Поддержка Azure для элементов управления экспортом

Чтобы помочь вам ориентироваться в правилах контроля экспорта, Microsoft публикует белую книгу Microsoft Azure Export Controls. В нём описываются экспортные ограничения США, особенно в отношении программного обеспечения и технических данных, рассматриваются потенциальные источники рисков экспортного контроля и предлагаются конкретные рекомендации для оценки ваших обязательств в рамках этих контролей. Более подробная информация доступна в FAQ Cloud Export по экспорту продуктов Microsoft.

Общие сведения о законах контроля экспорта

Определения, связанные с экспортом, различаются в различных правилах контроля экспорта. В упрощенных терминах экспорт часто подразумевает передачу ограниченной информации, материалов, оборудования, программного обеспечения и т. д., иностранному лицу или внешнему назначению с помощью любого средства. Политика контроля экспорта США применяется с помощью законов и правил контроля экспорта, управляемых главным образом Министерством торговли, Госдепартаментом, Министерством энергетики, ядерной регуляторной комиссией и Министерством финансов. Соответствующие учреждения в каждом департаменте отвечают за определенные области контроля экспорта на основе их исторического администрирования, как показано в таблице 1.

Таблица 1. Законы и правила контроля экспорта США

В этой статье содержится обзор текущих правил контроля экспорта США, рекомендаций по облачным вычислениям и обязательствам Azure в поддержку требований к контролю экспорта.

УХО

Министерство торговли США отвечает за применение правил администрирования экспорта (EAR) через Бюро промышленности и безопасности (BIS). В соответствии с определениями BIS экспорт — это передача защищенной технологии или информации в иностранное место назначения или выпуск защищенной технологии или информации иностранному лицу в Соединенных Штатах, также известное как экспорт. Элементы, зависящие от EAR, можно найти в списке управления коммерцией (CCL), и каждый элемент имеет уникальный номер классификации экспорта (ECCN). Элементы, не перечисленные в списке CCL, назначаются как EAR99, и большинство коммерческих продуктов EAR99 не требуют экспорта лицензии. Однако в зависимости от назначения, конечного пользователя или конечного использования предмета, даже для предмета, относящегося к категории EAR99, может потребоваться лицензия на экспорт BIS.

EAR применяется к товарам двойного назначения, имеющим как коммерческое, так и военное применение, а также к изделиям с чисто коммерческим применением. Руководство BIS гласит, что поставщики облачных сервисов (CSP) не являются экспортерами данных клиентов, потому что клиенты используют облачные сервисы. Кроме того, в окончательном правиле, опубликованном 3 июня 2016 года, BIS пояснил, что требования к лицензированию EAR не применяются, если передача и хранение неклассифицированных технических данных и программного обеспечения шифруются с помощью Стандарта федеральной обработки информации (FIPS) 140 сертифицированных криптографических модулей и не намеренно хранятся в стране или регионе, находящихся под военным эмбарго, то есть в группе стран и регионов D:5, как описано в дополнение No 1 к части 740 EAR, или если они находятся в Российской Федерации. Министерство торговли США чётко заявляет, что когда данные или программное обеспечение загружаются в облако, экспортер, а не облачный провайдер, отвечает за то, чтобы передача, хранение и доступ к этим данным или программному обеспечению соответствовали требованиям EAR.

Azure и Azure для государственных организаций могут помочь вам соответствовать требованиям Положений о экспортном контроле. За исключением региона Azure в Гонконге САР, Центра обработки данных Azure и Azure для государственных организаций не находятся в запрещенных странах или регионах Или в Российской Федерации.

Сервисы Azure опираются на валидированные криптографические модули FIPS 140 в базовой операционной системе и предоставляют множество вариантов шифрования данных как в транзите, так и в состоянии покоя, включая управление ключами шифрования с помощью Azure Key Vault. Служба Key Vault может хранить ключи шифрования в проверенных аппаратных модулях безопасности FIPS 140 (HSM) под вашим контролем, также известных как ключи, управляемые клиентом (CMK). Ключи, сгенерированные внутри Azure Key Vault HSM, не могут экспортироваться — вне HSM не может быть чистой версии ключа. Эта привязка применяется базовым HSM. Azure Key Vault разработан, развернут и работает таким образом, чтобы корпорация Майкрософт и ее агенты не видели или не извлекали криптографические ключи. См. статью Как Azure Key Vault защищает ваши ключи для получения дополнительных гарантий.

