セキュリティ センター: Office 365 と Microsoft Dynamics CRM Online のセキュリティ、プライバシー、および法令遵守の情報
管理アクセス
お客様は、自身のデータにアクセスした人がいるかどうか確認することができます。マイクロソフトは、お客様にとってのクラウドの主な懸念事項がデータ アクセスであることを承知しております。これは、お客様が必要に応じてデータにアクセスできるようにすること、他の何者かがお客様のデータにアクセスしたかどうかを分かるようにすることを意味します。
Office 365 と Microsoft Dynamics CRM Online はデータ アクセスにおいてどのような位置付けですか。
お客様のデータへのアクセスに関して、マイクロソフトは以下の立場をとりします。
• お客様は自身のデータにいつでもアクセスできます。
• お客様データへのアクセスは、厳しく管理されてログに記録されます。また、アクセスがビジネス上の適切な目的に限って行われていることを証明するために、マイクロソフトと第三者によりサンプル監査が行われます。
• マイクロソフトは、Exchange Online のメール本文や SharePoint Online チーム サイトのコンテンツなど、お客様のコンテンツ1 がきわめて重要であることを認識しています。マイクロソフト担当者、パートナー2 、またはお客様の管理者が、本サービスに保管されているお客様のコンテンツにアクセスした場合は、所有者以外のメールボックス アクセスのレポート* または社外管理者監査ログを実行して、アクセスに関するレポートを取得できます。この 2 種類のレポートを使って、データがいつアクセスされたかを知ることができます。
• Exchange 管理センター (EAC) の所有者以外のメールボックス アクセスのレポート* には、メールボックスの所有者以外によってアクセスされたメールボックスの一覧が表示されます。メールボックスが所有者以外によってアクセスされると、Microsoft Exchange では、メールボックス監査ログに記録されます。このログは、監査対象のメールボックスの隠しフォルダーにメール メッセージとして保存されます。メールボックス監査ログのエントリは、既定では 90 日間保持されます。
*所有者以外のメールボックス アクセスのレポートを実行する各メールボックスに対して、メールボックス監査ログを有効にする必要があります。メールボックス監査ログが有効に設定されていないと、レポートを実行しても結果が得られません。
詳細については、「 所有者以外のメールボックス アクセスのレポートの実行の詳細情報 」を参照してください。
• 管理者監査ログには、管理者と管理者の特権が割り当てられたユーザーによって実行された特定の操作が記録されます。EAC を使って、マイクロソフトの管理者や代理管理者によって実行された操作を記録した管理者監査ログの検索やエントリの表示ができます。
詳細については、「 データ センター管理者の監査ログを表示する方法の詳細 」を参照してください。
• Azure Active Directory Premium は、ID 管理やアクセス制御機能を提供する Office 365 の ID プラットフォームです。Azure Active Directory の機能には、ディレクトリ データ用のクラウドベース ストアと、ユーザー ログイン プロセス、認証サービス、フェデレーション サービスなどの ID サービスのコア セットが含まれています。
アクセス レポートや使用状況レポートを使って、組織の Azure Active Directory (AD) テナントの整合性やセキュリティ情報を表示する方法については、 こちら記事をご確認ください 。
データへの管理アクセスを確認する方法はありますか。
サービス | 追跡するアクティビティ | 手順 |
Office 365 および Dynamics CRM Online | ユーザーのポータル作成、パスワードのリセット | |
Exchange Online | Exchange メールボックスへのアクセス 3 | Exchange コントロール パネルにアクセスします ( Office 365 Online ポータル の [管理の概要] ページにあるリンクを使用します。ログインが必要になります) |
SharePoint Online | SharePoint サイト、記憶域へのアクセス | |
Microsoft Dynamics CRM Online | CRM コンテンツへのアクセス |
1 コンテンツとは、お客様が機密性を強く求めるデータであり、サービスの通常の使用時に暗号化されてインターネット上を転送されるデータのことです。具体的に挙げると、Exchange Online のメール本文と添付ファイル、SharePoint Online サイトのコンテンツやファイル本体、インスタント メッセージングや音声会話、お客様のエンド カスタマーのやり取りに関する CRM のビジネス データなどがあります。
