Controlos de conformidade e segurança
Este artigo ajuda-o a compreender como a sua organização cumpre os vários requisitos de conformidade e normas de segurança.
Conformidade
Cobertura de conformidade
O Microsoft Managed Desktop obteve as seguintes certificações de conformidade:
- Padrões de Gerenciamento de Segurança da Informação (ISMS) ISO 27001
- Sistema de Gerenciamento de Informações de Privacidade ISO 27701 (PIMS)
- Código de Prática ISO 27017 para Controles de Segurança da Informação
- Código de Prática ISO 27018 para Proteção de Dados Pessoais na Nuvem
- Padrões de Sistemas de Gerenciamento de Qualidade ISO 9001
- Gerenciamento de Serviços de Tecnologia da Informação ISO 20000-1
- Padrão de Gerenciamento de Continuidade de Negócios ISO 22301
- Atestado STAR do Cloud Security Alliance (CSA)
- Certificação STAR do Cloud Security Alliance (CSA)
- Controles da Organização de Serviços (SOC) 1, 2, 3
- Programa de Avaliadores Registrados de Segurança da Informação (IRAP)
- Padrão de Segurança de Dados (DSS) da Indústria de Cartões de Pagamento (PCI)
- Lei Americana HIPAA (Health Insurance Portability Accountability Act)
- CSF (Estrutura de Segurança Comum) da HITRUST (Health Information Trust Alliance)
Relatórios de auditoria e certificados de conformidade
Você pode localizar informações relevantes, incluindo requisitos técnicos e de controle, no STP (Portal de Confiança do Serviço). Este portal é o repositório central para obter informações sobre as ofertas do Serviço Cloud da Microsoft. Pode transferir relatórios de auditor, certificados de conformidade e muito mais na secção Relatórios de Auditoria do STP.
Observação
Como o Microsoft Managed Desktop é executado no Azure, os documentos relevantes geralmente têm nomes de arquivo como "Microsoft Azure, Dynamics 365 e outros Online Services". Nesses documentos, geralmente você encontra o Microsoft Managed Desktop na categoria "Microsoft Online Services" ou "Monitoramento + Gerenciamento".
Controles de segurança
Controle de dispositivos
Todo o pessoal do Microsoft Managed Desktop utiliza dispositivos aprovados para gerir o serviço e aceder a inquilinos geridos. Estes dispositivos são dedicados a operações de produção e requerem autenticação multifator, têm a sua própria identidade especializada, monitorização e proteção. Além disso, estes dispositivos de utilização especial têm controlos para impedir que os dispositivos sejam partilhados por engenheiros.
controlo Pessoas
O Microsoft Managed Desktop mantém e atualiza um registo de acesso de pessoal autorizado a sistemas Microsoft que contêm dados de clientes. Todos os engenheiros de serviço têm de cumprir as políticas e práticas de segurança padrão da Microsoft. Estes incluem formação obrigatória regular (segurança, identidade, privacidade e conformidade) e verificações de segurança e antecedentes recorrentes.
Os engenheiros não mantêm o acesso contínuo aos sistemas de produção ou aos dados dos clientes. Todo o acesso é limitado pelo tempo e tem de ser renovado pelo indivíduo, com revisão e aprovação de gestão obrigatórias. Todas as elegibilidades estão sujeitas a uma revisão de acesso trimestral.
O Microsoft Managed Desktop tem processos com os proprietários atribuídos que utilizamos para conceder, alterar e cancelar a autorização de acesso a dados e recursos. Por exemplo, se um membro da equipa do Microsoft Managed Desktop sair da equipa, as respetivas credenciais serão revogadas em tempo útil.
O acesso a qualquer uma das contas de serviço interativas está restringido ao contexto de um pedido de suporte e está limitado aos engenheiros de serviço que utilizam estes dispositivos. Os pedidos e a utilização destas contas só podem ter origem numa estação de trabalho de acesso seguro da Microsoft.
Controlo de gestão de acesso privilegiado
Ao processar um pedido de suporte, é possível que os engenheiros de serviços precisem de aceder ao seu inquilino. Para tal, tem de ser pedido o acesso a uma função de diretório específica. Se for aprovada, é concedida a uma conta de convidado essas permissões durante um máximo de oito horas. Esta abordagem permite a associação de utilizadores específicos com todas as ações realizadas num inquilino.
Controlo da conta de serviço
Todas as credenciais da conta de serviço do Microsoft Managed Desktop são armazenadas num Key Vault do Azure seguro. As credenciais são geradas aleatoriamente e rodadas a cada 13 dias ou 30 minutos, se utilizadas no período provisório. Pode pedir o registo de auditoria através do Microsoft Managed Desktop. Toda a utilização do "Just-In-Time" é auditada e o registo de auditoria contém os detalhes dos pedidos de serviço da equipa de Engenharia do Serviço de Ambiente de Trabalho Gerido da Microsoft e é armazenado durante 365 dias no Azure.
Para obter mais informações, veja o documento Microsoft Managed Desktop – armazenamento de dados, utilização e práticas de segurança no Portal de Confiança do Serviço (STP).