Share via

Segurança do Dynamics 365

  • Artigo

O Microsoft Dynamics 365 e o Microsoft Power Platform são serviços SaaS (software como serviço) por assinatura hospedados nos datacenters do Microsoft Azure. Esses serviços online foram criados para oferecer desempenho, escalabilidade, segurança, recursos de gerenciamento e os níveis de serviço necessários para aplicativos e sistemas críticos usados por organizações de negócios.

Na Microsoft, a confiança é um ponto focal da prestação de serviços, dos compromissos contratuais e da credenciação no setor, e é por isso que adotamos a Iniciativa de Nuvem Confiável. A Iniciativa de Nuvem Confiável é um programa do grupo do setor CSA (Cloud Security Alliance) criado para ajudar os provedores de serviços de nuvem a desenvolver identidades recomendadas pelo setor, seguras e interoperáveis, bem como configurações e práticas de gerenciamento do acesso e da conformidade. Esse conjunto de requisitos, diretrizes e processos controlados garante que nós forneceremos nossos serviços de nuvem com os mais altos padrões de suporte jurídico, de engenharia e de conformidade. Nosso foco é manter a integridade dos dados na nuvem, regida por estes três princípios fundamentais:

Princípios de segurança do Dynamics 365.

Na Microsoft, nossa abordagem para proteger as informações de nossos clientes envolve uma estrutura de controle de segurança de tecnologias, procedimentos operacionais e políticas que atendem aos mais recentes padrões globais e pode se adaptar rapidamente a tendências de segurança e necessidades específicas do setor. Além disso, fornecemos um conjunto de ferramentas gerenciadas pelo cliente que se adaptam à organização e às necessidades de segurança dela. Use o Centro de Segurança e Conformidade do Microsoft 365 para rastrear atividades de usuário e administrador, ameaças de malware, incidentes de perda de dados, entre outros. O painel Relatórios é usado para relatórios atualizados relacionados aos recursos de segurança e conformidade de sua organização. Você pode usar os relatórios do Microsoft Entra para se manter informado sobre atividades de entrada anormais ou suspeitas.

Observação

O Azure Active Directory agora é o Microsoft Entra ID. Saiba mais

Nossa política de segurança define as regras e os requisitos de segurança das informações para o ambiente de serviço. A Microsoft executa revisões periódicas de ISMS (sistema de gerenciamento de segurança das informações), e os resultados são analisados com os gerentes de TI. Esse processo envolve o monitoramento contínuo da eficiência e da melhoria do ambiente de controle do ISMS mediante análise dos aspectos de segurança, auditoria dos resultados e monitoramento do status, além do planejamento e do acompanhamento das ações corretivas necessárias.

Esses controles incluem:

  • Limites de rede física e lógica com políticas de controle de alterações aplicadas rigorosamente.
  • Diferenciação de direitos que exigem uma necessidade comercial para acesso a um ambiente.
  • Acesso físico e lógico altamente restrito ao ambiente de nuvem.
  • Controles rigorosos com base nas práticas do Microsoft Security Development Lifecycle e de Garantia de Segurança Operacional que definem práticas de codificação, testes de qualidade e promoção por código.
  • Práticas, conscientização e treinamento contínuos em segurança, privacidade e práticas de codificação segura.
  • Registro em log e auditoria contínuos de acesso ao sistema.
  • Auditorias periódicas de conformidade para garantir a eficácia do controle.

Para ajudar a combater ameaças emergentes e em evolução, a Microsoft emprega uma inovadora estratégia conhecida como "Assume Breach" e usa grupos altamente capacitados de especialistas em segurança, conhecidos como Equipe Vermelha, para fortalecer a detecção de ameaças, a resposta e a defesa dos serviços de nuvem corporativos. A Microsoft usa a Equipe Vermelha e testes de site ativo em uma infraestrutura de nuvem gerenciada pela Microsoft para simular violações reais, realizar o monitoramento contínuo da segurança e praticar a resposta a incidentes de segurança para validar e melhorar a segurança dos serviços online.

A equipe de segurança do Microsoft Cloud executa verificações internas e externas frequentes para identificar vulnerabilidades e avaliar a eficiência do processo de gerenciamento de patches. Os serviços são examinados em busca de vulnerabilidades conhecidas; novos serviços são adicionados à próxima pesquisa trimestral com base na data de inclusão e seguem uma agenda de verificação trimestral daí em diante. Essas verificações são usadas para garantir a conformidade com os modelos de configuração de linha de base, validar a instalação de patches relevantes e identificar vulnerabilidades. Os relatórios das verificações são analisados pela equipe apropriada, e esforços de remediação são imediatamente conduzidos.

Todas as portas de E/S que não são usadas em servidores de produção de borda são desabilitadas por configurações no nível do sistema operacional definidas na configuração de segurança de linha de base. As verificações contínuas de configuração são habilitadas para detectar oscilações nas configurações no nível do sistema operacional. Além disso, opções de detecção de intrusão são habilitadas para detectar quando um servidor é acessado fisicamente.

Estabelecemos procedimentos para investigar e responder a eventos mal-intencionados detectados em tempo hábil pelo sistema de monitoramento da Microsoft.

A Microsoft emprega os princípios de separação de direitos e privilégio mínimo em todas as suas operações. Para dar suporte ao cliente para serviços selecionados, a equipe do Suporte da Microsoft só poderá acessar os dados do cliente com a explícita permissão dele. A permissão é concedida conforme necessário, sendo registrada, auditada e, então, revogada após o término do compromisso. Na Microsoft, os engenheiros de operações e a equipe de suporte que acessam os sistemas de produção usam PCs resistentes, do tipo estação de trabalho, com máquinas virtuais provisionadas neles para aplicativos e acesso à rede corporativa interna (como email e intranet). Todos os computadores de estação de trabalho de gerenciamento têm TPMs (Trusted Platform Modules) e as unidades de inicialização do host são criptografadas com BitLocker e associadas a uma unidade organizacional especial no principal domínio corporativo da Microsoft.

A proteção do sistema é aplicada por meio do uso de política de grupo, com atualização de software centralizada. Para fins de auditoria e análise, os logs de eventos (como segurança e AppLocker) são coletados das estações de trabalho de gerenciamento e enviados a um local central seguro. Além disso, jump-boxes dedicados na rede da Microsoft que exigem autenticação de dois fatores são usados para se conectar a uma rede de produção.

Próximas etapas

Estratégia de segurança nas implementações do Dynamics 365
Central de Confiabilidade da MicrosoftDocumentação de segurança do Microsoft Power Platform
Modelo de segurança no Dynamics 365 Customer Engagement (on-premises)
Auditar dados e atividade do usuário para fins de segurança e conformidade