Κέντρο αξιοπιστίας: Πληροφορίες ασφάλειας, προστασίας προσωπικών δεδομένων και συμμόρφωσης για το Office 365 και το Microsoft Dynamics CRM Online

Πρόσβαση με δικαιώματα διαχειριστή

Σας δίνουμε τη δυνατότητα να μάθετε εάν κάποιο άτομο έχει αποκτήσει πρόσβαση στα δεδομένα σας. Γνωρίζουμε ότι στο cloud, η πρόσβαση στα δεδομένα αποτελεί μέγιστο ζήτημα. Αυτό σημαίνει ότι θα πρέπει να γνωρίζετε ότι έχετε τη δυνατότητα πρόσβασης στα δεδομένα σας, όταν τα χρειάζεστε, και εάν κάποιο άλλο άτομο έχει αποκτήσει πρόσβαση σε αυτά.

Ποια είναι η θέση του Office 365 και του Microsoft Dynamics CRM Online όσον αφορά την πρόσβαση σε δεδομένα;

Πώς μπορώ να δω την πρόσβαση με δικαιώματα διαχειριστή σε δεδομένα;

¹ Το περιεχόμενο είναι δεδομένα πελατών για την εμπιστευτικότητα των οποίων οι πελάτες ενδέχεται να έχουν αυξημένες προσδοκίες και αυτό συνεπάγεται ότι, όταν η υπηρεσία χρησιμοποιείται κανονικά, αυτό το περιεχόμενο μεταφέρεται κρυπτογραφημένα μέσω του Internet. Συγκεκριμένα, περιλαμβάνονται τα εξής στοιχεία: Το σώμα και τα συνημμένα μηνυμάτων ηλεκτρονικού ταχυδρομείου του Exchange Online, το περιεχόμενο τοποθεσιών και το σώμα αρχείων του SharePoint Online, η ανταλλαγή άμεσων μηνυμάτων και οι φωνητικές συνομιλίες, καθώς και επιχειρηματικά δεδομένα του CRM σχετικά με τις αλληλεπιδράσεις των τελικών πελατών σας.

² Οι αναφορές καταγράφουν την πρόσβαση με δικαιώματα διαχειριστή από τους συνεργάτες σας στο περιεχόμενό σας που είναι αποθηκευμένο στην υπηρεσία. Δεν καλύπτονται όλα τα σενάρια συνεργατών. Για παράδειγμα, δεν είναι διαθέσιμες αναφορές για μεταπωλητές (σημείο από το οποίο έχει αγοράσει και χρεωθεί τις υπηρεσίες ο πελάτης από το μεταπωλητή), συνεργάτες ACS VOIP προηγμένων υπηρεσιών επικοινωνίας και συσχετισμένες υπηρεσίες, όπως η εταιρεία Research in Motion (για τη φιλοξενούμενη υπηρεσία BlackBerry®), λόγω της φύσης της πρόσβασης στα δεδομένα που έχουν τα εν λόγω μέρη στο πλαίσιο της κανονικής ροής χρήσης των υπηρεσιών.

³ Για μεγάλους εταιρικούς πελάτες που έχουν ενεργοποιήσει το κέντρο διαχείρισης Exchange Online Protection, δεν αναφέρεται η πρόσβαση με δικαιώματα διαχειριστή σε αλληλογραφία τοποθετημένη σε ουρά στο κέντρο διαχείρισης.

Ποιος διαθέτει δικαιώματα διαχειριστή για το Office 365 ή το Microsoft Dynamics CRM Online;

Οι διαχειριστές βάσεων δεδομένων, εξ ορισμού, έχουν πρόσβαση σε όλους τους πόρους σε μια βάση δεδομένων, συμπεριλαμβανομένων των δεδομένων των πελατών.

Χρησιμοποιούμε δεδομένα πελατών αποκλειστικά και μόνο για την παροχή των υπηρεσιών, επομένως η Microsoft απαγορεύει ρητά την πρόσβαση σε δεδομένα πελατών για οποιονδήποτε άλλο σκοπό. Στο πλαίσιο της παροχής των υπηρεσιών, οι διαχειριστές βάσεων δεδομένων μπορούν να έχουν πρόσβαση σε δεδομένα πελατών για δραστηριότητες όπως η εκτέλεση ρυθμίσεων επιδόσεων σε βάσεις δεδομένων ή η μετεγκατάσταση πελατών από μια βάση δεδομένων σε μια άλλη.

