מרכז יחסי האמון: מידע על אבטחה, פרטיות ותאימות עבור Office 365 ו- Microsoft Dynamics CRM Online

גישה ניהולית

אנו מאפשרים לך לבדוק אם מישהו ניגש לנתונים שלך. ידוע לנו שבענן, גישה לנתונים היא אחת מהחששות העיקריים שלך. כלומר, הן הידיעה שתוכל לגשת לנתונים שלך בעת הצורך, והן הידיעה שמישהו אחר ניגש לנתונים שלך.

מהי העמדה של Office 365 ו- Microsoft Dynamics CRM Online ביחס לגישה לנתונים?

עמדתנו ביחס לגישה לנתונים שלך היא כדלהלן:

אנו תמיד נותנים לך גישה לנתוני הלקוחות שלך.

הגישה לנתוני הלקוחות מבוקרת ונרשמת בקפדנות, וביקורות מדגמיות מבוצעות הן על-ידי ‏Microsoft והן על-ידי ספקים חיצוניים במטרה לאשר שהגישה היא למטרות עסקיות נאותות בלבד.

אנו מכירים בחשיבותו הרבה של התוכן של לקוחותינו1 ‏, כגון נתוני גוף הדואר האלקטרוני של ‏Exchange Online והתוכן של אתר הצוות של SharePoint Online‏. אם מישהו—צוות Microsoft, שותפים2 או מנהלי המערכת שלך—ייגש לתוכן שלך בשירות, תוכל להשיג דוחות בנוגע לגישה זו על-ידי הפעלת דוח גישה לתיבות דואר של משתמשים שאינם בעלים* או יומן ביקורת של מנהל מערכת חיצוני. שני דוחות אלה יאפשרו לך לדעת מתי בוצעה גישה לתוכן שלך.

דוח הגישה לתיבות דואר של משתמשים שאינם בעלים* במרכז הניהול של Exchange‏ (EAC) מפרט את תיבות הדואר שהתבצעה אליהן גישה על-ידי משתמש שאינו הבעלים של תיבת הדואר. כאשר מתבצעת גישה לתיבת דואר על-ידי משתמש שאינו הבעלים, Microsoft Exchange רושם מידע אודות פעולה זו ביומן ביקורת של תיבת דואר שמאוחסן כהודעת דואר אלקטרוני בתיקיה מוסתרת בתיבת הדואר המבוקרת. ערכים ביומן הביקורת של תיבת הדואר נשמרים במשך 90 יום כברירת מחדל.

* עליך להפוך רישום ביקורת של תיבת דואר ביומן לזמין עבור כל תיבת דואר שעבורה ברצונך להפעיל דוח גישה לתיבות דואר של משתמשים שאינם בעלים. אם רישום ביקורת של תיבת דואר ביומן אינו זמין, לא תקבל תוצאות בעת הפעלת דוח.

למד עוד אודות הפעלת דוח גישה לתיבות דואר של משתמשים שאינם בעלים.

רישום הביקורת של מנהל המערכת רושם פעולות מסוימות שבוצעו על-ידי מנהלי מערכת ומשתמשים שהוקצו להם הרשאות ניהול. באפשרותך להשתמש ב- EAC כדי לחפש ולהציג ערכים מיומן הביקורת של מנהל המערכת עבור פעולות שבוצעו על-ידי מנהלי מערכת של Microsoft ומנהלים מוסמכים.

למד עוד אודות הצגת יומן הביקורת של מנהל מערכת חיצוני.

Azure Active Directory Premium הוא פלטפורמת זהויות עבור Office 365 שמספקת יכולות ניהול זהויות ובקרת גישה. היכולות של Azure Active Directory כוללות מאגר מבוסס-ענן עבור נתוני מדריך כתובות וערכה בסיסית של שירותי זהויות, כולל תהליכי כניסת משתמשים, שירותי אימות ו- Federation Services.

כדי ללמוד כיצד להשתמש בדוחות גישה ושימוש כדי לקבל ניראות של התקינות והאבטחה של דייר Azure Active Directory ‏(AD) של הארגון שלך, קרא מאמר זה.

כיצד באפשרותי להציג את נתוני הגישה הניהולית?

