Perguntas frequentes sobre atestado de editor

O link para uma página inicial da empresa ou aplicativo.

São dados pré-preenchidos de suas informações do serviço de aplicativo. Atualize-o conforme necessário.

São dados pré-preenchidos de suas informações do serviço de aplicativo. Atualize-o conforme necessário.

Isso é necessário no que diz respeito a práticas e regulamentos de tratamento de dados para diferentes países/regiões.

As informações do aplicativo dão uma visão geral do que o aplicativo pode fazer.

O link para uma página que descreve mais informações sobre o aplicativo em que o usuário pode saber mais sobre o aplicativo? Se você não tiver esta página, marque Não.

O ambiente de hospedagem dos serviços de back-end ou repositórios de código estará no escopo da Certificação microsoft 365. Identifique o tipo de hospedagem; IaaS = Infrastructure as a Service, PaaS/Serverless = Platform as a Service, ISV hosted = O ambiente de hospedagem é propriedade e/ou operado por si mesmo (ou seja, seus próprios data centers ou co-localização em um data center de terceiros), Hybrid = O ambiente pode ser composto por vários tipos de hospedagem (ou seja, ISV Hospedado e PaaS).

Exemplos incluem: Microsoft Azure, Amazon AWS, Google... Isso também pode incluir soluções exclusivas para sua empresa.

Se o aplicativo processar ou armazenar dados de cliente da Microsoft, como QUAISQUER dados consumidos de pontos de extremidade de recursos da Microsoft, como o Microsoft Graph ou o locatário do cliente, selecione sim. Caso contrário, selecione não.

Forneça tipos específicos de dados que são processados pelo seu aplicativo, como Dados de Perfil de Usuário, Dados do User Mail etc.

O TLS (Transport Layer Security) 1.1 ou superior são protocolos de segurança para estabelecer canais de criptografia em redes de computador. O uso do TLS ajuda a evitar escutas e ataques de homem no meio. Para fornecer a melhor criptografia da classe para nossos clientes, o aplicativo dá suporte ao TLS 1.1 ou superior?

O aplicativo ou a infraestrutura subjacente armazenam dados do cliente da Microsoft?|Se o aplicativo processar ou armazenar dados de cliente da Microsoft, como QUAISQUER dados consumidos de pontos de extremidade de recursos da Microsoft, como o Microsoft Graph ou o locatário do cliente, selecione sim. Caso contrário, selecione não.

Forneça tipos específicos de dados armazenados em seu banco de dados, como Dados de Perfil de Usuário, Dados do Email do Usuário, Informações do locatário como id de locatário, ID de comunicação do usuário etc.

Especifique a região em que os dados do cliente da Microsoft serão armazenados. Exemplo. Alemanha, Japão.

Quando o cliente solicita para excluir dados ou cancelar assinatura, sua organização segue padrões rígidos para armazenar dados ou excluir dados?

Menccione o período de tempo para armazenar informações do cliente após o cliente ter deixado seu serviço.

A criptografia é uma ferramenta essencial para a segurança porque restringe o acesso, Key Vault permite que aplicativos e usuários armazenem e usem vários tipos de dados secretos/chave. Todos os acessos aos dados do cliente, chaves/segredos de criptografia são processados e coletados, analisados e gerenciados? Essas informações são necessárias no que diz respeito às práticas de tratamento e segurança de dados.

Os dados do cliente podem ser Nome de usuário ou ID do funcionário, localização, informações de uma pessoa, endereço IP específico do usuário etc. Se sua organização Transferir dados do cliente ou conteúdo do cliente da Microsoft para terceiros ou subprocessadores, selecione sim. Caso contrário, selecione não.

O serviço de terceiros pode ser call center, BPO, entrada de dados etc. Se você tiver um contrato para compartilhar dados de cliente da Microsoft com qualquer um desses serviços de terceiros, selecione sim. Caso contrário, selecione não.

Segurança

O teste de penetração, também chamado de teste de caneta, é a prática de testar um sistema de computador, rede ou aplicativo Web para encontrar vulnerabilidades de segurança que um invasor poderia explorar.

Se sua organização tiver um documento formal de um plano de recuperação de desastre (DR) que contenha instruções detalhadas sobre como responder a incidentes não planejados, como desastres naturais, interrupções de energia, ataques cibernéticos e quaisquer outros eventos disruptivos, selecione sim. Caso contrário, selecione não.

