Azure-stöd för exportkontroller

För att hjälpa dig att navigera i exportkontrollregler har Microsoft publicerat vitboken Microsoft Azure Export Controls . Den beskriver amerikanska exportkontroller, särskilt som de gäller för programvara och tekniska data, granskar potentiella källor till exportkontrollrisker och ger specifik vägledning som hjälper dig att bedöma dina skyldigheter enligt dessa kontroller. Extra information finns i vanliga frågor och svar om molnexport, som är tillgänglig från vanliga frågor och svar om export av Microsoft-produkter.

Anmärkning

Friskrivning: Du är helt ansvarig för att säkerställa din egen efterlevnad av alla tillämpliga lagar och förordningar. Information som anges i den här artikeln utgör inte juridisk rådgivning, och du bör kontakta din juridiska rådgivare för eventuella frågor om regelefterlevnad.

Översikt över exportkontrolllagar

Exportrelaterade definitioner varierar något mellan olika exportkontrollregler. I förenklade termer innebär en export ofta en överföring av begränsad information, material, utrustning, programvara och så vidare till en utländsk person eller utländsk destination på något sätt. Usa:s exportkontrollpolicy tillämpas genom exportkontrolllagar och förordningar som främst administreras av Department of Commerce, Department of State, Department of Energy, Nuclear Regulatory Commission och Department of Treasury. Respektive organ inom varje avdelning ansvarar för specifika exportkontrollområden baserat på deras historiska administration, enligt tabell 1.

Tabell 1. Lagar och förordningar om exportkontroll i USA

Regulator	Lag/förordning	Hänvisning
Handelsdepartementet: Bureau of Industry and Security (BIS)	- Lagen om exportadministration (EAA) från 1979 - Förordningen om exportadministration (EAR)	- P.L. 96-72 - 15 CFR Avsnitt 730 – 774
Utrikesdepartementet: Direktoratet för försvarshandelskontroller (DDTC)	- Lagen om kontroll av vapenexport (AECA) – Internationella vapentrafikföreskrifter (ITAR)	- 22 U.S.C. 39 - 22 CFR avsnitt 120 – 130
Energidepartementet: National Nuclear Security Administration (NNSA)	- Atomic Energy Act från 1954 (AEA) - Stöd till utländsk atomenergi verksamhet	- 42 U.S.C. 2011 et. seq. - 10 CFR Del 810
Nuclear Regulatory Commission (NRC) (Tillsynskommissionen för kärnenergi)	- Nuclear Non-Proliferation Act från 1978 - Export och import av kärntekniska utrustning och material	- P.L. 95-242 - 10 CFR Del 110
Finansdepartementet: Avdelningen för kontroll av utländska tillgångar (OFAC)	- Lag om handel med fienden (TWEA) - Förordningar om kontroll av utländska tillgångar	- 50 U.S.C. Avsnitt 5 och 16 - 31 CFR Del 500

Den här artikeln innehåller en genomgång av de aktuella amerikanska exportkontrollreglerna, överväganden för molnbaserad databehandling samt Azure-funktioner och åtaganden till stöd för exportkontrollkrav.

ÖRA

Usa:s handelsdepartement ansvarar för att framtvinga exportadministrationsföreskrifterna (EAR) via Bureau of Industry and Security (BIS). Enligt BIS-definitioner är export överföring av skyddad teknik eller information till en utländsk destination eller frisläppning av skyddad teknik eller information till en utländsk person i USA, även känd som export. Objekt som omfattas av EAR finns i handelskontrollistan (CCL) och varje objekt har tilldelats ett unikt ECCN-nummer (Export Control Classification Number). Objekt som inte finns med i CCL:en betecknas som EAR99 och de flesta kommersiella EAR99-produkter kräver inte att en licens exporteras. Beroende på mål, slutanvändare eller slutanvändning av objektet kan dock även ett EAR99-objekt kräva en BIS-exportlicens.