שירות

פעילויות במעקב

הוראות

Office 365 ו- Dynamics CRM Online

יצירת משתמשים בפורטל, איפוס סיסמאות

יצירת בקשת שירות טכני חדשה

Exchange Online

גישה לתיבות דואר של Exchange‏ 3

בקר בלוח הבקרה של Exchange‏ (הקישור זמין מהדף 'סקירה ניהולית' ב פורטל של Office 365 Online ; נדרשת כניסה למערכת)

SharePoint Online

אתר SharePoint‏, גישה לאחסון

יצירת בקשת שירות טכני חדשה

Microsoft Dynamics CRM Online

גישה לתוכן CRM

יצירת בקשת שירות טכני חדשה

1 המושג 'תוכן' מתייחס לנתוני לקוחות שהלקוחות מצפים שיישמרו בחשאיות גדולה, ובעת שימוש בשירות באופן רגיל, נתונים אלה מועברים באופן מוצפן באינטרנט. המושג מתייחס בעיקר ל: גוף הודעות דואר אלקטרוני של Exchange Online‏ וקבצים מצורפים, תוכן אתר ‏SharePoint Online וגוף הקבצים שבו, הודעות מיידיות ושיחות קוליות, וכן נתונים עסקיים של CRM אודות אינטראקציות עם לקוחות קצה.

2 דוחות משקפים את הגישה הניהולית של שותפיך לתוכן שלך שמאוחסן בשירות. לא כל תרחישי השותפים מכוסים. לדוגמה, דוחות אודות משווקים (שמהם הלקוח רכש את השירותים ושדרכם הוא מחויב), שותפי VOIP של שירותי תקשורת מתקדמים, ושירותים משויכים, כגון Research in Motion‏‏ ‏(עבור שירות BlackBerry®‎ מתארח),‏ אינם זמינים בשל אופן הגישה שלהם לנתונים הנמצאים אצל גורמים אלה במהלך שימוש רגיל בשירותים.

3 ‏עבור לקוחות ארגוניים שהגדירו את מרכז הניהול של Exchange Online Protection‏ כזמין, לא ניתן לדווח על גישה ניהולית לדואר אלקטרוני שנמצא בתור במרכז הניהול.

למי יש זכויות ניהולית ל- Office 365 או Microsoft Dynamics CRM Online?

למנהלי מערכת של מסדי נתונים של Microsoft, מעצם הגדרתם, יש גישה לכל המשאבים במסד הנתונים, כולל נתוני לקוחות.

אנו משתמשים בנתוני לקוחות רק על מנת לספק את השירותים; לפיכך, Microsoft אוסרת בתכלית האיסור על גישה לנתוני לקוחות לכל מטרה אחרת. כחלק מאספקת השירותים, מנהלי מערכת של מסדי נתונים עשויים לגשת לנתוני לקוחות לצורך ביצוע פעילויות כגון כוונון הביצועים של מסד הנתונים, או העברת לקוחות ממסד נתונים אחד לאחר.

בטבלה הבאה מתוארות רמות הגישה השונות עבור מנהלי מערכת שונים וסוגי נתונים שונים:

מנהל מערכת

נתוני לקוחות (למעט תוכן)

תוכן

צוות תגובות תפעול (מוגבל לצוות מפתח בלבד)

כן, לפי הצורך.

כן, באופן חריג.

תמיכה בארגון

כן, רק אם נדרש בתגובה לשאילתות בנושא תמיכה.

לא.

מהנדסים

אין גישה ישירה. ייתכן שתתבצע העברה של הנתונים במהלך פתרון בעיות.

לא.

שותפים

בהסכמת הלקוח. פנה לשותף לקבלת מידע נוסף.

בהסכמת הלקוח. פנה לשותף לקבלת מידע נוסף.

גורמים אחרים ב‏-‏‏ Microsoft

לא.1

לא.


1 גורמים אחרים ב- Microsoft עשויים להשתמש בפרטי הקשר של משתמשי קצה שצוינו במדריכי הכתובות של לקוחות Office 365 Business,‏ Business Essentials ו- Business Premium כדי לשלוח תקשורת קידום מכירות למשתמשי קצה אלה.

מה Microsoft עושה כדי לתמוך בזכויות של לקוחותיה לגשת לנתונים שלהם? האם יתאפשר ללקוחות לגשת לנתונים שלהם בכל עת?

לקוחות יכולים לגשת לנתונים שלהם ולשלוט בהם דרך הפרוטוקולים ומנגנוני הגישה התקניים המוגדרים בתיאורי השירותים.

