Accedere in modo sicuro ai dati dei clienti utilizzando Customer Lockbox in Power Platform e Dynamics 365

  • Articolo

La maggior parte delle operazioni, del supporto e della risoluzione dei problemi eseguiti dal personale Microsoft (inclusi i responsabili secondari) non richiedono l'accesso ai dati dei clienti. Con Power Platform Customer Lockbox forniamo un'interfaccia affinché i clienti rivedano e approvino (o rifiutino) le richieste di accesso ai dati nelle rare occasioni in cui è necessario l'accesso ai dati dei clienti. Viene utilizzato nei casi in cui un tecnico Microsoft deve accedere ai dati dei clienti, in risposta a un ticket di supporto avviato dal cliente o a un problema identificato da Microsoft.

Questo articolo illustra come abilitare Customer Lockbox e come le richieste di archivio protetto vengono avviate, tracciate e archiviate per revisioni e controlli successivi.

Nota

Customer Lockbox è disponibile nei cloud pubblici e nelle regioni US Government Community Cloud (GCC), GCC High e Department of Defense (DoD).

Riepilogo

Puoi abilitare Customer Lockbox per le tue origini dati all'interno del tuo tenant. L'abilitazione di Customer Lockbox applicherà il criterio solo per gli ambienti attivati per Ambienti gestiti. Amministratori globali e amministratori Power Platform possono abilitare il criterio dell'archivio protetto.

Per ulteriori informazioni, vai ad Abilitare il criterio dell'archivio protetto.

Nella rara occasione in cui Microsoft tenti di accedere ai dati dei clienti che sono archiviati in Power Platform (ad esempio, Dataverse), viene inviata una richiesta di archivio protetto agli amministratori globali e agli amministratori di Power Platform per l'approvazione. Per ulteriori informazioni, vai a Esaminare una richiesta di archivio protetto.

Tutti gli aggiornamenti a una richiesta di archivio protetto vengono registrati e resi disponibili all'organizzazione come log di controllo. Per ulteriori informazioni, vai a Controllare le richieste di archivio protetto.

Le applicazioni e i servizi Power Platform e Dynamics 365 archiviano i dati dei clienti in diverse tecnologie di archiviazione di Azure. Quando si abilita Customer Lockbox per un ambiente, i dati dei clienti associati al rispettivo ambiente sono protetti dal criterio Lockbox, indipendentemente dal tipo di archiviazione.

Nota

  • Attualmente, le applicazioni e i servizi in cui verranno applicati i criteri di lockbox una volta abilitati sono Power Apps (escluse le schede per Power Apps), AI Builder, Power Pages, Power Automate, Microsoft Copilot Studio (escluse le funzionalità di intelligenza artificiale GPT), Dataverse, Customer Insights, Customer Service, Communities, Guides, Connected Spaces, Finance (eccetto Lifecycle Services), Project Operations (eccetto Lifecycle Services), Supply Chain Management (eccetto Lifecycle Services), e l'area delle funzionalità di marketing in tempo reale dell'app Marketing.
  • Le funzionalità fornite dal servizio Azure OpenAI sono escluse dall'applicazione dei criteri Lockbox a meno che la documentazione del prodotto per una determinata funzionalità indichi che si applica Lockbox.
  • Nuance Conversational IVR è escluso dall'applicazione dei criteri Lockbox a meno che la documentazione del prodotto per una determinata funzionalità indichi che si applica Lockbox.
  • Contenuto introduttivo per gli autori è escluso dall'applicazione dei criteri Lockbox.
  • Devi disabilitare la ricerca Lucene.NET dal tuo sito web e passare alla ricerca di Dataverse per poter utilizzare Customer Lockbox. Ulteriori informazioni: La ricerca nei portali utilizzando la ricerca Lucene.NET è obsoleta.

Workflow

  1. La tua organizzazione ha un problema con Microsoft Power Platform e apre una richiesta di supporto con al supporto tecnico Microsoft. In alternativa, Microsoft identifica un problema in modo proattivo (ad esempio, viene attivata una notifica proattiva) e viene aperto un evento avviato da Microsoft per indagare e mitigare o correggere la causa principale.

  2. Un operatore Microsoft esamina la richiesta/l'evento di supporto e tenta di risolvere il problema utilizzando strumenti e dati di telemetria standard. Se è necessario l'accesso ai dati dei clienti per un'ulteriore risoluzione dei problemi, un tecnico Microsoft avvia un processo di approvazione interno per l'accesso ai dati dei clienti, indipendentemente dal fatto che i criteri di archivio protetto siano abilitati o meno.