O anti-malware oferece uma solução proativa contra vírus mais recentes e inovadores que o software antivírus não está equipado para lidar. Os controles de aplicativo são controles sobre as funções de entrada, processamento e saída. Selecione a opção apropriada

Essas informações são necessárias no que diz respeito às práticas de segurança.

Sempre que você assinar a proteção antivírus, firewall ou antispyware, você precisará atualizar continuamente seus arquivos de sistemas para identificar alterações, melhorias ou novos parâmetros que ajudam seu computador a detectar e se livrar desses vírus. São chamados de patches de segurança. Se você tiver uma política que rege o SLA (contrato de nível de serviço) para aplicar patches, selecione sim. Caso contrário, selecione não.

PII é qualquer dado que pode ser usado para identificar uma pessoa específica. Exemplo. Nome, endereço de email.

Exemplos podem ser encontrados em nossa página Microsoft Docs, clique em um aplicativo, clique em Tratamento de Dados, você pode ver exemplos de outras justificativas no acesso a dados por meio de bots.

As INFORMAÇÕES Identificáveis Pessoais (PII) são todos os dados que podem ser usados para identificar uma determinada pessoa. Exemplo. Nome, endereço de email.

Por que as informações identificáveis pessoais precisam ser armazenadas?

OII são todos os dados que podem ser usados para identificar uma organização/locatário. Exemplo. ID do locatário ou endereço IP, dados de uso do locatário, nome do domínio do locatário no endereço de email (joe@contoso.com).

As informações identificáveis organiaztional (OII) são todos os dados que podem ser usados para identificar uma organização/locatário. Exemplo. ID do locatário ou endereço IP, dados de uso do locatário, nome do domínio do locatário no endereço de email (joe@contoso.com).

Por que as informações identificáveis organizacionais precisam ser armazenadas?

|EUII é qualquer dado que pode ser usado para identificar dados do cliente. Exemplo. Nome de usuário ou ID do funcionário, informações de localização de uma pessoa, endereço IP específico do usuário. |

Exemplo. Google Cloud, AWS

Exemplo. Criptografia, 2FA

Exemplo. Restrito, Confidencial, Interal, Público

A MFA (Autenticação Multifator) é um sistema de segurança que verifica a identidade de um usuário exigindo várias credenciais. Em vez de apenas pedir um nome de usuário e senha, o MFA requer outras credenciais adicionais, como um código do smartphone do usuário, a resposta a uma pergunta de segurança, uma impressão digital ou reconhecimento facial.

As configurações de restrição de IP são usadas para limitar ou dar acesso aos quais os IPs podem acessar recursos específicos no serviço. Para aplicativos que dão suporte à restrição de IP, um administrador da organização pode limitar quais endereços IP qualquer usuário da organização pode usar para acessar o sistema por meio da interface do usuário ou APIs.

Os rastros de auditoria são os registros eletrônicos que catalogam cronologicamente eventos ou procedimentos para fornecer suporte, documentação e histórico, que são usados para autenticar ações operacionais e de segurança ou mitigar desafios. A trilha de auditoria do usuário incluirá informações sobre atividades do usuário, como tentativas de logon, acesso a arquivos de acesso etc.

Administração trilha de auditoria incluirá atividades de administrador, como conceder novas permissões, alterar configurações, chamadas de API etc.

A trilha de auditoria de dados incluirá em atividades de alterações em bancos de dados, como quando foi um atributo modificado pela última vez, qual foi o valor anterior do registro e quem o modificou, etc.

Exemplo. comprimento mínimo da senha, combinação de caracteres, não permitir o reutilização de senhas antigas, não permitir o uso de informante pessoal (como nome, email etc.), renovação de senha após um determinado período de tempo.

A Linguagem de Marcação de Declaração de Segurança – SAML – é um padrão aberto para a troca de dados de autenticação e autorização entre partes, especificamente entre um provedor de identidade e um provedor de serviços.

O teste de penetração, também chamado de teste de caneta, é a prática de testar um sistema de computador, rede ou aplicativo Web para encontrar vulnerabilidades de segurança que um invasor poderia explorar.

Conformidade

Isso é necessário para empresas baseadas nos EUA e não nos EUA com aplicativos que se relacionam com serviços de saúde ou fornecem serviços aos serviços de helthcare.

Isso é necessário para aplicativos que se relacionam com serviços de saúde ou prestam serviços aos serviços de helthcare.

