Разработка механизмов защиты данных и обеспечения конфиденциальности

В современном цифровом ландшафте защита данных и обеспечение конфиденциальности имеют решающее значение для организаций, которые используют Power Platform для создания и развертывания бизнес-приложений. Обеспечение безопасности и конфиденциальности конфиденциальных данных является нормативным требованием и важнейшим фактором сохранения доверия клиентов и защиты активов организации.

В этой статье объясняются основные стратегии и передовой опыт защиты данных и конфиденциальности Power Platform.

Защита данных

Защита данных подразумевает реализацию мер по защите данных от несанкционированного доступа, нарушений и других угроз. Конфиденциальность направлена на обеспечение того, чтобы личная и конфиденциальная информация обрабатывалась в соответствии с правовыми и нормативными требованиями, а также чтобы соблюдались права людей на неприкосновенность частной жизни.

Место расположения данных

Microsoft Entra Арендатор хранит информацию, имеющую отношение к организации и ее безопасности. Когда клиент Microsoft Entra регистрируется в службах Power Platform, выбранная клиентом страна или регион сопоставляется с наиболее подходящей географией Azure, где развертывание Power Platform существует. Power Platform хранит данные о клиентах в назначенной клиенту географической зоне Azure (домашней географической зоне), если только организации не развертывают службы в нескольких регионах. Узнайте больше о хранении данных и управлении ими в Power Platform.

Многонациональные компании, имеющие сотрудников и клиентов во всем мире, смогут создавать среды, относящиеся к определенным глобальным регионам, и управлять ими. Вы можете создать среду в регионе, отличном от того, в котором проживает ваш арендатор. Локальные среды могут обеспечить более быстрый доступ к данным для пользователей в данном регионе. Узнайте больше о возможностях нескольких сред в развертывании нескольких сред.

Разделение данных

Power Platform работает на базе Azure, поэтому по своей природе является многопользовательским сервисом. Развертывания и виртуальные машины нескольких клиентов используют одно и то же физическое оборудование. Azure использует логическую изоляцию для разделения данных каждого клиента. Такой подход обеспечивает масштабируемость и экономические преимущества многопользовательских сервисов, гарантируя при этом, что клиенты не смогут получить доступ к данным друг друга.

Подробнее: Защита данных клиентов Azure

Шифрование данных

Данные — самый ценный актив организации, а шифрование — самая надежная линия защиты в многоуровневой стратегии безопасности данных. Облачные службы и продукты Майкрософт для бизнеса используют шифрование для защиты данных клиентов и помогают вам контролировать их.

Power Platform по умолчанию шифрует данные как при хранении, так и при передаче с помощью надежного ключа, управляемого Microsoft.

Подробнее:

Для организаций, которым требуется больший контроль над безопасностью данных и соблюдением требований, ключи, управляемые клиентами (CMK), защищают данные при передаче и хранении, предоставляя организациям контроль над своими ключами шифрования для повышения безопасности данных. Все данные клиентов, хранящиеся в Power Platform, по умолчанию шифруются в состоянии покоя с помощью надежных ключей шифрования, управляемых корпорацией Майкрософт. Microsoft хранит и управляет ключом шифрования базы данных для ваших данных, поэтому вам не придется делать этого самостоятельно. Однако Power Platform предоставляет этот управляемый клиентом ключ шифрования (CMK) для дополнительного контроля защиты данных, где вы можете самостоятельно управлять ключом шифрования базы данных, связанным с вашей средой Microsoft Dataverse. Это позволяет вам по требованию менять или заменять ключ шифрования и предотвращать доступ Microsoft к данным ваших клиентов, отзывая доступ ключа к нашим службам в любое время.

Подробнее:

Политики данных

Политики данных Power Platform — это правила и рекомендации, предназначенные для защиты конфиденциальных данных в среде Power Platform. Эти политики помогают предотвратить несанкционированный обмен и передачу данных, контролируя поток данных между различными соединителями и средами.

