Accedere in modo sicuro ai dati dei clienti usando Customer Lockbox in Power Platform e Dynamics 365

La maggior parte delle operazioni, del supporto e della risoluzione dei problemi eseguiti dal personale Microsoft (inclusi i responsabili secondari) non richiedono l'accesso ai dati dei clienti. Usando Power Platform Customer Lockbox, i clienti possono esaminare e approvare (o rifiutare) le richieste di accesso ai dati in rari casi in cui Microsoft deve accedere ai dati dei clienti. Usarlo nei casi in cui un tecnico Microsoft deve accedere ai dati dei clienti, in risposta a un ticket di supporto avviato dal cliente o a un problema identificato da Microsoft.

Questo articolo illustra come abilitare Customer Lockbox e come le richieste di archivio protetto vengono avviate, tracciate e archiviate per revisioni e controlli successivi.

Nota

Customer Lockbox è disponibile nei cloud pubblici e nelle regioni US Government Community Cloud (GCC), GCC High e Department of Defense (DoD).

Riepilogo

Puoi abilitare Customer Lockbox per le tue origini dati all'interno del tuo tenant. L'abilitazione di Customer Lockbox impone il criterio solo per gli ambienti attivati per gli ambienti gestiti . Gli amministratori di Power Platform possono abilitare i criteri dell'archivio protetto.

Per altre informazioni, vedere Abilitare la politica lockbox.

Nella rara occasione in cui Microsoft tenti di accedere ai dati dei clienti che sono archiviati in Power Platform (ad esempio, Dataverse), viene inviata una richiesta di archivio protetto agli amministratori di Power Platform per l'approvazione. Per ulteriori informazioni, vedere Esaminare una richiesta del lockbox.

Tutti gli aggiornamenti a una richiesta di archivio protetto vengono registrati e resi disponibili all'organizzazione come log di controllo. Per altre informazioni, vedere Controllare le richieste lockbox.

Le applicazioni e i servizi Power Platform e Dynamics 365 archiviano i dati dei clienti in diverse tecnologie di archiviazione di Azure. Quando si abilita Customer Lockbox per un ambiente, i dati dei clienti associati al rispettivo ambiente sono protetti dal criterio Lockbox, indipendentemente dal tipo di archiviazione.

Nota

• Attualmente, le applicazioni e i servizi in cui i criteri lockbox vengono applicati una volta abilitati sono Power Apps (escluse le schede per Power Apps), AI Builder, Power Pages, Power Automate, Microsoft Copilot Studio, Dataverse, Customer Insights, Customer Service, Vendite (ad eccezione dell'intelligenza delle conversazioni), Comunità, Guide, Connected Spaces, Finanza (ad eccezione di Lifecycle Services), Project Operations (ad eccezione di Lifecycle Services), Supply Chain Management (ad eccezione di Lifecycle Services), e l'area delle funzionalità di marketing in tempo reale dell'app Marketing.
• Le funzionalità fornite dal servizio Azure OpenAI sono escluse dall'applicazione dei criteri Lockbox a meno che la documentazione del prodotto per una determinata funzionalità indichi che si applica Lockbox.
• Nuance L'IVR conversazionale è escluso dall'applicazione delle policy di Lockbox, a meno che la documentazione del prodotto per una determinata funzionalità non indichi espressamente che Lockbox è applicabile.
• Contenuto introduttivo per gli autori è escluso dall'applicazione dei criteri Lockbox.
• Devi disabilitare la ricerca Lucene.NET dal tuo sito web e passare alla ricerca di Dataverse per poter utilizzare Customer Lockbox. Per ulteriori informazioni, vedere La ricerca nei portali utilizzando Lucene.NET è deprecata.

Workflow

1. La tua organizzazione ha un problema con Microsoft Power Platform e apre una richiesta di supporto con al supporto tecnico Microsoft. In alternativa, Microsoft identifica un problema in modo proattivo (ad esempio, viene attivata una notifica proattiva) e viene aperto un evento avviato da Microsoft per indagare e mitigare o correggere la causa principale.

2. Un operatore Microsoft esamina la richiesta di supporto o l'evento e tenta di risolvere il problema usando strumenti e telemetria standard. Se l'operatore deve accedere ai dati dei clienti per ulteriori operazioni di risoluzione dei problemi, un tecnico Microsoft avvia un processo di approvazione interno per l'accesso ai dati dei clienti, indipendentemente dal fatto che i criteri lockbox siano abilitati.

