Azure faciliteiten, gebouwen en fysieke beveiliging

In dit artikel wordt beschreven wat Microsoft doet om de Azure-infrastructuur te beveiligen.

Datacenterinfrastructuur

Azure bestaat uit een globally gedistribueerde datacenterinfrastructuur, die duizenden onlineservices ondersteunt en wereldwijd meer dan 400 zeer veilige faciliteiten beslaat.

De infrastructuur is ontworpen om applicaties dichter bij gebruikers over de hele wereld te brengen, de gegevensresidentie te behouden en uitgebreide compliance- en veerkrachtopties voor klanten te bieden. Azure heeft meer dan 70 regio's wereldwijd en is beschikbaar in 140 landen/regio's.

Een regio is een verzameling datacenters die met elkaar verbonden zijn via een enorm en veerkrachtig netwerk. Het netwerk bevat standaard inhoudsdistributie, taakverdeling, redundantie en data-link-laagversleuteling voor alle Azure verkeer binnen een regio of tussen regio's. Met meer wereldwijde regio's dan elke andere cloudprovider biedt Azure u de flexibiliteit om toepassingen te implementeren waar u ze nodig hebt.

Azure regio's zijn ingedeeld in geografische gebieden. Binnen geografische grenzen zorgt een Azure geografie ervoor dat gegevenslocatie, soevereiniteit, naleving en veerkrachtvereisten worden nageleefd.

Klanten met specifieke behoeften ten aanzien van gegevenslocatie en naleving, kunnen met geografische gebieden hun gegevens en toepassingen in de buurt houden. Geografieën zijn fouttolerant om volledige regio-uitval te weerstaan omdat ze verbonden zijn met de toegewijde, hoogcapaciteit netwerkinfrastructuur.

Beschikbaarheidszones zijn fysiek gescheiden locaties binnen een Azure regio. Elke beschikbaarheidszone bestaat uit een of meer datacenters die zijn uitgerust met onafhankelijke voeding, koeling en netwerken. Met beschikbaarheidszones kunt u bedrijfskritieke toepassingen uitvoeren met hoge beschikbaarheid en replicatie met lage latentie.

In de volgende afbeelding ziet u hoe de wereldwijde Azure-infrastructuur regio's en beschikbaarheidszones koppelt binnen dezelfde gegevensresidentiegrens voor hoge beschikbaarheid, disaster recovery en back-up.

Diagram met gegevenslocatiegrens

Geografisch verspreide datacenters stellen Microsoft in staat dicht bij klanten te zijn, verminderen netwerklatentie en maken geo-redundante back-ups en failover mogelijk.

Fysieke beveiliging

Microsoft ontwerpt, bouwt en beheert datacenters op een manier die de fysieke toegang strikt beheert tot de gebieden waar uw gegevens worden opgeslagen. Microsoft begrijpt het belang van het beschermen van uw gegevens en zet zich in om de datacenters die uw gegevens bevatten te helpen beveiligen. Microsoft heeft een volledige afdeling die zich richt op het ontwerpen, bouwen en exploiteren van de fysieke faciliteiten die Azure ondersteunen. Dit team investeert in het onderhouden van state-of-the-art fysieke beveiliging.

Microsoft hanteert een gelaagde benadering van fysieke beveiliging om het risico te verminderen dat ongeautoriseerde gebruikers fysieke toegang krijgen tot data en datacenterbronnen. Datacenters die worden beheerd door Microsoft hebben uitgebreide beveiligingslagen: toegangsgoedkeuring op de perimeter van de faciliteit, op de perimeter van het gebouw, in het gebouw en op de datacentrumvloer. Fysieke beveiligingslagen zijn:

  • Toegangsaanvraag en goedkeuring. U moet toegang aanvragen voordat u bij het datacenter aankomt. U moet een geldige zakelijke rechtvaardiging voor uw bezoek aanleveren, zoals naleving of auditdoeleinden. Microsoft-medewerkers keuren verzoeken alleen goed wanneer toegang noodzakelijk is. Een toegang-op-noodbasis helpt het aantal personen dat nodig is om een taak in de datacenters te voltooien, tot een minimum te beperken. Nadat Microsoft toestemming heeft verleend, heeft een individu alleen toegang tot het vereiste discrete deel van het datacenter, gebaseerd op de goedgekeurde zakelijke rechtvaardiging. Machtigingen zijn beperkt tot een bepaalde periode en verlopen.