Вы несете ответственность за выбор регионов Azure или Azure для государственных организаций для развертывания приложений и данных. Кроме того, вы несете ответственность за разработку приложений для применения сквозного шифрования данных, соответствующего требованиям EAR. Корпорация Майкрософт не проверяет, утверждает или отслеживает приложения, развернутые в Azure или Azure для государственных организаций.

Azure для государственных организаций обеспечивает дополнительный уровень защиты с помощью договорных обязательств по хранению данных клиентов в США и ограничению доступа к системам, обрабатывающим ваши данные, для экранированных лиц США. Дополнительные сведения о поддержке Azure для EAR см. в предложении соответствия требованиям AZURE EAR.

ITAR

Госдепартамент США имеет полномочия по контролю за экспортом статей, услуг и связанных технологий в соответствии с международными правилами в области оружия (ITAR), управляемыми Управлением по контролю за торговлей обороной (DDTC). Элементы под защитой ИТАР документируются в списке боеприпасов США (USML). Если вы являетесь производителем, экспортером и брокером оборонных изделий, услуг и связанных технологий, как это определено в USML, вы должны быть зарегистрированы в DDTC, должны понимать и соблюдать ИТАР, и должны самостоятельно сертифицировать свою деятельность в соответствии с ИТАР.

DDTC пересмотрел правила ИТАР, вступившие в силу 25 марта 2020 года, чтобы привести их в более тесное соответствие с ПРЭ. Эти изменения в ITAR ввели исключение для сквозного шифрования данных, которое включало многие из тех же терминов, что министерство торговли США приняло в 2016 году для EAR. В частности, измененные правила ИТАР указывают, что действия, которые не представляют собой экспорт, реэкспорт, повторную передачу или временные импорты, включают (среди других действий) отправку, принятие или хранение технических данных, которые 1) неклассифицированны, 2) защищены с помощью сквозного шифрования, 3) защищены с помощью криптографических модулей FIPS 140, как указано в правилах, 4) не намеренно отправлены лицу или не хранятся в стране или регионе, запрещенном в § 126.1 или Российской Федерации, и 5) не отправлены из страны или региона, запрещенного в § 126.1 или Российской Федерации. Кроме того, DDTC уточнил, что данные, находящиеся в передаче в интернете, не считаются хранимыми. Сквозное шифрование подразумевает, что данные всегда шифруются между источником и предполагаемым получателем, а средства расшифровки не предоставляются третьим лицам.

Нет сертификации соответствия ITAR; однако Azure и Azure для правительства помогут вам выполнить свои обязательства по соблюдению ITAR. За исключением региона Azure в Гонконге САР, Центра обработки данных Azure и Azure для государственных организаций не находятся в запрещенных странах или регионах Или в Российской Федерации. Сервисы Azure опираются на валидированные криптографические модули FIPS 140 в базовой операционной системе и предоставляют множество вариантов шифрования данных как в транзите, так и в состоянии покоя, включая управление ключами шифрования с помощью Azure Key Vault. Служба Key Vault может хранить ключи шифрования в проверенных аппаратных модулях безопасности FIPS 140 (HSM) под вашим контролем, также известных как ключи, управляемые клиентом (CMK). Ключи, сгенерированные внутри Azure Key Vault HSM, не могут экспортироваться — вне HSM не может быть чистой версии ключа. Эта привязка применяется базовым HSM. Azure Key Vault разработан, развернут и работает таким образом, чтобы корпорация Майкрософт и ее агенты не видели или не извлекали криптографические ключи. См. статью Как Azure Key Vault защищает ваши ключи для получения дополнительных гарантий.

