Sistema de Proteção de Dados do Cliente para o Microsoft Azure

Artigo
05/23/2024

Nota

Para usar esse recurso, sua organização deve ter um plano de suporte do Azure com um nível mínimo de Desenvolvedor.

A maioria das operações e do suporte realizados pelo pessoal e subprocessadores da Microsoft não requer acesso aos dados do cliente. Nessas raras circunstâncias em que esse acesso é necessário, o Customer Lockbox for Microsoft Azure fornece uma interface para que os clientes analisem e aprovem ou rejeitem solicitações de acesso a dados do cliente. Ele é usado nos casos em que um engenheiro da Microsoft precisa acessar os dados do cliente, seja em resposta a um tíquete de suporte iniciado pelo cliente ou a um problema identificado pela Microsoft.

Este artigo aborda como habilitar o Customer Lockbox para Microsoft Azure e como as solicitações são iniciadas, controladas e armazenadas para revisões e auditorias posteriores.

Serviços suportados

Os seguintes serviços são atualmente suportados pelo Customer Lockbox for Microsoft Azure:

API Management do Azure
Serviço de Aplicações do Azure
Pesquisa de IA do Azure
Azure Chaos Studio
Serviços Cognitivos do Azure
Gateway de Comunicações do Azure
Registo de Contentores do Azure
Azure Data Box
Azure Data Explorer
Azure Data Factory
Azure Data Manager for Energy
Base de Dados do Azure para MySQL
Base de Dados do Azure para MySQL – Servidor Flexível
Base de Dados do Azure para PostgreSQL
Armazenamento da Plataforma Azure Edge Zone
Azure Energy
Funções do Azure
Azure HDInsight
Azure Health Bot
Azure Intelligent Recommendations
Azure Information Protection
Azure Kubernetes Service
Azure Load Testing (Teste CloudNative)
Azure Logic Apps
Azure Monitor (Análise de Registos)
Azure Red Hat OpenShift
Azure Spring Apps
Base de Dados SQL do Azure
Instância Gerida do Azure SQL
Armazenamento do Azure
Transferências de Subscrição do Azure
Azure Synapse Analytics
Commerce AI (Intelligent Recommendations)
DevCenter/DevBox
ElasticSan
Kusto (Dashboards)
Microsoft Azure Attestation
OpenAI
Spring Cloud
Serviço de Visão Unificada
Máquinas Virtuais no Azure

Habilitar o Customer Lockbox para Microsoft Azure

Agora você pode habilitar o Customer Lockbox para Microsoft Azure a partir do módulo Administração.

Nota

Para habilitar o Customer Lockbox para Microsoft Azure, a conta de usuário precisa ter a função de Administrador Global atribuída.

Fluxo de Trabalho

As etapas a seguir descrevem um fluxo de trabalho típico para uma solicitação do Customer Lockbox for Microsoft Azure.

Alguém em uma organização tem um problema com sua carga de trabalho do Azure.
Depois que essa pessoa soluciona o problema, mas não consegue corrigi-lo, ela abre um tíquete de suporte do portal do Azure. O ticket é atribuído a um Engenheiro de Suporte ao Cliente do Azure.
Um Engenheiro de Suporte do Azure analisa a solicitação de serviço e determina as próximas etapas para resolver o problema.
Se o engenheiro de suporte não puder solucionar o problema usando ferramentas padrão e dados gerados pelo serviço, a próxima etapa será solicitar permissões elevadas usando um serviço de acesso Just-In-Time (JIT). Essa solicitação pode ser do engenheiro de suporte original ou de um engenheiro diferente porque o problema é escalado para a equipe de DevOps do Azure.
Depois que o engenheiro do Azure envia uma solicitação de acesso, o serviço Just-In-Time avalia a solicitação levando em consideração fatores como:
- O escopo do recurso.
- Se o solicitante é uma identidade isolada ou usando autenticação multifator.
- Níveis de permissões. Com base na regra JIT, essa solicitação também pode incluir uma aprovação de Microsoft Approvers internos. Por exemplo, o aprovador pode ser o líder de suporte ao cliente ou o gerente de DevOps.
Quando a solicitação requer acesso direto aos dados do cliente, uma solicitação do Customer Lockbox é iniciada. Por exemplo, acesso remoto à área de trabalho para a máquina virtual de um cliente.

A solicitação agora está em um estado de Notificação do Cliente, aguardando a aprovação do cliente antes de conceder acesso.
Um ou mais aprovadores na organização do cliente para uma determinada solicitação do Customer Lockbox são determinados da seguinte forma:
- Para solicitações com escopo de Assinatura (solicitações para acessar recursos específicos contidos em uma assinatura), usuários com a função Proprietário ou a função Aprovador de Bloqueio do Cliente do Azure para Assinatura (atualmente em visualização pública) na assinatura associada.
- Para solicitações de escopo de locatário (solicitações para acessar o locatário do Microsoft Entra), usuários com a função de Administrador Global no locatário.
Nota

As atribuições de função devem estar em vigor antes que o Customer Lockbox for Microsoft Azure comece a processar uma solicitação. Quaisquer atribuições de função feitas depois que o Customer Lockbox for Microsoft Azure começar a processar uma determinada solicitação não serão reconhecidas. Por isso, para usar atribuições qualificadas do PIM para a função de Proprietário da Assinatura, os usuários precisam ativar a função antes que a solicitação do Customer Lockbox seja iniciada. Consulte Ativar funções do Microsoft Entra no PIM / Ativar funções de recurso do Azure no PIM para obter mais informações sobre como ativar funções qualificadas do PIM.

