مركز التوثيق: معلومات الأمان والخصوصية والتوافق لـ Office 365 و Microsoft Dynamics CRM Online
الوصول الإداري
إننا نسمح لك بمعرفة ما إذا كان شخص ما قد وصل إلى بياناتك. نعرف أن الوصول إلى البيانات في السحابة يشكّل أحد اهتماماتك الرئيسية. وهذا يعني معرفة أنك ستتمكن من الوصول إلى بياناتك عند الحاجة إليها ومعرفة ما إذا تمكّن شخص آخر من الوصول إليها.
ما الدور الذي يؤديه كل من Office 365 وMicrosoft Dynamics CRM Online في الوصول إلى البيانات؟
يتلخص دورنا في الوصول إلى بياناتك في ما يلي:
• إننا نمنحك دائماً إمكانية الوصول إلى بيانات عملائك.
• تراقب Microsoft وأطراف أخرى الوصول إلى بيانات العميل وتسجّله وتُجري تدقيقاً مُشدّداً على عينات منه للتصديق على أن الوصول كان فقط لأغراض ملائمة تتعلق بالعمل.
• إننا ندرك الأهمية الكبرى للمحتوى الخاص بعملائنا،1 مثل بيانات نص رسالة البريد الإلكتروني في Exchange Online، ومحتوى موقع الفريق في SharePoint Online. في حال وصل شخص ما، من موظفي Microsoft أو الشركاء2 أو المسؤولين مثلاً، إلى المحتوى على الخدمة، يمكنك الحصول على تقارير متعلقة بهذا الوصول من خلال إما تشغيل تقرير الوصول إلى علبة البريد لغير المالكين أو تشغيل سجل تدقيق المسؤول الخارجي. يمكّنك هذان التقريران من معرفة الوقت الذي تم في خلاله الوصول إلى المحتوى.
• يسرد تقرير الوصول إلى علبة البريد لغير المالكين* في مركز إدارة Exchange علب البريد التي وصل إليها شخص غير مالكها. عندما يصل شخص غير المالك إلى علبة بريد، يسجل Microsoft Exchange معلومات عن هذا الإجراء في سجل تدقيق علبة البريد الذي يتم تخزينه كرسالة بريد إلكتروني في مجلد مخفي في علبة البريد التي تخضع للتدقيق. ويتم الاحتفاظ بسجل تدقيق علبة البريد لمدة 90 يوماً بشكل افتراضي.
*يجب تمكين سجل التدقيق الخاص بعلبة البريد لكل علبة بريد ترغب في تشغيل تقرير الوصول إلى علبة البريد لغير المالك لها. إذا لم يتم تمكين تسجيل التدقيق الخاص بعلبة البريد، فلن تحصل على أي نتيجة عند تشغيل التقرير.
اعرف المزيد عن تشغيل تقرير الوصول إلى علبة البريد لغير المالك.
• يسرد تسجيل تدقيق المسؤول إجراءات محددة قام بها المسؤولون والمستخدمون الذين تم منحهم امتيازات إدارية. يمكنك استخدام مركز إدارة Exchange للبحث عن إدخالات وعرضها من سجل تدقيق المسؤول لإجراءات قام بها مسؤولو Microsoft ومسؤولون معينون.
اعرف المزيد عن عرض سجل تدقيق المسؤول الخارجي.
• يشكّل Azure Active Directory Premium نظاماً أساسياً للهوية في Office 365 وهو يوفر إدارة للهويات وإمكانيات التحكم بالوصول. تتضمن إمكانيات Azure Active Directory متجراً في السحابة لبيانات الدليل ومجموعةً أساسية خاصة بخدمات الهويات، تتضمن عمليات تسجيل دخول المستخدمين وخدمات التصديق وخدمات الأمان المشترك.
لمعرفة كيفية استخدام تقارير الوصول والاستخدام وتكوين فكرة واضحة عن نزاهة وأمان مستأجر Azure Active Directory الخاص بمؤسستك، اقرأ هذه المقالة.
