Wie OneDrive Ihre Daten schützt
Microsoft-Ingenieure verwalten OneDrive mithilfe einer Windows PowerShell-Konsole, die eine Zwei-Faktor-Authentifizierung erfordert. Wir führen alltägliche Aufgaben durch, indem wir Workflows ausführen, damit wir schnell auf neue Situationen reagieren können. Kein Techniker hat ständigen Zugriff auf den Dienst. Wenn Techniker Zugriff benötigen, müssen sie diesen beantragen. Die Berechtigung wird geprüft, und wenn ein Techniker Zugang erhält, dann nur für eine begrenzte Zeit.
Außerdem investieren OneDrive und Office 365 stark in Systeme, Prozesse und Personal, um die Wahrscheinlichkeit eines Verstoßes gegen personenbezogene Daten zu verringern und die Folgen eines Verstoßes schnell zu erkennen und abzumildern, falls er doch eintritt. Einige unserer Investitionen in diesem Bereich umfassen:
Zugangskontrollsysteme: OneDrive und Office 365 haben eine „Zero-Standing-Access“-Richtlinie, was bedeutet, dass Techniker keinen Zugriff auf den Dienst haben, es sei denn, er wird ausdrücklich als Reaktion auf einen bestimmten Vorfall gewährt, der eine Erhöhung des Zugriffs erfordert. Wenn der Zugriff gewährt wird, erfolgt dies nach dem Prinzip der geringsten Berechtigung: Die für eine bestimmte Anfrage gewährte Berechtigung lässt nur eine minimale Anzahl von Aktionen zu, die zur Bearbeitung dieser Anfrage erforderlich sind. Um dies zu erreichen, halten OneDrive und Office 365 eine strikte Trennung zwischen „Erhöhungsrollen“ aufrecht, wobei jede Rolle nur bestimmte vordefinierte Aktionen zulässt. Die Rolle „Zugriff auf Kundendaten“ unterscheidet sich von anderen Rollen, die üblicherweise zur Verwaltung des Dienstes verwendet werden, und wird vor der Genehmigung am stärksten geprüft. Zusammengenommen verringern diese Investitionen in die Zugriffskontrolle die Wahrscheinlichkeit, dass ein Techniker in OneDrive oder Office 365 unberechtigterweise auf Kundendaten zugreift, erheblich.
Sicherheitsüberwachungssysteme und Automatisierung: OneDrive und Office 365 unterhalten robuste Sicherheitsüberwachungssysteme in Echtzeit. Diese Systeme schlagen unter anderem Alarm bei Versuchen, unerlaubt auf Kundendaten zuzugreifen, oder bei Versuchen, Daten unerlaubt aus unserem Dienst zu übertragen. Im Zusammenhang mit den oben erwähnten Punkten zur Zugriffskontrolle führen unsere Sicherheitsüberwachungssysteme detaillierte Aufzeichnungen über gestellte Erhöhungsanträge und die für einen bestimmten Erhöhungsantrag ergriffenen Maßnahmen. OneDrive und Office 365 verfügen auch über automatische Lösungsinvestitionen, die automatisch handeln, um Bedrohungen als Reaktion auf von uns erkannte Probleme zu entschärfen, sowie über spezielle Teams, die auf Warnungen reagieren, die nicht automatisch gelöst werden können. Um unsere Sicherheitsüberwachungssysteme zu validieren, führen OneDrive und Office 365 regelmäßig Red-Team-Übungen durch, bei denen ein internes Penetrationstestteam das Verhalten von Angreifern in der Live-Umgebung simuliert. Diese Übungen führen zu regelmäßigen Verbesserungen unserer Sicherheitsüberwachungs- und Reaktionsmöglichkeiten.
Personal und Prozesse: Zusätzlich zu der oben beschriebenen Automatisierung verfügen OneDrive und Office 365 über Prozesse und Teams, die sowohl für die Aufklärung des gesamten Unternehmens über Datenschutz- und Incident-Management-Prozesse als auch für die Ausführung dieser Prozesse im Falle eines Verstoßes verantwortlich sind. So wird beispielsweise eine detaillierte Standardarbeitsanweisung (SOP) für Datenschutzverletzungen gepflegt und mit den Teams im gesamten Unternehmen geteilt. Diese SOP beschreibt detailliert die Rollen und Verantwortlichkeiten sowohl der einzelnen Teams innerhalb von OneDrive und Office 365 als auch der zentralisierten Teams für die Reaktion auf Sicherheitsvorfälle. Diese umfassen sowohl die Maßnahmen, die die Teams ergreifen müssen, um ihre eigene Sicherheitslage zu verbessern (Durchführung von Sicherheitsüberprüfungen, Integration in zentrale Sicherheitsüberwachungssysteme und andere bewährte Verfahren), als auch die Maßnahmen, die die Teams im Falle eines tatsächlichen Verstoßes ergreifen müssen (schnelle Eskalation an die Vorfallsreaktion, Pflege und Bereitstellung spezifischer Datenquellen, die zur Beschleunigung des Reaktionsprozesses verwendet werden). Die Teams werden außerdem regelmäßig in der Datenklassifizierung und der korrekten Handhabung und Speicherung personenbezogener Daten geschult.
Die wichtigste Erkenntnis ist, dass OneDrive und Office 365 sowohl bei den Verbraucher- als auch bei den Unternehmensplänen stark in die Verringerung der Wahrscheinlichkeit und der Folgen einer Verletzung des Schutzes personenbezogener Daten für unsere Kunden investieren. Sollte es zu einer Verletzung des Schutzes personenbezogener Daten kommen, verpflichten wir uns, unsere Kunden schnell zu benachrichtigen, sobald die Verletzung bestätigt ist.