Zabezpieczenia i zgodność usługi Visual Studio App Center

2025-05-05

Ważne

Program Visual Studio App Center został wycofany 31 marca 2025 r. z wyjątkiem funkcji analizy i diagnostyki, które będą nadal obsługiwane do 30 czerwca 2026 r. Dowiedz się więcej.

Usługa App Center poważnie traktuje zabezpieczenia. Jako usługa platformy Microsoft Azure innej firmy odpowiadamy za przestrzeganie wszystkich wewnętrznych wymagań firmy Microsoft dotyczących działania w bezpieczny i niezawodny sposób.

Chcemy dać Ci pomysł na niektóre zasady, które stosujemy, aby zapewnić bezpieczeństwo centrum aplikacji. Chociaż nie jest to wyczerpująca lista pojęć dotyczących zabezpieczeń, jest ona kształtowana przez wiele żądań od klientów w celu uzyskania podobnych informacji.

Ważne

Ta dokumentacja ma na celu udostępnienie informacji o naszym stanowisku w zakresie zabezpieczeń. Nic w tej dokumentacji nie oznacza ani nie powinno oznaczać, że usługa App Center nigdy nie będzie miała problemu z zabezpieczeniami. Nic w tej dokumentacji nie zastępuje żadnych informacji w warunkach usługi online firmy Microsoft. Jeśli masz świadomość potencjalnego problemu z zabezpieczeniami w usłudze App Center, skontaktuj się natychmiast z Centrum zabezpieczeń firmy Microsoft .

Miejsce przechowywania i suwerenność danych

Usługa App Center działa prawie całkowicie w Stanach Zjednoczonych. Wszystkie dane i przetwarzanie aplikacji, użytkowników, organizacji, kompilacji, dystrybucji, analizy i diagnostyki odbywa się w Stanach Zjednoczonych. Nie ma dostępnej opcji hostowania tych danych klienta w innym kraju/regionie.

Sieci dostarczania zawartości (CDN) służą do udostępniania niektórych wersji zawartości i aplikacji z Centrum aplikacji. Punkty obecności cdN znajdują się na całym świecie, ale wszystkie dane źródłowe znajdują się w Stanach Zjednoczonych.

Uwaga / Notatka

Ze względu na zasady i przepisy dotyczące określonego kraju nie możemy zagwarantować, że centrum aplikacji działa we wszystkich krajach/regionach. W przypadku niektórych użytkowników w regionie Chin dane zestawu SDK analizy i diagnostyki mogą mieć duże opóźnienie lub nie mogą być dostępne na naszych serwerach z siedzibą w Stanach Zjednoczonych.

Bezpieczeństwo danych

Szyfrowanie podczas przesyłania

Cały ruch sieciowy w usłudze App Center, niezależnie od tego, czy przez Internet, czy w centrum danych platformy Azure, jest zabezpieczony przy użyciu protokołu HTTPS przy użyciu protokołu TLS 1.2 lub nowszego.

Szyfrowanie w spoczynku

Wszystkie dane przechowywane przez centrum aplikacji są szyfrowane w spoczynku. Używamy funkcji szyfrowania udostępnianych przez produkty magazynu danych platformy Microsoft Azure, których używamy do tworzenia centrum aplikacji. Należą do nich usługi Azure Storage, Azure SQL i Azure Cosmos DB.

Klucze szyfrowania

Używamy kluczy dostarczanych przez system do szyfrowania danych w stanie spoczynku. Usługa App Center nie obsługuje kluczy zarządzanych przez klienta na potrzeby szyfrowania.

Wielodzierżawność

App Center to system wielodzierżawczy. Wszystkie dane klientów są przechowywane w jednym zestawie magazynów danych. Nie ma możliwości przechowywania danych klienta w osobnym lub izolowanym zestawie magazynów danych.

Zabezpieczenia kodu

Baza kodu usługi App Center jest skanowana przez wewnętrzne narzędzia firmy Microsoft pod kątem problemów, takich jak nieaktualne zależności i znane luki w zabezpieczeniach. Wszelkie znalezione problemy są wyświetlane na pulpicie nawigacyjnym zabezpieczeń i rozwiązane przez zespół inżynierów.

Aby upewnić się, że działania w usłudze są uzasadnione, a także wykrywać naruszenia lub podejmować próby naruszenia, używamy infrastruktury platformy Azure do rejestrowania i monitorowania kluczowych aspektów usługi. Ponadto wszystkie działania związane z wdrażaniem i administratorem są bezpiecznie rejestrowane, podobnie jak dostęp operatora do magazynu produkcyjnego.