בתום תקופת המנוי של הלקוח לשירות או בתום השימוש בו, הלקוח תמיד יוכל לייצא את הנתונים שלו. פרטים מלאים נכללים במסמך 'זכויות שימוש במוצר', המהווה את המקור הסמכותי לנושא זה (לקוחות בעלי הסכמים ארגוניים נדרשים לעיין במסמך 'זכויות שימוש במוצר'). עם זאת, לנוחותך, אנו כוללים בזאת את התנאים המפורטים במסמך 'זכויות שימוש בשירות מקוון', החל מהמהדורה הנוכחית של Office 365:

פקיעת תוקף או סיום של שירות מקוון. עם פקיעת התוקף או עם סיומו של המנוי שלך לשירות המקוון, עליך ליצור קשר עם Microsoft‏ ולומר לנו אם:

(1) להפוך את החשבון שלך ללא זמין ולאחר מכן למחוק את נתוני הלקוחות; או

(2) לשמור את נתוני הלקוחות שלך בחשבון בעל פונקציונליות מוגבלת למשך 90 יום לפחות ממועד פקיעת תוקפו או סיומו של המנוי שלך ("תקופת השמירה") על מנת שתוכל לחלץ את הנתונים.

אם תציין את אפשרות (1)‏, לא תוכל לחלץ את נתוני הלקוחות מהחשבון שלך. אם לא תציין את האפשרויות (1)‏ או (2)‏, אנו נשמור את נתוני הלקוחות בהתאם לאפשרות (2)‏.

לאחר פקיעת התוקף של תקופת השמירה, אנו נהפוך את חשבונך ללא זמין ולאחר מכן נמחק את נתוני הלקוח שלך. עותקי גיבוי או עותקים המאוחסנים במטמון יימחקו בתוך 30 יום מתום תקופת השמירה.

Microsoft‏ מספקת התראות מרובות לפני מחיקה של נתוני הלקוחות, כך שהלקוחות מיודעים ומתוזכרים לגבי המחיקה הצפויה של הנתונים אם אינם פועלים במסגרת הזמן המותנית.

במקרה שלקוח יזדקק לעזרה במימוש בקשות בנושא פרטיות כנדרש על-פי החוק, במסגרת הסכמים רבים, לקוחות רשאים ליצור קשר עם תמיכת הלקוחות של Microsoft ‏ לקבלת סיוע בנושאי גישה לנתוני הלקוחות שלהם וכן שינוי, מחיקה או חסימה שלהם. בקשות שלא ניתן לממש באמצעות כלים ותהליכים סטנדרטיים עשויות להיות כרוכות בחיוב נוסף.

כיצד ניתן לוודא שרק למשתמשים מורשים הוענקה גישה ניהולית לצורך ביצוע תחומי האחריות שלהם בעבודה?

כל הצוות של Office 365 ו- Microsoft Dynamics CRM Online נושא באחריות לאופן טיפולו בנתוני לקוחות, משום שגישה לנתוני Office 365 ו- Microsoft Dynamics CRM Online‏ מוענקת באופן שמאפשר לנהל מעקב אחר משתמש ייחודי.

במילים אחרות, האחריות נאכפת באמצעות סדרה של אמצעי בקרה מערכתיים, לרבות שימוש בשמות משתמש ייחודיים, בקרי גישה לנתונים ועריכת ביקורות. בניגוד לשמות משתמש גנריים כגון "אורח" או "מנהל מערכת", נעשה שימוש בשמות משתמש ייחודיים על מנת לאכוף נשיאה באחריות על-ידי זיהוי האדם הספציפי שביצע את פעולות המשתמש (פעולה הנקראת "איגוד"). על מנת לחזק את פעולת איגוד זו אף יותר, נעשה שימוש גם באימות דו-גורמי, כגון כניסות באמצעות כרטיס חכם המשתמשות באישורים דיגיטליים או באסימוני RSA.