Вы несете ответственность за выбор регионов Azure или Azure для государственных организаций для развертывания приложений и данных. Кроме того, вы несете ответственность за проектирование приложений для применения сквозного шифрования данных, соответствующего требованиям ITAR. Корпорация Майкрософт не проверяет, утверждает или отслеживает приложения, развернутые в Azure или Azure для государственных организаций.

Azure для государственных организаций обеспечивает дополнительный уровень защиты с помощью договорных обязательств по хранению данных клиентов в США и ограничению доступа к системам, обрабатывающим ваши данные, для экранированных лиц США. Дополнительные сведения о поддержке Azure для ITAR см. в предложении о соответствии требованиям ИТАР Azure.

DOE 10 CFR Часть 810

Регламент экспортного контроля Министерства энергетики США (DOE) 10 CFR Часть 810 реализует раздел 57b.(2) Закона об атомной энергии 1954 года (AEA), с поправками разделом 302 Закона о нераспространении ядерного оружия 1978 года (NNPA). Она управляется Национальной администрацией по ядерной безопасности (NNSA). Измененная часть 810 (окончательное правило) вступила в силу 25 марта 2015 года и, помимо прочего, контролирует экспорт несклассифицированной ядерной технологии и помощи. Она обеспечивает мирную ядерную торговлю, помогая гарантировать, что ядерные технологии, экспортированные из Соединенных Штатов, будут использоваться только для мирных целей. Пункт 810.7 (b) гласит, что для предоставления или передачи чувствительной ядерной технологии любой иностранной организации требуется специальное разрешение Министерства энергетики.

Azure для государственных организаций может помочь вам выполнить требования DOE 10 CFR Part 810 по контролю экспорта, поскольку разработан для внедрения специфических ограничений, ограничивающих доступ к информации и системам для американских сотрудников Azure. Если вы развертываете данные в Azure для государственных организаций, вы несете ответственность за собственный процесс классификации безопасности. Для данных, подлежащих экспортному контролю Министерства энергетики, система классификации дополняется контролями неклассифицированной ядерной информации (UCNI ), установленными разделом 148 AEA. Для получения дополнительной информации о поддержке Azure для DOE 10 CFR Part 810 см. статью Предложение Azure по обеспечению соответствия требованиям DOE 10 CFR Part 810.

NRC 10 CFR часть 110

Комиссия по ядерному регулированию (NRC) несет ответственность за экспорт и импорт ядерного оборудования и материалов в соответствии с правилами контроля экспорта 10 CFR, часть 110. NRC регулирует экспорт и импорт ядерных объектов и связанных оборудования и материалов. NRC не регулирует ядерные технологии и помощь, связанные с этими товарами, которые находятся под юрисдикцией Министерства энергетики. Поэтому правила NRC 10 CFR, часть 110, не будут применимы к Azure или Azure для государственных организаций.

Законы о санкциях OFAC

Управление по контролю за иностранными активами (OFAC) отвечает за администрирование и применение экономических и торговых санкций на основе внешней политики США и целей национальной безопасности в отношении целевых иностранных стран/регионов, террористов, международных торговцев наркотиками и тех организаций, занимающихся деятельностью, связанной с распространением оружия массового уничтожения.

OFAC определяет запрещённые операции как торговые или финансовые операции и другие операции, в которых лица США не могут участвовать, если это не разрешено OFAC или не предусмотрено законом. Для веб-взаимодействия см. FAQ No 73 для общих рекомендаций, опубликованных OFAC, в которых, например, говорится: «Компании, способствующие или занимающиеся электронной коммерцией, должны стараться напрямую знать своих клиентов.»