Ο ακόλουθος πίνακας περιλαμβάνει αναλυτικά τα διάφορα επίπεδα πρόσβασης για διαφορετικούς διαχειριστές και τύπους δεδομένων:

¹ Άλλα άτομα στη Microsoft ενδέχεται να χρησιμοποιήσουν τα στοιχεία επικοινωνίας των τελικών χρηστών που περιλαμβάνονται στους καταλόγους των πελατών των Office 365 για Επιχειρήσεις, Essentials για Επιχειρήσεις και Premium για Επιχειρήσεις, προκειμένου να επικοινωνούν μαζί τους για διαφημιστικούς λόγους.

Τι κάνει η Microsoft για να υποστηρίξει τα δικαιώματα των πελατών της όσον αφορά την πρόσβαση στα δεδομένα τους; Θα έχουν οι πελάτες πρόσβαση στα δεδομένα τους ανά πάσα στιγμή;

Οι πελάτες μπορούν να αποκτούν πρόσβαση στα δεδομένα τους και να τα ελέγχουν μέσω των τυπικών πρωτοκόλλων και των μηχανισμών πρόσβασης που καθορίζονται στο πλαίσιο των περιγραφών υπηρεσίας.

Με το πέρας της συνδρομής ή χρήσης της υπηρεσίας ενός πελάτη, ο πελάτης μπορεί σε κάθε περίπτωση να εξαγάγει τα δεδομένα του. Οι πλήρεις λεπτομέρειες περιλαμβάνονται στα Δικαιώματα χρήσης των υπηρεσιών Online Services, που αποτελούν την έγκυρη πηγή σχετικά με αυτό το θέμα (οι πελάτες που διαθέτουν Συμβάσεις Enterprise πρέπει να ανατρέξουν στα Δικαιώματα χρήσης προϊόντος). Ωστόσο, για τη διευκόλυνσή σας, οι διατάξεις των Δικαιωμάτων χρήσης των υπηρεσιών Online Service, κατά την τρέχουσα έκδοση του Office 365, περιλαμβάνονται παρακάτω:

Λήξη ή Τερματισμός Ηλεκτρονικής Υπηρεσίας. Με τη λήξη ή τον τερματισμό της συνδρομής της ηλεκτρονικής υπηρεσίας σας, πρέπει να επικοινωνήσετε με τη Microsoft και να μας ενημερώσετε εάν θέλετε:

•(1) να απενεργοποιήσετε το λογαριασμό σας και έπειτα να διαγράψετε τα δεδομένα πελατών ή

•(2) να διατηρήσετε τα δεδομένα πελατών σας σε ένα λογαριασμό περιορισμένης λειτουργίας για τουλάχιστον 90 ημέρες μετά τη λήξη ή τον τερματισμό της συνδρομής σας (η "περίοδος διατήρησης"), ώστε να μπορείτε να εξαγάγετε τα δεδομένα.

•Εάν επιλέξετε το (1), δεν θα μπορείτε να εξαγάγετε τα δεδομένα πελατών από το λογαριασμό σας. Εάν δεν επιλέξετε ούτε το (1) ούτε το (2), θα διατηρήσουμε τα δεδομένα πελατών σύμφωνα με την επιλογή (2).

• Μετά τη λήξη της περιόδου διατήρησης, θα απενεργοποιήσουμε το λογαριασμό σας και έπειτα θα διαγράψουμε τα δεδομένα των πελατών σας. Θα πραγματοποιήσουμε εκκαθάριση των προσωρινών αποθηκευμένων αντιγράφων ή των αντιγράφων ασφαλείας εντός 30 ημερών από τη λήξη της περιόδου διατήρησης.

Η Microsoft παρέχει πολλαπλές ειδοποιήσεις πριν από τη διαγραφή των δεδομένων πελατών, ώστε οι πελάτες να είναι ενήμεροι και να τους υπενθυμίζεται η προσεχής διαγραφή των δεδομένων, εάν δεν προβούν στις απαραίτητες ενέργειες εντός του καθορισμένου χρονικού πλαισίου.

Στο βαθμό που ένας πελάτης χρειάζεται βοήθεια στην ικανοποίηση αιτήσεων προστασίας προσωπικών δεδομένων, όπως απαιτείται από το νόμο, στο πλαίσιο πολλαπλών συμβάσεων, οι πελάτες μπορούν να επικοινωνούν με την Υποστήριξη Πελατών της Microsoft για βοήθεια σχετικά με την πρόσβαση, την αλλαγή, τη διαγραφή ή τον αποκλεισμό των δεδομένων πελατών. Οι αιτήσεις που δεν μπορούν να ικανοποιηθούν μέσω των τυπικών εργαλείων και διαδικασιών ενδέχεται να υπόκεινται σε πρόσθετη χρέωση.

