Sikkerhet for Office 365

Sikkerhet for Office 365

Office 365 er en skybasert tjeneste som er utviklet for å bidra til å oppfylle organisasjonens behov for robust sikkerhet, pålitelighet og brukerproduktivitet. På samme måte hjelper det deg med å spare tid og penger, og frigjøre verdifulle ressurser. Office 365 integrerer den velkjente Microsoft Office-skrivebordsprogramserien med skybaserte versjoner av neste generasjons kommunikasjons- og samarbeidstjenester fra Microsoft – og utnytter Internett for å hjelpe brukere med å være mer produktive fra nesten hvor som helst.

Når du flytter organisasjonen til skytjenester, må du kunne stole på tjenesteleverandøren med de viktigste, sensitive og konfidensielle dataene dine. Siden sikkerhet er avgjørende for at virksomheten skal lykkes, har Microsoft robuste policyer, kontroller og systemer innebygd i Office 365 for å holde informasjonen din trygg. Office 365 er utformet etter prinsippene for Security Development Lifecycle , en obligatorisk Microsoft-prosess som bygger inn sikkerhetskrav i alle faser av utviklingen.

Office 365-dataene tilhører deg. Det betyr at du har full kontroll over det. Vi gir deg omfattende personvernkontroller og innsyn i hvor dataene dine befinner seg og hvem som har tilgang til dem, samt tilgjengelighet og endringer i tjenesten. Hvis du avslutter abonnementet på tjenesten, kan du ta dataene med deg. Microsoft-administrerte sikkerhetsteknologier og -policyer på tjenestenivå er aktivert som standard, og kundeadministrerte kontroller gjør det mulig å tilpasse Office 365-miljøet slik at det passer til organisasjonens sikkerhetsbehov. Office 365 oppdateres kontinuerlig for å forbedre sikkerheten.

Sikker identitet

Office 365 bruker Azure Active Directory (Azure AD) til å administrere brukere og tilby godkjenning, identitetsbehandling og tilgangskontroll. Azure AD-funksjoner inkluderer et skybasert lager for katalogdata og et kjernesett med identitetstjenester, for eksempel påloggingsprosesser for brukere, godkjenningstjenester og forbundstjenester. Disse identitetstjenestene integreres enkelt med lokale Azure AD-distribusjoner og støtter identitetsleverandører fra tredjeparter fullt ut. Du kan velge mellom tre hovedidentitetsmodeller i Office 365 når du konfigurerer og administrerer brukerkontoer:

• Nettskyidentitet 
• Synkronisert identitet 
• Federert identitet 

Office 365 bruker godkjenning med flere faktorer, administrert fra administrasjonssenteret for Office 365, for å gi ekstra sikkerhet. Office 365 tilbyr følgende delsett av Azure Multi-Factor Authentication-funksjoner som en del av abonnementet:

• Mulighet til å aktivere og håndheve godkjenning med flere faktorer for sluttbrukere
• Bruk av en mobilapp (online- og engangspassord) som en ekstra godkjenningsfaktor
• Bruk av en telefonsamtale som en ekstra godkjenningsfaktor
• Bruke en SMS-melding (Short Message Service) som en ekstra godkjenningsfaktor
• Programpassord for klienter som ikke er nettlesere (for eksempel klientprogramvaren for Skype for Business)
• Standard Microsoft-hilsener under godkjenning telefonsamtaler

Sikker infrastruktur

Office 365 bruker dyptgående sikkerhetsprinsipper for å beskytte mot interne og eksterne risikoer. Omfanget og den globale karakteren til Microsofts fotavtrykk gjør at vi kan bruke strategier og teknikker for å forsvare oss mot nettverksangrep som få leverandører eller kundeorganisasjoner kan matche. Hjørnesteinen i strategien vår er å bruke vår globale tilstedeværelse til å samhandle med Internett-leverandører, offentlige og private peering-leverandører og private selskaper over hele verden, noe som gir oss en betydelig tilstedeværelse på Internett. Dette gjør det mulig for Microsoft å oppdage og forsvare seg mot angrep over et svært stort overflateområde.

Trusseladministrasjon

Trusselhåndteringsstrategi for Office 365 innebærer å identifisere hensikten, kapasiteten og sannsynligheten for en potensiell trussel for vellykket utnyttelse av et sikkerhetsproblem. Kontrollene som brukes til å beskytte mot slike utnyttelser, er basert på industriens sikkerhetsstandarder og beste praksis. Office 365 gir robust e-postbeskyttelse mot søppelpost, virus og skadelig programvare med Exchange Online Protection. Office 365 tilbyr også Advanced Threat Protection (ATP), en e-postfiltreringstjeneste som gir ekstra beskyttelse mot bestemte typer avanserte trusler.

Mobilitet

Office 365-brukere i dag er på farten og trenger tilgang uansett hvor de er, ved hjelp av en rekke enheter. Du kan bruke administrasjon av mobilenheter i Microsoft Intune til å administrere og beskytte enheter på tvers av Windows-, Apple iOS- og Android-plattformer. Du kan identifisere, overvåke og beskytte sensitiv informasjon med kontroller for hindring av datatap i administrasjon av mobilapper.