  3. Inoltre, viene generata una richiesta di archivio protetto se il rispettivo archivio dati è associato a un ambiente protetto in base all'abilitazione del criterio di archivio protetto. Viene inviata una notifica e-mail agli approvatori designati (amministratori globali e amministratori di Power Platform) sulla richiesta di accesso ai dati in sospeso da parte di Microsoft.

    Importante

    L'ingegnere Microsoft non potrà procedere con l'indagine fino a quando la richiesta di archivio protetto non sarà approvata dal cliente. Ciò potrebbe causare ritardi nell'affrontare il ticket di supporto o interruzioni prolungate. Assicurati di monitorare le notifiche e-mail e/o le richieste di archivio protetto nell'interfaccia di amministrazione dell'interfaccia di amministrazione di Power Platform e rispondere in modo tempestivo per evitare interruzioni del servizio.

    Un esempio di richiesta di archivio protetto.

  4. L'approvatore accede all'interfaccia di amministrazione di Power Platform e approva la richiesta. Se la richiesta viene rifiutata o non approvata entro quattro giorni, scade e non viene concesso alcun accesso al tecnico Microsoft.

  5. Dopo che il responsabile dell'approvazione dell'organizzazione ha approvato la richiesta, il tecnico Microsoft ottiene le autorizzazioni elevate inizialmente richieste e risolve il problema. Gli ingegneri Microsoft hanno un determinato periodo di tempo, 8 ore, per risolvere il problema, dopodiché l'accesso viene automaticamente revocato.

Abilita il criterio dell'archivio protetto

Amministratori globali o amministratori di Power Platform possono creare o aggiornare il criterio del lockbox nell'interfaccia di amministrazione Power Platform. L'abilitazione del criterio a livello di tenant si applicherà solo agli ambienti attivati per Ambienti gestiti. Potrebbero essere necessarie fino a 24 ore prima che tutte le origini dati e tutti gli ambienti vengano implementati con Customer Lockbox.

  1. Accedi all'interfaccia di amministrazione di Power Platform.

  2. Utilizza la pagina Impostazioni tenant per esaminare e gestire le impostazioni a livello di tenant. Per visualizzare le impostazioni a livello di tenant, seleziona l'icona Ingranaggio (Icona a forma di ingranaggio.) nell'angolo in alto a destra del sito Microsoft Power Platform e seleziona Impostazioni Power Platform>Impostazioni>Impostazioni tenant nel riquadro di navigazione a sinistra.

  3. Imposta Customer Lockbox su Abilita.

    Abilitare i criteri dell'archivio protetto.

Esaminare una richiesta di archivio protetto

  1. Accedi all'interfaccia di amministrazione di Power Platform.

  2. Seleziona Criteri>Customer Lockbox.

  3. Esamina i dettagli della richiesta.

    Campo Description
    ID richiesta di supporto L'ID del ticket di supporto associato alla richiesta di archivio protetto. Se la richiesta è il risultato di un avviso interno avviato da Microsoft, il valore sarà "Avviato da Microsoft".
    Ambiente Il nome visualizzato dell'ambiente in cui viene richiesto l'accesso ai dati.
    Stato Lo stato della richiesta di archivio protetto.
    • Azione necessaria: in attesa di approvazione da parte del cliente
    • Scaduto: nessuna approvazione ricevuta dal cliente
    • Approvato: approvato dal cliente
    • Negato: negato dal cliente
    Richiesto L'ora in cui l'ingegnere Microsoft ha richiesto l'accesso ai dati del cliente nell'ambiente del cliente.
    Scadenza richiesta Il tempo entro il quale il cliente deve approvare la richiesta di archivio protetto. Lo stato della richiesta cambierà in Scaduto se non viene data alcuna approvazione entro questo momento.
    Periodo di accesso Il periodo di tempo in cui il richiedente desidera accedere ai dati del cliente. Questo valore è predefinito di 8 ore e non può essere modificato.
    Scadenza accesso Se l'accesso è concesso, questo è il tempo fino al quale il tecnico Microsoft ha accesso ai dati dei clienti.

  4. Seleziona una richiesta di archivio protetto, quindi seleziona Approva o Nega.

    Approvazione o rifiuto di richieste di archivio protetto

    Nota

    Le richieste di archivio protetto che si sono verificate negli ultimi 28 giorni vengono visualizzate nella tabella Recenti.

    Una volta approvata una richiesta, non può essere revocata per l'intera durata del periodo di accesso di 8 ore.

