Condividi tramite

Sicurezza di Dynamics 365

  • Articolo

Microsoft Dynamics 365 e Microsoft Power Platform sono servizi SaaS (software come un servizio) basati su sottoscrizione e ospitati nei data center di Microsoft Azure. Questi servizi online sono progettati per fornire prestazioni, scalabilità, sicurezza, funzionalità di gestione e i livelli di servizio richiesti per le applicazioni e i sistemi mission-critical utilizzati dalle organizzazioni aziendali.

In Microsoft la fiducia è fondamentale per l'erogazione dei servizi, gli impegni contrattuali e l'accreditamento del settore. Per tale motivo abbiamo adottato la Trusted Cloud Initiative. Si tratta di un programma del gruppo di settore Cloud Security Alliance (CSA) creato per aiutare i provider di servizi cloud a sviluppare identità sicure, interoperabili e raccomandate dal settore, nonché configurazioni e procedure di gestione dell'accesso e della conformità. Questo insieme di requisiti, linee guida e processi controllati assicura che forniamo i nostri servizi cloud in base agli standard più elevati in materia di supporto tecnico, legale e di conformità. Il nostro obiettivo è mantenere l'integrità dei dati nel cloud, nel rispetto dei tre principi chiave seguenti:

Principi di sicurezza di Dynamics 365.

In Microsoft, l'approccio alla protezione delle informazioni dei clienti prevede un framework di controllo della sicurezza costituito da tecnologie, procedure operative e criteri che soddisfano i più recenti standard globali e possono adattarsi rapidamente alle tendenze di sicurezza e alle esigenze specifiche dei vari settori. Inoltre, forniamo una serie di strumenti gestiti dal cliente che si adattano all'organizzazione e alle sue necessità in fatto di sicurezza. Usa il Centro sicurezza e conformità di Microsoft 365 per monitorare le attività di utenti e amministratori, le minacce malware, gli incidenti di perdita di dati e altro ancora. Il dashboard Report viene utilizzato per fornire report aggiornati relativi alle funzionalità di sicurezza e conformità dell'organizzazione. Puoi utilizzare i report di Microsoft Entra per ottenere informazioni aggiornate su attività di accesso insolite o sospette.

Nota

Azure Active Directory è ora Microsoft Entra ID. Altre informazioni

I nostri criteri di sicurezza definiscono le regole di sicurezza delle informazioni e i requisiti per l'ambiente di servizio. Microsoft esegue revisioni periodiche del sistema di gestione della sicurezza delle informazioni (ISMS) e i risultati vengono esaminati con i responsabili IT. Questo processo prevede il monitoraggio dell'efficacia e del miglioramento continui dell'ambiente di controllo ISMS attraverso l'analisi dei problemi di sicurezza, il controllo dei risultati e il monitoraggio dello stato, oltre alla pianificazione e alla traccia delle azioni correttive necessarie.

I controlli includono:

  • Confini di rete fisici e logici con criteri di controllo delle modifiche applicati in modo rigoroso.
  • Separazione dei compiti che richiedono l'accesso a un ambiente per esigenze aziendali.
  • Accesso fisico e logico altamente limitato all'ambiente cloud.
  • Rigidi controlli basati sulle procedure Microsoft Security Development Lifecycle e Operational Security Assurance che definiscono prassi di codifica, test di qualità e promozione del codice.
  • Sensibilizzazione e formazione continue sulle procedure di sicurezza, privacy e codifica sicura.
  • Registrazione e controllo continui dell'accesso al sistema.
  • Regolari verifiche di conformità per garantire l'efficacia del controllo.

Per favorire la lotta alle minacce emergenti e in continua evoluzione, Microsoft usa un'innovativa strategia di "presunzione di avvenuta violazione" e gruppi altamente specializzati di esperti di sicurezza, noti come Red Team, per rafforzare il rilevamento, la risposta e la difesa dalle minacce per i suoi servizi cloud aziendali. Microsoft utilizza il Red Team e i test su siti live con l'infrastruttura cloud gestita da Microsoft per simulare violazioni reali, condurre attività di monitoraggio continuo della sicurezza ed esercitarsi nella risposta agli incidenti di sicurezza per convalidare e migliorare la sicurezza dei servizi online.

Il team di sicurezza di Microsoft Cloud esegue frequenti analisi interne ed esterne per identificare le vulnerabilità e valutare l'efficacia del processo di gestione delle patch. I servizi vengono analizzati alla ricerca di vulnerabilità note; nuovi servizi vengono aggiunti alla successiva analisi trimestrale programmata, in base alla data di inclusione, e da quel momento in poi seguono un programma di analisi trimestrale. Queste analisi vengono utilizzate per garantire la conformità ai modelli di configurazione di base, convalidare l'installazione delle patch pertinenti e identificare le vulnerabilità. I report sulle analisi vengono esaminati dal personale appropriato e vengono prontamente effettuate attività di correzione.

Tutte le porte I/O inutilizzate sui server di produzione perimetrali vengono disabilitate da configurazioni a livello di sistema operativo definite nella configurazione di sicurezza di base. Sono abilitati controlli continui di verifica delle configurazioni per rilevare le deviazioni nelle configurazioni a livello di sistema operativo. Inoltre, sono abilitati interruttori di rilevamento delle intrusioni che segnalano quando viene eseguito l'accesso fisico a un server.

Abbiamo stabilito procedure di indagine e risposta tempestiva agli eventi dannosi rilevati dal sistema di monitoraggio Microsoft.

Microsoft applica i principi della separazione dei compiti e del privilegio minimo in tutte le sue operazioni. Per fornire assistenza per determinati servizi, il personale del supporto Microsoft può accedere ai dati di un cliente solo con l'esplicita autorizzazione del cliente stesso. L'autorizzazione viene concessa in modalità "just-in-time", registrata e controllata, quindi revocata al termine dell'incarico. All'interno di Microsoft, i tecnici operativi e il personale del supporto che accedono ai sistemi di produzione utilizzano PC workstation con protezione avanzata, su cui viene eseguito il provisioning di macchine virtuali da cui accedere alla rete aziendale interna e usare applicazioni (come e-mail e intranet). Tutte le workstation di gestione sono dotate di Trusted Platform Module (TPM), le unità di avvio dell'host sono crittografate con BitLocker e sono aggiunte a un'unità organizzativa speciale nel dominio aziendale Microsoft principale.

La protezione avanzata del sistema viene applicata tramite l'uso di criteri di gruppo, con aggiornamento centralizzato del software. Per il controllo e l'analisi, i registri eventi (come quelli di sicurezza e AppLocker) vengono raccolti dalle workstation di gestione e salvati in una posizione centrale sicura. Inoltre, per la connessione a una rete di produzione vengono utilizzate jump box dedicate sulla rete Microsoft che richiedono l'autenticazione a due fattori.