Säkerhet i Office 365

Säkerhet i Office 365

Office 365 är en molnbaserad tjänst som är utformad för att hjälpa dig att uppfylla organisationens behov av robust säkerhet, tillförlitlighet och användarproduktivitet. På samma sätt hjälper det dig att spara tid och pengar och frigöra värdefulla resurser. Office 365 integrerar det välbekanta Microsoft Office-skrivbordspaketet med molnbaserade versioner av nästa generations kommunikations- och samarbetstjänster från Microsoft – och utnyttjar Internet för att hjälpa användarna att bli mer produktiva från praktiskt taget var de än befinner sig.

När du flyttar din organisation till molntjänster måste du kunna lita på din tjänsteleverantör med dina viktigaste, känsligaste och konfidentiella data. Eftersom säkerhet är avgörande för företagets framgång har Microsoft robusta principer, kontroller och system inbyggda i Office 365 för att skydda din information. Office 365 är utformat enligt principerna för livscykeln  för säkerhetsutveckling, en obligatorisk Microsoft-process som bäddar in säkerhetskrav i varje utvecklingsfas.

Dina Office 365-data tillhör dig. Det betyder att du har fullständig kontroll över det. Vi ger dig omfattande integritetskontroller och insyn i var dina data finns och vem som har tillgång till dem, samt tillgänglighet och ändringar i tjänsten. Om du avslutar din prenumeration på tjänsten kan du ta med dig dina data. Microsoft-hanterade säkerhetstekniker och principer på servicenivå är aktiverade som standard, och kundhanterade kontroller gör att du kan anpassa din Office 365-miljö så att den passar organisationens säkerhetsbehov. Office 365 uppdateras kontinuerligt för att förbättra säkerheten.

Säker identitet

Office 365 använder Azure Active Directory (Azure AD) för att hantera användare och tillhandahålla autentisering, identitetshantering och åtkomstkontroll. Azure AD-funktionerna omfattar ett molnbaserat arkiv för katalogdata och en grundläggande uppsättning identitetstjänster, till exempel användarinloggningsprocesser, autentiseringstjänster och federationstjänster. Dessa identitetstjänster integreras enkelt med dina lokala Azure AD-distributioner och har fullt stöd för identitetsprovidrar från tredje part. Du kan välja mellan tre huvudsakliga identitetsmodeller i Office 365 när du konfigurerar och hanterar användarkonton:

• Molnidentitet 
• Synkroniserad identitet 
• Samlad identitet 

Office 365 använder Multi-Factor Authentication, som hanteras från administrationscentret för Office 365, för att ge extra säkerhet. Office 365 erbjuder följande delmängd av Azure Multi-Factor Authentication-funktioner som en del av prenumerationen:

• Möjlighet att aktivera och framtvinga Multi-Factor Authentication för slutanvändare
• Användning av en mobilapp (online- och engångslösenord) som en andra autentiseringsfaktor
• Användning av ett telefonsamtal som en andra autentiseringsfaktor
• Användning av ett SMS-meddelande (Short Message Service) som en andra autentiseringsfaktor
• Programlösenord för klienter som inte är webbläsare (till exempel Skype för företag-klientprogramvaran)
• Standardhälsningar från Microsoft under telefonsamtal för autentisering

Säker infrastruktur

Office 365 använder djupskyddsprinciper för att skydda mot interna och externa risker. Microsofts fotavtryck och globala karaktär gör att vi kan använda strategier och tekniker för att försvara oss mot nätverksattacker som få leverantörer eller kundorganisationer kan matcha. Hörnstenen i vår strategi är att använda vår globala närvaro för att samarbeta med internetleverantörer, offentliga och privata peeringleverantörer och privata företag över hela världen, vilket ger oss en betydande närvaro på internet. Detta gör det möjligt för Microsoft att identifiera och försvara sig mot attacker över en mycket stor yta.

Hantering av hot

Hothanteringsstrategin för Office 365 innebär att identifiera ett potentiellt hots avsikt, kapacitet och sannolikheten för att en sårbarhet utnyttjas. De kontroller som används för att skydda mot sådant utnyttjande bygger på branschens säkerhetsstandarder och bästa praxis. Office 365 ger ett robust e-postskydd mot skräppost, virus och skadlig kod med Exchange Online Protection. Office 365 erbjuder också Advanced Threat Protection (ATP), en e-postfiltreringstjänst som ger ytterligare skydd mot specifika typer av avancerade hot.

Rörlighet

Office 365-användare är idag på resande fot och behöver åtkomst var de än är, med hjälp av en mängd olika enheter. Du kan använda Microsoft Intune hantering av mobila enheter för att hantera och skydda enheter på Windows-, Apple iOS- och Android-plattformar. Du kan identifiera, övervaka och skydda känslig information med kontroller för dataförlustskydd i hantering av mobilprogram.

