Обзор шифрования и управления ключами

Какую роль играет шифрование в защите содержимого клиента?

Большинство бизнес-облачных служб Майкрософт являются мультитенантными, что означает, что содержимое клиента может храниться на том же физическом оборудовании, что и другие клиенты. Чтобы защитить конфиденциальность содержимого клиента, Корпорация Майкрософт веб-службы шифровать все неактивные и передаваемые данные с помощью самых надежных и безопасных доступных протоколов шифрования.

Шифрование не заменяет строгие элементы управления доступом. Политика управления доступом Майкрософт нулевого постоянного доступа (ZSA) защищает содержимое клиентов от несанкционированного доступа со стороны сотрудников Майкрософт. Шифрование дополняет управление доступом, защищая конфиденциальность содержимого клиента, где бы оно ни хранилось, и предотвращая чтение содержимого при передаче между системами Microsoft веб-службы или между microsoft веб-службы и клиентом.

Как Корпорация Майкрософт веб-службы шифровать неактивные данные?

Все содержимое клиента в Microsoft веб-службы защищено одной или несколькими формами шифрования. Серверы Майкрософт используют BitLocker для шифрования дисков, содержащих содержимое клиента на уровне тома. Шифрование, предоставляемое BitLocker, защищает содержимое клиента в случае сбоев в других процессах или элементах управления (например, управление доступом или утилизация оборудования), которые могут привести к несанкционированного физического доступа к дискам, содержащим содержимое клиента.

Помимо шифрования на уровне тома, Корпорация Майкрософт веб-службы использовать шифрование на уровне приложений для шифрования содержимого клиента. Шифрование служб обеспечивает защиту прав и функции управления на основе надежного шифрования. Это также позволяет разделить операционные системы Windows и данные клиента, хранящиеся или обрабатываемые этими операционными системами.

Как Microsoft веб-службы шифровать передаваемые данные?

Корпорация Майкрософт веб-службы использовать надежные транспортные протоколы, такие как TLS, чтобы предотвратить перехват данных клиента при их перемещении по сети неавторизованных сторон. Примерами передаваемых данных являются почтовые сообщения, которые находятся в процессе доставки, беседы на собрании по сети или файлы, реплицируемые между центрами обработки данных.

Для Microsoft веб-службы данные считаются передаваемыми, когда устройство пользователя взаимодействует с сервером Майкрософт или сервер Майкрософт взаимодействует с другим сервером.

Как Microsoft веб-службы управлять ключами, используемыми для шифрования?

Надежное шифрование так же безопасно, как и ключи, используемые для шифрования данных. Корпорация Майкрософт использует собственные сертификаты безопасности и связанные ключи для шифрования подключений TLS для передачи данных. Для неактивных данных тома, защищенные BitLocker, шифруются с помощью полного ключа шифрования тома, который шифруется с помощью ключа master тома, который, в свою очередь, привязан к доверенному платформенного модуля (TPM) на сервере. BitLocker использует алгоритмы, совместимые с FIPS 140-2, чтобы ключи шифрования никогда не сохранялись и не отправлялись по проводу в прозрачном режиме.

Шифрование службы обеспечивает еще один уровень шифрования неактивных данных клиента, предоставляя клиентам два варианта управления ключами шифрования: ключи, управляемые Корпорацией Майкрософт, или ключ клиента. При использовании ключей, управляемых Корпорацией Майкрософт, веб-службы автоматически создавать и безопасно хранить корневые ключи, используемые для шифрования служб.

Клиенты с требованиями к управлению собственными корневыми ключами шифрования могут использовать шифрование службы с ключом клиента Microsoft Purview. Используя ключ клиента, клиенты могут создавать собственные криптографические ключи с помощью локального модуля аппаратной службы (HSM) или azure Key Vault (AKV). Корневые ключи клиента хранятся в AKV, где их можно использовать в качестве корня одной из цепочек ключей, которая шифрует данные или файлы почтового ящика клиента. Корневой ключ клиента может получить доступ только косвенно с помощью кода веб-службы Майкрософт для шифрования данных и не может быть напрямую доступен сотрудникам Корпорации Майкрософт.

Связанные внешние правила & сертификации

Веб-службы Корпорации Майкрософт регулярно проверяются на соответствие внешним нормативным требованиям и сертификациям. Сведения о проверке элементов управления, связанных с шифрованием и управлением ключами, см. в следующей таблице.

Azure и Dynamics 365

Microsoft 365