Создание стратегии политики данных Power Platform имеет решающее значение для защиты конфиденциальной информации, обеспечения соответствия нормативным требованиям и снижения рисков нарушений данных и несанкционированного доступа к данным:

Подробнее:

Входящие и исходящие ограничения между клиентами

Изоляция арендаторов — это функция безопасности, которая помогает контролировать и ограничивать то, как коннекторы, использующие Microsoft Entra аутентификацию по идентификатору, могут получать доступ к данным других арендаторов. Эта функция полезна для организаций, которым необходимо поддерживать строгие границы данных между различными дочерними компаниями или внешними партнерами.

По умолчанию изоляция арендаторов отключена, и коннекторы могут получать доступ к данным между арендаторами, если не применяются другие политики обработки данных. Изоляция арендатора применяется ко всем коннекторам, которые используют Microsoft Entra аутентификацию ID.

При настройке изоляции арендаторов учитывайте особые требования к доступу к данным и потребности каждого арендатора в совместной работе. Убедитесь, что параметры изоляции соответствуют политикам безопасности вашей организации и нормативным требованиям. Регулярно проверяйте и обновляйте конфигурации изоляции, чтобы адаптировать их к меняющимся потребностям бизнеса и угрозам безопасности. Правильная настройка изоляции арендаторов помогает предотвратить несанкционированный доступ к данным, снижает риск утечки данных и гарантирует, что конфиденциальная информация останется в установленных границах.

Сетевая безопасность

Power Platform Архитектура сервисов позволяет создавать комплексные решения для бизнес-приложений, использующие данные как внутренних, так и внешних сервисов с помощью коннекторов. Многие решения также подключаются к локальным и облачным ресурсам вашей организации. В этом разделе мы рассмотрим функции сетевой безопасности Power Platform и поможем вам узнать, как интегрировать Power Platform услуги и решения в проект сетевой безопасности.

Теги сетевых служб

Power Platform — облачный сервис, требующий подключения к Интернету. Microsoft публикует набор IP-адресов, имен хостов и тегов служб, представляющих Power Platform службы, к которым вам разрешается доступ. Чтобы снизить риск атак, настройте эти значения в брандмауэрах или добавьте их в настройки прокси-сервера браузера для доступа к соответствующим конечным точкам.

Тег службы представляет собой группу префиксов IP-адресов из указанной службы Azure. Корпорация Майкрософт управляет адресными префиксами, заключенными в служебный тег, и автоматически обновляет служебный тег при изменении адресов, сводя к минимуму сложность частого обновления правил сетевой безопасности.

Чтобы настроить правила безопасности сети, ознакомьтесь с полным списком доступных тегов служб .

Коннекторам необходим доступ к исходящим IP-адресам в регионе вашего центра обработки данных. Если ваша среда или брандмауэр блокируют эти адреса, коннекторы не будут работать. Хотя большинство коннекторов используют HTTPS-порт 443, некоторые могут использовать другие протоколы. Проверьте конкретные требования к используемым вами разъемам. IP-адреса и теги сервисов различаются в зависимости от региона и среды, где находится приложение или поток. Ознакомьтесь с полным списком Power Platform IP-адресов и тегов служб , чтобы правильно настроить свой список разрешений.

Подключение к источникам данных

Power Platform подключается к источникам данных и выполняет аутентификацию с помощью различных коннекторов, которые обеспечивают бесшовную интеграцию с внешними системами и службами.

Подробнее: Подключение и аутентификация в источниках данных

Поддержка виртуальной сети

Поддержка виртуальной сети Azure для Power Platform помогает интегрировать Power Platform с ресурсами внутри вашей виртуальной сети, не показывая ваши ресурсы в общественном Интернете. Поддержка виртуальной сети использует делегирование подсети Azure для управления исходящим трафиком во время выполнения из Power Platform. При использовании делегирования подсети Azure устраняется необходимость в доступности защищенных ресурсов через Интернет для интеграции Power Platform. Благодаря поддержке виртуальной сети компоненты Power Platform могут вызывать ресурсы, принадлежащие вашему предприятию, внутри вашей сети, независимо от того, размещены ли они в Azure или локально, а также использовать подключаемые модули и соединители для совершения исходящих вызовов.

