GDPR 規定的 Office 365 資料外洩通知

  • 文章

身為資料處理者，Office 365可確保我們的客戶能夠以資料控制者身分符合 GDPR 的缺口通知需求。 為此，我們致力於下列動作：

  • 為客戶提供指定專用隱私權連絡人的能力，一旦出現違規行為，該連絡人將得到通知。 客戶可以使用訊息中心的隱私權讀取者角色設定指定此連絡人。
  • 在宣告個人資料外洩後 72 小時內通知客戶。 通知將發佈到 [訊息中心]，該中心可透過 Microsoft 365 系統管理中心存取。 第二，電子郵件通知被傳送到指定的連絡人，表示新訊息中心文章已經發佈。
  • 初始通知至少會包含缺口本質的描述、使用者影響的近似值，以及在適用時 (風險降低步驟) 。 如果我們在初始通知時未完成調查，我們會在初始通知中指出後續通訊的後續步驟和時程表

Microsoft 認為資料控制者負責進行風險評估，並判斷缺口是否需要客戶 DPA 的通知，而我們向客戶的通知會提供進行該評估所需的資訊。 因此，Microsoft 會通知客戶任何個人資料外泄，但確認個人資料無法理解的情況除外 (例如，已確認金鑰完整性的加密資料) 。

Office 365 在資料安全性中的投資

我們除了致力於提供資料外洩的即時通知外，Office 365 在系統、處理程序及人員上也花費許多心思，為求降低個人資料外洩的可能性，以及在資料外洩發生時進行快速偵測，並降低其造成的傷害。

以下是我們在此領域的一些投資描述：

  • 存取控制系統] 。 Office 365維持「零起始存取權」原則，這表示工程師無法存取服務，除非明確授與服務以回應需要提高存取權的特定事件。 每當授與存取權時，都會根據最低許可權原則來完成：授與特定要求的許可權僅允許服務該要求所需的最少動作集。 若要這樣做，Office 365維持「提高許可權角色」之間的嚴格區隔，每個角色只允許採取特定預先定義的動作。 「存取客戶資料」角色不同于其他較常用來管理服務的角色，且在核准之前會最嚴格地加以檢查。 結合在一起，這些對存取控制的投資可大幅降低工程師Office 365不當存取客戶資料的可能性。

  • 安全性監視系統和自動化：Office 365維護健全的即時安全性監視系統。 除了其他問題之外，這些系統會針對嘗試非法存取客戶資料，或是嘗試從我們的服務中非法傳輸資料發出警示。 與先前提到的存取控制點相關，我們的安全性監視系統會維護所提出提高許可權要求的詳細記錄，以及針對指定提高許可權要求所採取的動作。 Office 365也會維護自動解決投資，這些投資會自動採取行動來降低威脅，以回應我們偵測到的問題，以及專用小組來回應無法自動解決的警示。 為了驗證我們的安全性監視系統，Office 365定期執行紅色小組練習，讓內部滲透測試小組模擬即時環境中的攻擊者行為。 這些練習可定期改善我們的安全性監視和回應功能。

  • 人員和程式：除了先前所述的自動化之外，Office 365維護負責教育更廣泛的組織隱私權和事件管理程式，以及在缺口期間執行這些程式的程式和小組。 例如，SOP) (詳細隱私權缺口標準操作程式會維護並與整個組織的小組共用。 此 SOP 詳細說明Office 365和集中式安全性事件回應小組內個別小組的角色和責任。 這些責任涵蓋小組需要執行哪些動作來改善自己的安全性狀態 (進行安全性檢閱、與中央安全性監視系統整合，以及其他最佳做法) ，以及如果實際缺口 (事件回應的快速呈報，則需要執行哪些動作、維護並提供將用來加速回應程式) 的特定資料來源。 小組也會定期訓練資料分類，以及個人資料的正確處理和儲存程式。

重點在於Office 365強烈投資來降低個人資料外泄影響客戶的可能性和後果。 如果確實發生個人資料外泄，我們承諾在確認外泄後快速通知客戶。

發生資料外洩時的預期行為

上述章節說明Office 365為了降低資料外泄可能性所採取的投資。 在發生缺口的不太可能情況下，客戶應該預期下列回應會有可預測的體驗：

  • Office 365內一致的事件回應生命週期。 如上所述，Office 365維護詳細的事件回應 SOP，描述小組應如何準備缺口，以及在發生缺口時應如何運作。 這可確保我們的保護和程式適用于整個服務。

  • 通知客戶的一致準則。 我們的通知準則著重于客戶資料的機密性、完整性和可用性。 如果客戶資料的機密性或完整性受到影響，Office 365會直接通知客戶。 也就是說，我們會在未經適當授權的情況下存取客戶的資料，或資料遭到不當解構或遺失時通知客戶。 Office 365也會回報影響資料可用性的問題，雖然此動作通常是透過服務健康狀態儀表板 (SHD) 來完成。

  • 一致的通知詳細資料。 當Office 365與資料外泄相關通訊時，客戶可以預期會傳達特定詳細資料：我們至少會提供下列詳細資料：

    • 發生資料外洩和發現資料外洩的時間
    • 受影響的大約使用者數目
    • 已外洩的使用者資料類型
    • 降低資料外洩影響的必要動作 (由控制者或處理者執行)

客戶也應該注意，Office 365身為資料處理者，將不會判斷資料外泄的風險。 每當偵測到個人資料外泄時，我們會通知客戶，並提供他們所需的詳細資料，以正確判斷受影響使用者的風險，以及決定是否需要進一步向監管機關報告。 為此，資料控制器應該會判斷下列事件的相關資訊：

  • 資料外洩嚴重性 (也就是風險判斷)
  • 是否需要通知終端使用者
  • 是否需要通知法規機構 (DPA)
  • 控制者為降低資料外洩產生的影響，而採取的特定動作

連絡 Microsoft

在某些情況下，客戶可能會察覺到缺口，並可能想要通知 Microsoft。 目前的通訊協定可供客戶通知Microsoft 支援服務，然後與工程小組介面以取得詳細資訊。 在此案例中，Microsoft 工程團隊同樣致力於透過其支援連絡人及時提供客戶所需的資訊。

建議客戶執行的動作

如先前所述，Microsoft 365 致力於在入侵宣告的 72 小時內通知客戶。 客戶的租使用者系統管理員將會收到通知。 此外，Microsoft 365 建議客戶將一或多個個人指定為訊息中心隱私權讀者，這可以在Microsoft 365 系統管理中心中完成。 發生個人資料外泄時，獲指派訊息中心隱私權讀取者角色的資源將能夠存取訊息中心，以查看相關的隱私權通知，而且根據其訊息中心喜好設定，可能會收到相關電子郵件。

如需詳細資訊，請參閱：