通过

Dynamics 365 安全性

  • 项目

Microsoft Dynamics 365 和 Microsoft Power Platform 是基于订阅的服务型软件 (SaaS)，托管在 Microsoft Azure 数据中心。 这些在线服务旨在为业务组织使用的任务关键型应用程序和系统提供所需的性能、可扩展性、安全性、管理功能和服务级别。

在 Microsoft，信任是服务交付、合同承诺和行业认证的焦点，这也是我们实施“可信云计划”的原因。 “可信云计划”是云安全联盟 (CSA) 行业小组制定的一项计划，旨在帮助云服务提供商开发行业推荐、安全且可互操作的身份以及访问和合规性管理配置和实践。 此组要求、准则和受控流程可确保，我们将按最高标准提供与工程、法律和合规性支持相关的云服务。 我们的重点是维护云中的数据完整性，这受以下三个关键原则的约束：

Dynamics 365 安全性原则。

在 Microsoft，我们保护客户信息安全的方法涉及技术、运营过程和策略的安全控制框架，这些框架符合最新的全球标准，并且可以快速适应安全趋势和行业特定的需求。 此外，我们还提供了一组客户托管工具，这些工具可适应组织及其安全需求。 使用 Microsoft 365 安全与合规中心跟踪用户和管理员活动、恶意软件威胁、数据丢失事件等。 报告仪表板用于与组织中的安全性和合规性功能相关的最新报告。 您可以使用 Microsoft Entra 报告及时获取有关异常或可疑登录活动的信息。

注意

Azure Active Directory 现已更名为 Microsoft Entra ID。 了解详细信息

我们的安全策略定义了服务环境的信息安全规则和要求。 Microsoft 会定期执行信息安全管理系统 (ISMS) 审查，IT 经理可以查看相关结果。 此流程包括通过查看安全问题、审核结果和监视状态，以及计划和跟踪必要的纠正性措施，来监视 ISMS 控制环境的持续有效性和改进情况。

这些控制内容包括：

  • 具有严格强制执行的更改控制策略的物理和逻辑网络边界。
  • 企业要访问环境要求必须具备的职责划分。
  • 对云环境的物理和逻辑访问受到高度限制。
  • 基于定义编码实践、质量测试和代码提升的 Microsoft 安全开发生命周期和运营安全保证实践的严格控制。
  • 正在进行的安全性、隐私和安全编码实践意识和培训。
  • 系统访问的持续日志记录和审核。
  • 定期合规性审核以确保控制有效性。

为了帮助应对新出现和不断变化的威胁，Microsoft 利用创新性的“假设违规”策略，并使用高度专业化的安全专家组（称为“红色团队”）来加强企业云服务的威胁检测、响应和防御。 Microsoft 使用针对 Microsoft 托管的云基础结构的红色团队和实时站点测试，来模拟真实违规，进行连续的安全监视，以及实践安全事件响应以验证和改善在线服务的安全性。

Microsoft Cloud 安全团队开展经常性的内部和外部扫描，以确定漏洞并评估修补程序管理流程的有效性。 服务将会进行已知漏洞扫描；新服务将基于加入日期而添加到下一次季度扫描，并在以后按照季度扫描计划执行。 这些扫描用于确保符合基准配置模板，验证相关修补程序的安装以及确定漏洞。 扫描报告由相应人员审核，并将立即进行修复工作。

边缘生产服务器上所有未使用的 I/O 端口均由操作系统级别配置进行禁用，这些操作系统级别配置在基准安全配置中定义。 持续配置验证检查将启用，以检测操作系统级别配置中是否存在偏差。 此外，还启用了入侵检测开关以检测何时对服务器进行了物理访问。

我们已建立了相应程序，用于及时调查和响应 Microsoft 监控系统检测到的恶意事件。

在整个 Microsoft 运营中，Microsoft 采用职责分隔原则和最少特权原则。 要为所选服务提供客户支持，Microsoft 支持人员只能使用客户的明确权限来访问客户数据。 授予会“即时”授予，并进行记录和审核，然后在完成互动后撤销。 在 Microsoft，访问其生产系统的运营工程师和支持人员使用坚固的工作站 PC，并将在工作站上预配的虚拟机用于内部公司网络访问和应用程序（如电子邮件和内联网）。 所有管理工作站计算机都有受信任的平台模块 (TPM)，其主机启动驱动器使用 BitLocker 进行加密，并且这些计算机都已加入到主 Microsoft 公司域中的一个特殊组织单位。

系统保护通过使用组策略强制实施，并进行集中式软件更新。 为了进行审核和分析，系统将会从管理工作站中收集事件日志（如安全和 AppLocker），并将保存到安全的中心位置。 此外，Microsoft 网络上需要双重身份验证的专用跳转框用于连接到生产网络。

后续步骤

Dynamics 365 实施中的安全策略
Microsoft 信任中心Microsoft Power Platform 安全文档
Dynamics 365 Customer Engagement (on-premises) 中的安全模型
审核数据和用户活动的安全性和合规性