GDPR의 Office 365 위반 알림
데이터 프로세서로서 Office 365 고객이 데이터 컨트롤러로서 GDPR의 위반 알림 요구 사항을 충족할 수 있도록 보장합니다. 이를 위해 다음 작업을 위해 최선을 다하고 있습니다.
- 고객에게 위반 시 알림을 받을 전용 개인 정보 보호 연락처를 지정할 수 있는 기능을 제공합니다. 고객은 메시지 센터의 개인 정보 판독기 역할 설정을 사용하여 이 연락처를 지정할 수 있습니다.
- 위반이 선언된 후 72시간 이내에 고객에게 개인 데이터 위반을 알립니다. 알림은 Microsoft 365 관리 센터를 통해 액세스할 수 있는 메시지 센터에 게시됩니다. 둘째, 전자 메일 알림은 새 메시지 센터 게시물이 게시되었음을 나타내는 지정된 연락처로 전송됩니다.
- 초기 알림에는 최소한 위반의 특성, 사용자 영향 근사치 및 완화 단계(해당하는 경우)에 대한 설명이 포함됩니다. 초기 알림 시 조사가 완료되지 않은 경우 초기 알림에서 후속 통신을 위한 다음 단계 및 타임라인을 표시합니다.
Microsoft는 데이터 컨트롤러가 위험 평가를 수행하고 위반 시 고객의 DPA에 대한 알림이 필요한지 여부를 결정할 책임이 있음을 인식하고 고객에게 알림은 해당 평가를 수행하는 데 필요한 정보를 제공합니다. 따라서 Microsoft는 개인 데이터가 이해할 수 없는 것으로 확인된 경우(예: 키의 무결성이 확인된 암호화된 데이터)를 제외하고 개인 데이터 위반에 대해 고객에게 알립니다.
데이터 보안에 대한 Office 365 투자
위반 사례를 시기 적절하게 알리려는 노력 외에도, Office 365는 개인 데이터가 위반될 가능성을 줄이고 위반이 발생할 경우 빠르게 감지하고 영향을 완화하기 위해 시스템, 프로세스 및 직원에 대해 과감히 투자하고 있습니다.
이 공간에 대한 몇 가지 투자에 대한 설명은 다음과 같습니다.
Access Control 시스템. Office 365 "제로 스탠딩 액세스" 정책을 유지 관리합니다. 즉, 액세스 권한 상승이 필요한 특정 인시던트에 대한 응답으로 명시적으로 부여되지 않는 한 엔지니어는 서비스에 액세스할 수 없습니다. 액세스 권한이 부여될 때마다 최소 권한 원칙에 따라 수행됩니다. 특정 요청에 대해 부여된 권한은 해당 요청을 서비스하는 데 필요한 최소한의 작업 집합만 허용합니다. 이를 위해 Office 365 "권한 상승 역할"을 엄격하게 분리하며 각 역할은 미리 정의된 특정 작업만 수행할 수 있도록 허용합니다. "고객 데이터에 대한 액세스" 역할은 서비스를 관리하는 데 더 일반적으로 사용되며 승인 전에 가장 많이 조사되는 다른 역할과 다릅니다. 액세스 제어에 대한 이러한 투자를 종합하면 Office 365 엔지니어가 고객 데이터에 부적절하게 액세스할 가능성이 크게 줄어듭니다.
보안 모니터링 시스템 및 자동화: Office 365 강력한 실시간 보안 모니터링 시스템을 유지 관리합니다. 다른 문제 중에서도 이러한 시스템은 고객 데이터에 불법적으로 액세스하려는 시도 또는 서비스에서 데이터를 불법적으로 전송하려는 시도에 대한 경고를 발생합니다. 앞에서 언급한 액세스 제어와 관련하여 보안 모니터링 시스템은 수행된 권한 상승 요청 및 지정된 권한 상승 요청에 대해 수행된 작업에 대한 자세한 레코드를 유지 관리합니다. 또한 Office 365 감지한 문제에 대응하여 위협을 완화하기 위해 자동으로 작동하는 자동 해결 투자와 자동으로 해결할 수 없는 경고에 대응하기 위한 전담 팀을 유지 관리합니다. 보안 모니터링 시스템의 유효성을 검사하기 위해 Office 365 내부 침투 테스트 팀이 라이브 환경에 대한 공격자 동작을 시뮬레이션하는 레드 팀 연습을 정기적으로 수행합니다. 이러한 연습은 보안 모니터링 및 대응 기능을 정기적으로 개선합니다.
