GDPR 規定的 Office 365 資料外洩通知
身為資料處理者，Office 365可確保我們的客戶能夠以資料控制者身分符合 GDPR 的缺口通知需求。 為此，我們致力於下列動作：
- 為客戶提供指定專用隱私權連絡人的能力，一旦出現違規行為，該連絡人將得到通知。 客戶可以使用訊息中心的隱私權讀取者角色設定指定此連絡人。
- 在宣告個人資料外洩後 72 小時內通知客戶。 通知將發佈到 [訊息中心]，該中心可透過 Microsoft 365 系統管理中心存取。 第二，電子郵件通知被傳送到指定的連絡人，表示新訊息中心文章已經發佈。
- 初始通知至少會包含缺口本質的描述、使用者影響的近似值，以及在適用時 (風險降低步驟) 。 如果我們在初始通知時未完成調查，我們會在初始通知中指出後續通訊的後續步驟和時程表
Microsoft 認為資料控制者負責進行風險評估，並判斷缺口是否需要客戶 DPA 的通知，而我們向客戶的通知會提供進行該評估所需的資訊。 因此，Microsoft 會通知客戶任何個人資料外泄，但確認個人資料無法理解的情況除外 (例如，已確認金鑰完整性的加密資料) 。
Office 365 在資料安全性中的投資
我們除了致力於提供資料外洩的即時通知外，Office 365 在系統、處理程序及人員上也花費許多心思，為求降低個人資料外洩的可能性，以及在資料外洩發生時進行快速偵測，並降低其造成的傷害。
以下是我們在此領域的一些投資描述：
存取控制系統] 。 Office 365維持「零起始存取權」原則，這表示工程師無法存取服務，除非明確授與服務以回應需要提高存取權的特定事件。 每當授與存取權時，都會根據最低許可權原則來完成：授與特定要求的許可權僅允許服務該要求所需的最少動作集。 若要這樣做，Office 365維持「提高許可權角色」之間的嚴格區隔，每個角色只允許採取特定預先定義的動作。 「存取客戶資料」角色不同于其他較常用來管理服務的角色，且在核准之前會最嚴格地加以檢查。 結合在一起，這些對存取控制的投資可大幅降低工程師Office 365不當存取客戶資料的可能性。
安全性監視系統和自動化：Office 365維護健全的即時安全性監視系統。 除了其他問題之外，這些系統會針對嘗試非法存取客戶資料，或是嘗試從我們的服務中非法傳輸資料發出警示。 與先前提到的存取控制點相關，我們的安全性監視系統會維護所提出提高許可權要求的詳細記錄，以及針對指定提高許可權要求所採取的動作。 Office 365也會維護自動解決投資，這些投資會自動採取行動來降低威脅，以回應我們偵測到的問題，以及專用小組來回應無法自動解決的警示。 為了驗證我們的安全性監視系統，Office 365定期執行紅色小組練習，讓內部滲透測試小組模擬即時環境中的攻擊者行為。 這些練習可定期改善我們的安全性監視和回應功能。
人員和程式：除了先前所述的自動化之外，Office 365維護負責教育更廣泛的組織隱私權和事件管理程式，以及在缺口期間執行這些程式的程式和小組。 例如，SOP) (詳細隱私權缺口標準操作程式會維護並與整個組織的小組共用。 此 SOP 詳細說明Office 365和集中式安全性事件回應小組內個別小組的角色和責任。 這些責任涵蓋小組需要執行哪些動作來改善自己的安全性狀態 (進行安全性檢閱、與中央安全性監視系統整合，以及其他最佳做法) ，以及如果實際缺口 (事件回應的快速呈報，則需要執行哪些動作、維護並提供將用來加速回應程式) 的特定資料來源。 小組也會定期訓練資料分類，以及個人資料的正確處理和儲存程式。
重點在於Office 365強烈投資來降低個人資料外泄影響客戶的可能性和後果。 如果確實發生個人資料外泄，我們承諾在確認外泄後快速通知客戶。
發生資料外洩時的預期行為
上述章節說明Office 365為了降低資料外泄可能性所採取的投資。 在發生缺口的不太可能情況下，客戶應該預期下列回應會有可預測的體驗：
Office 365內一致的事件回應生命週期。 如上所述，Office 365維護詳細的事件回應 SOP，描述小組應如何準備缺口，以及在發生缺口時應如何運作。 這可確保我們的保護和程式適用于整個服務。
通知客戶的一致準則。 我們的通知準則著重于客戶資料的機密性、完整性和可用性。 如果客戶資料的機密性或完整性受到影響，Office 365會直接通知客戶。 也就是說，我們會在未經適當授權的情況下存取客戶的資料，或資料遭到不當解構或遺失時通知客戶。 Office 365也會回報影響資料可用性的問題，雖然此動作通常是透過服務健康狀態儀表板 (SHD) 來完成。
一致的通知詳細資料。 當Office 365與資料外泄相關通訊時，客戶可以預期會傳達特定詳細資料：我們至少會提供下列詳細資料：
- 發生資料外洩和發現資料外洩的時間
- 受影響的大約使用者數目
- 已外洩的使用者資料類型
- 降低資料外洩影響的必要動作 (由控制者或處理者執行)
客戶也應該注意，Office 365身為資料處理者，將不會判斷資料外泄的風險。 每當偵測到個人資料外泄時，我們會通知客戶，並提供他們所需的詳細資料，以正確判斷受影響使用者的風險，以及決定是否需要進一步向監管機關報告。 為此，資料控制器應該會判斷下列事件的相關資訊：
- 資料外洩嚴重性 (也就是風險判斷)
- 是否需要通知終端使用者
- 是否需要通知法規機構 (DPA)
- 控制者為降低資料外洩產生的影響，而採取的特定動作
連絡 Microsoft
在某些情況下，客戶可能會察覺到缺口，並可能想要通知 Microsoft。 目前的通訊協定可供客戶通知Microsoft 支援服務，然後與工程小組介面以取得詳細資訊。 在此案例中，Microsoft 工程團隊同樣致力於透過其支援連絡人及時提供客戶所需的資訊。
建議客戶執行的動作
如先前所述，Microsoft 365 致力於在入侵宣告的 72 小時內通知客戶。 客戶的租使用者系統管理員將會收到通知。 此外，Microsoft 365 建議客戶將一或多個個人指定為訊息中心隱私權讀者，這可以在Microsoft 365 系統管理中心中完成。 發生個人資料外泄時，獲指派訊息中心隱私權讀取者角色的資源將能夠存取訊息中心，以查看相關的隱私權通知，而且根據其訊息中心喜好設定，可能會收到相關電子郵件。
如需詳細資訊，請參閱：