Чтобы снизить риск утечки данных через подключаемые модули и коннекторы, вы можете использовать сетевую безопасность для защиты как входящего, так и исходящего трафика. Power Platform поддерживает интеграцию виртуальной сети (vNet) как для коннекторов, так и для Dataverse плагинов, включая Microsoft Copilot Studio интеграции, обеспечивая частное исходящее подключение Power Platform к ресурсам в вашей vNet.

IP-межсетевой экран для Power Platform сред

Функция IP-брандмауэра в Power Platform обеспечивает дополнительный уровень безопасности, контролируя входящий трафик в ваших Power Platform средах. Эта функция позволяет администраторам определять и применять элементы управления доступом на основе IP-адресов, гарантируя, что доступ к среде смогут получить только авторизованные IP-адреса. При включении брандмауэр IP оценивает IP-адрес каждого запроса в режиме реального времени и разрешает или запрещает доступ на основе настроенных диапазонов IP-адресов.

Например, если вы включите брандмауэр IP и ограничите доступ Dataverse только IP-адресами вашей офисной сети, пользователи не смогут получить доступ Dataverse из других мест. IP-брандмауэр также предотвращает атаки с повторным воспроизведением токенов, гарантируя, что токены доступа не смогут использоваться из неавторизованных сетевых расположений. Любой такой запрос не будет выполнен. Поскольку IP-брандмауэр работает на сетевом уровне, он влияет как на приложения, так и на API, которые используют Dataverse. Вы можете настроить IP-брандмауэр для каждой среды, что позволит вам определить, какие среды требуют более строгой защиты. Например, вы можете разрешить неограниченный доступ к средам разработки, ограничив при этом доступ к тестовым и производственным средам.

Предотвратить использование средств перехвата сеанса Dataverse

Предотвратите попытки перехвата сеанса с помощью Dataverse привязки cookie-файлов к IP-адресу . Предположим, что злоумышленник копирует действительный файл cookie сеанса с авторизованного компьютера, на котором включена привязка IP-адреса файла cookie. Затем пользователь пытается использовать файл cookie на другом компьютере, чтобы получить несанкционированный доступ к Dataverse. Dataverse в режиме реального времени сравнивает IP-адрес источника файла cookie с IP-адресом компьютера, отправляющего запрос. Если они разные, попытка блокируется и отображается сообщение об ошибке.

Подключение к локальным ресурсам

Локальный шлюз позволяет Power Platform облачным приложениям и средствам автоматизации безопасно использовать локальные ресурсы. Вы можете использовать шлюз для подключения к локальным данным из таких источников, как файловая система, DB2, Oracle, SAP ERP, SQL Server и SharePoint. Шлюз использует Azure Relay для обеспечения безопасного доступа к локальным ресурсам. Azure Relay может безопасно предоставлять доступ к службам вашей сети через публичное облако без необходимости открывать порт на брандмауэре. Шлюз использует следующие исходящие порты: TCP 443, 5671, 5672 и 9350–9354. Шлюзу не требуются входящие порты.

Один шлюз может позволить нескольким пользователям получать доступ к нескольким источникам данных. Вы можете контролировать, кто может установить локальный шлюз данных в вашем клиенте, но не на уровне среды.

Следующие роли шлюза управляют безопасностью шлюза и его соединений:

  • Администратор: любому пользователю, устанавливающему шлюз, автоматически назначается роль администратора. Администратор может управлять шлюзом и обновлять его, создавать подключения к источникам данных, управлять доступом ко всем подключениям и управлять другими пользователями шлюза.
  • Создатель подключения: Вы можете создавать и тестировать подключения на шлюзе, но не можете управлять им или обновлять его, а также добавлять или удалять других пользователей.
  • Создатель подключения с возможностью совместного использования: у вас есть те же разрешения, что и у создателя подключения, плюс вы можете предоставить общий доступ к шлюзу другим пользователям.

Для подключений, создаваемых для Power Apps и Power Automate, вы можете ограничить типы подключений, доступные пользователям при назначении роли. Используйте стандартные сетевые элементы управления на сервере шлюза, чтобы ограничить источники данных, к которым шлюз может получить доступ. Кластерные шлюзы могут сделать их более надежными и быстрыми для удовлетворения критически важных бизнес-потребностей. Используйте разные кластеры для разных целей, например, для поддержки жизненного цикла приложений, разделения организации или изоляции сервисов. Такой подход помогает вам соблюдать различные требования соответствия или безопасности для разных источников данных.