2 レポートには、サービスに保存されるお客様のコンテンツに対するお客様のパートナーの管理アクセスが含まれます。すべてのパートナー シナリオが対象となるわけではありません。たとえば、リセラー (お客様のサービス購入元となり、料金の請求元となるリセラー)、高度データ通信サービス VOIP パートナー、および Research in Motion などの関連サービス (ホストされた BlackBerry® サービス用) に関するレポートは、通常のサービス使用におけるデータへのアクセスの性質上、提供されません。
3 Exchange Online Protection 管理センターに対応した企業のお客様については、管理センターのキューにあるメールの管理アクセスは報告されません。
Office 365 または Microsoft Dynamics CRM Online の管理者権限を持つのは誰ですか。
マイクロソフトのデータベース管理者は定義上、お客様データを含める、データベース上のすべてのリソースにアクセスする権限を持ちます。
お客様データは、サービス提供のためにのみ使用されるため、マイクロソフトでは他のいかなる目的でもお客様データへのアクセスは厳しく禁止しています。サービス提供の一部として、データベース管理者は、データベースのパフォーマンス チューニングやお客様データのデータベース間での移行などの作業のため、お客様データにアクセスする場合があります。
以下の表は、管理者とデータの種類に応じたアクセス権限のレベルを示しています。
管理者 | お客様データ (コンテンツを除く) | コンテンツ |
運用対応チーム (主要な担当者のみ) | ○ (必要に応じて) | ○ (例外的に) |
サポート組織 | ○ (サポート問い合わせへの対処に必要な場合のみ) | × |
エンジニアリング | × (直接アクセス不可。トラブルシューティングの際は転送可能な場合あり) | × |
パートナー | お客様の許可が必要(詳しくはパートナーにお問い合わせください) | お客様の許可が必要(詳しくはパートナーにお問い合わせください) |
マイクロソフトの他の従業員 | ×1 | × |
1 マイクロソフトの他の従業員が Office 365 Business、Office 365 Business Essentials、Office 365 Business Premium のお客様のディレクトリで指定されたエンド ユーザーの連絡先情報を使って、エンド ユーザーに販売促進を目的としたメールを送る場合があります。
自分のデータにアクセスするという顧客自身の権限をマイクロソフトはどのようにサポートしますか。顧客は自身のデータにいつでもアクセスできますか。
お客様は、標準のプロトコルおよびサービスの説明で定義されているアクセス機構を通して、自身のデータにアクセスし、管理することができます。
自身のサービスのサブスクリプションまたは使用が終了するときは、自身のデータをエクスポートできます。詳細は、本項に対して権限のあるソースであるオンライン サービス使用権説明書に記されています (Enterprise Agreement のお客様は、製品使用権説明書をお読みください)。便宜上、以下に現行リリースの Office 365 のオンライン サービス使用権説明書の条項を記載します。
オンライン サービス満了または終了。 オンライン サービス サブスクリプションの満了時または終了時には、お客様はマイクロソフトに以下を連絡する必要があります。
•(1) アカウントを無効にして、お客様データを削除する。または、
•(2) サブスクリプションの満了または終了の後もデータを取得できるように、少なくとも 90 日間 ("保持期間")、機能が制限されたアカウントにお客様データを保持する。
•(1) を選択された場合、お客様はアカウントからデータを取得できません。お客様がマイクロソフトに (1) と (2) のいずれも連絡されなかった場合は、マイクロソフトは (2) に従って、お客様データを保持します。
• 保持期間の満了後、マイクロソフトはお客様のアカウントを無効にし、お客様データを削除します。キャッシュされているデータおよびバックアップ コピーは、保持期間後の 30 日以内に完全削除されます。
マイクロソフトはお客様データを削除する前に、繰り返し連絡を差し上げます。これにより、お客様は、規定された期間内に操作を行わなかった場合にデータが削除されることが通知され、注意が喚起されます。
法で必要とされるプライバシー要求への対応のためお客様が支援を必要とする限り、多くの契約においてお客様は、 マイクロソフト カスタマー サポート に問い合わせて、お客様データへのアクセス、変更、削除、またはブロックのための支援を受けることができます。標準のツールまたは手順で対応できない要求に対しては、追加料金が発生することがあります。
