Centrum zabezpečení: zabezpečení, ochrana osobních údajů a dodržování předpisů pro služby Microsoft Online Services.

Přístup ke správě

Umožňujeme vám zjistit, zda někdo získal přístup k vašim kmenovým datům.

Víme, že v cloudu je přístup k datům jedním z hlavních problémů. Znamená to vědět, že budete mít k datům přístup, až to bude zapotřebí, a vědět, zda k datům získal přístup někdo jiný.

Náš názor na přístup je následující:

• Vždy vám zajišťujeme přístup k vašim datům zákazníka.
• Přístup k datům zákazníka je přísně kontrolován a protokolován a jak společnost Microsoft, tak třetí strany provádějí namátkové audity s cílem doložit, že se data používají pouze k řádným obchodním účelům.
• Jsme si dobře vědomi mimořádné důležitosti kmenových dat našich zákazníků¹, jako jsou texty e-mailů ze systému Exchange Online nebo obsah týmového webu služby SharePoint Online. Pokud někdo – pracovníci společnosti Microsoft, partneři² nebo vaši vlastní správci – získá přístup ke kmenovým datům vašich uživatelů v souvislosti s příslušnou službou, můžeme vám na požádání poskytnout sestavu o tomto přístupu. Budete tak moci zjistit, kdy mohl proběhnout přístup k vašim datům.

Jak zobrazit přístup správce k datům

Poznámky:

¹Kmenová data jsou data, u nichž mohou mít zákazníci vyšší nároky na zachování důvěrnosti a která jsou při běžném používání služby přenášena prostřednictvím Internetu v zašifrované podobě. K těmto datům patří konkrétně texty a přílohy e-mailových zpráv v systému Exchange Online, obsah webu služby SharePoint Online, text souborů v rámci služby SharePoint Online, zasílání rychlých zpráv, hlasové konverzace a obchodní data CRM o komunikaci s koncovými zákazníky.

²Partneři: Sestavy týkající se prodejců (u kterého prodejce zákazník zakoupil služby a kterým prodejcem mu jsou fakturovány), partnerů ACS VOIP a souvisejících služeb, například služby Research in Motion (pro hostovanou službu BlackBerry®), nejsou dostupné vzhledem k povaze přístupu k datům uplatňované těmito třetími stranami při běžném využívání služeb.

³U podnikových zákazníků, kteří povolili centrum pro správu FOPE, není přístup správy k poště zařazené do fronty v centru pro správu vykazovatelný.

Nejčastější dotazy

Dotaz: Kdo má oprávnění správce ke službám Microsoft Online Services? Jsou to zaměstnanci na plný úvazek, nebo dodavatelé? Jak společnost Microsoft brání správcům v přístupu k zákaznickým údajům?

Správci databáze mají samozřejmě přístup ke všem zdrojům uloženým v databázi -- včetně zákaznických údajů. Společnost Microsoft však striktně zakazuje přístup k datům zákazníka k jiným než obchodním účelům, jako je ladění výkonu databází a migrace zákazníků z jedné databáze do jiné.

V následující tabulce jsou uvedeny jednotlivé úrovně přístupu pro různé typy dat:

^*Ke kmenovým datům zákazníků patří texty e-mailů a příloh v systému Exchange Online, obsah webu a text souborů v rámci služby SharePoint Online, zasílání rychlých zpráv, hlasové konverzace a obchodní data CRM o komunikaci s koncovými zákazníky.

Dotaz: Jakým způsobem společnost Microsoft podporuje práva zákazníků získat přistup ke svým datům? Bude zákazník vždy mít přístup ke svým datům?

Zákazníci mohou uplatnit přístup k datům a řídit data prostřednictvím standardních protokolů a přístupových mechanismům definovaných v rámci popisů služby.

