Zabezpečení cloudové infrastruktury společnosti Microsoft

Zabezpečení cloudové infrastruktury společnosti Microsoft Tento dokument představuje úvodní informace o týmu pro přizpůsobení a zabezpečení online služeb, který je součástí divize Global Foundation Services spravující zabezpečení cloudové infrastruktury společnosti Microsoft. Dokument vysvětluje, co dnes znamená cloud computing ve společnosti Microsoft a jak společnost poskytuje důvěryhodnou infrastrukturu řešení cloud computingu. Publikováno: květen 2009

1|

Obsah Shrnutí .................................................................................................................................................................. 3 Výzvy zabezpečení cloud computingu .............................................................................................................. 4 Jak se společnost Microsoft s těmito výzvami vypořádává.............................................................................. 5 Co je prostředí cloud computing společnosti Microsoft? .................................................................................... 6 Tým pro přizpůsobení a zabezpečení online služeb ......................................................................................... 6 Iniciativa Trustworthy Computing ve společnosti Microsoft ........................................................................... 7 Ochrana osobních údajů....................................................................................................................................... 8 Zabezpečení .......................................................................................................................................................... 9 Program zabezpečení informací ....................................................................................................................... 9 Procesy řízení rizik .......................................................................................................................................... 11 Řízení nepřetržitého procesu ......................................................................................................................... 11 Řízení incidentu porušení zabezpečení .......................................................................................................... 13 Globální dodržování předpisů týkajících se trestných činů ............................................................................ 13 Přizpůsobení provozu ..................................................................................................................................... 14 Zaujetí přístupu hloubkové obrany .................................................................................................................... 16 Fyzické zabezpečení ....................................................................................................................................... 16 Zabezpečení sítě ............................................................................................................................................. 17 Zabezpečení dat ............................................................................................................................................. 18 Správa identit a přístupů ................................................................................................................................ 18 Zabezpečení aplikací....................................................................................................................................... 18 Kontrola a vykazování zabezpečení hostitele................................................................................................. 20 Závěr ................................................................................................................................................................... 22 Další zdroje ......................................................................................................................................................... 23

2|

Shrnutí Nedávné výzkumy týkající se nově vznikajících definicí pojmů „cloud,“ „cloud computing“ a „prostředí cloud“ se pokoušejí zjistit, co zákazníci očekávají od poskytovatelů cloudových technologií. Zároveň chtějí najít způsoby uspořádání toho, co tito poskytovatelé slibují nabídnout, do kategorií. Myšlenka, že zakoupení služeb z cloudového prostředí může osobám s rozhodovací pravomocí v obchodních a technických záležitostech pomoci ušetřit peníze a společnostem umožnit zaměření se na základní podnikové iniciativy, je ve stávající ekonomické situaci lákavou nabídkou. Spousta analytiků nazírá na nově vznikající možnosti nacenění a poskytování služeb online jako na rušivé pro podmínky trhu. Tyto studie trhu a následující diskuse mezi potenciálními zákazníky a poskytovateli služeb ukazují, že se vynořila určitá témata jako možné bariéry rychlého přijetí cloudových služeb. Na předních místech seznamu možných bariér stojí obavy týkající se zabezpečení, ochrany osobních údajů, spolehlivosti a provozní kontroly. Společnost Microsoft připouští, že osoby s rozhodovací pravomocí v obchodních a technických záležitostech mají k těmto záležitostem spousty dotazů včetně potřeby vědět, jak se řeší ve společnosti Microsoft v prostředí cloud computingu a jaké jsou dopady na jejich vlastní rozhodování o rizicích a provozu. Tento dokument ukazuje, jakým způsobem koordinované a strategické nasazení lidí, procesů, technologií a zkušeností vede k neustálému zlepšování bezpečnosti cloudového prostředí ve společnosti Microsoft. Tým pro přizpůsobení a zabezpečení online služeb (OSSC) v divizi Global Foundation Services (GFS) staví na stejných principech zabezpečení a procesech, které společnost Microsoft vyvíjela po léta díky zkušenostem se správou bezpečnostních rizik v tradičních vývojových a provozních prostředích.