담당자 및 프로세스: 이전에 설명한 자동화 외에도 Office 365 개인 정보 보호 및 인시던트 관리 프로세스에 대해 광범위한 조직을 교육하고 위반 시 해당 프로세스를 실행하는 프로세스와 팀을 유지 관리합니다. 예를 들어 자세한 개인 정보 침해 SOP(표준 운영 절차)는 유지 관리되고 조직 전체의 팀과 공유됩니다. 이 SOP는 Office 365 내의 개별 팀과 중앙 집중식 보안 인시던트 대응 팀 모두의 역할과 책임을 자세히 설명합니다. 이러한 책임은 팀이 자체 보안 태세를 개선하기 위해 수행해야 하는 작업(보안 검토 수행, 중앙 보안 모니터링 시스템과 통합 및 기타 모범 사례) 및 실제 위반(인시던트 대응에 대한 신속한 에스컬레이션, 대응 프로세스를 신속하게 처리하는 데 사용할 특정 데이터 원본 유지 관리 및 제공)을 수행하는 경우 팀이 수행해야 하는 작업 모두에 걸쳐 있습니다. 또한 팀은 정기적으로 데이터 분류와 개인 데이터에 대한 올바른 처리 및 스토리지 절차를 학습합니다.
주요 요점은 Office 365 고객에게 영향을 미치는 개인 데이터 위반의 가능성과 결과를 줄이는 데 강력하게 투자한다는 것입니다. 개인 데이터 위반이 발생하는 경우 해당 위반이 확인되면 고객에게 신속하게 알리기 위해 최선을 다하고 있습니다.
위반 발생 시 예상되는 작업
위의 섹션에서는 데이터 유출 가능성을 줄이기 위해 Office 365 투자에 대해 설명합니다. 위반이 발생할 가능성이 거의 없는 경우 고객은 다음 응답 측면에서 예측 가능한 환경을 기대해야 합니다.
Office 365 내의 일관된 인시던트 대응 수명 주기입니다. 위에서 설명한 대로 Office 365 팀이 위반에 대비해야 하는 방법과 위반이 발생할 경우 운영 방법을 설명하는 자세한 인시던트 대응 SOP를 유지 관리합니다. 이렇게 하면 서비스 전체에 보호 및 프로세스가 적용됩니다.
고객에게 알리기 위한 일관된 조건입니다. 알림 기준은 고객 데이터의 기밀성, 무결성 및 가용성에 중점을 줍니다. Office 365 고객 데이터의 기밀성 또는 무결성에 영향을 미치는 경우 고객에게 직접 알립니다. 즉, 적절한 권한 부여 없이 데이터에 액세스하거나 부적절한 삭제 또는 데이터 손실이 있는 경우 고객에게 알립니다. 이 작업은 일반적으로 SHD(서비스 상태 대시보드)를 통해 수행되지만 Office 365 데이터 가용성에 영향을 미치는 문제도 보고합니다.
일관된 알림 세부 정보입니다. Office 365 데이터 위반과 관련하여 통신하는 경우 고객은 특정 세부 정보가 전달될 것으로 예상할 수 있습니다. 최소한 다음 세부 정보를 제공합니다.
- 위반 시점 및 위반 인지 시점
- 영향을 받은 사용자의 대략적인 수
- 위반된 사용자 데이터 형식
- 통제자 또는 처리자가 위반을 완화시키기 위해 수행해야 하는 작업
또한 고객은 데이터 프로세서인 Office 365 데이터 위반의 위험을 결정하지 않는다는 점에 유의해야 합니다. 개인 데이터 위반이 감지될 때마다 고객에게 알리고 영향을 받은 사용자의 위험을 정확하게 확인하고 규제 당국에 대한 추가 보고가 필요한지 여부를 결정하는 데 필요한 세부 정보를 제공합니다. 이를 위해 데이터 컨트롤러는 인시던트에 대해 다음을 결정해야 합니다.
- 위반 심각도(즉, 위험 결정)
- 최종 사용자에게 알릴지 여부
- 규제 기관(DPA)에 알릴지 여부
- 통제자가 위반에 따른 결과를 완화하기 위해 수행할 구체적인 단계
Microsoft에 연락하기
일부 시나리오에서는 고객이 위반 사실을 인식하고 Microsoft에 알리려고 할 수 있습니다. 현재 프로토콜은 고객이 Microsoft 지원 알리는 것입니다. 그러면 엔지니어링 팀과 상호 작용하여 자세한 내용을 알릴 수 있습니다. 이 시나리오에서 Microsoft 엔지니어링 팀은 고객 지원 담당자를 통해 적시에 고객에게 필요한 정보를 제공하기 위해 최선을 다하고 있습니다.
고객을 위한 조치 사항
앞서 언급했듯이 Microsoft 365는 위반 선언 후 72시간 이내에 고객에게 알리기 위해 최선을 다하고 있습니다. 고객의 테넌트 관리자에게 알림이 표시됩니다. 또한 Microsoft 365는 고객이 Microsoft 365 관리 센터 수행할 수 있는 메시지 센터 개인 정보 읽기 권한자로 하나 이상의 개인을 지정하는 것이 좋습니다. 개인 데이터 위반이 발생하는 경우 메시지 센터 개인 정보 읽기 권한자 역할이 할당된 리소스는 메시지 센터에 액세스하여 관련 개인 정보 알림을 볼 수 있으며 메시지 센터 기본 설정에 따라 관련 전자 메일을 받을 수 있습니다.
자세한 내용은 다음 항목을 참조하세요.