3. Se l'archivio dati corrispondente è associato a un ambiente protetto in base all'abilitazione dei criteri lockbox, il processo genera anche una richiesta lockbox. I responsabili approvazione designati (amministratori di Power Platform) ricevono una notifica tramite posta elettronica relativa alla richiesta di accesso ai dati in sospeso da Microsoft.

   Importante

   Il tecnico Microsoft non può procedere con l'indagine fino a quando il cliente non approva la richiesta lockbox. Questo passaggio di approvazione potrebbe causare ritardi nel risolvere il ticket di supporto o interruzioni prolungate. Assicurarsi di monitorare le notifiche di posta elettronica e le richieste di blocco nell'interfaccia di amministrazione di Power Platform. Rispondere in modo tempestivo per evitare interruzioni del servizio.

   

4. L'approvatore accede all'interfaccia di amministrazione di Power Platform e approva la richiesta. Se il responsabile approvazione rifiuta la richiesta o non la approva entro quattro giorni, la richiesta scade e il tecnico Microsoft non ottiene l'accesso.

5. Dopo che l'approvatore della tua organizzazione approva la richiesta, l'ingegnere Microsoft ottiene le autorizzazioni elevate richieste e risolve la questione. I tecnici Microsoft hanno una quantità di tempo impostata, otto ore, per risolvere il problema, dopo il quale l'accesso viene revocato automaticamente.

Abilita il criterio dell'archivio protetto

Gli amministratori di Power Platform possono creare o aggiornare il criterio del lockbox nell'interfaccia di amministrazione Power Platform. L'abilitazione del criterio a livello di tenant si applica solo agli ambienti attivati per gli ambienti gestiti. Possono essere necessarie fino a 24 ore per tutte le origini dati e tutti gli ambienti per implementare Customer Lockbox.

1. Accedi all'interfaccia di amministrazione di Power Platform.
2. Nel riquadro di spostamento seleziona Gestisci.
3. Nel riquadro Gestisci, selezionare Impostazioni tenant.
4. Selezionare Customer Lockbox e quindi Abilita.

Esaminare una richiesta di archivio protetto

1. Accedi all'interfaccia di amministrazione di Power Platform.

2. Nel riquadro di spostamento, seleziona Sicurezza.

3. Nel riquadro Sicurezza selezionare Conformità.

4. Nella pagina Conformità selezionare Customer Lockbox.

5. Esamina i dettagli della richiesta.

   Campo	Description
   ID richiesta di supporto	L'ID del ticket di supporto associato alla richiesta di archivio protetto. Se la richiesta è un risultato dell'avviso interno avviato da Microsoft, il valore è "Avviato da Microsoft".
   Environment	Il nome visualizzato dell'ambiente in cui viene richiesto l'accesso ai dati.
   Stato	Lo stato della richiesta di archivio protetto. Azione necessaria: in attesa di approvazione da parte del cliente Scaduto: nessuna approvazione ricevuta dal cliente Approvato: approvato dal cliente Negato: negato dal cliente
   Richiesto	Ora in cui il tecnico Microsoft ha richiesto l'accesso ai dati dei clienti nell'ambiente del cliente.
   Scadenza richiesta	Il tempo entro il quale il cliente deve approvare la richiesta di archivio protetto. Lo stato della richiesta cambia in Scaduto se entro tale termine non viene concessa alcuna approvazione.
   Periodo di accesso	Il periodo di tempo in cui il richiedente desidera accedere ai dati del cliente. Questo valore è predefinito di 8 ore e non può essere modificato.
   Scadenza accesso	Se l'accesso è concesso, questo è il tempo fino al quale il tecnico Microsoft ha accesso ai dati dei clienti.

6. Seleziona una richiesta di archivio protetto, quindi seleziona Approva o Nega.

   

   Nota

   Le richieste di archivio protetto che si sono verificate negli ultimi 28 giorni vengono visualizzate nella tabella Recenti.

   Una volta approvata, la richiesta non può essere revocata per l'intera durata del periodo di accesso di 8 ore.

Controllo delle richieste di archivio protetto

Avviso

Lo schema documentato in questa sezione per gli eventi di controllo di Lockbox è deprecato e non sarà disponibile a partire da luglio 2024. Puoi controllare gli eventi Customer Lockbox dei clienti utilizzando il nuovo schema disponibile all'indirizzo Categoria di attività: operazioni Lockbox.

