Обзор шифрования и управления ключами

Какую роль играет шифрование в защите содержимого клиента?

Большинство бизнес-облачных служб Майкрософт являются мультитенантными, что означает, что содержимое клиента может храниться на том же физическом оборудовании, что и другие клиенты. Чтобы защитить конфиденциальность содержимого клиента, Корпорация Майкрософт веб-службы шифровать все неактивные и передаваемые данные с помощью самых надежных и безопасных доступных протоколов шифрования.

Шифрование не заменяет строгие элементы управления доступом. Политика управления доступом Майкрософт нулевого постоянного доступа (ZSA) защищает содержимое клиентов от несанкционированного доступа со стороны сотрудников Майкрософт. Шифрование дополняет управление доступом, защищая конфиденциальность содержимого клиента, где бы оно ни хранилось, и предотвращая чтение содержимого при передаче между системами Microsoft веб-службы или между microsoft веб-службы и клиентом.

Как Корпорация Майкрософт веб-службы шифровать неактивные данные?

Все содержимое клиента в Microsoft веб-службы защищено одной или несколькими формами шифрования. Серверы Майкрософт используют BitLocker для шифрования дисков, содержащих содержимое клиента на уровне тома. Шифрование, предоставляемое BitLocker, защищает содержимое клиента в случае сбоев в других процессах или элементах управления (например, управление доступом или утилизация оборудования), которые могут привести к несанкционированного физического доступа к дискам, содержащим содержимое клиента.

Помимо шифрования на уровне тома, Корпорация Майкрософт веб-службы использовать шифрование служб на уровне приложений для шифрования содержимого клиента. Шифрование службы обеспечивает защиту прав и функции управления на основе надежного шифрования. Это также позволяет разделить операционные системы Windows и данные клиента, хранящиеся или обрабатываемые этими операционными системами.

Как Microsoft веб-службы шифровать передаваемые данные?

Microsoft веб-службы использовать надежные транспортные протоколы, такие как TLS, чтобы предотвратить перехват несанкционированных сторон данных клиентов при их перемещении по сети. Примерами передаваемых данных являются почтовые сообщения, которые находятся в процессе доставки, беседы на собрании по сети или файлы, реплицируемые между центрами обработки данных.

Для Microsoft веб-службы данные считаются передаваемыми, когда устройство пользователя взаимодействует с сервером Майкрософт или сервер Майкрософт взаимодействует с другим сервером.

Как Microsoft веб-службы управлять ключами, используемыми для шифрования?

Надежное шифрование так же безопасно, как и ключи, используемые для шифрования данных. Корпорация Майкрософт использует собственные сертификаты безопасности для шифрования подключений TLS для передачи данных. Для неактивных данных тома, защищенные BitLocker, шифруются с помощью полного ключа шифрования тома, который шифруется с помощью ключа master тома, который, в свою очередь, привязан к доверенному платформенного модуля (TPM) на сервере. BitLocker использует совместимые с FIPS алгоритмы, чтобы ключи шифрования никогда не сохранялись и не отправлялись по проводу в прозрачном режиме.

Шифрование службы обеспечивает еще один уровень шифрования неактивных данных клиента, предоставляя клиентам два варианта управления ключами шифрования: ключи, управляемые Корпорацией Майкрософт, или ключ клиента. При использовании ключей, управляемых Корпорацией Майкрософт, веб-службы автоматически создавать и безопасно хранить корневые ключи, используемые для шифрования служб.

Клиенты с требованиями к управлению собственными корневыми ключами шифрования могут использовать шифрование служб с ключом клиента Microsoft Purview. Используя ключ клиента, клиенты могут создавать собственные криптографические ключи с помощью локального модуля аппаратной службы (HSM) или azure Key Vault (AKV). Корневые ключи клиента хранятся в AKV, где их можно использовать в качестве корня одной из цепочек ключей, которая шифрует данные или файлы почтового ящика клиента. Корневой ключ клиента может получить доступ только косвенно с помощью кода веб-службы Майкрософт для шифрования данных и не может быть напрямую доступен сотрудникам Корпорации Майкрософт.

Связанные внешние правила & сертификации

Веб-службы Корпорации Майкрософт регулярно проверяются на соответствие внешним нормативным требованиям и сертификациям. Сведения о проверке элементов управления, связанных с шифрованием и управлением ключами, см. в следующей таблице.

Azure и Dynamics 365

Внешний аудит	Section	Дата последнего отчета
ISO 27001/27002 Заявление о применимости Сертификат	A.10.1. Элементы управления шифрования A.18.1.5: криптографические элементы управления	6 ноября 2023 г.
ISO 27017 Заявление о применимости Сертификат	A.10.1. Элементы управления шифрования A.18.1.5: криптографические элементы управления	6 ноября 2023 г.
ISO 27018 Заявление о применимости Сертификат	A.11.6. Шифрование персональных данных, передаваемых через общедоступные сети передачи данных	6 ноября 2023 г.
SOC 1; SOC 2; SOC 3	DS-1: безопасное хранение криптографических сертификатов и ключей DS-2: данные клиента шифруются при передаче DS-3. Внутренняя связь между компонентами Azure, зашифрованными при передаче DS-4: криптографические элементы управления и процедуры	17 ноября 2023 г.

Microsoft 365

Внешний аудит	Section	Дата последнего отчета
FedRAMP (Office 365)	SC-8: конфиденциальность и целостность передачи SC-13: использование шифрования SC-28: защита неактивной информации	31 июля 2023 г.
ISO 27001/27002/27017 Заявление о применимости Сертификация (27001/27002) Сертификация (27017)	A.10.1. Элементы управления шифрования A.18.1.5: криптографические элементы управления	Март 2022 г.
ISO 27018 Заявление о применимости Сертификат	A.11.6. Шифрование персональных данных, передаваемых через общедоступные сети передачи данных	Март 2022 г.
SOC 2;	CA-44: шифрование передаваемых данных CA-54: шифрование неактивных данных CA-62: шифрование почтового ящика ключа клиента CA-63: удаление данных ключа клиента CA-64: ключ клиента	23 января 2024 г.
SOC 3	CUEC-16: ключи шифрования клиента CUEC-17: Хранилище ключей клиента CUEC-18: смена ключа клиента	23 января 2024 г.

Ресурсы

• Видео: шифрование неактивных данных Microsoft 365