No momento, não há suporte para atribuições de função com escopo para grupos de gerenciamento no Customer Lockbox for Microsoft Azure.
Na organização do cliente, os aprovadores de cofre designados (Proprietário /da Assinatura do Azure Microsoft Entra Global admin/Azure Customer Lockbox Approver for Subscription recebem um email da Microsoft para notificá-los sobre a solicitação de acesso pendente. Você também pode usar o recurso de notificações de email alternativo do Azure Lockbox (atualmente em visualização pública) para configurar um endereço de email alternativo para receber notificações do cofre em cenários em que a conta do Azure não está habilitada para email ou se uma entidade de serviço for definida como o aprovador do cofre.

Exemplo de e-mail:
A notificação por e-mail fornece um link para a folha Customer Lockbox no módulo Administração. O aprovador designado entra no portal do Azure para exibir quaisquer solicitações pendentes que sua organização tenha para o Customer Lockbox for Microsoft Azure: A solicitação permanece na fila do cliente por quatro dias. Após esse período, a solicitação de acesso expira automaticamente e nenhum acesso é concedido aos engenheiros da Microsoft.
Para obter os detalhes da solicitação pendente, o aprovador designado pode selecionar a solicitação do Customer Lockbox em Solicitações pendentes:
O aprovador designado também pode selecionar o ID DE SOLICITAÇÃO DE SERVIÇO para exibir a solicitação de tíquete de suporte criada pelo usuário original. Essas informações fornecem contexto para o motivo pelo qual o Suporte da Microsoft está envolvido e o histórico do problema relatado. Por exemplo:
O aprovador designado analisa a solicitação e seleciona Aprovar ou Negar: Como resultado da seleção:
- Aprovar: O acesso é concedido ao engenheiro da Microsoft pelo período especificado nos detalhes da solicitação, que é mostrado na notificação por email e no portal do Azure.
- Negar: A solicitação de acesso elevado feita pelo engenheiro da Microsoft é rejeitada e nenhuma ação adicional é tomada.
Para fins de auditoria, as ações executadas neste fluxo de trabalho são registradas nos logs de solicitação do Customer Lockbox.

Registos de auditoria

Os registos do Sistema de Proteção de Dados do Cliente são armazenados nos registos de atividade. No portal do Azure, selecione Logs de Atividades para exibir informações de auditoria relacionadas a solicitações do Customer Lockbox. Pode filtrar ações específicas, como:

Negar Solicitação de Lockbox
Criar Pedido de Lockbox
Aprovar solicitação do Lockbox
Expiração da solicitação do Lockbox

Em forma de exemplo:

Customer Lockbox para integração do Microsoft Azure com o benchmark de segurança na nuvem da Microsoft

Introduzimos um novo controle de linha de base (PA-8: Determine o processo de acesso para suporte ao provedor de nuvem) no benchmark de segurança na nuvem da Microsoft que abrange a aplicabilidade do Customer Lockbox. Os clientes agora podem usar o benchmark para analisar a aplicabilidade do Customer Lockbox para um serviço.

Exclusões

As solicitações do Customer Lockbox não são acionadas nos seguintes cenários:

Cenários de emergência que estão fora dos procedimentos operacionais padrão e exigem ação urgente da Microsoft para restaurar o acesso aos serviços online ou para evitar corrupção ou perda de dados do cliente. Por exemplo, uma grande interrupção de serviço ou um incidente de segurança exige atenção imediata para recuperar ou restaurar serviços em circunstâncias inesperadas ou imprevisíveis. Esses eventos de "quebra de vidro" são raros e, na maioria dos casos, não exigem acesso aos dados do cliente para resolução. Os controlos e processos que regem o acesso da Microsoft aos dados dos clientes nos principais serviços online alinham-se com o NIST 800-53 e são validados através de auditorias SOC 2. Para obter mais informações, consulte a linha de base de segurança do Azure para Customer Lockbox for Microsoft Azure.
Um engenheiro da Microsoft acessa a plataforma Azure como parte da solução de problemas e é exposto inadvertidamente aos dados do cliente. Por exemplo, a Equipa de Rede do Azure executa a resolução de problemas que resulta numa captura de pacotes num dispositivo de rede. É raro que tais cenários resultem no acesso a quantidades significativas de dados de clientes. Os clientes podem proteger ainda mais seus dados por meio do uso de chaves gerenciadas pelo cliente (CMK), que está disponível para alguns serviços do Azure. Para obter mais informações, consulte Visão geral do gerenciamento de chaves no Azure.

Os pedidos legais externos de dados também não acionam os pedidos do Sistema de Proteção de Dados do Cliente. Para obter detalhes, consulte a conversa sobre os pedidos governamentais para dados no Centro de Confiança da Microsoft.

Próximos passos

Ative o Sistema de Proteção de Dados do Cliente no módulo Administração no painel Sistema de Proteção de Dados do Cliente. O Sistema de Proteção de Dados do Cliente for Microsoft Azure está disponível para todos os clientes que têm um plano de suporte do Azure com um nível mínimo de Programador.

Partilhar via