Vertrouwenscentrum: Informatie over beveiliging, privacy en naleving voor Office 365 en Microsoft Dynamics CRM Online
Beheerderstoegang
We bieden u de mogelijkheid te achterhalen of iemand toegang heeft gehad tot uw gegevens. We weten dat gegevenstoegang in de cloud een van uw belangrijkste zorgen is. Dit houdt in dat u niet alleen weet dat u toegang hebt tot uw gegevens wanneer dat nodig is, maar ook dat u weet of iemand anders toegang heeft verkregen tot uw gegevens.
Wat is het standpunt van Office 365 en Microsoft Dynamics CRM Online ten opzichte van gegevenstoegang?
Ons standpunt inzake toegang tot uw gegevens is als volgt:
• We geven u altijd toegang tot uw klantgegevens.
• Toegang tot klantgegevens wordt strikt gecontroleerd en bijgehouden in een logboek en steekproefcontroles worden uitgevoerd door zowel Microsoft als door derden om er zeker van te zijn dat toegang alleen mogelijk is voor aangewezen zakelijke doeleinden.
• Wij erkennen het belang van inhoud voor onze klanten1 zoals e-mailtekst in Exchange Online en inhoud van SharePoint Online-teamsites. Als iemand - Microsoft personeel, partners,2 of uw eigen beheerders - uw inhoud op deze service opent, kunt u rapporten verkrijgen over deze toegang door een rapport van postvaktoegang door anderen dan de eigenaar* of een extern beheerderauditlogboek uit te voeren. In beide rapporten kunt u zien wanneer uw inhoud mogelijk is geopend.
• In het rapport van postvaktoegang door anderen dan de eigenaar* in het Exchange Administration Center (EAC) staan de postvakken vermeld die zijn geopend door een ander dan de eigenaar van het postvak. Wanneer een postvak door een niet-eigenaar is geopend, slaat Microsoft Exchange informatie over deze handeling op in een logboek dat als e-mailbericht wordt opgeslagen in een verborgen map in het postvak dat wordt gecontroleerd. Vermeldingen in het auditlogboek van postvakken worden standaard 90 dagen bewaard.
*U moet postvakcontrolelogboekregistratie inschakelen voor elk postvak waarover u een rapport van postvaktoegang door anderen dan de eigenaar wilt uitvoeren. Als postvakcontrolelogboekregistratie niet is ingeschakeld, levert het uitvoeren van een rapport geen resultaten op.
Meer informatie over het uitvoeren van een rapport van postvaktoegang door anderen dan de eigenaar.
• In de controlelogboeken van de beheerder worden specifieke handelingen vastgelegd die zijn verricht door beheerders en gebruikers met beheerdersbevoegdheden. U kunt het EAC gebruiken om items in het controlelogboek van de beheerder te zoeken en te controleren op door Microsoft beheerders en gedelegeerde beheerders verrichte handelingen.
Meer informatie over het weergeven van het externe beheerderauditlogboek.
• Azure Active Directory Premium is een identiteitsplatform voor Office 365 met functies voor identiteits- en toegangsbeheer. Azure Active Directory biedt onder andere de mogelijkheid om Active Directory-gegevens op te slaan in de cloud en een kernset van identiteitsservices, waaronder aanmeldingsprocessen van gebruikers, verificatieservices en Federation Services.
Lees dit artikel voor meer informatie over toegangs- en gebruiksrapporten en om inzicht te krigen in de integriteit en beveiliging van de Azure Active Directory (AD) tenant van uw organisatie.
Hoe bekijk ik beheerderstoegang tot gegevens?
Service | Bijgehouden activiteiten | Instructies |
Office 365 en Dynamics CRM Online | Gebruikers aanmaken in de portal, wachtwoorden opnieuw instellen | |
Exchange Online | Toegang tot Exchange-postvakken 3 | Bezoek het Exchange-configuratiescherm (koppeling beschikbaar op de pagina Beheerderstaken van de onlineportal van Office 365 ; aanmelden vereist) |
SharePoint Online | SharePoint-site, toegang tot opgeslagen gegevens | |
Microsoft Dynamics CRM Online | Toegang tot CRM-inhoud |
1 Inhoud bestaat uit klantgegevens waarvoor klanten verwachten dat deze extra vertrouwelijk worden behandeld en die, wanneer de service normaal wordt gebruikt, gecodeerd via internet worden overgebracht. Deze inhoud omvat met name: e-mailtekst en bijlagen in Exchange Online, site-inhoud en bestandstekst in SharePoint Online, chatberichten en gesprekken, en CRM-bedrijfsgegevens over interacties met uw eindklanten.
2 Rapporten geven de beheerderstoegang van uw partners tot uw inhoud die is opgeslagen in de service weer. Deze rapporten bevatten niet alle soorten toegang door partners. Rapporten over resellers (waarbij de klant de services heeft gekocht van en wordt gefactureerd door de reseller), VOIP-partners met geavanceerde communicatieservices en bijbehorende services zoals Research in Motion (voor gehoste BlackBerry®-service) zijn niet beschikbaar vanwege de aard van de toegang die deze partijen tot gegevens hebben tijdens het normale gebruik van de services.