EAR är tillämpligt på föremål med dubbla användningsområden som har både kommersiella och militära tillämpningar och för föremål med rent kommersiell tillämpning. BIS har gett vägledning om att molntjänstleverantörer (CSP) inte exporterar kundernas data på grund av kundernas användning av molntjänster. Dessutom I den slutliga regeln som publicerades den 3 juni 2016 klargjorde BIS att EAR-licensieringskrav inte skulle gälla om överföring och lagring av oklassificerade tekniska data och programvara krypterades från slutpunkt till slutpunkt med hjälp av FIPS(Federal Information Processing Standard) 140 validerade kryptografiska moduler och inte avsiktligt lagras i ett militärt embargo land/region, dvs. land/region grupp D:5 enligt beskrivningen i tillägg nr 1 till del 740 eller i Ryska federationen. Usa:s handelsdepartement har klargjort att när data eller programvara laddas upp till molnet är kunden, inte molnleverantören, den exportör som har ansvaret för att säkerställa att överföringar, lagring och åtkomst till dessa data eller programvara följer EAR.

Både Azure och Azure Government kan hjälpa dig att uppfylla dina KRAV på EAR-efterlevnad. Förutom Azure-regionen i Hong Kong SAR finns inte Azure- och Azure Government-datacenter i förbjudna länder/regioner eller i Ryska federationen.

Azure-tjänster förlitar sig på FIPS 140-verifierade kryptografiska moduler i det underliggande operativsystemet och ger dig många alternativ för att kryptera data under överföring och i vila, inklusive hantering av krypteringsnycklar med Hjälp av Azure Key Vault. Key Vault-tjänsten kan lagra krypteringsnycklar i FIPS 140-verifierade maskinvarusäkerhetsmoduler (HSM: er) under din kontroll, även kallade kundhanterade nycklar (CMK). Nycklar som genereras i Azure Key Vault-HSM:erna kan inte exporteras – det kan inte finnas någon klartextversion av nyckeln utanför HSM:erna. Den här bindningen upprätthålls av det underliggande HSM. Azure Key Vault är utformat, distribuerat och drivs så att Microsoft och dess agenter inte ser eller extraherar dina kryptografiska nycklar. Mer information finns i Hur skyddar Azure Key Vault dina nycklar?

Du ansvarar för att välja Azure- eller Azure Government-regioner för distribution av program och data. Dessutom ansvarar du för att utforma dina program för att tillämpa datakryptering från slutpunkt till slutpunkt som uppfyller EAR-kraven. Microsoft inspekterar, godkänner eller övervakar inte dina program som distribueras i Azure eller Azure Government.

Azure Government tillhandahåller ett extra skyddslager genom avtalsmässiga åtaganden om lagring av dina kunddata i USA och begränsning av potentiell åtkomst till system som bearbetar dina data till skärmade amerikanska personer. Mer information om Azure-stöd för EAR finns i Azure EAR-efterlevnadserbjudande.

ITAR

Usa:s utrikesdepartement har exportkontrollmyndighet över försvarsartiklar, tjänster och relaterad teknik enligt ITAR ( International Traffic in Arms Regulations ) som hanteras av DDTC ( Directorate of Defense Trade Controls ). Objekt under ITAR-skydd dokumenteras i USML (United States Munitions List). Om du är tillverkare, exportör och koordinator för försvarsartiklar, tjänster och relaterade tekniker enligt definitionen i USML måste du vara registrerad hos DDTC, förstå och följa ITAR och måste självcertifiera att du arbetar i enlighet med ITAR.

DDTC reviderade ITAR-reglerna från och med den 25 mars 2020 för att anpassa dem närmare till EAR. Dessa ITAR-revisioner introducerade ett undantag för end-to-end datakryptering, vilket införlivade många av samma termer som det amerikanska handelsdepartementet antog 2016 för EAR. Mer specifikt anger de reviderade ITAR-reglerna att aktiviteter som inte utgör export, återexport, återöverföringar eller tillfällig import omfattar (bland annat aktiviteter) sändning, tagande eller lagring av tekniska data som är 1) oklassificerade, 2) som skyddas med kryptering från slutpunkt till slutpunkt, 3) som skyddas med HJÄLP av FIPS 140-kompatibla kryptografiska moduler enligt bestämmelserna, 4) som inte avsiktligt skickas till en person i eller lagras i ett land/en region som är förbjuden i § 126.1 eller Ryska federationen, och 5) inte skickas från ett land/en region som är förbjuden i § 126.1 eller Ryska federationen. Dessutom klargjorde DDTC att data under överföring via Internet inte anses vara lagrade. Kryptering från slutpunkt till slutpunkt innebär att data alltid hålls krypterade mellan upphovsgivaren och den avsedda mottagaren, och dekrypteringsmedlet tillhandahålls inte till någon tredje part.