3|

Výzvy zabezpečení cloud computingu Odvětví informačních technologií čelí výzvám, které doprovázejí příležitosti cloud computingu. Společnost Microsoft již více než 15 let řeší následující výzvy dodávky online služeb:

4|

•

Vznikající obchodní modely cloudů vytvářejí stále vyšší závislost mezi identitami z veřejného a soukromého sektoru a osobami, pro které jsou určeny – Tyto organizace a jejich zákazníci budou díky použití cloudů více vzájemně provázaní. S těmito novými vazbami přicházejí vzájemná očekávání, že platformové služby a hostované aplikace budou bezpečné a dostupné. Společnost Microsoft poskytuje důvěryhodnou infrastrukturu, která představuje základ, na němž mohou identity z veřejného a privátního sektoru a jejich partneři vybudovat důvěryhodné prostředí pro své uživatele. Společnost Microsoft s těmito skupinami a vývojovou komunitou aktivně ve velké míře spolupracuje, aby povzbudila přijetí procesů zvládání rizik se zaměřením na zabezpečení.

•

Urychlení přijetí cloudových služeb, včetně pokračujícího vývoje technologií a obchodních modelů, vytváří prostředí dynamického hostování, které je samo o sobě bezpečnostní výzvou – Udržování tempa s růstem a předvídání budoucích potřeb je zásadní pro efektivní program zabezpečení. Již byla zahájena poslední vlna změn s rychlým přechodem k virtualizaci a narůstajícímu přijímání strategie modelu Software a služby společnosti Microsoft, který kombinuje výkon a schopnosti počítačů, mobilních zařízení, online služeb a podnikového softwaru. Nástup cloudových platforem umožňuje vývoj vlastních aplikací třetími stranami a jejich hostování v cloudovém prostředí společnosti Microsoft. Prostřednictvím programu zabezpečení informací o online službách, který je podrobněji popsán dále v tomto dokumentu, udržuje společnost Microsoft silné interní partnerství mezi zabezpečením, produkty a týmy pro dodávání služeb, které poskytuje důvěryhodné cloudové prostředí Microsoft v době, kdy tyto změny probíhají.

•

Pokusy o proniknutí nebo narušení nabídek online služeb se postupně propracovává s tím, jak se v této oblasti objevuje stále více komerce a podnikání – Zatímco šprýmaři stále vyhledávají pozornost prostřednictvím řady technik včetně neoprávněného zabírání domén a útoků přes prostředníky, objevují se propracovanější škodlivé pokusy, jejichž cílem je získat identity nebo blokovat přístup k citlivým obchodním údajům, spolu s organizovanějším černým trhem s kradenými informacemi. Společnost Microsoft úzce spolupracuje s partnery pro vymáhání zákonů, partnery a kolegy v odvětví a výzkumnými skupinami, aby těmto vyvíjejícím se hrozbám porozuměla a mohla na ně reagovat. Kromě toho proces Microsoft Security Development Lifecycle, popsaný dále v tomto dokumentu, představuje zabezpečení a ochranu osobních údajů včas a prostřednictvím procesu rozvoje.

•

Při globálních dodávkách nových i stávajících služeb je nutné řešit náročné požadavky na dodržování předpisů – Dodržování regulačních a statutárních požadavků i požadavků odvětví (ve zbývající části tohoto dokumentu jsou souhrnně označovány jako „předpisy“) je velmi náročnou oblastí, protože každá země po celém světě může uplatňovat a také uplatňuje své vlastní zákony, jimiž se může poskytování a používání online prostředí řídit. Společnost Microsoft musí být schopná dodržovat bezpočet závazných předpisů, protože má datová centra v řadě zemí a nabízí online služby globální zákaznické základně. Kromě toho má mnoho odvětví své specifické požadavky. Společnost Microsoft implementuje platformu dodržování předpisů (popsanou dále v tomto dokumentu), jejíž pomocí efektivně zvládá různé závazky vyplývající z dodržování předpisů, aniž by tím přehnaně zatěžovala obchodní proces.