كيف أعرض الوصول الإداري إلى البيانات؟
الخدمة | الأنشطة التي يتم تعقّبه• | الإرشادات |
Office 365 وDynamics CRM Online | إنشاء مستخدمين عبر المدخل، وعمليات إعادة تعيين كلمات المرور | |
Exchange Online | الوصول إلى علبة بريد Exchange 3 | قم بزيارة لوحة تحكم Exchange (يتوفر الارتباط من الصفحة "نظرة عامة حول المسؤول" لـ مدخل Office 365 Online ، وهو يتطلب تسجيل الدخول) |
SharePoint Online | موقع SharePoint، الوصول إلى التخزين | |
Microsoft Dynamics CRM Online | الوصول إلى محتوى CRM |
1 إن المحتوى هو عبارة عن بيانات للعملاء يتوقعون أن تكون على درجة عالية من السرية، وعند استخدام الخدمة على نحو طبيعي، يتم تشفير هذه البيانات ونقلها عبر الإنترنت. وهي تتضمن تحديداً: نص رسالة البريد الإلكتروني والمرفقات لـ Exchange Online، ومحتوى موقع SharePoint Online ومحتوى الملفات، ومحادثات المراسلة الفورية والمحادثات الصوتية وبيانات العمل من CRM المتعلقة بتفاعلات العميل النهائي.
2 تظهر التقارير الوصول الإداري لشركائك إلى المحتوى الخاص بك المخزّن على الخدمة. ولكنها لا تشمل سيناريوهات الشركاء كلها. على سبيل المثال، لا تتوفر تقارير تتعلق بالبائعين (مثل النقاط التي اشترى منها العميل الخدمات وتسديد الفواتير والبائع)، وشركاء VOIP لخدمات الاتصالات المتقدمة، والخدمات المقترنة مثل Research in Motion (لخدمة BlackBerry® المُستضافة) نظراً إلى طبيعة الوصول إلى البيانات التي تمتلكها هذه الأطراف خلال الاستخدام الاعتيادي لهذه الخدمات.
3 بالنسبة إلى عملاء المؤسسات الذين قاموا بتمكين مركز إدارة Exchange Online Protection، لا يمكن الإبلاغ عن الوصول الإداري للبريد المدرج ضمن قائمة الانتظار في مركز الإدارة.
من يملك الحقوق الإدارية لـ Office 365 أو Microsoft Dynamics CRM Online؟
يمكن لمسؤولي قواعد بيانات Microsoft، بحسب تعريف عملهم، الوصول إلى كافة الموارد الموجودة في قاعدة بيانات معينة، بما في ذلك بيانات العملاء.
لا نستخدم بيانات العملاء إلا لتوفير الخدمات؛ وبالتالي، تحظر Microsoft بشدة أي وصول إلى بيانات العميل لأي غرض آخر. وكجزء من عملية توفير البيانات، يجوز لمسؤولي قواعد البيانات الوصول إلى بيانات العميل لتنفيذ بعض الإجراءات، كعمليات ضبط قواعد البيانات أو ترحيل العملاء من قاعدة بيانات إلى أخرى.
يوضح الجدول التالي بالتفصيل المستويات المختلفة لوصول مختلف المسؤولين إلى مختلف أنواع البيانات:
المسؤول | بيانات العميل (باستثناء المحتوى) | المحتوى |
فريق الاستجابة للعمليات (يقتصر على الموظفين الرئيسيين فقط) | نعم، عند الحاجة. | نعم، بشكل استثنائي. |
مؤسسة الدعم | نعم، عند الحاجة فقط، وذلك استجابة لاستعلام الدعم. | لا. |
الهندسة | لا يتوفر وصول مباشر. من الممكن أن تتم عملية النقل أثناء استكشاف الأخطاء وإصلاحها. | لا. |
الشركاء | بإذن من العميل. اتصل بشريكك للحصول على مزيد من المعلومات. | بإذن من العميل. اتصل بشريكك للحصول على مزيد من المعلومات. |
الأقسام الأخرى في Microsoft | لا.1 | لا. |
1 قد يستخدم أشخاص آخرون في Microsoft معلومات جهات اتصال المستخدمين النهائين الذين تم تحديدهم في دلائل عملاء Office 365 Business وأساسيات Business وBusiness فائق الجودة لإرسال رسائل ترويجية للمستخدمين النهائيين هؤلاء.
ما الذي تفعله Microsoft لدعم حقوق عملائها في الوصول إلى بياناتهم؟ هل سيتمكن العملاء من الوصول إلى بياناتهم في أي وقت؟
يتمكن العملاء من الوصول إلى البيانات والتحكم بها عبر بروتوكولات وآليات وصول قياسية محددة في أوصاف الخدمة.