Det finns ingen ITAR-efterlevnadscertifiering. Men både Azure och Azure Government kan hjälpa dig att uppfylla dina ITAR-efterlevnadsskyldigheter. Förutom Azure-regionen i Hong Kong SAR finns inte Azure- och Azure Government-datacenter i förbjudna länder/regioner eller i Ryska federationen. Azure-tjänster förlitar sig på FIPS 140-verifierade kryptografiska moduler i det underliggande operativsystemet och ger dig många alternativ för att kryptera data under överföring och i vila, inklusive hantering av krypteringsnycklar med Hjälp av Azure Key Vault. Key Vault-tjänsten kan lagra krypteringsnycklar i FIPS 140-verifierade maskinvarusäkerhetsmoduler (HSM: er) under din kontroll, även kallade kundhanterade nycklar (CMK). Nycklar som genereras i Azure Key Vault-HSM:erna kan inte exporteras – det kan inte finnas någon klartextversion av nyckeln utanför HSM:erna. Den här bindningen upprätthålls av det underliggande HSM. Azure Key Vault är utformat, distribuerat och drivs så att Microsoft och dess agenter inte ser eller extraherar dina kryptografiska nycklar. Mer information finns i Hur skyddar Azure Key Vault dina nycklar?

Du ansvarar för att välja Azure- eller Azure Government-regioner för distribution av program och data. Dessutom ansvarar du för att utforma dina program för att tillämpa datakryptering från slutpunkt till slutpunkt som uppfyller ITAR-kraven. Microsoft inspekterar, godkänner eller övervakar inte dina program som distribueras i Azure eller Azure Government.

DoE 10 CFR Del 810

USA:s energidepartements (DoE) exportkontrollförordning 10 CFR Del 810 implementerar avsnitt 57b.(2) i Atomenergilagen från 1954(AEA), ändrad genom avsnitt 302 i Icke-spridningslagen från 1978 (NNPA). Det administreras av National Nuclear Security Administration (NNSA). Den reviderade del 810 (slutregeln) trädde i kraft den 25 mars 2015 och kontrollerar bland annat exporten av oklassificerad kärnteknik och stöd. Det möjliggör fredlig kärnhandel genom att bidra till att säkerställa att kärnteknik som exporteras från Förenta staterna endast kommer att användas för fredliga ändamål. I punkt 810.7 b anges att ett särskilt DoE-tillstånd krävs för att tillhandahålla eller överföra känslig kärnteknik till alla utländska enheter.

Azure Government kan hjälpa dig att uppfylla dina exportkontrollkrav för DoE 10 CFR del 810 eftersom det är utformat för att implementera specifika kontroller som begränsar åtkomsten till information och system till amerikanska personer bland Azure-driftpersonal. Om du distribuerar data till Azure Government ansvarar du för din egen säkerhetsklassificeringsprocess. Avseende data som omfattas av DoE-exportkontroller utökas klassificeringssystemet av Unclassified Controlled Nuclear Information (UCNI)-kontrollerna som fastställs i avsnitt 148 i AEA. Mer information om Azure-stöd för DoE 10 CFR del 810 finns i Azure DoE 10 CFR Del 810 efterlevnadserbjudande.

NRC 10 CFR Del 110

Nuclear Regulatory Commission (NRC) ansvarar för export och import av kärnteknisk utrustning och kärnmaterial enligt 10 CFR del 110 exportkontrollbestämmelser. Nrc reglerar export och import av kärntekniska anläggningar och tillhörande utrustning och material. NRC reglerar inte kärnteknik och hjälp relaterad till dessa objekt, som ligger under DoE-jurisdiktionen. Därför skulle NRC 10 CFR Del 110-reglerna inte gälla för Azure eller Azure Government.