Jak se společnost Microsoft s těmito výzvami vypořádává Společnost Microsoft od zavedení služby MSN® v roce 1994 vytváří a provozuje online služby. Divize GFS spravuje cloudovou infrastrukturu a platformu pro online služby společnosti Microsoft včetně zajištění nepřetržité dostupnosti pro stovky milionů zákazníků z celého světa. V této cloudové infrastruktuře je hostováno více než 200 online služeb a webových portálů, včetně takových známých služeb orientovaných na zákazníky, jako je Windows Live™ Hotmail® a Live Search, a služeb orientovaných na obchodování, jako je Microsoft Dynamics® CRM Online a Microsoft Business Productivity Online Standard Suite z řady služeb Microsoft Online. Bez ohledu na to, zda jsou osobní informace spotřebitele uloženy v jeho vlastním počítači nebo v online umístění, nebo zda jsou nezbytná data společnosti umístěna v jejím sídle nebo na hostovaném serveru a odesílána prostřednictvím Internetu, je si společnost Microsoft vědoma, že všechna tato prostředí musí zajišťovat prostředí Trustworthy Computing. Společnost Microsoft má jako taková jedinečné postavení, aby mohla poskytovat vedení i technologická řešení, která mohou nabízet bezpečnější online práci. Společnost Microsoft v rámci svého neměnného závazku vůči iniciativě Trustworthy Computing zaručuje, že lidé, procesy a technologie, které využívá, poskytují bezpečnější a z hlediska ochrany osobních údajů lepší postupy, produkty a služby, aby zákazníci neutrpěli finanční ztráty ani nebojovali s jinými důsledky oportunistických a cílených online útoků. Důvěryhodný cloud je zajištěn zaměřením na tři oblasti: •

Využití programu zabezpečení informací na základě rizik, který posuzuje a stanovuje pořadí priorit hrozeb zabezpečení a provozů pro firmu.

•

Správa a aktualizace podrobné skupiny bezpečnostních kontrol, které zmírňují riziko.

•

Vedení systému dodržování předpisů, který zajišťuje správné rozvržení kontrol a jejich efektivní uplatňování.

Tento dokument popisuje, jak společnost Microsoft chrání údaje o zákaznících a obchodních provozech prostřednictvím propracovaného programu zabezpečení informací a vyspělé metodologie pro správu zásad a dodržování předpisů, častého interního a externího posuzování postupů a schopností a robustních kontrol zabezpečení ve všech vrstvách služeb. Prostřednictvím těchto procesů a mechanismů společnost Microsoft dodržuje standardy odvětví a podporuje dodržování předpisů plynoucích ze všech příslušných zákonů, směrnic, statutů a omezení při poskytování online služeb globální zákaznické základně. I když dokument zmiňuje zásady ochrany osobních údajů, jeho záměrem není poskytnout podrobnou diskusi o zásadách ochrany osobních údajů, ani nepředstavuje průvodce postupy ochrany osobních údajů. Informace o tom, jak společnost Microsoft řeší potřeby ochrany osobních údajů, naleznete na webové stránce iniciativy Microsoft Trustworthy Computing věnované ochraně osobních údajů.

5|

Co je prostředí cloud computing společnosti Microsoft? Prostředí cloud computing společnosti Microsoft je fyzická a logická infrastruktura a také hostovaná služba pro aplikace a platformy. Divize GFS poskytuje fyzickou a logickou cloudovou infrastrukturu ve společnosti Microsoft včetně řady platformových služeb. Fyzická infrastruktura zahrnuje samotná datová centra a také hardware a součásti, které podporují služby a sítě. Logická infrastruktura společnosti Microsoft sestává z instancí operačního systému, směrovaných sítí a nestrukturovaného úložiště dat, bez ohledu na to, zda běží ve virtuálních nebo fyzických objektech. Platformové služby zahrnují počítačové moduly runtime (jako je internetová informační služba, rozhraní .NET Framework, Microsoft® SQL Server®), úložiště identity a adresářová úložiště (například Active Directory® a Windows Live ID), služby pojmenování (DNS) a další pokročilé funkce využívané online službami. Služby platformy Microsoft cloud, například služby infrastruktury, mohou být virtualizované nebo skutečné. Online aplikace běžící v prostředí Microsoft cloud zahrnují jednoduché a složité produkty určené pro řadu zákazníků. Tyto online služby a odpovídající požadavky na zabezpečení a ochranu osobních údajů mohou být obecně seskupeny jako nabídky pro následující typ zákazníků: •

Služby pro spotřebitele a malé podniky – patří sem například služby Windows Live Messenger, Windows Live Hotmail, Live Search, Xbox LIVE® a Microsoft Office Live.