3 Voor bedrijven die het Exchange Online Protection-beheercentrum hebben ingeschakeld, kan beheerderstoegang tot e-mail in de wachtrij in het beheercentrum niet worden gerapporteerd.
Wie hebben beheerdersrechten voor Office 365 of Microsoft Dynamics CRM Online?
Microsoft-databasebeheerders hebben per definitie toegang tot alle bronnen in een database, inclusief klantgegevens.
We gebruiken klantgegevens alleen om de services te bieden. Microsoft verbiedt toegang tot klantgegevens voor andere doeleinden daarom ten strengste. Als onderdeel van het leveren van de services kunnen databasebeheerders toegang verkrijgen tot klantgegevens voor taken zoals het optimaliseren van databases of het migreren van klanten van de ene naar de andere database.
In de volgende tabel worden de verschillende toegangsniveaus voor verschillende beheerders en gegevenstypen toegelicht:
Beheerder | Klantgegevens (behalve inhoud) | Inhoud |
Responsteam (beperkt tot alleen het belangrijkste personeel) | Ja, zo nodig. | Ja, bij uitzondering. |
Ondersteuningsorganisatie | Ja, alleen indien vereist in reactie op een ondersteuningsvraag. | Nee. |
Technici | Geen directe toegang. May be transferred during troubleshooting. | Nee. |
Partners | Met toestemming van de klant. Neem contact op met uw partner voor meer informatie. | Met toestemming van de klant. Neem contact op met uw partner voor meer informatie. |
Anderen binnen Microsoft | Nee.1 | Nee. |
1 Anderen bij Microsoft kunnen de contactgegevens van eindgebruikers die staan vermeld in de directory’s van Office 365 Business-, Business Essentials- en Business Premium-klanten om die eindgebruikers informatie over aanbiedingen te sturen.
Wat doet Microsoft ter ondersteuning van de rechten van klanten om toegang te verkrijgen tot hun gegevens? Hebben klanten te allen tijde toegang tot hun gegevens?
Klanten hebben toegang tot hun gegevens en kunnen hun gegevens beheren via de standaardprotocollen en toegangsmechanismen zoals gedefinieerd in de servicebeschrijvingen.
Bij beëindiging van het abonnement of het gebruik van de service kunnen klanten hun gegevens altijd exporteren. Volledige informatie vindt u in Gebruiksrechten voor online services, de gezaghebbende bron voor dit onderwerp (klanten met een Enterprise-overeenkomst moeten Gebruiksrechten voor het product raadplegen). Voor uw gemak voegen we de bepalingen in Gebruiksrechten voor online services voor de huidige versie van Office 365 hier toe:
Afloop of beëindiging van onlineservice. Bij het aflopen of beëindigen van uw abonnement op de online service dient u contact op te nemen met Microsoft en ons te vertellen of we:
•(1) uw account moeten uitschakelen en vervolgens de klantgegevens moeten verwijderen; of
•(2) uw klantgegevens gedurende tenminste 90 dagen na het aflopen of beëindigen van uw abonnement (de 'bewaarperiode') moeten bewaren in een account met beperkte functionaliteit, zodat u de gegevens kunt kopiëren.
•Als u kiest voor (1), kunt u de klantgegevens uit uw account niet kopiëren. Als u niet kiest voor (1) of (2), zullen wij de klantgegevens bewaren overeenkomstig (2).
• Nadat de bewaarperiode is verstreken, schakelen we uw account uit en verwijderen we uw klantgegevens. Kopieën in de cache of back-ups worden binnen 30 dagen na het einde van de bewaarperiode verwijderd.
Microsoft biedt meerdere kennisgevingen alvorens de klantgegevens worden verwijderd, zodat klanten op de hoogte zijn van en worden herinnerd aan de aanstaande verwijdering van de gegevens als ze niet handelen binnen de aangegeven tijdsperiode.
Als een klant hulp nodig heeft met het voldoen aan privacyverzoeken zoals door de wet is vereist, kunnen klanten onder veel overeenkomsten contact opnemen met de klantenondersteuning van Microsoft voor hulp bij toegang tot en het wijzigen, verwijderen of blokkeren van hun klantgegevens. Bij verzoeken waaraan niet kan worden voldaan via standaardhulpmiddelen en -processen kunnen extra kosten in rekening worden gebracht.
Hoe kan ik er zeker van zijn dat alleen aan bevoegde gebruikers beheerderstoegang wordt verleend om hun taken te vervullen?
Alle personeelsleden van Office 365 en Microsoft Dynamics CRM Online zijn rekenschap verschuldigd voor hun omgang met klantgegevens, aangezien de toegang tot gegevens van Office 365 en Microsoft Dynamics CRM Online zodanig wordt verleend dat dit kan worden herleid naar een unieke gebruiker.