OFAC-sanktionslagar

Kontoret för kontroll av utländska tillgångar (OFAC) ansvarar för att administrera och genomdriva ekonomiska sanktioner och handelssanktioner baserade på USA:s utrikespolitik och nationella säkerhetsmål mot riktade utländska länder/regioner, terrorister, internationella narkotikahandlare och de enheter som bedriver verksamhet som rör spridning av massförstörelsevapen.

OFAC definierar förbjudna transaktioner som handel eller finansiella transaktioner och andra affärer där amerikanska personer inte får engagera sig om de inte är auktoriserade av OFAC eller uttryckligen undantagna enligt lag. För webbaserade interaktioner, se Vanliga frågor och svar nr 73 för allmän vägledning som släppts av OFAC, som till exempel anger att "Företag som underlättar eller ägnar sig åt e-handel bör göra sitt bästa för att känna sina kunder direkt."

Som anges i Microsoft Online Services Terms Data Protection Addendum (DPA), "Microsoft kontrollerar eller begränsar inte de regioner från vilka kundens eller kundens slutanvändare kan komma åt eller flytta kunddata." För Microsofts onlinetjänster utför Microsoft due diligence för att förhindra transaktioner med entiteter från OFAC-embargoländer/regioner. Till exempel får ett sanktionerat mål inte tillhandahålla Azure-tjänster. OFAC har inte utfärdat någon vägledning, till exempel vägledningen från BIS för EAR som gör skillnad mellan molntjänstleverantörer och kunder när det gäller export. Därför är det ditt ansvar att undanta sanktionsmål från onlinetransaktioner som involverar dina program, inklusive webbplatser, som distribueras i Azure. Microsoft blockerar inte nätverkstrafik till dina webbplatser som distribueras i Azure. Även om OFAC nämner att kunder kan begränsa åtkomsten baserat på IP-tabellintervall, erkänner de också att den här metoden inte helt åtgärdar internets företagsefterlevnadsrisker. DÄRFÖR rekommenderar OFAC att e-handelsföretag ska känna till sina kunder direkt. Microsoft ansvarar inte för och har inte möjlighet att känna direkt till slutanvändarna som interagerar med dina program som distribueras i Azure.

OFAC-sanktioner är på plats för att förhindra genomförandet av affärer med en sanktionsbelagd enhet, det vill säga förhindra transaktioner som involverar handel, betalningar, finansiella instrument och så vidare. OFAC-sanktioner är inte avsedda att hindra en invånare i ett förskrivet land/en viss region från att visa en offentlig webbplats.

Hantera exportkontrollkrav

Möjlighet att styra dataplatsen – Du har insyn i var dina data lagras och robusta verktyg för att begränsa datalagringen till ett enskilt geografiskt område eller land/region. Du kan till exempel se till att data lagras i USA eller ditt valfritt land/din region och minimera överföringen av kontrollerad teknik/tekniska data utanför mållandet/målregionen. Dina data lagras inte avsiktligt på en plats som inte överensstämmer med EAR- och ITAR-reglerna.
Kryptering från slutpunkt till slutpunkt – Innebär att data alltid hålls krypterade mellan upphovsgivaren och den avsedda mottagaren, och dekrypteringsmedlet tillhandahålls inte till någon tredje part. Azure förlitar sig på FIPS 140-verifierade kryptografiska moduler i det underliggande operativsystemet och ger dig många alternativ för kryptering av data under överföring och i vila, inklusive hantering av krypteringsnycklar med Hjälp av Azure Key Vault. Key Vault-tjänsten kan lagra krypteringsnycklar i FIPS 140-verifierade maskinvarusäkerhetsmoduler (HSM: er) under din kontroll, även kallade kundhanterade nycklar (CMK). Azure Key Vault är utformat, distribuerat och drivs så att Microsoft och dess agenter inte ser eller extraherar dina kryptografiska nycklar.
Kontroll över åtkomst till data – Du kan känna till och styra vem som kan komma åt dina data och på vilka villkor. Microsofts tekniska supportpersonal behöver inte och har inte standardåtkomst till dina data. För de sällsynta instanser där det krävs förhöjd åtkomst till dina data för att lösa dina supportförfrågningar, ger Customer Lockbox för Azure dig ansvaret för att godkänna eller neka begäranden om dataåtkomst.
Verktyg och protokoll för att förhindra obehörig bedömd export/återexport – Förutom EAR- och ITAR-kryptering från slutpunkt till slutpunkt för fysiska lagringsplatser, hjälper användningen av kryptering också till att skydda mot en potentiell bedömd export, eller bedömd återexport, eftersom även om en person som inte är från USA har åtkomst till de krypterade uppgifterna avslöjas ingenting för icke-amerikanska personer som inte kan läsa eller förstå de krypterade uppgifterna, och därför sker inget utlämnande av kontrollerade data. ITAR kräver dock viss auktorisering innan utländska personer beviljas åtkomstinformation som gör det möjligt för dem att dekryptera itar-tekniska data. Azure erbjuder en mängd olika krypteringsfunktioner och lösningar, flexibilitet att välja bland krypteringsalternativ och robusta verktyg för att hantera kryptering.