Hendelsessvar

Office 365-prosessen for håndtering av sikkerhetshendelser er i samsvar med tilnærmingen som er foreskrevet av National Institute of Standards and Technology (NIST). Microsofts svar på sikkerhetshendelser omfatter flere dedikerte team som jobber sammen for å forhindre, overvåke, oppdage og svare på sikkerhetshendelser. Office 365-sikkerhetsteam har samme tilnærming til sikkerhetshendelser, som inkluderer NIST 800-61-responsadministrasjonsfasene:

• Forberedelse – den organisatoriske forberedelsen som trengs for å svare på en hendelse, inkludert verktøy, prosesser, kompetanse og beredskap.
• Deteksjon og analyse - påvisning av en sikkerhetshendelse i et produksjonsmiljø, og analyse av alle hendelser for å bekrefte ektheten av sikkerhetshendelsen.
• Inneslutning, utrydding og utbedring – nødvendige og hensiktsmessige tiltak som trengs for å begrense sikkerhetshendelsen, basert på analysen som ble gjort i forrige fase. Ytterligere analyse kan også være nødvendig for denne fasen for å fullstendig utbedre sikkerhetshendelsen.
• Post-Incident Activity - analysen utført etter utbedring av en sikkerhetshendelse. De operasjonelle handlingene som utføres under prosessen, gjennomgås for å avgjøre om det er nødvendig å gjøre endringer i fasene Klargjøring, Oppdaging og Analyse.

Fysisk sikkerhet

Office 365-kundedata lagres i Microsoft-datasentre som er geografisk distribuert og beskyttet av lag med dyptgående sikkerhet. Microsoft-datasentre er bygget fra grunnen av for å beskytte tjenester og data mot skade som følge av naturkatastrofer, miljøtrusler eller uautorisert tilgang. Office 365 er utformet for høy tilgjengelighet og kjører i georedundante datasentre med automatisk failover-funksjonalitet.

Datasentertilgang er begrenset 24 timer i døgnet etter jobbfunksjon og overvåkes ved hjelp av bevegelsessensorer, videoovervåking og alarmer for sikkerhetsbrudd. Fysiske tilgangskontroller inkluderer perimetergjerder, sikre innganger, lokale sikkerhetsansvarlige, kontinuerlig videoovervåking og kommunikasjonsnettverk i sanntid. Flere godkjennings- og sikkerhetsprosesser – inkludert merker og smartkort, biometriske skannere og tofaktorautentisering – beskytter mot uautorisert oppføring. Automatiserte brannforebyggings- og slokkesystemer og seismisk avstivede stativer beskytter mot naturkatastrofer.

Datakryptering

Office 365 bruker teknologi på tjenestesiden som krypterer inaktive og inaktive kundedata. For inaktive kundedata bruker Office 365 kryptering på volumnivå og filnivå. For kundedata under overføring bruker Office 365 flere krypteringsteknologier for kommunikasjon mellom datasentre og mellom klienter og servere, for eksempel TLS (Transport Layer Security) og Internet Protocol Security (IPsec). Office 365 inkluderer også kundestyrte krypteringsfunksjoner. Kundedata som er lagret i Office 365, er beskyttet i alle konfigurasjoner. Valideringen av Microsofts kryptografiske policy og håndhevelsen av den bekreftes uavhengig av flere tredjepartsrevisorer.

Opprettholde sikkerheten i en arkitektur med flere leiere

Multitenancy er en primær fordel med cloud computing. Dette er muligheten til å dele felles infrastruktur på tvers av mange kunder samtidig, noe som fører til stordriftsfordeler. Microsoft arbeider kontinuerlig for å sikre at arkitekturen med flere leiere i Office 365 støtter standarder for sikkerhet, konfidensialitet, personvern, integritet og tilgjengelighet på bedriftsnivå. Basert på den betydelige erfaringen som er samlet inn fra Trustworthy Computing og Security Development Lifecycle, ble Microsofts skytjenester, inkludert Office 365, utformet med antagelsen om at alle leietakere er potensielt fiendtlige mot alle andre leietakere. Dermed er flere former for beskyttelse implementert i hele Office 365 for å forhindre at kunder kompromitterer Office 365-tjenester eller -programmer eller får uautorisert tilgang til informasjonen til andre leiere eller selve Office 365-systemet.

Slik får Microsoft tilgang til dataene dine

Microsoft automatiserer de fleste Office 365-operasjoner, samtidig som de bevisst begrenser sin egen tilgang til kundeinnhold. Dette gjør det mulig for oss å administrere Office 365 i stor skala, og håndtere risikoen for interne trusler mot kundeinnhold, for eksempel en ondsinnet faktor eller spydfisking fra en Microsoft-ingeniør. Som standard har Microsoft-teknikere ingen stående administrative rettigheter og ingen stående tilgang til kundeinnhold i Office 365. En Microsoft-tekniker kan ha begrenset, revidert og sikret tilgang til kundens innhold i en begrenset periode, men bare når det er nødvendig for serviceoperasjoner, og bare når det er godkjent av et medlem av ledelsen hos Microsoft (og, for kunder som er lisensiert for Customer Lockbox-funksjonen, av kunden).

Slik får du tilgang til dataene dine

I tillegg til kontrollene som er implementert av Microsoft, lar Office 365 deg administrere dine egne data på omtrent samme måte som du administrerer data i lokale miljøer. Den globale administratoren har tilgang til alle funksjonene i administrasjonssentrene og kan opprette eller redigere brukere, utføre administrative oppgaver og tilordne administratorroller til andre. Du kan også kontrollere hvordan brukere får tilgang til informasjon fra bestemte enheter eller bestemte steder, eller en kombinasjon av begge.