Как указано в Дополнении о защите данных (DPA) к Microsoft Online Services Terms, «Microsoft не контролирует и не ограничивает регионы, из которых клиент или его конечные пользователи могут получать доступ к данным клиента или перемещать их». Для онлайн-служб Microsoft компания Microsoft проводит комплексную проверку, чтобы предотвращать транзакции с организациями из стран/регионов, на которые распространяется эмбарго OFAC. Например, подпадающее под санкции лицо не имеет права использовать услуги Azure. OFAC не предоставляет никаких рекомендаций, сопоставимых с рекомендациями BIS для EAR, которые проводят различие между поставщиками облачных услуг и клиентами при планируемом экспорте. Таким образом, вы несёте ответственность за исключение целей санкций из онлайн-транзакций, связанных с вашими приложениями, включая веб-сайты, развернутыми на Azure. Microsoft не блокирует сетевой трафик на сайты, развернутые на Azure. Хотя OFAC упоминает, что можно ограничивать доступ на основе диапазонов IP-адресов, он также признаёт, что такой подход не полностью решает риски соблюдения требований интернет-компании. Поэтому OFAC рекомендует, чтобы компании электронной коммерции могли напрямую знать своих клиентов. Корпорация Майкрософт не несет ответственности и не имеет средств для непосредственного знания конечных пользователей, взаимодействующих с приложениями, развернутыми в Azure.

Санкции OFAC введены для предотвращения «ведения бизнеса с целью санкций», то есть предотвращения операций, связанных с торговлей, платежами, финансовыми инструментами и так далее. Санкции OFAC не направлены на то, чтобы запретить жителю запрещённой страны или региона просматривать публичный сайт.

Управление требованиями к управлению экспортом

Вы должны тщательно оценить, как использование Azure может включать элементы управления экспортом США и определить, могут ли какие-либо данные, которые вы хотите хранить или обрабатывать в облаке, могут быть подвержены элементам управления экспортом. Microsoft предоставляет контрактные обязательства, операционные процессы и технические функции, чтобы помочь вам выполнить ваши обязательства по контролю экспорта при использовании Azure. Следующие функции Azure доступны для управления потенциальными рисками управления экспортом.

• Возможность контролировать местоположение данных — вы можете видеть, где хранятся ваши данные, а Azure предоставляет надёжные инструменты для ограничения хранения данных одной географией или страной/регионом. Например, вы можете гарантировать, что данные хранятся в США или выбранной вами стране/регионе и минимизировать передачу контролируемых технологий или технических данных за пределы целевой страны/региона. Ваши данные не хранятся намеренно в несоответствующем расположении в соответствии с правилами EAR и ITAR.
• Сквозное шифрование — данные остаются зашифрованы между автором и предполагаемым получателем, а средства расшифровки не предоставляются третьим лицам. Azure использует криптографические модули, проверенные по FIPS 140, в базовой операционной системе и предоставляет множество вариантов шифрования данных как в транзите, так и в состоянии покоя, включая управление ключами шифрования с помощью Azure Key Vault. Служба Key Vault может хранить ключи шифрования в проверенных аппаратных модулях безопасности FIPS 140 (HSM) под вашим контролем, также известных как ключи, управляемые клиентом (CMK). Azure Key Vault разработан, развернут и работает таким образом, чтобы корпорация Майкрософт и ее агенты не видели или не извлекали криптографические ключи.
• Контроль над доступом к данным — вы можете контролировать, кто может получить доступ к вашим данным и на каких условиях. Персонал технической поддержки Майкрософт не нуждается и не имеет доступа по умолчанию к вашим данным. В редких случаях, когда решение запросов в поддержку требует повышенного доступа к вашим данным, Customer Lockbox for Azure поручает вам одобрять или отклонять запросы на доступ к данным.
• Инструменты и протоколы для предотвращения несанкционированного предполагаемого экспорта/повторного экспорта — помимо сквозной гавани шифрования EAR и ITAR для физических хранилищ, шифрование также помогает защититься от потенциального предполагаемого экспорта или предполагаемого повторного экспорта, потому что, даже если человек не из США имеет доступ к зашифрованным данным, он не может прочитать или понять данные во время их шифрования, и контролируемые данные не публикуются. Однако ITAR требует определённого разрешения, прежде чем предоставить иностранцам доступ к информации, которая позволит им расшифровать технические данные ITAR. Azure предлагает широкий спектр возможностей шифрования и решений, гибкость выбора вариантов шифрования и надежных средств для управления шифрованием.