Plats för kunddata

Microsoft tillhandahåller starka kundåtaganden när det gäller molntjänsters datahemvist och överföringsprinciper. De flesta Azure-tjänster distribueras regionalt och gör att du kan ange i vilken region tjänsten ska distribueras, till exempel USA. Det här åtagandet hjälper till att säkerställa att kunddata som lagras i en amerikansk region kommer att finnas kvar i USA och inte flyttas till en annan region utanför USA.

Datakryptering

Azure har omfattande stöd för att skydda dina data med hjälp av datakryptering, inklusive olika krypteringsmodeller:

Kryptering på serversidan som använder tjänsthanterade nycklar, kundhanterade nycklar (CMK) i Azure eller CMK i kundkontrollerad maskinvara.
Kryptering på klientsidan som gör att du kan hantera och lagra nycklar lokalt eller på en annan säker plats.

Datakryptering ger isoleringsgarantier som är direkt kopplade till krypteringsnyckelåtkomst. Eftersom Azure använder starka chiffer för datakryptering kan endast entiteter med åtkomst till krypteringsnycklar ha åtkomst till data. Om du återkallar eller tar bort krypteringsnycklar blir motsvarande data otillgängliga.

FIPS 140-validerad kryptografi

Federal Information Processing Standard (FIPS) 140 är en amerikansk myndighetsstandard som definierar minimikrav för krypteringsmoduler i informationsteknikprodukter. Den aktuella versionen av standarden FIPS 140-3 har säkerhetskrav som omfattar 11 områden som rör design och implementering av en kryptografisk modul. Microsoft har ett aktivt åtagande att uppfylla FIPS 140-kraven och har verifierat kryptografiska moduler sedan standarden infördes 2001. Microsoft validerar sina kryptografiska moduler under US National Institute of Standards and Technology (NIST) Cryptographic Module Validation Program (CMVP). Flera Microsoft-produkter, inklusive många molntjänster, använder dessa kryptografiska moduler.

Medan den nuvarande cmvp FIPS 140-implementeringsvägledningen utesluter en FIPS 140-validering för en molntjänst, kan molntjänstleverantörer hämta och använda FIPS 140-verifierade kryptografiska moduler för de databehandlingselement som utgör deras molntjänster. Azure är byggt med en kombination av maskinvara, kommersiellt tillgängliga operativsystem (Linux och Windows) och Azure-specifik version av Windows. Via Microsoft Security Development Lifecycle (SDL) använder alla Azure-tjänster FIPS 140-godkända algoritmer för datasäkerhet eftersom operativsystemet använder FIPS 140-godkända algoritmer vid drift i ett moln i hyperskala. Motsvarande kryptomoduler är FIPS 140 verifierade som en del av Microsoft Windows FIPS-valideringsprogrammet. Dessutom kan du lagra dina egna kryptografiska nycklar och andra hemligheter i FIPS 140-verifierade maskinvarusäkerhetsmoduler (HSM).

Hantering av krypteringsnycklar

Korrekt skydd och hantering av krypteringsnycklar är viktigt för datasäkerheten. Azure Key Vault är en molntjänst för säker lagring och hantering av hemligheter. Med Key Vault kan du lagra dina krypteringsnycklar i maskinvarusäkerhetsmoduler (HSM:er) som är FIPS 140-verifierade. Mer information finns i Datakrypteringsnyckelhantering.