وفي نهاية اشتراك العميل أو نهاية استخدامه للخدمة، يجوز له دائماً تصدير بياناته. تتوفر تفاصيل كاملة في حقوق استخدام الخدمات على الإنترنت، وهي تشكّل مصدراً موثوقاً به في هذا الشأن (على العملاء الذين عقدوا اتفاقية لاستخدام Enterprise مراجعة حقوق استخدام المنتج). ولكن لتسهيل الأمر عليك، تم تضمين الأحكام الخاصة بحقوق استخدام الخدمات على الإنترنت، ابتداءً من الإصدار الحالي لـ Office 365، أدناه:
انتهاء صلاحية الخدمة عبر الإنترنت أو إنهاؤها. عند انتهاء صلاحية اشتراك الخدمة عبر الإنترنت أو إنهائه، يجب الاتصال بشركة Microsoft وإخبارنا بالإجراء الذي يجب علينا اتخاذه:
•(1) تعطيل حسابك ثم حذف بيانات العميل؛ أو
•(2) الاحتفاظ ببيانات العميل في حساب بوظائف محدودة لفترة لا تقل عن 90 يوماً بعد انتهاء صلاحية الاشتراك أو إنهائه (ما يُشار إليه باسم "فترة الاستبقاء") لتتمكن من استخراج البيانات.
•إذا حددت الخيار (1)، فلن تتمكن من استخراج بيانات العميل من حسابك. أما إذا لم تحدد أياً من الخيارين (1) أو (2)، فسنحتفظ ببيانات العميل بموجب الخيار (2).
• بعد انتهاء صلاحية فترة الاستبقاء، سنقوم بتعطيل حسابك ثم حذف بيانات العميل الخاصة بك. وسيتم التخلص من النسخ المخزنة مؤقتاً أو احتياطياً خلال 30 يوماً من نهاية فترة الاستبقاء.
ترسل Microsoft عدة إشعارات قبل حذف بيانات العميل لإعلام العملاء بعملية الحذف المقبلة للبيانات وتذكيرهم بها في حال لم يتّخذوا أي إجراء خلال الفترة الزمنية المنصوص عليها.
يمكن للعملاء الاتصال بـ دعم عملاء Microsoft للحصول على تعليمات للوصول إلى بيانات العميل أو تغييرها أو حذفها أو حظرها، وذلك إذا احتاج العميل إلى المساعدة في تنفيذ طلبات الخصوصية التي ينص عليها القانون، وبموجب عدة اتفاقيات. وقد تترتب تكاليف إضافية عن الطلبات التي لا يمكن تنفيذها عبر أدوات وعمليات قياسية.
كيف يمكنني التأكد من أن المستخدمين المخولين وحدهم مُنحوا وصولاً إدارياً لتنفيذ مسؤوليات مهامهم؟
يتحمّل جميع موظفي Office 365 وMicrosoft Dynamics CRM Online مسؤولياتهم لجهة معالجة بيانات العملاء، لأن الوصول إلى بيانات Office 365 وMicrosoft Dynamics CRM Online يُمنح بطريقة يمكن تعقبها إلى مستخدم فريد.
بعبارة أخرى، يتم فرض المسؤولية عبر مجموعة من ضوابط النظام، بما في ذلك استخدام أسماء مستخدمين فريدة، وضوابط الوصول إلى البيانات، والتدقيق. وبخلاف أسماء المستخدمين العامة مثل "ضيف" أو "مسؤول،" تُستخدم أسماء المستخدمين الفريدة لفرض المسؤولية من خلال تحديد إجراءات المستخدمين بشخص معين (ما يشار إليها بتعبير "إلزام"). ويُستخدم أيضاً تصديق من عاملين، مثل تسجيل الدخول بالبطاقة الذكية باستخدام شهادات رقمية أو رموز RSA، لزيادة فعالية هذا الإلزام.
تطبق Microsoft ضوابط صارمة يتم بموجبها منح أدوار الموظفين والموظفين إمكانية الوصول إلى بيانات العميل. تتم مراقبة وصول الموظفين إلى أنظمة تكنولوجيا المعلومات التي من شأنها تخزين بيانات العملاء عن كثب عبر التحكم بالوصول حسب الدول (RBAC) وعمليات مربع القفل [باللغة الإنجليزية] . إن مراقبة الوصول عبارة عن عملية تلقائية تخضع لمبدأ فصل المهام ومبدأ منح الحد الأدنى من الامتيازات. وتضمن هذه العملية أن يستوفي المهندس الذي يطلب الوصول إلى أنظمة تكنولوجيا المعلومات هذه متطلبات الأهلية الضرورية، مثل شاشة الخلفية وبصمة الأصابع والتدريب على مهام الأمن المطلوبة والموافقات على الوصول . فضلاً عن ذلك، تتم مراجعة مستويات الوصول بشكل دوري لضمان أن المستخدمين الذين لديهم مبررات الأعمال فقط يملكون حق الوصول إلى الأنظمة.