Incidentrespons

Office 365-processen för att hantera en säkerhetsincident överensstämmer med den metod som föreskrivs av National Institute of Standards and Technology (NIST). Microsofts svar på säkerhetsincidenter innehåller flera dedikerade team som arbetar tillsammans för att förhindra, övervaka, identifiera och svara på säkerhetsincidenter. Office 365-säkerhetsteam använder samma metod för säkerhetsincidenter, vilket omfattar NIST 800-61-svarshanteringsfaserna:

• Förberedelse – den organisatoriska förberedelse som krävs för att reagera på en incident, inklusive verktyg, processer, kompetenser och beredskap.
• Detektering och analys – detektering av en säkerhetsincident i en produktionsmiljö och analys av alla händelser för att bekräfta äktheten hos säkerhetsincidenten.
• Inneslutning, utrotning och sanering – de nödvändiga och lämpliga åtgärder som krävs för att begränsa säkerhetsincidenten baserat på analysen som gjordes i föregående fas. Ytterligare analys kan också vara nödvändig för denna fas för att helt åtgärda säkerhetsincidenten.
• Aktivitet efter incident – analysen som utförs efter att en säkerhetsincident har åtgärdats. De operativa åtgärder som utförs under processen granskas för att avgöra om några ändringar behöver göras i förberedelse- eller detekterings- och analysfaserna.

Fysisk säkerhet

Office 365-kunddata lagras i Microsofts datacenter som är geografiskt distribuerade och skyddas av lager av djupskyddssäkerhet. Microsofts datacenter är byggda från grunden för att skydda tjänster och data från skador till följd av naturkatastrofer, miljöhot eller obehörig åtkomst. Office 365 är utformat för hög tillgänglighet och körs i geo-redundanta datacenter med automatisk redundans.

Datacenteråtkomst begränsas 24 timmar om dygnet av jobbfunktionen och övervakas med hjälp av rörelsesensorer, videoövervakning och larm om säkerhetsintrång. Fysiska åtkomstkontroller omfattar stängsel, säkra entréer, lokala säkerhetsansvariga, kontinuerlig videoövervakning och kommunikationsnätverk i realtid. Flera autentiserings- och säkerhetsprocesser – inklusive brickor och smartkort, biometriska skannrar och tvåfaktorsautentisering – skyddar mot obehörigt tillträde. Automatiserade brandskydds- och släckningssystem och seismiskt stagade ställ skyddar mot naturkatastrofer.

Datakryptering

Office 365 använder tekniker på tjänstsidan som krypterar kunddata i vila och under överföring. För vilande kunddata använder Office 365 kryptering på volymnivå och filnivå. För kunddata under överföring använder Office 365 flera krypteringstekniker för kommunikation mellan datacenter och mellan klienter och servrar, till exempel TLS (Transport Layer Security) och IPsec (Internet Protocol Security). Office 365 innehåller även kundhanterade krypteringsfunktioner. Kunddata som lagras i Office 365 skyddas i alla konfigurationer. Validering av Microsofts kryptografiska princip och dess tillämpning verifieras oberoende av flera tredjepartsgranskare.

Upprätthålla säkerheten i en arkitektur med flera klientorganisationer

Flera klientorganisationer är en primär fördel med molnbaserad databehandling. Detta är möjligheten att dela gemensam infrastruktur mellan flera kunder samtidigt, vilket leder till stordriftsfördelar. Microsoft arbetar kontinuerligt för att säkerställa att arkitekturen för flera klientorganisationer i Office 365 stöder säkerhets-, konfidentialitets-, sekretess-, integritets- och tillgänglighetsstandarder på företagsnivå. Baserat på den betydande erfarenhet som samlats in från Trustworthy Computing och livscykeln för säkerhetsutveckling har Microsofts molntjänster, inklusive Office 365, utformats med antagandet att alla klienter är potentiellt fientliga mot alla andra klienter. Därför har flera former av skydd implementerats i hela Office 365 för att förhindra att kunder komprometterar Office 365-tjänster eller -program eller får obehörig åtkomst till information om andra klienter eller själva Office 365-systemet.

Så här får Microsoft åtkomst till dina data

Microsoft automatiserar de flesta Office 365-åtgärder samtidigt som de avsiktligt begränsar sin egen åtkomst till kundinnehåll. Detta gör det möjligt för oss att hantera Office 365 i stor skala och hantera riskerna för interna hot mot kundinnehåll, till exempel en skadlig faktor eller spear-phishing från en Microsoft-tekniker. Som standard har Microsoft-tekniker ingen stående administratörsbehörighet och ingen stående åtkomst till kundinnehåll i Office 365. En Microsoft-tekniker kan ha begränsad, granskad, säker åtkomst till en kunds innehåll under en begränsad tid, men endast när det behövs för tjänståtgärder och endast när det godkänns av en medlem av den högsta ledningen på Microsoft (och, för kunder som är licensierade för Customer Lockbox-funktionen, av kunden).

Hur du får tillgång till dina data

Förutom de kontroller som implementerats av Microsoft kan du med Office 365 hantera dina egna data på ungefär samma sätt som du hanterar data i lokala miljöer. Den globala administratören har åtkomst till alla funktioner i administrationscentren och kan skapa eller redigera användare, utföra administrativa uppgifter och tilldela administratörsroller till andra. Du kan också styra hur användare får åtkomst till information från specifika enheter eller specifika platser eller en kombination av båda.