Controllo delle richieste di archivio protetto

Le azioni relative all'accettazione, al rifiuto o alla scadenza di una richiesta di archivio protetto vengono registrate automaticamente inMicrosoft 365 Defender.

Pagina Microsoft 365 Defender.

Le tracce di controllo includono questi e altri campi per ogni richiesta di archivio protetto:

  • Identificatore univoco della richiesta
  • Ora di creazione della richiesta
  • ID organizzazione
  • ID utente (identificatore univoco dell'operatore Microsoft che esegue la richiesta)
  • Stato richiesta
  • ID del ticket di supporto associato
  • Richiesta ora di scadenza
  • Tempo di scadenza dell'accesso ai dati
  • ID ambiente
  • Richiesta giustificazione

La scheda Microsoft 365 Controllo consente agli amministratori di cercare eventi associati alle sessioni di archivio protetto. Visualizza la categoria Archivio protetto di Power Platform per gli eventi di archivio protetto di Power Platform correlati.

Seleziona la categoria dell'archivio protetto di Power Platform.

Gli amministratori possono esportare direttamente il set di risultati in base ai criteri di filtro.

Risultati della ricerca del controllo dell'archivio protetto.

Customer Lockbox produce due tipi di log di controllo:

  1. Log avviati da Microsoft e corrispondenti alla richiesta di lockbox creata, scaduta o al termine delle sessioni di accesso. Questo set di log di controllo non corrisponde a un ID utente specifico poiché le azioni vengono avviate da Microsoft.
  2. Log avviati dalle azioni dell'utente finale, ad esempio quando un utente approva o rifiuta una richiesta di lockbox. Se l'utente che esegue queste operazioni non dispone di una licenza E5 assegnata, i log vengono filtrati e non verranno visualizzati nei log di controllo.

Per impostazione predefinita, i log di controllo vengono conservati per una durata di un anno. È necessaria una licenza aggiuntiva per la conservazione dei log di controllo per 10 anni per conservare i record di controllo per 10 anni. Vedi Audit (Premium) per maggiori dettagli sulla conservazione dei log di controllo.

Requisiti di licenza per Customer Lockbox

I criteri Customer Lockbox verranno applicati solo ad ambienti attivati per ambienti gestiti. Ambienti gestiti è incluso come diritto in licenze autonome di Power Apps, Power Automate, Microsoft Copilot Studio, Power Pages e Dynamics 365 che conferiscono diritti di utilizzo premium. Per ulteriori informazioni sulle licenze degli ambienti gestiti, vedi Licenze e Panoramica delle licenze per Microsoft Power Platform.

Inoltre, l'accesso a Customer Lockbox per Microsoft Power Platform e Dynamics 365 richiede che gli utenti negli ambienti in cui viene applicato il criterio Lockbox dispongano di una di queste sottoscrizioni:

  • Microsoft 365 o Office 365 A5/E5/G5
  • Microsoft 365 A5/E5/F5/G5 Compliance
  • Sicurezza e conformità di Microsoft 365 F5
  • Gestione dei rischi Insider di Microsoft 365 A5/E5/F5/G5
  • Protezione delle informazioni e governance di Microsoft 365 A5/E5/F5/G5 Ulteriori informazioni sulle licenze applicabili.

Esclusioni

  • Le richieste di archivio protetto non vengono attivate nei seguenti scenari di supporto tecnico:

    • Scenari di emergenza che non rientrano nelle procedure operative standard, come un'interruzione grave del servizio che richiede un'attenzione immediata per ripristinare i servizi in casi imprevisti o imprevedibili. Questi eventi "rottura vetri" sono rari e, nella maggior parte dei casi, non richiedono alcun accesso ai dati dei clienti per essere risolti.

    • Un tecnico Microsoft accede alla piattaforma sottostante come parte della risoluzione dei problemi ed è inavvertitamente esposto ai dati dei clienti. È raro che tali scenari comportino l'accesso a quantità significative di dati sui clienti.

  • Anche le richieste di archivio protetto dei clienti non vengono attivate da richieste legali esterne per i dati. Per i dettagli, fare riferimento alla discussione sulle richieste di dati da parte del governo in Centro protezione Microsoft.

  • Customer Lockbox non si applicherà all'accesso e alla revisione manuale dei dati dei clienti condivisi per le funzionalità di IA di Copilot. Customer Lockbox rimarrà abilitato per tutti i dati nell'ambito.

Problemi noti

  • La migrazione da tenant a tenant non è supportata quando Customer Lockbox è abilitato. È necessario disabilitare Customer Lockbox per spostare un ambiente su un altro tenant. Puoi riattivare Customer Lockbox una volta completata la migrazione.