Благодаря шлюзам данных виртуальной сети Power BI и Power Platform потоки данных могут подключаться к службам данных в виртуальной сети Azure без необходимости использования локального шлюза данных на виртуальной машине внутри виртуальной сети. Найдите поддерживаемые службы данных для Power BI наборов данных и поддерживаемые источники данных для Power Platform потоков данных.

Azure ExpressRoute предлагает расширенный способ подключения вашей локальной сети к облачным сервисам Microsoft с использованием частного подключения. Вы можете использовать одно подключение ExpressRoute для доступа к нескольким онлайн-сервисам, таким как Power Platform, Dynamics 365, Microsoft 365 и Azure, без использования общедоступного Интернета. ExpressRoute требует тщательного планирования и настройки, а также обходится дороже как самой услуге ExpressRoute, так и поставщику услуг подключения.

Управляйте доступом Microsoft к данным клиентов с помощью Customer Lockbox

Customer Lockbox позволяет вам предоставлять временный своевременный доступ к вашим средам инженерам Microsoft для помощи в решении критически важных запросов на поддержку.

Lockbox обладает следующими основными возможностями:

  • Администраторы могут выбирать, какие Microsoft Dataverse базы данных необходимо защитить с помощью Lockbox.
  • В редких случаях, когда Microsoft требуется временно получить доступ к данным в защищенной базе данных для решения критической проблемы, администраторы получают уведомление и могут посетить Power Platform центр администрирования, чтобы одобрить или отклонить запрос.

После предоставления доступа Microsoft любые действия, выполняемые в защищенной базе данных в течение периода временного доступа, регистрируются и становятся доступными вашей организации в виде журналов аудита SQL. Вы можете экспортировать эти журналы в озеро данных Azure для дальнейшего анализа.

Контролируйте, какие приложения разрешены в вашей среде

Обеспечьте защиту от кражи данных, контролируя, какие приложения могут работать в вашей среде Dataverse. Эти меры защиты предотвращают несанкционированное удаление конфиденциальной информации, помогая вашему бизнесу поддерживать непрерывность работы и соответствовать нормативным требованиям. Узнайте больше об контроле доступа к приложениям.

Защитите конфиденциальную информацию с помощью маскировки данных

Для сценариев, в которых используются персональные данные (PII), такие как номера кредитных карт или номера социального страхования, создайте правила маскирования данных , чтобы защитить конфиденциальные данные вашей организации и клиентов. При маскировке данных, также называемой деидентификацией или обфускацией, конфиденциальные данные заменяются замаскированными строками, чтобы скрыть исходные значения. Доступ к незащищенным данным, по одной записи за раз, предоставляется только авторизованным пользователям, что гарантирует максимальную конфиденциальность обработки данных. Защитите свои данные, используя существующее, предопределенное правило, или создайте свое собственное решение.

Используйте Microsoft Purview для обнаружения и классификации данных

Интеграция Microsoft Purview с Microsoft Dataverse обеспечивает мощные возможности безопасности. Используя Microsoft Purview Data Map, вы получаете преимущества автоматизированного обнаружения данных и классификации конфиденциальных данных, более глубокое понимание массива данных ваших бизнес-приложений, защиту ваших данных и повышение уровня рисков и соответствия требованиям.

С помощью Microsoft Purview вы можете создать актуальное представление всех ваших источников данных, включая данные в ваших Power Platform Dataverse средах. Microsoft Purview сортирует ваши данные по встроенным или пользовательским категориям, чтобы помочь вам понять, какие данные находятся в Dataverse средах ваших создателей. Например, Microsoft Purview сообщит вам, добавил ли производитель конфиденциальные данные, такие как правительственные удостоверения личности или номера кредитных карт. Затем вы можете либо указать создателю, как изменить данные, чтобы они соответствовали вашим политикам, либо использовать меры безопасности для их защиты.