  • Bezoekerstoegang. De SOC met toegangscontrole slaat tijdelijke toegangsbadges op en inventariseert deze aan het begin en einde van elke dienst. Alle bezoekers met goedgekeurde toegang tot het datacenter worden op hun badge als Alleen Escort aangewezen en moeten altijd bij hun escorte blijven. Begeleide bezoekers hebben geen toegangsniveaus toegewezen gekregen en kunnen zich alleen verplaatsen met gebruik van de toegangsrechten van hun begeleider. De escort is verantwoordelijk voor het beoordelen van de acties en toegang van hun bezoeker tijdens hun bezoek aan het datacenter. Microsoft vereist dat bezoekers badges overgeven bij vertrek vanuit een Microsoft-faciliteit. Microsoft verwijdert alle toegangsniveaus voor bezoekersbadges voordat de badges worden hergebruikt voor toekomstige bezoeken.

  • De perimeter van de faciliteit. Wanneer je bij een datacenter aankomt, moet je door een goed gedefinieerd toegangspunt gaan. Meestal omvatten hoge hekken van staal en beton elke inch van de omtrek. Camera's rond de datacenters registreren activiteit en een beveiligingsteam houdt hun video's te allen tijde in de gaten. Bewakingspatrouilles zorgen ervoor dat de toegang en uitgang beperkt zijn tot aangewezen gebieden. Bollards en andere maatregelen beschermen de buitenkant van het datacenter tegen mogelijke bedreigingen, waaronder onbevoegde toegang.

  • Ingang van gebouw. De ingang van het datacentrum is voorzien van professionele beveiligingsmedewerkers die strenge training en achtergrondcontroles hebben ondergaan. Deze beveiligingsfunctionarissen patrouilleert ook regelmatig het datacenter en bewaakt de video's van camera's in het datacenter.

  • In het gebouw. Nadat u het gebouw bent binnengegaan, moet u twee-factor-authenticatie met biometrie doorlopen om verder te kunnen in het datacenter. Als je identiteit is gevalideerd, kun je alleen het deel van het datacenter invoeren waarvoor je bent goedgekeurd. U kunt er alleen blijven voor de duur van de goedgekeurde tijd.

  • Datacentervloer. Je mag alleen de verdieping betreden waar je toestemming hebt om te betreden. Je moet een volledige metaaldetectietest voor het lichaam doorstaan. Om het risico te verminderen dat ongeautoriseerde gegevens het datacenter binnenkomen of verlaten zonder medeweten van Microsoft, mogen alleen goedgekeurde apparaten de datacentervloer betreden. Videocamera's monitoren ook de voor- en achterkant van elk serverrack. Wanneer je de datacentervloer verlaat, moet je opnieuw door een volledige metaaldetectiescreening van het lichaam gaan. Om het datacenter te verlaten, moet je opnieuw een beveiligingsscan doorlopen.

Fysieke beveiligingsbeoordelingen

Microsoft voert periodiek fysieke beveiligingscontroles uit van de faciliteiten om ervoor te zorgen dat de datacenters correct voldoen aan de beveiligingsvereisten van Azure. Het personeel van de datacenterhostingprovider verzorgt geen Azure-servicebeheer. Personeel kan zich niet aanmelden bij Azure-systemen en heeft geen fysieke toegang tot de Azure-ruimte en kooien.

Verwijdering van apparatuur

Wanneer een systeem het einde van zijn levensduur bereikt, volgen Microsoft-medewerkers strenge procedures voor gegevensverwerking en hardwareverwijdering om ervoor te zorgen dat onbetrouwbare partijen geen toegang hebben tot hardware die jouw gegevens bevat. Microsoft gebruikt beproefde methoden en een oplossing voor gegevenswissing die voldoet aan NIST 800-88. Microsoft gebruikt een veilige verwijderingsmethode voor harde schijven die dit ondersteunen. Als Microsoft een harde schijf niet kan wissen, gebruikt Microsoft een vernietigingsproces dat de schijf vernietigt en het herstellen van informatie onmogelijk maakt. Dit vernietigingsproces kan de schijf desintegreren, verscheuren, vermalen of verbranden. Microsoft bepaalt de wijze van verwijdering op basis van het type activa en houdt registraties bij van de vernietiging. Alle Azure-services maken gebruik van goedgekeurde mediaopslag- en verwijderingsbeheerservices.

Naleving

Microsoft ontwerpt en beheert de Azure-infrastructuur om te voldoen aan een breed scala aan internationale en branchespecifieke nalevingsnormen, zoals ISO 27001, HIPAA, FedRAMP, SOC 1 en SOC 2. Microsoft voldoet ook aan land- en regiospecifieke normen, waaronder Australië IRAP, UK G-Cloud en Singapore MTCS. Strenge controles van derden, zoals die door het British Standards Institute worden uitgevoerd, verifiëren de naleving van de strenge beveiligingscontroles die deze normen verplicht stellen.

Zie de Compliance-aanbiedingen voor een volledige lijst met nalevingsstandaarden waaraan Azure voldoet.

Volgende stappen

Zie voor meer informatie over wat Microsoft doet om de Azure infrastructuur te beveiligen:

  • Last updated on