Местонахождение данных клиентов

Корпорация Майкрософт предоставляет строгие обязательства клиентов относительно расположения и передачи данных облачных служб. Большинство служб Azure развертываются в регионе и позволяют указать регион, в который будет развернута служба, например в США. Это обязательство помогает гарантировать, что данные клиентов , хранящиеся в регионе США, останутся в США и не будут перемещены в другой регион за пределами США.

Шифрование данных

Azure имеет обширную поддержку для защиты данных с помощью шифрования данных, включая различные модели шифрования:

• Шифрование на стороне сервера, использующее управляемые службой ключи, ключи, управляемые клиентом (CMK) в Azure, или CMK в оборудовании, управляемом клиентом.
• Шифрование на стороне клиента, позволяющее управлять ключами локально или в другом безопасном расположении.

Шифрование данных обеспечивает гарантии изоляции, которые привязаны непосредственно к доступу к ключу шифрования. Так как Azure использует надежные шифры для шифрования данных, доступ к данным может иметь только сущности с доступом к ключам шифрования. Отмена или удаление ключей шифрования делает соответствующие данные недоступными.

Криптография, аттестованная по стандарту FIPS 140

Федеральный стандарт обработки информации (FIPS) 140 — это стандарт правительства США, определяющий минимальные требования к безопасности для криптографических модулей в продуктах информационной технологии. Текущая версия стандарта FIPS 140-3 имеет требования к безопасности, охватывающие 11 областей, связанных с проектированием и реализацией модуля шифрования. Корпорация Майкрософт поддерживает активное обязательство соответствовать требованиям FIPS 140, проверяя криптографические модули с момента создания стандарта в 2001 году. Корпорация Майкрософт проверяет свои криптографические модули в рамках программы проверки криптографических модулей (CMVP) Национального института стандартов и технологий США (NIST). Несколько продуктов Майкрософт, включая многие облачные службы, используют эти криптографические модули.

Хотя текущее руководство по реализации CMVP FIPS 140 исключает проверку FIPS 140 для облачной службы, поставщики облачных служб могут получать и работать с проверенными криптографическими модулями FIPS 140 для вычислительных элементов, составляющих их облачные службы. Azure построен на сочетании аппаратного обеспечения, коммерчески доступных операционных систем (Linux и Windows) и специфичной для Azure версии Windows. Через жизненный цикл разработки безопасности Майкрософт (SDL) все службы Azure используют утвержденные алгоритмы FIPS 140 для обеспечения безопасности данных, так как операционная система использует утвержденные алгоритмы FIPS 140 при работе в гипермасштабируемом облаке. Соответствующие модули шифрования прошли проверку FIPS 140 в рамках программы валидации FIPS Microsoft Windows. Кроме того, вы можете хранить собственные криптографические ключи и другие секреты в проверенных аппаратных модулях безопасности FIPS 140 (HSM).

Управление ключом шифрования

Правильная защита ключей шифрования и управление ими необходима для обеспечения безопасности данных. Azure Key Vault — это облачная служба для безопасного хранения секретов и управления ими. Key Vault позволяет хранить ключи шифрования в аппаратных модулях безопасности (HSM), проверенных FIPS 140. Дополнительные сведения см. в разделе "Управление ключами шифрования данных".

Шифрование данных при передаче

Azure предоставляет множество вариантов шифрования данных при передаче. Шифрование данных при передаче изолирует сетевой трафик от другого трафика и помогает защитить данные от перехвата. Дополнительные сведения см. в разделе "Шифрование данных в транзитном режиме".

Шифрование данных в состоянии покоя

Azure предоставляет широкие возможности шифрования неактивных данных , чтобы обеспечить защиту данных и обеспечить соответствие требованиям с помощью ключей шифрования, управляемых корпорацией Майкрософт, и ключей шифрования, управляемых клиентом. Этот процесс использует несколько ключей шифрования и служб, таких как Azure Key Vault и Идентификатор Microsoft Entra, чтобы обеспечить безопасный доступ к ключам и централизованное управление ключами. Дополнительные сведения о шифровании службы хранилища Azure и шифровании дисков Azure см. в разделе "Шифрование неактивных данных".