Datakryptering under överföring

Azure tillhandahåller många alternativ för att kryptera data under överföring. Datakryptering under överföring isolerar nätverkstrafiken från annan trafik och skyddar data från avlyssning. Mer information finns i Datakryptering under överföring.

Datakryptering vid lagring

Azure erbjuder omfattande alternativ för kryptering av vilande data som hjälper dig att skydda dina data och uppfylla dina efterlevnadsbehov med hjälp av både Microsoft-hanterade krypteringsnycklar och kundhanterade krypteringsnycklar. Den här processen förlitar sig på flera krypteringsnycklar och tjänster som Azure Key Vault och Microsoft Entra ID för att säkerställa säker nyckelåtkomst och centraliserad nyckelhantering. Mer information om Azure Storage-kryptering och Azure Disk-kryptering finns i Vilande datakryptering.

Azure SQL Database tillhandahåller transparent datakryptering (TDE) i vila som standard. TDE utför krypterings- och dekrypteringsåtgärder i realtid på data- och loggfilerna. Databaskrypteringsnyckel (DEK) är en symmetrisk nyckel som lagras i databasens startpost för tillgänglighet under återställningen. Det skyddas via ett certifikat som lagras i serverns huvuddatabas eller en asymmetrisk nyckel med namnet TDE Protector som lagras under din kontroll i Azure Key Vault. Key Vault stöder BYOK (Bring Your Own Key), som gör att du kan lagra TDE-skyddet i Key Vault och kontrollera nyckelhanteringsuppgifter, inklusive nyckelrotation, behörigheter, borttagning av nycklar, aktivering av granskning/rapportering av alla TDE-skydd och så vidare. Nyckeln kan genereras av Key Vault, importeras eller överföras till Key Vault från en lokal HSM-enhet. Du kan också använda funktionen Always Encrypted i Azure SQL Database, som är särskilt utformad för att skydda känsliga data genom att du kan kryptera data i dina program och aldrig avslöja krypteringsnycklarna för databasmotorn. På så sätt ger Always Encrypted separation mellan de användare som äger data och kan visa dem och de användare som hanterar data men som inte bör ha någon åtkomst.

Begränsningar för insideråtkomst

Alla Azure- och Azure Government-anställda i USA omfattas av Microsofts bakgrundskontroller. Mer information finns i Screening.

Insiderhot kännetecknas av möjligheten att tillhandahålla bakdörrsanslutningar och privilegierad administratörsåtkomst till dina system och data för molntjänstleverantören (CSP). Mer information om hur Microsoft begränsar insideråtkomst till dina data finns i Begränsningar för insideråtkomst.

Övervaka dina Azure-resurser

Azure tillhandahåller viktiga tjänster som du kan använda för att få djupgående inblick i dina etablerade Azure-resurser och få aviseringar om misstänkt aktivitet, inklusive externa attacker som riktas mot dina program och data. Mer information om dessa tjänster finns i Kundövervakning av Azure-resurser.

Slutsats

Du bör noggrant utvärdera hur din användning av Azure kan blanda in amerikanska exportkontroller och avgöra om någon av de data som du vill lagra eller bearbeta i molnet kan omfattas av exportkontroller. Microsoft Azure tillhandahåller viktiga tekniska funktioner, operativa processer och avtalsmässiga åtaganden som hjälper dig att hantera exportkontrollrisker. När tekniska data som omfattas av amerikanska exportkontroller kan vara inblandade, är Azure konfigurerat för att erbjuda funktioner som hjälper till att minska risken för att du oavsiktligt bryter mot amerikanska exportkontroller när du får åtkomst till kontrollerade tekniska data i Azure. Med lämplig planering kan du använda Azure-funktioner och dina egna interna procedurer för att säkerställa fullständig efterlevnad av amerikanska exportkontroller när du använder Azure-plattformen.

Nästa steg

För att hjälpa dig att navigera i exportkontrollregler har Microsoft publicerat vitboken Microsoft Azure Export Controls , som beskriver amerikanska exportkontroller (särskilt när de gäller för programvara och tekniska data), granskar potentiella källor till exportkontrollrisker och ger specifik vägledning som hjälper dig att bedöma dina skyldigheter enligt dessa kontroller.

Läs mer om:

Feedback

Var den här sidan till hjälp?

Last updated on 2025-04-30