Безопасность и защита данных в Azure Data Box

Data Box предоставляет безопасное решение для защиты данных, гарантируя, что только авторизованные субъекты могут просматривать, изменять или удалять данные. В этой статье описываются функции безопасности Azure Data Box, которые помогают защитить каждый компонент решения Data Box и хранимые на нем данные.

Примечание.

В этой статье приведены пошаговые инструкции по удалению персональных данных с устройства или из службы. Эти сведения можно использовать для соблюдения обязательств согласно Общему регламенту по защите данных (GDPR). Общие сведения о GDPR см. в разделе GDPR Центра управления безопасностью Майкрософт и в разделе GDPR на портале Service Trust Portal.

Поток данных через компоненты

Решение Microsoft Azure Data Box состоит из четырех основных компонентов, которые взаимодействуют друг с другом.

• Служба Azure Data Box, размещенная в Azure — это служба управления, с помощью которой можно заказывать и настраивать устройства, а затем отслеживать заказы до их завершения.
• Устройство Data Box — это устройство передачи, которое доставляется к вам с целью импорта локальных данных в Azure.
• Клиенты или серверы, подключенные к устройству — это клиенты инфраструктуры, которые подключаются к устройству Data Box и содержат данные, которые необходимо защитить.
• Облачное хранилище – расположение в облаке Azure, где хранятся данные. Обычно это учетная запись хранения, связанная с созданным ресурсом Azure Data Box.

На следующей схеме показан поток данных через решение Azure Data Box из локальной среды в Azure и различные функции безопасности, используемые по мере передачи данных. Этот поток предназначен для заказа на импорт для Data Box.

На следующей схеме показан заказ на экспорт для Data Box.

По мере передачи данных в этом решении фиксируются события и создаются журналы. Дополнительные сведения см. в разделах:

• Отслеживание и регистрация событий заказов на импорт для Azure Data Box
• Отслеживание и регистрация событий заказов на экспорт для Azure Data Box

Функции безопасности

Data Box предоставляет безопасное решение для защиты данных, гарантируя, что только авторизованные субъекты могут просматривать, изменять или удалять данные. Функции безопасности этого решения предназначены для диска и для связанной службы, обеспечивающих безопасность хранимых на них данных.

Защита устройства Data Box

Устройство Data Box защищено с помощью следующих функций:

• износоустойчивый корпус устройства, который выдерживает удары, неблагоприятную транспортировку и условия окружающей среды;
• обнаружение незаконного изменения оборудования и программного обеспечения, которое предотвращает дальнейшие операции с устройством;
• Доверенный модуль платформы (TPM), который выполняет аппаратные функции, связанные с безопасностью. В частности, доверенный платформенный модуль обеспечивает управление и защиту секретов и данных, которые необходимо сохранить на устройстве.
• запуск только программного обеспечения, предназначенного специально для Data Box;
• загрузка в заблокированном состоянии;
• контроль доступа к устройству с помощью ключа доступа для разблокировки устройства. Этот ключ доступа защищен ключом шифрования. Для защиты ключа доступа можно использовать собственный ключ, управляемый клиентом. Дополнительные сведения см. в статье Использование ключей, управляемых клиентом, в Azure Key Vault для Azure Data Box.
• доступ к учетным данным для копирования данных на устройство и из него. Все события доступа к странице учетных данных устройства на портале Azure фиксируются в журналах действий.
• Вы можете использовать собственные пароли для доступа к устройствам и общим папкам. Дополнительные сведения см. в статье Руководство по оформлению заказа на Azure Data Box.

Установка отношения доверия с устройством с помощью сертификатов

Устройство Data Box позволяет использовать собственные сертификаты и устанавливать их для подключения к локальному пользовательскому веб-интерфейсу и хранилищу BLOB-объектов. Дополнительные сведения см. в статье Использование собственных сертификатов с устройствами Azure Data Box и Azure Data Box Heavy.

Защита данных Data Box

Входные и выходные данные Data Box защищены следующими функциями:

• 256-битное шифрование AES для неактивных данных; В среде с высоким уровнем безопасности можно использовать двойное шифрование на основе программного обеспечения. Дополнительные сведения см. в статье Руководство по оформлению заказа на Azure Data Box.
• зашифрованные протоколы могут использоваться для данных в процессе использования; Для защиты данных при копировании с серверов данных рекомендуется использовать SMB 3.0 с шифрованием.
• Безопасное удаление данных с устройства после завершения передачи данных в Azure. Удаление данных осуществляется в соответствии с рекомендациями, приведенными в Приложении А для жестких дисков ATA из стандарта NIST 800-88r1. Событие удаления данных фиксируется в журнале заказов.

Защита службы Data Box

Служба Data Box защищена с помощью следующих функций.

• Для доступа к службе Data Box необходимо, чтобы у организации была подписка Azure, включающая Data Box. Подписка обеспечивает доступ к функциям, предоставляемым на портале Azure.
• Так как служба Data Box размещается в Azure, она защищена средствами безопасности Azure. Дополнительные сведения о функциях безопасности, предоставляемых Microsoft Azure, см. в центре управления безопасностью Microsoft Azure.
• Доступ к заказу Data Box можно контролировать с помощью ролей Azure. Дополнительные сведения см. в разделе о настройке управления доступом для заказа Data Box.
• Служба Data Box хранит пароль разблокировки, который используется для разблокирования устройства в службе.
• Служба Data Box хранит сведения о заказе и его состояние в службе. Эта информация удаляется при удалении самого заказа.

Управление персональными данными

Azure Data Box собирает и отображает личные сведения в следующих ключевых экземплярах службы.

• Параметры уведомлений. Когда создается заказ, адреса электронной почты пользователей настраиваются в параметрах уведомлений. Эти сведения может просматривать администратор. Эта информация удаляется службой, когда задание выполнено или когда заказ удаляется.

• Сведения о заказе. После создания заказа адрес доставки, адрес электронной почты и контактные данные пользователей сохраняются на портале Azure. Сохраненная информация включает следующее.

  • Имя контакта

  • Номер телефона

  • Адрес электронной почты

  • Улица, дом

  • City

  • почтовый индекс;

  • State

  • страна, область, край, округ, регион;

  • Номер счета перевозчика

  • номер отслеживания доставки.

    Сведения о заказе удаляются службой Data Box после завершения задания или при удалении заказа.

• Адрес доставки. После размещения заказа служба Data Box предоставляет адрес доставки сторонним операторам, таким как UPS или DHL.

Дополнительные сведения см. в политике конфиденциальности Майкрософт в центре управления безопасностью.

Ссылка на рекомендации по безопасности

В Data Box реализованы следующие рекомендации по безопасности.

Рекомендация	Description
IEC 60529 IP52	Для защиты от пыли и воды
ISTA 2A	Для стойкости к неблагоприятным условиям транспортировки
NIST SP 800-147	Для безопасного обновления встроенного ПО
FIPS 140-2 уровня 2	Для защиты данных
Приложение A для жестких дисков ATA из стандарта NIST SP 800-88r1	Для очистки данных

Следующие шаги

• Ознакомьтесь с разделом Azure Data Box system requirements (Системные требования Azure Data Box).
• Изучите ограничения Data Box.
• Оперативно разверните Azure Data Box на портале Azure.