Microsoft‏ מיישמת אמצעי בקרה קפדניים במטרה לקבוע לאילו תפקידי צוות ואנשי צוות תוענק גישה לנתוני לקוחות. גישה של אנשי צוות למערכות ה- IT שמאחסנות נתוני לקוחות מבוקרת באופן קפדני באמצעות בקרת גישה מבוססת-תפקיד (RBAC) ותהליכי נעילת תיבות [אנגלית] . בקרת גישה היא תהליך אוטומטי שעוקב אחר ההפרדה של עיקרון התפקידים והעיקרון של הענקת הרשאות סף. תהליך זה מבטיח שהמהנדס שמבקש גישה למערכות IT אלה עומד בדרישות הזכאות, כגון מסך רקע, תיעוד טביעות אצבע, הדרכת אבטחה נדרשת ואישורי גישה . בנוסף, נערכת ביקורת תקופתית על רמות הגישה במטרה להבטיח שרק למשתמשים בעלי צידוק עסקי מתאים תהיה גישה למערכות.

גישת המשתמשים לנתונים מוגבלת גם לפי תפקיד המשתמש. לדוגמה, מנהלי מערכת לא מקבלים גישה ניהולית למסדי נתונים.

אילו אמצעי בקרה קיימים במטרה להגביל את הגישה הפיזית לנתונים שלי?

כל מרכזי הנתונים של Office 365 ו- Microsoft Dynamics CRM Online‏ כוללים בקרות גישה ביומטרית, כאשר ברוב מרכזי הנתונים שמספקים את השירותים של Office 365 ו- Microsoft Dynamics CRM Online נדרשות טביעות כף יד כדי לאפשר גישה פיזית למרכזי הנתונים.

הגישה הפיזית למרכזי הנתונים של Office 365 ו- Microsoft Dynamics CRM Online‏ מבוקרת באמצעות אימות דו-שכבתי, שכולל קוראי כרטיסי גישה באמצעות Proxy (נדרש תג כרטיס גישה) וקוראים ביומטריים גיאומטריים של כף יד.

בכל רבעון, מנהל האבטחה של Microsoft‏ שולח דוחות לצוות המורשה שבסמכותו כדי לאשר את הגישה למרכזי הנתונים. הדוחות מכילים את רשימת האנשים שיש להם גישה למרכזי הנתונים. הצוות המורשה עורך ביקורת לרשימה כדי להבטיח שכל האנשים עדיין זקוקים לגישה, ושהם בעלי הרשאת רמת הגישה ההכרחית בלבד הדרושה לביצוע תפקידם.

לקבלת מידע נוסף אודות העמדה של Office 365 ו- Microsoft Dynamics CRM Online ביחס לנתוני לקוחות, עיין בקווים המנחים לפרטיות של Microsoft לפיתוח מוצרים ושירותים, בסקירה הטכנית של אבטחת Office 365‏, בהנחיות לאבטחה והמשכיות שירות של Microsoft Dynamics CRM Online, ובסקירה הטכנית של הפרטיות בשירותים מקוונים של Microsoft‏.

איזו בדיקת רקע מבצעת Microsoft‏ על אנשים שמוענקות להם זכויות ניהול?

כל העובדים של Microsoft‏ הנמצאים בארצות הברית נדרשים להשלים בהצלחה בדיקת רקע סטנדרטית כחלק מתהליך קבלתם לעבודה.

בדיקות הרקע כוללות סקירת מידע הקשור להשכלה, לתעסוקה ולעברו הפלילי של המועמד. בנוסף לבדיקת הרקע הסטנדרטית החלה על כל אנשי הצוות החדשים של Microsoft‏, אנשי צוות חדשים וקיימים בעלי גישה לנתוני לקוחות, או אלה המנהלים בקרות גישה פיזיות ולוגיות מרכזיות, חייבים לעבור בדיקות מול רשימות של בקרות ייצוא. (הרשימות של בקרות הייצוא כוללות את רשימת הבקרה של המשרד לפיקוח על נכסים זרים (OFAC)‏, את הרשימה של לשכת התעשייה והביטחון (BIS)‏, ואת רשימת האנשים שנשללו על-ידי בקרות המסחר של משרד הביטחון (DDTC).

אם הבקשה לגישה קשורה לשירותים שאנו מציעים ללקוחות עם דרישות מיוחדות (לדוגמה, הממשל הפדרלי בארה"ב), עשויות לחול בדיקות נתונים ורקע נוספות, כגון בדיקות אזרחות ותיעוד טביעות אצבע.

כדי להגן על הפרטיות של עובדיה, Microsoft‏ אינה משתפת את התוצאות של בדיקות הרקע עם לקוחות.

משאבים נוספים

מדריך לאבטחת והמשכיות השירות של Microsoft Dynamics CRM Online [אנגלית]

אבטחת Office 365 (סקירה טכנית ) [אנגלית]