База данных SQL Azure по умолчанию обеспечивает прозрачное шифрование данных (TDE) в состоянии покоя. TDE в режиме реального времени выполняет шифрование и расшифровку операций с файлами данных и журналами. Ключ шифрования базы данных (DEK) — это симметричный ключ, хранящийся в загрузочной записи базы данных для обеспечения доступности во время восстановления. Она защищена сертификатом, хранящимся в главной базе данных сервера, или асимметричным ключом под названием TDE Protector, который находится под вашим контролем в Azure Key Vault. Key Vault поддерживает использование собственного ключа (BYOK), который позволяет хранить средство защиты TDE в Key Vault и управлять задачами управления ключами, включая смену ключей, разрешения, удаление ключей, включение аудита и создания отчетов для всех предохранителей TDE и т. д. Ключ можно создать с помощью Хранилища ключей, импортировать или передать в Хранилище ключей с локального устройства HSM. Вы также можете использовать функцию Always Encrypted базы данных SQL Azure, которая предназначена специально для защиты конфиденциальных данных, позволяя шифровать данные внутри приложений и никогда не раскрывать ключи шифрования ядра СУБД. Таким образом, Always Encrypted обеспечивает разделение между теми пользователями, кто владеет данными, и может просматривать их и тех пользователей, которые управляют данными, но не должны иметь доступа.

Ограничения на инсайдерский доступ

Все сотрудники Azure и Azure для государственных организаций в США подвергаются проверкам на фоновые данные Майкрософт. Дополнительные сведения см. в разделе "Скрининг".

Инсайдерские угрозы могут включать бэкдор-соединения и привилегированный доступ администраторов облачных сервисов (CSP) к вашим системам и данным. Дополнительные сведения о том, как корпорация Майкрософт ограничивает внутренний доступ к вашим данным, см. в разделе Ограничения на внутренний доступ.

Мониторинг ресурсов Azure

Azure предоставляет основные службы, которые можно использовать для получения подробных сведений о подготовленных ресурсах Azure и получения оповещений о подозрительных действиях, включая внешние атаки, направленные на приложения и данные. Дополнительные сведения об этих службах см. в разделе "Мониторинг клиентов" ресурсов Azure.

Заключение

Вы должны тщательно оценить, как использование Azure может включать элементы управления экспортом США и определить, могут ли какие-либо данные, которые вы хотите хранить или обрабатывать в облаке, могут быть подвержены элементам управления экспортом. Microsoft Azure предоставляет важные технические функции, операционные процессы и договорные обязательства по управлению рисками контроля экспорта. Когда могут быть задействованы технические данные, подлежащие экспортному контролю США, Azure настроена таким образом, чтобы предоставлять функции, которые помогают снизить потенциальный риск того, что вы непреднамеренно нарушите правила экспортного контроля США при доступе к контролируемым техническим данным в Azure. С соответствующим планированием вы можете использовать функции Azure и собственные внутренние процедуры, чтобы обеспечить полное соответствие элементам управления экспортом США при использовании платформы Azure.

Дальнейшие шаги

Чтобы помочь вам разобраться в правилах контроля экспорта, Microsoft публикует белую книгу Microsoft Azure Export Controls, в которой описываются экспортные ограничения из США (особенно в отношении программного обеспечения и технических данных), рассматриваются возможные источники рисков экспортного контроля и предоставляются конкретные рекомендации для оценки ваших обязательств по этим контролям.

Дополнительные сведения:

• Azure Security.
• Azure Compliance.
• Решения Microsoft для правительства.
• Что такое Azure для государственных организаций?.
• Изучите Azure для государственных организаций.
• Экспорт продуктов Microsoft.
• Соответствие требованиям Azure для государственных организаций.
• Предложение Azure по обеспечению соответствия требованиям EAR.
• Предложение Azure по обеспечению соответствия требованиям ITAR.
• Предложение Azure DOE 10 CFR Part 810 по обеспечению соответствия.
• Предложение Azure для соответствия требованиям FedRAMP.