Безопасность Dataverse

Одной из ключевых особенностей Dataverse является гибкая модель безопасности, которую можно адаптировать к различным бизнес-потребностям. Dataverse Модель безопасности доступна только при наличии в вашей среде Dataverse базы данных. Как специалист по безопасности, вы можете самостоятельно создать всю модель безопасности, но вам может потребоваться проверить ее на соответствие требованиям безопасности данных вашей организации.

Dataverse использует роли безопасности для группировки привилегий. Вы можете назначать эти роли пользователям или Dataverse командам и бизнес-подразделениям. Пользователи, принадлежащие к команде или бизнес-подразделению, наследуют роль этой группы. Ключевая концепция Dataverse безопасности заключается в том, что привилегии являются кумулятивными и аддитивными. Если вы предоставите широкий доступ к некоторым данным, вы не сможете впоследствии ограничить доступ к определенной их части. Dataverse Команды могут быть связаны либо с Microsoft Entra группами безопасности ID, либо с Microsoft 365 группами. После установления ассоциации система автоматически управляет членами Dataverse команды. Когда пользователь впервые использует приложение, зависящее от этой безопасности, система добавляет его в Dataverse команду.

Dataverse Роли безопасности могут действовать так, как если бы они были назначены непосредственно пользователю. Такая настройка предоставляет пользователю привилегии на уровне пользователя посредством его членства в Dataverse команде. Чтобы упростить настройку, предоставьте общий доступ к приложению на основе холста с Microsoft Entra группой безопасности ID и выберите Dataverse роли безопасности, необходимые для использования приложения. Система создает для вас Dataverse команду и связывает ее с Microsoft Entra группой безопасности ID. Новая команда также получает выбранные вами Dataverse роли безопасности. Такой подход упрощает администрирование и помогает управлять безопасностью пользователей, сокращая объем ручной работы.

Dataverse Безопасность — сложная задача, требующая сотрудничества между разработчиками приложений, командой безопасности и командой администраторов пользователей. Вам следует планировать и сообщать о любых существенных изменениях, прежде чем применять их в своей среде.

Узнайте больше о концепциях безопасности в Dataverse.

Конфиденциальность

Ваши данные — это ваш бизнес, и вы можете получить к ним доступ, изменить или удалить их в любое время. Microsoft не будет использовать ваши данные без вашего согласия. С вашего согласия мы используем ваши данные для предоставления только тех услуг, которые вы выберете. Мы обрабатываем ваши данные на основании вашего согласия и в соответствии с нашими строгими политиками и процедурами. Мы не передаем ваши данные службам, поддерживаемым рекламодателями, и не используем их для каких-либо целей, таких как маркетинговые исследования или реклама. Узнайте больше о том, как Microsoft классифицирует данные при предоставлении онлайн-услуг.

Мы считаем, что вы должны иметь контроль над своими данными. Узнайте, как мы обрабатываем запросы данных от государственных и правоохранительных органов.

Как клиент, вы несете ответственность за классификацию данных, управление идентификацией и назначение соответствующих ролей безопасности для защиты данных.

Подробнее: Конфиденциальность Microsoft.

Заключение

В заключение следует отметить, что обеспечение надежной защиты данных Power Platform является общей ответственностью клиентов и Microsoft. Он включает в себя тщательную оценку всех доступных функций безопасности и выбор конфигураций, соответствующих политикам безопасности вашей организации и требованиям соответствия. Оценив конкретные потребности и риски, связанные с вашей средой, вы можете внедрить индивидуальные меры безопасности, которые защитят конфиденциальные данные, предотвратят несанкционированный доступ и обеспечат соблюдение нормативных требований. Для адаптации к меняющимся угрозам и потребностям бизнеса необходимы регулярные обзоры и обновления конфигураций безопасности.

Следующие шаги

Ознакомьтесь с подробными статьями этой серии, чтобы еще больше повысить уровень своей безопасности:

После ознакомления со статьями просмотрите контрольный список безопасности, чтобы убедиться, что Power Platform развертывания надежны, устойчивы и соответствуют передовым практикам.

Проверьте контрольный список безопасности

  • Last updated on