Isso é necessário para empresas baseadas nos EUA e não nos EUA com aplicativos relacionados a serviços financeiros ou prestam serviços a instituições financeiras

Relatórios sobre processamento não financeiro com base em um ou mais critérios de serviço de confiança sobre segurança, privacidade, avaibilidade, confidencialidade e integridade de processamento. Saiba Mais

Selecione Tipo 1 ou Tipo 2, se você tiver obtido ambos, selecione Tipo 2

Relatórios com base nos Critérios de Serviço de Confiança, que podem ser distribuídos livremente e contêm apenas a afirmação do gerenciamento de que eles atenderam aos requisitos dos critérios escolhidos? Saiba mais

O DSS (Padrão de Segurança de Dados) da PCI (Indústria de Cartões de Pagamento) é um padrão de segurança de informação global criado para prevenir fraudes por meio do maior controle de dados de cartões de crédito. A conformidade com o PCI DSS é necessária para qualquer organização que armazene, processe ou transmita dados de titular de cartão e pagamento. Saiba Mais

ISO 27001 é um certificado dado a empresas que defendem diretrizes e princípios gerais reconhecidos internacionalmente para iniciar, implementar e melhorar o gerenciamento de segurança da informação em uma organização. Saiba Mais

O ISO 27018 estabelece controles comumente aceitos com diretrizes para processamento e proteção de PII (Informações Pessoais Identificáveis) em um ambiente público de computação em nuvem? Saiba Mais

O ISO 27017 estabelece controles e diretrizes comumente aceitos para processar e proteger informações do usuário em um ambiente público de computação em nuvem. Saiba Mais

O ISO 27002 estabelece diretrizes comuns para padrões organizacionais de segurança da informação e práticas de gerenciamento de segurança da informação. Saiba Mais

O FedRAMP é um programa do governo dos EUA que fornece uma abordagem padronizada para avaliação de segurança, autorização e monitoramento contínuo para produtos e serviços de nuvem. Saiba Mais

As autorizações fedRAMP são concedidas em três níveis de impacto com base nas diretrizes NIST: baixa, média e alta. Esses níveis classificam o impacto que a perda de confidencialidade, integridade ou disponibilidade pode ter em uma organização — baixo (efeito limitado), médio (efeito adverso grave) e alto (efeito severo ou catastrófico).

FERPA é uma lei federal que protege a privacidade dos registros de educação estudantil. Saiba Mais

Isso é necessário para empresas baseadas nos EUA e não nos EUA com aplicativos que também poderiam ser usados por crianças.

As informações do aplicativo dão uma visão geral do que o aplicativo pode fazer.

O NIST SP 800-171 é uma Publicação Especial NIST que fornece requisitos recomendados para proteger a confidencialidade das informações não classificadas controladas (CUI). O NIST (Instituto Nacional de Padrões e Tecnologia) dos EUA promove e mantém padrões e diretrizes de medição para ajudar a proteger os sistemas de informações e informações de agências federais. Saiba Mais

O CSA SSTAR se dedica à definição de práticas recomendadas para ajudar a garantir um ambiente de computação em nuvem mais seguro e ajudar potenciais clientes de nuvem a tomar decisões informadas ao fazer a transição de suas operações de TI para a nuvem. Saiba Mais

Há cinco níveis de certificação oferecidos pelo CSA STAR, Monitoramento Contínuo, Avaliação, Autoavaliação, Atestado, Certificação. Selecione aquele que você obteve.

O GDPR (Regulamento Geral de Proteção de Dados) introduz novas regras para organizações que oferecem bens e serviços para pessoas na União Europeia (UE) ou que coletam e analisam dados para residentes da UE, não importa onde você ou sua empresa estejam localizados. Saiba Mais

O aviso de privacidade voltado para o externo deve conter informações organizacionais, dados coletados, como os dados são coletados, como você usa dados pessoais, como dados pessoais são compartilhados, segurança de dados, retenção de dados, direitos legais do cliente, para obter mais informações, visite a página GDPR

Embora a criação de perfil seja o processo de avaliação de aspectos sobre uma pessoa, a tomada de decisões automatizada é o processo de tomar decisões sobre o indivíduo usando meios tecnológicos e sem o envolvimento de um humano. GDPR – Direitos em relação à tomada de decisões automatizadas e à criação de perfil.