Πώς μπορώ να είμαι βέβαιος ότι έχει εκχωρηθεί πρόσβαση με δικαιώματα διαχειριστή μόνο στους εξουσιοδοτημένους χρήστες για την εκπλήρωση των επαγγελματικών τους υποχρεώσεων;

Όλα τα μέλη του προσωπικού των Office 365 και Microsoft Dynamics CRM Online είναι υπόλογα για τον τρόπο διαχείρισης των δεδομένων των πελατών, καθώς η πρόσβαση στα δεδομένα των Office 365 και Microsoft Dynamics CRM Online εκχωρείται με τέτοιο τρόπο ώστε να είναι δυνατός ο εντοπισμός ενός μοναδικού χρήστη.

Με άλλα λόγια, η υπευθυνότητα επιβάλλεται μέσω ενός συνόλου ελέγχων του συστήματος, όπου συμπεριλαμβάνονται η χρήση μοναδικών ονομάτων χρηστών, έλεγχοι πρόσβασης σε δεδομένα και γενικότερος έλεγχος. Αντί των γενικών ονομάτων χρηστών, όπως "Επισκέπτης" ή "Διαχειριστής", χρησιμοποιούνται μοναδικά ονόματα χρηστών για την επιβολή της υπευθυνότητας, καθώς οι ενέργειες ενός εκάστοτε χρήστη αποδίδονται σε συγκεκριμένο πρόσωπο (αυτό αναφέρεται ως "σύνδεση"). Για την περαιτέρω ενίσχυση αυτής της σύνδεσης χρησιμοποιούνται επίσης έλεγχος ταυτότητας δύο παραγόντων, όπως συνδέσεις έξυπνης κάρτας που χρησιμοποιούν ψηφιακά πιστοποιητικά ή διακριτικά RSA.

Η Microsoft εφαρμόζει αυστηρούς ελέγχους για τους ρόλους χρηστών και τους χρήστες στους οποίους θα εκχωρείται πρόσβαση στα δεδομένα πελατών. Η πρόσβαση μελών του προσωπικού στα συστήματα IT όπου είναι αποθηκευμένα δεδομένα πελατών ελέγχεται αυστηρά μέσω διαδικασιών ελέγχου πρόσβασης βάσει ρόλων (RBAC) και θυρίδων [Αγγλικά] . Ο έλεγχος πρόσβασης είναι μια αυτοματοποιημένη διαδικασία στην οποία τηρείται η αρχή διαχωρισμού των καθηκόντων και η αρχή της εκχώρησης ελάχιστων δικαιωμάτων. Αυτή η διαδικασία διασφαλίζει ότι οι μηχανικοί που ζητούν πρόσβαση σε αυτά τα συστήματα IT πληρούν τις κατάλληλες προϋποθέσεις, όπως οθόνη ιστορικού, έλεγχοι δακτυλικών αποτυπωμάτων, απαιτούμενη εκπαίδευση σε θέματα ασφάλειας και εγκρίσεις πρόσβασης . Επιπλέον, τα επίπεδα πρόσβασης εξετάζονται σε περιοδική βάση, ώστε να διασφαλίζεται ότι μόνο οι χρήστες με κατάλληλη επαγγελματική αιτιολογία θα έχουν πρόσβαση στα συστήματα.

Η πρόσβαση των χρηστών σε δεδομένα περιορίζεται επίσης από το ρόλο χρήστη. Για παράδειγμα, στους διαχειριστές συστημάτων δεν εκχωρείται πρόσβαση με δικαιώματα διαχειριστή σε βάσεις δεδομένων.

Ποιοι έλεγχοι εφαρμόζονται για τον περιορισμό της φυσικής πρόσβασης στα δεδομένα μου;

Όλα τα κέντρα δεδομένων των Office 365 και Microsoft Dynamics CRM Online διαθέτουν βιομετρικά συστήματα ελέγχου πρόσβασης, όπου στην πλειονότητα των κέντρων δεδομένων τα οποία χρησιμοποιούνται για την παροχή των υπηρεσιών του Office 365 και του Microsoft Dynamics CRM Online, απαιτούνται αποτυπώματα παλάμης για να επιτραπεί η φυσική πρόσβαση σε αυτά τα κέντρα δεδομένων.

Για τη φυσική πρόσβαση στα κέντρα δεδομένων των υπηρεσιών Office 365 και Microsoft Dynamics CRM Online εφαρμόζεται έλεγχος ταυτότητας δύο επιπέδων, όπου περιλαμβάνονται συσκευές ανάγνωσης για εξουσιοδοτημένη πρόσβαση με κάρτα (απαιτείται πρόσβαση με κάρτα) και βιομετρικές συσκευές ανάγνωσης γεωμετρίας χεριού.