W przypadku zidentyfikowania możliwej luki w zabezpieczeniach lub luki w zabezpieczeniach o wysokim priorytecie mamy jasny plan reagowania na zdarzenia zabezpieczeń. Ten plan przedstawia strony odpowiedzialne, kroki wymagane do zabezpieczenia danych klientów oraz sposób kontaktowania się z ekspertami ds. zabezpieczeń w Centrum zabezpieczeń firmy Microsoft (MSRC), Microsoft Azure i członkami zespołu kierowniczego centrum aplikacji. Powiadamiamy również wszystkich właścicieli organizacji, jeśli wierzymy, że ich dane są ujawniane lub uszkodzone.

Ogólnie rzecz biorąc, usługa App Center jest zgodna z cyklem projektowania zabezpieczeń firmy Microsoft.

Dostęp do systemów produkcyjnych

Od czasu do czasu pracownicy firmy Microsoft potrzebują dostępu do danych klientów przechowywanych w Centrum aplikacji. Wszyscy pracownicy, którzy mają dostęp do danych klientów, muszą przejść sprawdzenie przeszłości, które weryfikuje poprzednie zatrudnienie i wyroki skazujące. Ponadto zezwalamy na dostęp do systemów produkcyjnych tylko wtedy, gdy występuje zdarzenie na żywo lub inne zatwierdzone działania konserwacyjne. Wszyscy pracownicy wymagający dostępu do produkcyjnych systemów App Center muszą korzystać z Bezpiecznej Stacji Dostępu, używając podnoszenia uprawnień just-in-time (JIT). Wszystkie żądania podniesienia uprawnień JIT muszą zostać zatwierdzone przez innego członka zespołu i są rejestrowane i poddawane inspekcji.

Dane w centrum aplikacji są klasyfikowane w celu odróżnienia danych klientów (przekazywanych do centrum aplikacji), danych organizacji (informacji używanych podczas rejestrowania się w organizacji lub administrowania nią) oraz danych firmy Microsoft (informacje wymagane do lub zbierane za pośrednictwem działania usługi). Na podstawie klasyfikacji kontrolujemy scenariusze użycia, ograniczenia dostępu i wymagania dotyczące przechowywania.

Wszystkie logowania używają uwierzytelniania wieloskładnikowego usługi Azure Active Directory (MFA/2FA).

Ciągłość działania i odzyskiwanie po awarii (BCDR)

Usługa App Center jest zgodna z wewnętrznymi wymaganiami firmy Microsoft i platformy Azure dotyczącymi obsługi odpornego systemu. Uczestniczymy w tablicach planowania, regularnie przeglądamy nasze plany ciągłości działania i odzyskiwania po awarii przy użyciu odpowiednich wewnętrznych zespołów firmy Microsoft i w razie potrzeby aktualizujemy te plany.

Regularnie testujemy nasze plany odzyskiwania po awarii.

Inspekcja zewnętrzna i testowanie

Usługa App Center nie przeprowadza inspekcji zewnętrznych (takich jak SOC 2 lub ISO 27001) ani zewnętrznych testów penetracyjnych, ponieważ niewielu naszych klientów tego wymaga.

Z tego powodu podlegamy wielu wewnętrznym systemom zgodności firmy Microsoft, azure i działom chmury i sztucznej inteligencji. Te wymagania nakładają się znacząco na to, co znajdziesz w zewnętrznych programach inspekcji. Zachowanie zgodności z wewnętrznymi wymaganiami firmy Microsoft dotyczącymi platformy Azure oznacza, że nasze stanowisko dotyczące zabezpieczeń i ciągłości działania jest niemal identyczne z systemami, które zakończyły inspekcje zewnętrzne.

Centrum aplikacji w pełni obsługuje RODO. Mamy obszerną dokumentację , aby wyjaśnić, jak dane są obsługiwane i jak można przesyłać żądania podmiotów danych.

Raportowanie zabezpieczeń

Usługa App Center współpracuje z usługą Microsoft Security Response Center (MSRC), aby rozwiązać wszystkie problemy związane z zabezpieczeniami zgłaszane zewnętrznie. Jeśli masz świadomość potencjalnego problemu z zabezpieczeniami w usłudze App Center, skontaktuj się natychmiast z msRC.