GDPR – Direito ao objeto

GDPR – Processamento de dados

Se você processar dados relacionados à origem racial ou étnica, opinião política, crenças religiosas ou filosóficas, dados genéticos ou biométricos, dados de integridade, selecione sim. Caso contrário, selecione não.

O GDPR define uma idade geral de consentimento aos 16 anos, o que significa que você não pode processar legalmente os dados de um titular de dados com 15 anos ou mais.

Nos casos em que você trabalha com os dados de crianças menores de 16 anos, você só pode processar os dados com permissão de seus pais ou responsáveis. Qualquer processamento sem o consentimento de um adulto com responsabilidade parental é ilegal sob a lei da UE.

GDPR - O direito à eliminação

GDPR – O direito de restringir o processamento

GDPR – O direito à retificação

Essas informações são necessárias no que diz respeito às práticas de privacidade e segurança.

Saiba mais sobre o plataforma de identidade da Microsoft.Saiba Mais

O identificador exclusivo do aplicativo atribuído a um aplicativo por Microsoft Entra ID.Saiba mais

Insira o appID Aplicativo Azure.Saiba Mais

Insira a ID do locatário que é exibida abaixo Aplicativo Azure appId no console Registros de aplicativo.

Insira a ID do locatário que é exibida abaixo Aplicativo Azure appId no console Registros de aplicativo.

Essas informações são necessárias no que diz respeito às práticas de identidade.

Microsoft Entra ID atribui um aplicativo exclusivo ou ID do cliente ao seu aplicativo. O portal abre a página Visão geral do aplicativo. Para adicionar recursos ao seu aplicativo, você pode selecionar outras opções de configuração, incluindo identidade visual, certificados e segredos, permissões de API e muito mais.

Aqui está a lista de permissões aceitáveis. Referência de permissões do Microsoft Graph

As permissões delegadas são usadas por aplicativos que têm um usuário conectado presente. Para esses aplicativos, o usuário ou um administrador concorda com as permissões que o aplicativo solicita e o aplicativo pode agir como o usuário conectado ao fazer chamadas ao Microsoft Graph. Algumas permissões delegadas podem ser autorizadas por usuários não administradores, mas algumas permissões com maiores privilégios exigem o consentimento do administrador. As permissões de aplicativo são usadas pelos aplicativos que são executados sem um usuário conectado. Por exemplo, aplicativos executados em segundo plano ou como daemons. As permissões de aplicativo só podem ser concedidas por um administrador. Saiba mais.

Por que você escolheu essa permissão de grafo perticular?

Permissões de privilégio mínimas são o conjunto mínimo de permissões que seu aplicativo precisa solicitar para entregar a funcionalidade pretendida para os clientes. Para aplicativos que chamam o Microsoft Graph, a documentação de referência do Graph Explorer e da API pode ajudá-lo a determinar as permissões de privilégio mínimas para seu cenário.Saiba Mais

Saiba mais sobre a lista de verificação de integração plataforma de identidade da Microsoft em nossa página de documentos

A MSAL (Biblioteca de Autenticação da Microsoft) permite que os desenvolvedores adquiram tokens do plataforma de identidade da Microsoft para autenticar usuários e acessar APIs Web protegidas.Saiba Mais

A MSAL (Biblioteca de Autenticação da Microsoft) permite que os desenvolvedores adquiram tokens do plataforma de identidade da Microsoft para autenticar usuários e acessar APIs Web protegidas.Saiba Mais

As políticas de acesso condicional em suas instruções mais simples são se- então, se um usuário quiser acessar um recurso, então ele deve concluir uma ação. Exemplo: um gerente de folha de pagamento deseja acessar o aplicativo de folha de pagamento e é necessário fazer autenticação multifator para acessá-lo. Saiba Mais

Mencione todos os tipos de políticas de acesso condicional que você dá suporte. Exemplo. Bloquear acces por local, Bloquear autenticação herdada. Exemplos podem ser encontrados em nossa página de documentos

(CAE) é uma funcionalidade para melhorar a resiliência e diminuir o COGS para serviços/cargas de trabalho que dependem Microsoft Entra autenticação.Saiba Mais

Se o seu aplicativo armazenar credenciais no código, selecione sim. Caso contrário, selecione não.

Se seu aplicativo ou suplemento usar APIs adicionais da Microsoft, selecione sim. Caso contrário, selecione não.

Exemplo. MSAL