職務遂行のため許可されたユーザーのみが管理アクセス権を付与されていることを確認する方法はありますか。
Office 365 と Microsoft Dynamics CRM Online のデータへのアクセス権はユーザー個人まで追跡できる方法で付与されるので、担当者は全員、お客様データの処理に責任を負うことになります。
言い換えると、一意のユーザー名、データ アクセス制御、および監査の使用などを含む一連のシステム制御を通して、責任が強制されます。"Guest" または "Administrator" などの汎用的な名前ではなく、一意のユーザー名を使用して操作を特定の人物に結び付けることにより ("バインディング" と呼ばれます)、責任を強制します。デジタル証明書や RSA トークンを使用するスマート カード ログインなど 2 要素認証も使用して、このバインディングを強化します。
マイクロソフトは、お客様データへのアクセス権が許可される担当者とその役割を厳密に管理しています。 お客様データが格納される IT システムへの担当者のアクセスは、 役割ベースのアクセス制御 (RBAC) とロック ボックス プロセス [英語] で厳しく管理されます。アクセス制御は、義務の分離原則と最小の特権付与の原則に従った自動プロセスです。このプロセスにより、これら IT システムへのアクセスを要求するエンジニアは、背景調査、指紋、必要なセキュリティ トレーニング、アクセス承認などの適格性の要件を満たすことが保証されます 。 また、アクセス レベルは定期的に検討され、業務上適切な理由を持ったユーザーのみがシステムにアクセスできるようにしています。
データへのユーザー アクセスは、ユーザーの役割によっても制限されます。たとえば、システム管理者にはデータベースの管理アクセス権は付与されません。
お客様データへの物理的アクセスの制限はどのように管理されますか。
Office 365 と Microsoft Dynamics CRM Online のすべてのデータセンターでは、生体認証によるアクセス制御が実施されています。また、Office 365 と Microsoft Dynamics CRM Online の提供に使用される大半のデータセンターでは、物理的にアクセスするために掌紋認証が必要になっています。
Office 365 と Microsoft Dynamics CRM Online のデータセンターへの物理的アクセスは、プロキシ カード アクセス リーダー (カード アクセス バッジが必須)、手形生体認証リーダーなどによる 2 層認証で管理されています。
マイクロソフトのセキュリティ担当者は、四半期ごとに、データセンターへのアクセスが承認されたことを伝えるレポートを、承認された担当者に送付しています。レポートには、データ センターへのアクセス権限を現在持っている人物の一覧が含まれます。承認された担当者は一覧をよく調べ、掲載されているすべての人物がアクセス権限を必要とし、職務の遂行に必要な最小限のアクセス レベルが割り当てられていることを確認します。
Office 365/Microsoft Dynamics CRM Online でのお客様データへの対応に関する詳細な情報については、マイクロソフトの製品およびサービス開発のプライバシー ガイドライン、Office 365 セキュリティ ホワイトペーパー、Microsoft Dynamics CRM Online セキュリティとサービス継続性ガイド、Microsoft Online プライバシー ホワイトペーパーを参照してください。
マイクロソフトは管理者権限を割り当てる人物に、どのような背景調査を行っていますか。
米国マイクロソフトのすべての従業員は、採用プロセスの一環として完全な標準背景調査に合格する必要があります。
背景調査には、学歴、職歴、および犯罪歴に関連する情報の確認が含まれます。マイクロソフトのすべての新規採用者に課せられる標準背景調査に加えて、お客様データにアクセスする既存および新規の従業員、または主要な物理的および論理的なアクセス制御を管理する従業員は、輸出管理規制のテストを受ける必要があります。輸出管理規制には、米国財務省外国資産管理局 (OFAC) 規制、米国商務省産業安全保障局 (BIS) 規制、および米国国務省国防機器取引管理部 (DDTC) 入国禁止人物規制があります。
連邦政府など特殊な要件のサービスに関連してアクセスが必要な従業員に対しては、市民権テスト、指紋テストなど、その他の情報の確認および背景調査が行われることがあります。
従業員のプライバシーを保護するために、マイクロソフトは背景調査の結果をお客様に提供しません。
その他のリソース
•Microsoft Dynamics CRM オンライン セキュリティとサービス継続性ガイド [英語]
•Office 365 セキュリティ (ホワイトペーパー ) [英語]