Σε τριμηνιαία βάση, ο υπεύθυνος ασφαλείας της Microsoft αποστέλλει αναφορές στο εξουσιοδοτημένο προσωπικό το οποίο είναι αρμόδιο να εγκρίνει την πρόσβαση στα κέντρα δεδομένων. Οι αναφορές περιέχουν τη λίστα των ατόμων που έχουν πρόσβαση στα κέντρα δεδομένων τη δεδομένη χρονική στιγμή. Το εξουσιοδοτημένο προσωπικό ελέγχει τη λίστα για να διασφαλίσει ότι όλα τα άτομα εξακολουθούν να χρειάζονται πρόσβαση και χρησιμοποιούν το επίπεδο πρόσβασης με τα ελάχιστα δικαιώματα που απαιτούνται για την εκτέλεση των επαγγελματικών καθηκόντων τους.

Για πρόσθετες πληροφορίες σχετικά με τον τρόπο προσέγγισης των δεδομένων πελατών από το Office 365 ή/και το Microsoft Dynamics CRM Online, ανατρέξτε στις Οδηγίες προστασίας προσωπικών δεδομένων για την ανάπτυξη προϊόντων και υπηρεσιών της Microsoft, στη Λευκή βίβλο ασφαλείας του Office 365, στον Οδηγό ασφάλειας και εύρυθμης λειτουργίας του Microsoft Dynamics CRM Online και στη Λευκή βίβλο προστασίας προσωπικών δεδομένων των υπηρεσιών Microsoft Online Services.

Ποιον τύπο έρευνας ατομικού ιστορικού εκτελεί η Microsoft για τα άτομα στα οποία εκχωρούνται δικαιώματα διαχειριστή;

Όλοι οι εργαζόμενοι στη Microsoft με έδρα στις Η.Π.Α. πρέπει να ολοκληρώσουν επιτυχώς μια τυπική εξέταση ατομικού ιστορικού ως μέρος της διαδικασίας πρόσληψης.

Οι έλεγχοι ατομικού ιστορικού περιλαμβάνουν την εξέταση πληροφοριών που σχετίζονται με την εκπαίδευση, την απασχόληση και το ποινικό μητρώο ενός υποψηφίου. Εκτός από τον τυπικό έλεγχο ατομικού ιστορικού που εφαρμόζεται σε όλα τα νέα μέλη του προσωπικού της Microsoft, τα νέα και τα υφιστάμενα μέλη του προσωπικού, τα οποία έχουν πρόσβαση στα δεδομένα πελατών ή διαχειρίζονται βασικά στοιχεία ελέγχου φυσικής και λογικής πρόσβασης, πρέπει να υποβάλλονται σε ελέγχους βάσει λιστών ελέγχου εξαγωγών. (Οι λίστες ελέγχου εξαγωγών περιλαμβάνουν τις εξής: OFAC (Office of Foreign Assets Control List - Λίστα ελέγχου της διεύθυνσης απαιτήσεων κατά οφειλετών στο εξωτερικό), BIS (Bureau of Industry and Security List - Λίστα του γραφείου βιομηχανίας και ασφαλείας) και DDTC (Office of Defense Trade Controls Debarred Persons - Λίστα της διεύθυνσης ελέγχων εμπορίου αμυντικών συστημάτων η οποία περιλαμβάνει πρόσωπα στα οποία απαγορεύεται η είσοδος στη χώρα).)

Επίσης, ενδέχεται να εφαρμόζονται πρόσθετοι έλεγχοι πληροφοριών και ατομικού ιστορικού, για παράδειγμα έλεγχοι υπηκοότητας και δακτυλικών αποτυπωμάτων, εάν η αίτηση πρόσβασης σχετίζεται με υπηρεσίες που παρέχουμε σε πελάτες με εξειδικευμένες απαιτήσεις (για παράδειγμα, την ομοσπονδιακή κυβέρνηση των Η.Π.Α.).

Για την προστασία των προσωπικών δεδομένων των εργαζομένων της, η Microsoft δεν κοινοποιεί στους πελάτες τα αποτελέσματα των ελέγχων ατομικού ιστορικού.

Πρόσθετοι πόροι

•Οδηγός ασφάλειας και εύρυθμης λειτουργίας του Microsoft Dynamics CRM Online [Αγγλικά]

•Ασφάλεια στο Office 365 (λευκή βίβλος ) [Αγγλικά]