Na závěr předplatného nebo užívání služby může zákazník svá data vždy exportovat. Podrobné informace jsou obsaženy v Užívacích právech k produktu (která jsou oficiálním zdrojem pro toto téma), avšak pro přehlednost jsou níže uvedena ustanovení, která jsou aktuální v době vydání služeb Office 365:

Vypršení platnosti nebo ukončení online služeb. Po vypršení platnosti nebo ukončení vašeho předplatného k online službám kontaktujte společnost Microsoft a sdělte nám, zda si přejete, abychom:

• (1) zakázali váš účet a odstranili zákaznické údaje; nebo
• (2) uchovali vaše zákaznické údaje s omezenou funkčností po dobu nejméně 90 dnů po vypršení platnosti nebo ukončení předplatného („doba uchovávání“), tak abyste mohli data extrahovat.
• Uvedete-li možnost (1), nebudete moci extrahovat zákaznické údaje ze svého účtu. Uvedete-li možnost (2), uhradíte nám veškeré příslušné náklady. Pokud neuvedete možnost (1) ani možnost (2), budeme uchovávat údaje zákazníka v souladu s možností (2).
• Po uplynutí doby uchovávání váš účet zakážeme a zákaznické údaje odstraníme. Během 30 dnů po skončení doby uchovávání budou zálohované kopie a kopie uložené v mezipaměti odstraněny.

Vyloučení odpovědnosti za odstranění Zákaznických údajů. Souhlasíte s tím, že s výjimkou případů uvedených v těchto podmínkách nejsme žádným způsobem vázáni zákaznické údaje nadále uchovávat, exportovat ani vracet. Souhlasíte s tím, že neneseme žádnou odpovědnost za odstranění zákaznických údajů v souladu s těmito podmínkami.

Společnost Microsoft poskytuje před odstraněním zákaznických údajů několik oznámení, tak aby zákazníci byli informováni a znovu upozorněni na blížící se odstranění údajů, pokud ve stanovené lhůtě nejednají.

V rozsahu, v jakém zákazník potřebuje pomoci při plnění požadavků ochrany osobních údajů v souladu se zákonem, mohou zákazníci na základě řady smluv kontaktovat Oddělení podpory zákazníků společnosti Microsoft, které jim poskytne pomoc při přístupu, změně, odstranění či blokování jejich zákaznických údajů. Požadavky, které nelze splnit pomocí standardních nástrojů a procesů, mohou být dále zpoplatněny.

Dotaz: Jak si mohu být jistý, že byl přístup správy poskytnut pouze autorizovaným uživatelům k plnění jejich pracovních povinností?

Všichni pracovníci služeb Microsoft Online Services nesou odpovědnost za to, jak nakládají s daty zákazníků – přístup k datům v rámci služeb Microsoft Online Services je poskytován takovým způsobem, že je možné každý jednotlivý přístup spojit s konkrétním uživatelem. Jinými slovy, odpovědnost je vynucována prostřednictvím řady prvků zabezpečení systému, mimo jiné využití jedinečných uživatelských jmen, prvků řízení přístupu k datům a auditů. Používání jedinečných uživatelských jmen na rozdíl od používání obecných uživatelských jmen jako „host“ nebo „správce“ pomáhá vynucovat odpovědnost, protože jednotlivé akce uživatelů jsou spojeny s konkrétními osobami (dále jen „vazba“). Tato vazba je posílena také používáním dvouúrovňového ověřování, například přihlašování pomocí čipové karty s využitím digitálních certifikátů nebo tokenů RSA.

Přístup uživatele k datům je také omezen rolí uživatele, správcům systému například není poskytnut přístup správy k databázi.

Společnost Microsoft uplatňuje přísnou kontrolu nad tím, kterým rolím uživatelů a uživatelům bude poskytnut přístup k datům zákazníka. Chtějí-li uživatelé požádat o přístup, jsou povinni vyplnit formulář a obchodní zdůvodnění. To musí být schváleno nadřízeným daného uživatele, a až poté může uživatel získat přístup. Kromě toho jsou úrovně přístupu pravidelně revidovány, tak aby bylo zajištěno, že přístup k systémům mají pouze uživatelé s odpovídajícím obchodním zdůvodněním.

Dotaz: Jaké řídící prvky byly zavedeny k omezení fyzického přístupu k mým datům?

Všechna datová centra služeb Microsoft Online Services mají biometrické řídící prvky přístupu, přičemž většina datových center sloužících k poskytování služeb Microsoft Online Services vyžaduje k získání fyzického přístupu k danému datovému centru otisk dlaně. Fyzický přístup k datovým centrům služeb Microsoft Online Services je řízen dvojúrovňovým ověřováním, které zahrnuje přístupové čtečky karet proxy (je vyžadována přístupová identifikační karta) a biometrické čtečky geometrie ruky.

Další informace týkající způsobu, jímž služby Microsoft Online Services nakládají s daty zákazníka, naleznete v zásadách ochrany osobních údajů služeb Microsoft Online, směrnicích společnosti Microsoft pro ochranu osobních údajů při vývoji produktů a služeb, popisu služby zabezpečení služeb Office 365 a v dokumentu white paper společnosti Microsoft týkajícím se online ochrany osobních údajů.

Bezpečnostní pracovník společnosti Microsoft zasílá čtvrtletně sestavy autorizovaným zaměstnancům, kteří jsou oprávněni schvalovat přístup k datovým centrům. Tyto sestavy obsahují seznam osob, které aktuálně mají k datovým centrům přístup. Autorizovaní zaměstnanci provedou audit tohoto seznamu, a ověří tak, že všechny osoby i nadále potřebují přístup a že mají nejnižší úroveň privilegovaného přístupu potřebnou k výkonu jejich pracovních funkcí. Autorizovaní zaměstnanci musí odpovědět bezpečnostnímu pracovníku společnosti Microsoft a sdělit mu případné změny nebo potvrdit, že žádné změny nejsou zapotřebí.

Dotaz: Jakým způsobem prověřuje společnost Microsoft osoby, kterým jsou poskytnuta oprávnění správce?

Všichni zaměstnanci společnosti Microsoft v USA musejí v rámci procesu přijetí do pracovního poměru úspěšně absolvovat standardní prověření. Toto prověření zahrnuje posouzení informací týkajících se vzdělání, zaměstnání a kriminální historie uchazeče.

Kromě standardního prověření povinného pro všechny nové zaměstnance společnosti Microsoft musejí noví i stávající zaměstnanci, kteří mají přístup k datům zákazníků nebo kteří spravují klíčové fyzické a logické řídící prvky přístupu, podstoupit kontrolu oproti řídícím seznamům exportu: (řídící seznamy exportu zahrnují seznam úřadu pro zahraniční aktiva (OFAC), seznam úřadu pro průmysl a bezpečnost (BIS) a seznam vyloučených osob úřadu pro kontrolu exportu v oblasti obrany (DDTC))

• Noví zaměstnanci podstupují podrobnou prověrku současně se standardním prověřením společnosti Microsoft.
• Všichni zaměstnanci s přístupem k datům zákazníků absolvují prověření společnosti Microsoft, přičemž další prověrky jsou prováděny pravidelně.

Pokud se požadavek na přístup týká federálního prostředí, mohou být vyžadovány další informace a prověrky, například prověření občanství či sejmutí otisků prstů.

Společnost Microsoft neposkytuje výsledky prověrek zákazníkům, a to z důvodu ochrany osobních údajů svých zaměstnanců.

Další materiály

• Popis služby zabezpečení služeb Microsoft Online Services [Angličtina]
• Příručka pro zajištění chodu služeb a zabezpečení pro aplikaci Microsoft Dynamics CRM Online [Angličtina]
• Dokument white paper týkající se ochrany dat a osobních údajů služeb Microsoft Online Services 2011 [Angličtina]