Met andere woorden, aansprakelijkheid wordt afgedwongen middels een reeks systeemcontrolemiddelen, waaronder het gebruik van unieke gebruikersnamen, controlemiddelen voor gegevenstoegang en andere controles. In plaats van algemene gebruikersnamen zoals 'Gast' of 'Beheerder' worden unieke gebruikersnamen gebruikt om aansprakelijkheid af te dwingen door gebruikershandelingen te koppelen aan een specifieke persoon (dit wordt 'verbinden' genoemd). Daarnaast wordt ook een dubbele verificatie, zoals smartcardaanmelding met digitale certificaten of RSA-tokens, gebruikt om deze verbinding te versterken.
Microsoft past strikte controles toe om te bepalen welke personeelsrollen en personeelsleden toegang tot klantgegevens wordt verleend. Toegang van personeel tot de IT-systemen waarop klantgegevens zijn opgeslagen, wordt strikt geregeld via toegangsbeheer op basis van rollen (RBAC) en vergrendelingsprocessen [Engels] . Toegangsbeheer is een geautomatiseerd proces volgens de principes van scheiding van taken en van het verlenen van minimale toegangsrechten. Dit proces zorgt ervoor dat de technicus die toegang vraagt tot deze IT-systemen aan de vereisten voldoet, zoals een achtergrondscreening, vingerafdrukken, vereiste beveiligingstraining en toegangsgoedkeuring . Bovendien worden de toegangsniveaus periodiek gecontroleerd om ervoor te zorgen dat alleen gebruikers met de juiste zakelijke reden toegang hebben tot de systemen.
Gebruikerstoegang tot gegevens wordt ook beperkt door gebruikersrollen. Zo hebben systeembeheerders bijvoorbeeld geen beheertoegang tot databases.
Welke controlemiddelen worden gebruikt om fysieke toegang tot mijn gegevens te beperken?
Alle datacentra van Office 365 en Microsoft Dynamics CRM Online gebruiken biometrische toegangscontroles, waarbij de meeste datacentra die worden gebruikt om Office 365 en Microsoft Dynamics CRM Online te leveren handpalmafdrukken vereisen voor fysieke toegang tot de datacentra.
Fysieke toegang tot de datacentra voor Office 365 en Microsoft Dynamics CRM Online wordt gecontroleerd met een dubbele verificatie, waaronder proxykaarttoegangslezers (kaarttoegangsbadge vereist) en biometrische lezers voor handgeometrie.
De Microsoft Security Officer verzendt elk kwartaal rapporten naar geautoriseerd personeel dat de bevoegdheid heeft de toegang tot het datacentrum goed te keuren. De rapporten bevatten de lijst met personen die op dat moment toegang hebben tot de datacentra. Het bevoegde personeel controleert de lijst om te kijken of alle personen nog steeds toegang nodig hebben en het minimale toegangsniveau hebben dat nodig is om hun taak te kunnen uitvoeren.
Raadpleeg voor extra informatie over hoe Office 365 en/of Microsoft Dynamics CRM Online klantgegevens benadert de privacyrichtlijnen van Microsoft voor het ontwikkelen van producten en services, het technische document over beveiliging in Office 365, de gids voor beveiliging en servicecontinuïteit in Microsoft Dynamics CRM Online, en het technische document over online privacy van Microsoft.
Welk soort achtergrondonderzoek voert Microsoft uit voor mensen aan wie beheerdersrechten worden verleend?
Alle Microsoft-werknemers in de VS moeten een standaard achtergrondcontrole doorstaan als onderdeel van de sollicitatieprocedure.
Achtergrondcontroles omvatten een controle van informatie betreffende opleiding, arbeidsverleden en strafblad van een kandidaat. Naast de standaard achtergrondcontrole die wordt toegepast op alle nieuwe Microsoft-medewerkers moeten nieuwe en bestaande personeelsleden die toegang hebben tot klantgegevens of die belangrijke fysieke en logische toegangscontroles beheren, worden gecontroleerd met exportcontrolelijsten. (Exportcontrolelijsten omvatten de Office of Foreign Assets Control List (OFAC), de Bureau of Industry and Security List (BIS) en de Office of Defense Trade Controls Debarred Persons List (DDTC).)
Extra gegevens en achtergrondcontroles, zoals staatsburgerschap en vingerafdrukken, kunnen ook van toepassing zijn als het verzoek om toegang te maken heeft met services die we bieden aan klanten met speciale vereisten (zoals de regering van de VS).
Om de privacy van de werknemers te beschermen, deelt Microsoft de resultaten van achtergrondcontroles niet met klanten.
Aanvullende bronnen
•Handleiding voor beveiliging en servicecontinuïteit in Microsoft Dynamics CRM Online [Engels]
•Beveiliging in Office 365 (technisch document ) [Engels]