Le azioni relative all'accettazione, al rifiuto o alla scadenza di una richiesta di archivio protetto vengono registrate automaticamente inMicrosoft 365 Defender.

Le tracce di controllo includono questi e altri campi per ogni richiesta di archivio protetto:

• Identificatore univoco della richiesta
• Ora di creazione della richiesta
• ID organizzazione
• ID utente (identificatore univoco dell'operatore Microsoft che esegue la richiesta)
• Stato richiesta
• ID del ticket di supporto associato
• Richiesta ora di scadenza
• Tempo di scadenza dell'accesso ai dati
• ID ambiente
• Richiesta giustificazione

La scheda Microsoft 365 Controllo consente agli amministratori di cercare eventi associati alle sessioni di archivio protetto. Visualizza la categoria Archivio protetto di Power Platform per gli eventi di archivio protetto di Power Platform correlati.

Gli amministratori possono esportare direttamente il set di risultati in base ai criteri di filtro.

Customer Lockbox produce due tipi di log di controllo:

1. Log avviati da Microsoft e corrispondenti alla richiesta di lockbox creata, scaduta o al termine delle sessioni di accesso. Questo set di registri di controllo non corrisponde a un ID utente specifico poiché le azioni vengono avviate da Microsoft.
2. Log avviati dalle azioni dell'utente finale, ad esempio quando un utente approva o rifiuta una richiesta di lockbox. Se all'utente che esegue queste operazioni non è assegnata una licenza E5, i registri vengono filtrati e non verranno visualizzati nei registri di controllo.

Per impostazione predefinita, i log di controllo vengono conservati per una durata di un anno. È necessaria una licenza aggiuntiva per la conservazione dei log di controllo per 10 anni per conservare i record di controllo per 10 anni. Vedi Audit (Premium) per maggiori dettagli sulla conservazione dei log di controllo.

Requisiti di licenza per Customer Lockbox

La policy Customer Lockbox viene applicata solo agli ambienti attivati per gli ambienti gestiti. Ambienti gestiti è incluso come diritto in licenze autonome di Power Apps, Power Automate, Microsoft Copilot Studio, Power Pages e Dynamics 365 che conferiscono diritti di utilizzo premium. Per ulteriori informazioni sulle licenze degli ambienti gestiti, vedi Licenze e Panoramica delle licenze per Microsoft Power Platform.

Inoltre, l'accesso a Customer Lockbox per Microsoft Power Platform e Dynamics 365 richiede che gli utenti negli ambienti in cui viene applicato il criterio Lockbox dispongano di una di queste sottoscrizioni:

• Microsoft 365 o Office 365 A5/E5/G5
• Conformità a Microsoft 365 A5/E5/F5/G5
• Sicurezza e conformità di Microsoft 365 F5
• Gestione dei rischi Insider di Microsoft 365 A5/E5/F5/G5
• Protezione delle informazioni e governance di Microsoft 365 A5/E5/F5/G5 Ulteriori informazioni sulle licenze applicabili.

Esclusioni

• Le richieste di archivio protetto non vengono attivate nei seguenti scenari di supporto tecnico:

  • Scenari di emergenza che non rientrano nelle procedure operative standard, come un'interruzione grave del servizio che richiede un'attenzione immediata per ripristinare i servizi in casi imprevisti o imprevedibili. Questi eventi "break glass" sono rari e, nella maggior parte dei casi, non richiedono l'accesso ai dati dei clienti per la risoluzione.

  • Un tecnico Microsoft accede alla piattaforma sottostante come parte della risoluzione dei problemi ed è inavvertitamente esposto ai dati dei clienti. È raro che tali scenari comportino l'accesso a quantità significative di dati sui clienti.

• Anche le richieste di archivio protetto dei clienti non vengono attivate da richieste legali esterne per i dati. Per i dettagli, fare riferimento alla discussione sulle richieste di dati da parte del governo in Centro protezione Microsoft.

• Customer Lockbox non si applicherà all'accesso e alla revisione manuale dei dati dei clienti condivisi per le funzionalità di IA di Copilot. Customer Lockbox rimane abilitato per tutti i dati compresi nell'ambito.

Problemi noti

• La migrazione da tenant a tenant non è supportata quando Customer Lockbox è abilitato. È necessario disabilitare Customer Lockbox per spostare un ambiente su un altro tenant. Puoi riattivare Customer Lockbox una volta completata la migrazione.