Jak služba OneDrive chrání vaše data
Inženýři společnosti Microsoft spravují službu OneDrive pomocí konzoly Windows PowerShell, která vyžaduje dvoufaktorové ověření. Každodenní úkoly provádíme pomocí pracovních postupů, abychom mohli rychle reagovat na nové situace. Žádný inženýr nemá stálý přístup ke službě. Když inženýři potřebují přístup, musí o něj požádat. Oprávněnost je kontrolována, a pokud je přístup inženýra schválen, je pouze na omezenou dobu.
Dále OneDrive a Office 365, silně investuje do systémů, procesů a personálu, aby snížil pravděpodobnost narušení osobních údajů a rychle odhalil a zmírnil následky narušení, pokud k němu dojde. Některé z našich investic v této oblasti zahrnují:
Systémy řízení přístupu: OneDrive a Office 365 zachovávají politiku „nulového přístupu“, což znamená, že technici nemají ke službě přístup, pokud jim není výslovně udělen v reakci na konkrétní incident, který vyžaduje zvýšení přístupu. Kdykoli je přístup udělen, děje se tak podle zásady nejmenšího oprávnění: oprávnění udělené pro konkrétní požadavek umožňuje pouze minimální sadu činností potřebných k obsluze tohoto požadavku. Za tímto účelem jsou ve službách OneDrive a Office 365 přísně odděleny „role pro zvýšení oprávnění“, přičemž každá role umožňuje provádět pouze určité předem definované akce. Role „Přístup k zákaznickým datům“ se liší od ostatních rolí, které se běžněji používají ke správě služby, a před schválením se kontroluje nejpřísněji. Dohromady tyto investice do řízení přístupu výrazně snižují pravděpodobnost, že technik ve službě OneDrive nebo Office 365 neoprávněně přistoupí k datům zákazníků.
Systémy monitorování zabezpečení a automatizace: Služby OneDrive a Office 365 udržují robustní systémy monitorování zabezpečení v reálném čase. Tyto systémy mimo jiné vyvolávají upozornění na pokusy o nedovolený přístup k datům zákazníků nebo na pokusy o nedovolený přenos dat mimo naši službu. V souvislosti s výše uvedenými body týkajícími se kontroly přístupu naše systémy monitorování zabezpečení uchovávají podrobné záznamy o podaných žádostech o navýšení a o akcích provedených v souvislosti s danou žádostí o navýšení. Služby OneDrive a Office 365 také udržují investice do automatického řešení, které automaticky působí na zmírnění hrozeb v reakci na zjištěné problémy, a specializované týmy pro reakci na výstrahy, které nelze vyřešit automaticky. Za účelem ověření našich systémů sledování zabezpečení provádějí služby OneDrive a Office 365 pravidelně cvičení red-team, při nichž interní tým pro penetrační testování simuluje chování útočníků vůči reálnému prostředí. Tato cvičení vedou k pravidelnému zlepšování našich schopností monitorování zabezpečení a reakce na ně.
Personál a procesy: Kromě výše popsané automatizace udržují služby OneDrive a Office 365 procesy a týmy odpovědné jak za vzdělávání širší organizace o ochraně osobních údajů a procesech řízení incidentů, tak za provádění těchto procesů během narušení. Například je udržován podrobný standardní operační postup (SOP) pro případ narušení soukromí, který je sdílen s týmy v celé organizaci. Tento SOP podrobně popisuje role a povinnosti jak jednotlivých týmů v rámci OneDrive a Office 365, tak centralizovaných týmů pro reakci na bezpečnostní incidenty. Ty zahrnují jak to, co musí týmy udělat pro zlepšení své vlastní bezpečnostní pozice (provádění bezpečnostních přezkumů, integrace s centrálními systémy monitorování zabezpečení a další osvědčené postupy), tak to, co by týmy musely udělat v případě skutečného narušení (rychlá eskalace na reakci na incident, udržování a poskytování konkrétních zdrojů dat, které budou použity k urychlení procesu reakce). Týmy jsou také pravidelně školeny v oblasti klasifikace dat a správného zacházení s osobními údaji a postupů jejich ukládání.
Hlavním závěrem je, že OneDrive a Office 365, a to jak pro spotřebitelské, tak pro firemní plány, výrazně investují do snížení pravděpodobnosti a důsledků narušení osobních údajů, které by mělo dopad na naše zákazníky. Pokud k porušení ochrany osobních údajů dojde, zavazujeme se, že po potvrzení tohoto porušení budeme naše zákazníky rychle informovat.