يتم أيضاً تقييد وصول المستخدم إلى البيانات بدور المستخدم. على سبيل المثال، لا يتم تزويد مسؤولي النظام بوصول إداري إلى قاعدة البيانات.
ما هي الضوابط المُطبقة لتقييد الوصول المادي إلى بياناتي؟
لدى كل مراكز بيانات Office 365 وMicrosoft Dynamics CRM Online ضوابط وصول بمقاييس حيوية، تشمل معظم مراكز البيانات المستخدمة لتوفير Office 365 وMicrosoft Dynamics CRM Online التي تتطلب بصمات اليد للحصول على وصول مادي إلى مراكز البيانات.
يخضع الوصول المادي إلى مراكز بيانات Office 365 وMicrosoft Dynamics CRM Online لتصديق من مرحلتين، يشمل قارئات وصول بطاقة الوكيل (إن شارة وصول البطاقة مطلوبة) وقارئات المقاييس الحيوية لهندسة الأيدي.
على أساس ربع سنوي، يرسل مسؤول الأمان لدى Microsoft تقارير إلى الموظف المخول الموافقة على الوصول إلى مركز البيانات. تتضمن التقارير لائحة بأسماء الأشخاص الذين لديهم حالياً حق الوصول إلى مراكز البيانات. ويدقق الموظف المخول باللائحة لضمان أن جميع الأشخاص ما زالوا يحتاجون إلى حق الوصول ولديهم الحد الأدنى من الامتيازات لمستوى الوصول لإنجاز مهامهم.
للحصول على مزيد من المعلومات حول مقاربة Office 365 و/أو Microsoft Dynamics CRM Online لبيانات العميل، يُرجى الرجوع إلى توجيهات خصوصية Microsoft لتطوير المنتجات والخدمات، والمستند التقني لأمان Office 365، ودليل الأمان واستمرارية الخدمة لـ Microsoft Dynamics CRM Online والمستند التقني لخصوصية Microsoft عبر الإنترنت.
ما نوع التحقيق الذي تجريه Microsoft حول خلفية الأشخاص الذين مُنحوا حقوقاً إدارية؟
يُطلب من جميع موظفي Microsoft الذين يعملون في الولايات المتحدة اجتياز اختبار خلفية عادي كجزء من عملية التوظيف.
تشمل عمليات التحقق من الخلفية مراجعة المعلومات المتعلقة بتعليم المرشح، وتوظيفه، وسجله الإجرامي. فضلاً عن التحقق من الخلفية القياسي الذي يُطبق على جميع موظفي Microsoft الجدد، يجب أن يخضع الموظفون الجدد والحاليون الذين لديهم إمكانية الوصول إلى بيانات العميل، أو الذين يديرون ضوابط وصول مادية ومنطقية رئيسية، إلى اختبارات على قوائم ضوابط التصدير. (تشمل قوائم ضوابط التصدير كلاً من مكتب مراقبة الأصول الأجنبية (OFAC)، وقائمة مكتب الصناعة والأمان (BIS)، وقائمة الأشخاص الممنوعين وفق مكتب ضوابط مجال الدفاع (DDTC).)
قد يتم أيضاً تطبيق عمليات تحقق إضافية من المعلومات والخلفية، مثل التحقق من المواطنة وبصمات الأصابع، في حال كان طلب الوصول يتعلق بالخدمات التي نقدّمها للعملاء ذوي المتطلبات الخاصة (على سبيل المثال، الحكومة الفيدرالية الأمريكية).
لحماية خصوصية الموظفين، لا تُطلع Microsoft العملاء على نتائج التحقق من الخلفية.
موارد إضافية
•دليل الأمان واستمرارية الخدمة لـ Microsoft Dynamics CRM Online [باللغة الإنجليزية]
•أمان Office 365 (مستند تقني) ) [باللغة الإنجليزية]