Azure-kunddataskydd

  • Artikel

Åtkomst till kunddata från Microsofts åtgärder och supportpersonal nekas som standard. När åtkomst till data som rör ett supportärende beviljas beviljas den endast med hjälp av en JIT-modell (just-in-time) med principer som granskas och granskas mot våra efterlevnads- och sekretesspolicyer. Åtkomstkontrollkraven fastställs av följande Azure-säkerhetsprincip:

  • Ingen åtkomst till kunddata som standard.
  • Inga användar- eller administratörskonton på virtuella kunddatorer (VM).
  • Bevilja den minsta behörighet som krävs för att slutföra uppgiften. gransknings- och loggåtkomstbegäranden.

Azure Support personal tilldelas unika Active Directory-konton för företag av Microsoft. Azure förlitar sig på Microsofts företags Active Directory, som hanteras av Microsoft Information Technology (MSIT), för att styra åtkomsten till viktiga informationssystem. Multifaktorautentisering krävs och åtkomst beviljas endast från säkra konsoler.

Dataskydd

Azure ger kunderna stark datasäkerhet, både som standard och som kundalternativ.

Dataavgränsning: Azure är en tjänst för flera innehavare, vilket innebär att flera kunddistributioner och virtuella datorer lagras på samma fysiska maskinvara. Azure använder logisk isolering för att separera varje kunds data från andras data. Segregation ger skalbara och ekonomiska fördelar med tjänster för flera innehavare samtidigt som kunderna strikt hindras från att komma åt varandras data.

Vilande dataskydd: Kunderna ansvarar för att säkerställa att data som lagras i Azure krypteras i enlighet med deras standarder. Azure erbjuder en mängd olika krypteringsfunktioner, vilket ger kunderna flexibilitet att välja den lösning som bäst uppfyller deras behov. Azure Key Vault hjälper kunderna att enkelt behålla kontrollen över nycklar som används av molnprogram och tjänster för att kryptera data. Med Azure Disk Encryption kan kunder kryptera virtuella datorer. Azure Storage Service Encryption gör det möjligt att kryptera alla data som placeras i en kunds lagringskonto.

Dataskydd under överföring: Microsoft tillhandahåller ett antal alternativ som kan användas av kunder för att skydda data under överföring internt i Azure-nätverket och externt över Internet till slutanvändaren. Dessa inkluderar kommunikation via virtuella privata nätverk (med IPsec/IKE-kryptering), TLS (Transport Layer Security) 1.2 eller senare (via Azure-komponenter som Application Gateway eller Azure Front Door), protokoll direkt på de virtuella Azure-datorerna (till exempel Windows IPsec eller SMB) med mera.

Dessutom är "kryptering som standard" med MACsec (en IEEE-standard på datalänklagret) aktiverat för all Azure-trafik som färdas mellan Azure-datacenter för att säkerställa konfidentialitet och integritet för kunddata.

Dataredundans: Microsoft ser till att data skyddas om det uppstår en cyberattack eller fysiska skador på ett datacenter. Kunder kan välja:

  • Lagring i land/region för efterlevnads- eller svarstidsöverväganden.
  • Out-of-country/region storage för säkerhets- eller haveriberedskapsändamål.

Data kan replikeras inom ett valt geografiskt område för redundans men kan inte överföras utanför den. Kunder har flera alternativ för att replikera data, inklusive antalet kopior och antalet och platsen för replikeringsdatacenter.

När du skapar ditt lagringskonto väljer du något av följande replikeringsalternativ:

  • Lokalt redundant lagring (LRS): Lokalt redundant lagring har tre kopior av dina data. LRS replikeras tre gånger på en anläggning i en region. LRS skyddar dina data från vanliga maskinvarufel, men inte från ett fel i en enskild anläggning.
  • Zonredundant lagring (ZRS): Zonredundant lagring har tre kopior av dina data. ZRS replikeras tre gånger över två till tre anläggningar för att ge högre hållbarhet än LRS. Replikering sker inom en enda region eller mellan två regioner. ZRS hjälper till att säkerställa att dina data är hållbara inom en enda region.
  • Geo-redundant lagring (GRS): Geo-redundant lagring är aktiverat för ditt lagringskonto som standard när du skapar det. Med GRS underhålls sex kopior av dina data. Med GRS replikeras dina data tre gånger inom den primära regionen. Dina data replikeras också tre gånger i en sekundär region hundratals mil från den primära regionen, vilket ger den högsta hållbarhetsnivån. I händelse av ett fel i den primära regionen redundansväxlar Azure Storage till den sekundära regionen. GRS säkerställer att dina data är varaktiga i två separata regioner.

Dataförstörelse: När kunder tar bort data eller lämnar Azure följer Microsoft strikta standarder för att ta bort data samt fysisk destruktion av inaktiverad maskinvara. Microsoft kör en fullständig borttagning av data på kundens begäran och vid uppsägning av kontrakt. Mer information finns i Datahantering på Microsoft.

Kunddataägarskap

Microsoft inspekterar, godkänner eller övervakar inte program som kunder distribuerar till Azure. Dessutom vet Microsoft inte vilken typ av data kunder väljer att lagra i Azure. Microsoft gör inte anspråk på dataägarskap för den kundinformation som har angetts i Azure.

Hantering av arkivhandlingar

Azure har upprättat interna krav på kvarhållning av arkivhandlingar för serverdelsdata. Kunderna ansvarar för att identifiera sina egna krav på kvarhållning av arkivhandling. För poster som lagras i Azure ansvarar kunderna för att extrahera sina data och behålla sitt innehåll utanför Azure under en kundspecifik kvarhållningsperiod.

Med Azure kan kunder exportera data och granska rapporter från produkten. Exporten sparas lokalt för att behålla informationen för en kunddefinierad kvarhållningsperiod.

Elektronisk identifiering (e-identifiering)

Azure-kunder ansvarar för att uppfylla kraven för e-identifiering i sin användning av Azure-tjänster. Om Azure-kunder måste bevara sina kunddata kan de exportera och spara data lokalt. Dessutom kan kunder begära export av sina data från Azures kundsupportavdelning. Förutom att tillåta kunder att exportera sina data utför Azure omfattande loggning och övervakning internt.

Nästa steg

Mer information om vad Microsoft gör för att skydda Azure-infrastrukturen finns i: