Center for sikkerhed og rettighedsadministration: oplysninger om sikkerhed, beskyttelse af personlige oplysninger og kompatibilitet med Microsoft Online Services.

Administratoradgang

Vi hjælper dig med at finde ud af, om andre har haft adgang til dine nøgledata.

Vi ved, at dataadgang er en af de vigtigste problemstillinger i skyen. Det omfatter både at sikre dig uafbrudt adgang til dine data og informere dig, når andre har haft adgang til dem.

Vi anvender følgende principper for dataadgang:

• Vi giver dig altid adgang til dine kundedata.
• Adgang til kundedata er underlagt streng kontrol og logføring, og både Microsoft og tredjeparter foretager stikprøver for at kontrollere, at enhver adgang til kundedata sker med et relevant forretningsrelateret formål.
• Vi anerkender den ekstra store vigtighed af vores kunders nøgledata¹, f.eks. e-mail-meddelelsestekst i Exchange Online og indhold på teamwebsteder i SharePoint Online. Hvis nogen, herunder Microsofts medarbejdere eller partnere² eller dine egne administratorer, får adgang til dine brugeres nøgledata på tjenesten, kan vi efter anmodning fra dig sende dig en rapport over denne adgang. På denne måde er du altid informeret om det, hvis andre har haft adgang til dine data.

Sådan får du vist administratoradgang til data

Bemærk!

¹Nøgledata er data, som kunderne forventer er beskyttet af en større grad af fortrolighed, og som ved normal brug af tjenesten krypteres, før de overføres via internettet. Nøgledata omfatter som minimum Exchange Online, e-mail-meddelelsestekst og vedhæftede filer, indhold på websteder i SharePoint Online, filbrødtekst, chat, stemmesamtaler og CRM-firmadata om dine interaktioner med slutkunder.

²Partnere: Rapporter om forhandlere, hvor kunden har købt tjenesterne af forhandleren og faktureres af forhandleren, ACS VOIP-partnere og tilknyttede tjenester, f.eks. Research in Motion til Hosted BlackBerry®-tjeneste, er ikke tilgængelige på grund af den indbyggede dataadgang, som disse partnere anvender ved almindelig brug af tjenesterne.

³I forbindelse med kunder fra store virksomheder, der har aktiveret FOPE-administrationscenteret, er det ikke muligt at oprette rapporter over administratoradgang til post, som er i kø i administrationscenteret.

Ofte stillede spørgsmål

Spørgsmål: Hvem har administratorrettigheder til Microsoft Online Services? Er de fuldtidsansatte eller leverandører? Hvordan forhindrer Microsoft administratorerne i at få adgang til kundedata?

Databaseadministratorer har pr. definition adgang til alle ressourcerne i en database, herunder kundedata. Microsoft tillader dog ikke under nogen omstændigheder adgang til kundedata til andre formål end forretningsrelaterede formål, f.eks. justering af databaser eller overflytning af kunder fra en database til en anden.

Følgende tabel viser forskellige adgangsniveauer for forskellige datatyper:

^*Data om nøglekunder omfatter e-mailmeddelelsestekst og vedhæftede filer i Exchange Online, webstedsindhold og filbrødtekst i SharePoint Online og chat- og stemmesamtaler og CRM-firmadata om dine interaktioner med slutkunder.

Spørgsmål: Hvad gør Microsoft for at understøtte kundernes adgangsrettigheder til deres data? Har kunden uafbrudt adgang til sine data?

Kunder kan få adgang til og kontrollere deres data gennem de standardprotokoller og adgangsmekanismer, der er defineret i beskrivelserne af tjenesten.

Kunden er til enhver tid berettiget til at eksportere sine data, når abonnementet udløber, eller når kunden indstiller sin brug af tjenesten. Dette er beskrevet mere udførligt i brugervilkår for produkt, som er den overordnede kilde til dette emne. For overskuelighedens skyld er de aktuelle rettigheder på udgivelsestidspunktet for Office 365 medtaget nedenfor:

Udløb eller ophør af Online Services. Når dit Online Services-abonnement udløber eller ophører, skal du kontakte Microsoft, og fortælle os, om vi skal:

• (1) deaktivere din konto og derefter slette kundedataene eller
• (2) opbevare dine kundedata på en konto med begrænsede funktioner i mindst 90 dage efter abonnementets udløb eller ophør ("opbevaringsperioden"), så du kan udtrække dataene.
• Hvis du vælger (1), har du ikke mulighed for at udtrække kundedataene fra din konto. Hvis du vælger (2), er du forpligtet til at godtgøre os alle hermed forbundne omkostninger. Hvis du ikke vælger hverken (1) eller (2), opbevarer vi kundedataene i henhold til (2).
• Når opbevaringsperioden er udløbet, deaktiverer vi din konto og sletter derefter kundedataene. Cachelagrede kopier eller sikkerhedskopier tømmes inden for 30 dage efter udløbet af opbevaringsperioden.

Intet ansvar for sletning af kundedata. Du anerkender, at hvor intet andet fremgår af disse vilkår, er vi ikke forpligtet til at opbevare, eksportere eller returnere dine kundedata. Du anerkender, at vi på ingen måde er ansvarlige for sletning af kundedata i medfør af disse vilkår.

Microsoft udsender en meddelelse og flere efterfølgende påmindelser forud for enhver sletning af kundedata, så kunderne er informeret om den kommende datasletning, hvis de undlader at reagere inden for den angivne tidsfrist.

Kunder, som har brug for hjælp til at udfylde lovbestemte anmodninger om beskyttelse af personlige oplysninger, har for manges vedkommende en aftale, som berettiger dem til at kontakte Microsofts kundesupport for at få hjælp til at åbne, ændre, slette eller blokere deres kundedata. Der opkræves muligvis et ekstra gebyr i forbindelse med anmodninger, som det ikke er muligt at imødekomme ved hjælp af standardværktøjer og -processer.

Spørgsmål: Hvordan kan jeg være sikker på, at administratoradgang kun er blevet tildelt til autoriserede brugere som led i deres jobfunktioner?

Alle Microsoft Online Services-medarbejdere er ansvarlige for deres håndtering af kundedata, hvilket betyder, at der kun gives adgang til Microsoft Online Services-data, som det er muligt at spore til en bestemt bruger. Medarbejdernes ansvar håndhæves med andre ord gennem et sæt af systemkontroller, herunder brugen af entydige brugernavne, kontrolforanstaltninger for dataadgang og revision. I modsætning til generiske brugernavne, f.eks. "Gæst" eller "Administrator", bruges entydige brugernavne til at håndhæve ansvar ved at identificere brugerhandlinger til en bestemt person (også kaldet "binding"). Bindingen styrkes yderligere med godkendelsesprocesser med to faktorer, f.eks. logon med chipkort, som anvender digitale certifikater og RSA-tokens.

Brugeradgang til data begrænses endvidere af brugerrollen. Systemadministratorer har f.eks. ikke administratoradgang til databaser.

Microsoft fører streng kontrol med, hvilke brugerroller og brugere der tildeles adgang til kundedata. Brugere skal udfylde en formular med en gyldig forretningsberettigelse for at anmode om adgang. Adgangen skal derefter godkendes af brugerens overordnede, før en eventuel adgang tildeles. Adgangsniveauerne gennemgås endvidere med jævne mellemrum for at sikre, at kun brugere med gyldig forretningsberettigelse har adgang til systemerne.

Spørgsmål: Hvilke kontrolforanstaltninger anvendes for at begrænse fysisk adgang til mine data?

Alle Microsoft Online Services-datacentre anvender biometrisk adgangskontrol, og hovedparten af datacentrene kontrollerer den fysiske adgang til datacentrene ved hjælp af håndaftryk. Fysisk adgang til Microsoft Online Services-datacentre kontrolleres ved hjælp af godkendelse på to niveauer, herunder ved hjælp af en proxylæser til adgangskort (kræver adgangsbadge) og biometriske håndgeometrilæsere.

Du kan finde flere oplysninger om praksis for behandling af kundedata på Microsoft Online Services i politikken om beskyttelse af personlige oplysninger til Microsoft Online, Microsofts retningslinjer om beskyttelse af personlige oplysninger i betaprodukter og -tjenester, beskrivelsen af sikkerhed i Office 365-tjenesten og hvidbogen om beskyttelse af personlige oplysninger på Microsoft Online.

Den ansvarlige Microsoft Security Officer sender kvartalsvise rapporter til autoriserede medarbejdere med beføjelse til at godkende datacenteradgang. Rapporterne indeholder en liste over aktuelle personer, som har adgang til datacentrene. De autoriserede medarbejdere reviderer listen for at sikre, at alle personer på listen fortsat har brug for at have adgang og er tildelt det laveste af de adgangsniveauer, som giver dem den nødvendige adgang til at varetage deres jobfunktioner. De autoriserede medarbejdere skal informere deres Microsoft Security Officer om eventuelle påkrævede ændringer eller bekræfte, at der ikke er behov for ændringer.

Spørgsmål: Hvilken type baggrundsundersøgelse udfører Microsoft for personer, som tildeles administratorrettigheder?

Alle Microsofts medarbejdere i USA skal gennemgå et standardbaggrundstjek som en del af ansættelsesforløbet. Baggrundstjek omfatter gennemgang af oplysninger om uddannelse, erhvervserfaring og straffeattest.

Ud over standardbaggrundstjekket, som alle nye Microsoft-medarbejdere skal gennemgå, skal alle nye og eksisterende medarbejdere, som har adgang til kundedata, eller som administrerer vigtige fysiske og logiske adgangskontrolforanstaltninger, gennemgå et ekstra tjek i henhold til eksportkontrollister. Disse eksportkontrollister omfatter OFAC (Office of Foreign Assets Control List), BIS (Bureau of Industry and Security List) og DDTC (Office of Defense Trade Controls Debarred Persons List).

• Nye medarbejdere undergår en screening som en del af Microsofts standardtjek.
• Alle medarbejdere, som har adgang til kundedata, undergår Microsofts baggrundstjek, og der udføres ekstra baggrundstjek med jævne mellemrum.

Der kan være behov for flere oplysninger og baggrundstjek, f.eks. kontrol af statsborgerskab og fingeraftryk, hvis anmodningen om adgang vedrører de amerikanske myndigheder.

Microsoft deler ikke resultater af baggrundstjek med kunder af hensyn til beskyttelsen af medarbejdernes personlige oplysninger.

Yderligere ressourcer

• Tjenestebeskrivelse af sikkerhed på Microsoft Online Services [Engelsk]
• Vejledning til sikkerheden ved og uafbrudt drift af Microsoft Dynamics CRM Online-tjenesten [Engelsk]
• Hvidbog fra 2011 om beskyttelse af data og personlige oplysninger på Microsoft Online Services [Engelsk]