felügyelet hatékonyságának biztosítása érdekében.

A folyamatosan megjelenő és fejlődő fenyegetések leküzdésének támogatásához a Microsoft az innovatív „kiszivárgás feltételezése” startégiát alkalmazza és egy magasan képzett szakértői biztonsági szakértőket von be – a Vörös csapatot –, hogy megerősítse a fenyegetésészlelést, -reakciót és -védelmet a vállalati felhőszolgáltatásaiban. Az online szolgáltatások ellenőrzése és fejélesztése érdekében a Microsoft a Vörös csapattal és élő helyszíni teszteléssel a teszi próbára a Microsoft által felügyelt felhőinfrastruktúrát, hogy szimulálja a valós támadásokat, folyamatos biztonsági megfigyelést végezzen, és tesztelje a biztonsági incidensekre adott válaszokat.

A Microsoft Cloud biztonsági csapata rendszeres belső és külső ellenőrzéseket végez, hogy azonosítsa a sérülékenységeket, és felmérje a javításkezelési folyamat hatékonyságát. A szolgáltatásokat ismert sebezhetőségeket keresve ellenőrzik; a következő negyedéves ellenőrzéshez hozzá lesznek adva az új szolgáltatások, a felvétel dátuma alapján, majd azt követően a negyedéves ellenőrzési ütemezését követik. Ezen ellenőrzések célja, hogy biztosítsák a kiinduló konfigurációs sablonoknak való megfelelést, ellenőrizzék a szükséges javítások telepítését, valamint azonosítsák a sebezhetőségeket. Az ellenőrzési jelentéseket áttekinti a felelő személyzet, és haladéktalanul elvégzik a javításhoz szükséges lépéseket.

A peremhálózati termelési kiszolgálókon minden nem használt be- és kimeneti port le van tiltva a kiindulási biztonsági konfigurációban megadott operációsrendszer szintű konfigurációk révén. Folyamatos konfiguráció-ellenőrzési ellenőrzések futnak, hogy észlelni lehessen az eltéréseket az operációsrendszer szintű konfigurációiban. Ezen kívül a behatolásészlelési kapcsolók is dolgoznak, hogy észleljék a kiszolgáló fizikai elérését.

Eljárásokat vezettünk be a Microsoft felügyeleti rendszer által észlelt kártékony események gyors kivizsgálására és kezelésére.

A Microsoft a műveletei során a feladatkörök elválasztása és a minimális jogosultság elvét alkalmazza. A Microsoft ügyfélszolgálatának munkatársai csak az ügyfél kifejezett engedélyével férhetnek hozzá az ügy fél adataihoz, hogy az adott szolgáltatásokhoz támogatást biztosítsanak. Az engedélyt „igény szerinti” kapják meg, amely naplózva és ellenőrizve van, majd az együttműködés befejezése után visszavonásra kerül. A Microsofton belül az üzemeltetési technikusok és a ügyfélszolgálati munkatársak, akik hozzáférnek a termelési rendszerekhez, megerősített védelmű munkaállomásokat használnak hozzájuk rendelt virtuális gépekkel a vállalt belső hálózatának és alkalmazásainak (például e-mail vagy intranet) elréséhez. Minden felügyeleti munkaállomáshoz tartozik platformmegbízhatósági modul (TPM) az állomások rendszerindító meghajtói BitLocker segítségével vannak titkosítva, és az elsődleges Microsoft vállalati tartomány egy speciális szervezeti egységéhez csatlakoznak.

A rendszervédelem megerősítése a központosított szoftverfrissítéssel és csoportos házirend alkalmazásával van kényszerítve. Az eseménynaplókat (például a biztonsági és az AppLocker naplókat) a felügyeleti munkaállomásokról összegyűjtjük ellenőrzés és elemzés céljából, és ezek egy biztonságos központi helyen vannak tárolva. Ezenkívül a Microsoft-hálózatán található, kéttényezős hitelesítést igénylő ugródobozok használatosak a termelési hálózatra való csatlakozáshoz.

További lépések

Biztonsági stratégia a Dynamics 365 megvalósításokban
Microsoft Adatvédelmi központMicrosoft Power Platform biztonsági dokumentációja
Biztonsági modell a Dynamics 365 Customer Engagement (on-premises) szolgáltatásban
Adatok és a felhasználói tevékenységek auditnaplózása a biztonság és a megfelelőség érdekében