•

Služby pro velké podniky – například Microsoft Dynamics CRM Online a Microsoft Business Productivity Online Standard Suite včetně aplikací Exchange Online, SharePoint® Online a Office Live Meeting.

•

Služby hostované třetími stranami – patří sem webové aplikace a řešení vyvíjená a provozovaná třetími stranami pomocí platformových služeb poskytovaných prostřednictvím cloud computingu společnosti Microsoft.

Tým pro přizpůsobení a zabezpečení online služeb Tým pro přizpůsobení a zabezpečení online služeb v divizi GFS zodpovídá za program zabezpečení informací cloudové infrastruktury společnosti Microsoft včetně zásad a programů používaných ke správě online bezpečnostních rizik. Jeho posláním je zajištění důvěryhodných online služeb, které pro společnost Microsoft a její zákazníky přinášejí konkurenční výhodu. Umístění této funkce do vrstvy cloudové infrastruktury umožňuje všem cloudovým službám společnosti Microsoft využít výhod možností škály a snížené náročnosti prostřednictvím využití sdílených řešení zabezpečení. Tento standardní přístup také každému týmu služeb společnosti Microsoft umožňuje zaměřit se na jedinečné potřeby svých zákazníků z hlediska zabezpečení. Tým pro přizpůsobení a zabezpečení online služeb vynakládá úsilí zajistit důvěryhodné cloudové prostředí prostřednictvím programu zabezpečení informací společnosti Microsoft pomocí provozního modelu na základě rizik a přístupu hloubkové obrany ke kontrolám. Patří sem pravidelné kontroly zvládání rizik, vývoj a údržba systému 6|

bezpečnostních kontrol a neustálé snahy zajistit dodržování souladu s činnostmi, které se pohybují v rozsahu od vývoje datového centra až k odpovídání na požadavky od identit vynucování zákonů po celém světě. Tým uplatňuje osvědčené postupy, včetně různých interních a externích prověrek, po celou dobu životnosti online služeb a pro každý prvek infrastruktury. Blízké pracovní vztahy s ostatními týmy společnosti Microsoft vedou ke komplexnímu přístupu k zabezpečení aplikací v prostředí Microsoft cloud. S provozováním globální cloudové infrastruktury v několika podnicích je spojena potřeba dodržovat závazky společnosti a obstát při podrobných prohlídkách externích auditorů. Požadavky na audit vyplývají z vládních a oborových mandátů, interních zásad a osvědčených postupů odvětví. Program OSSC zajišťuje průběžné posuzování a začleňování očekávání od dodržování předpisů. Díky programu zabezpečení informací může společnost Microsoft získat klíčová osvědčení, jakým je např. Mezinárodní organizace pro standardizaci / Mezinárodní elektrochemická společnost 27001:2005 (ISO/IEC 27001:2005) a atestace auditorského standardu (SAS) 70 typu I a II, vedoucí k efektivnějšímu splnění pravidelných prověrek nezávislými třetími stranami.

Iniciativa Trustworthy Computing ve společnosti Microsoft Základním předpokladem vytvoření efektivního programu zabezpečení je kultura, která o zabezpečení ví a cení si ho nade vše. Společnost Microsoft uznává, že tuto kulturu musí ustanovit a podporovat vedení společnosti. Tým vedení společnosti Microsoft je již dlouhou dobu zavázán realizovat ty správné investice a podněty k zajištění bezpečného chování. Roku 2002 společnost vytvořila iniciativu Trustworthy Computing, v níž se Bill Gates zavázal, že společnost Microsoft zásadně změní své poslání a strategii v klíčových oblastech. Dnes je iniciativa Trustworthy Computing klíčovou podnikovou hodnotou společnosti Microsoft, kterou se řídí téměř všechny její akce. Tato iniciativa je vystavěna na následujících čtyřech pilířích: ochrana osobních údajů, zabezpečení, spolehlivost a obchodní postupy. Další informace o iniciativě Trustworthy Computing naleznete na webové stránce iniciativy Microsoft Trustworthy Computing. Společnost Microsoft si uvědomuje, že úspěch v rychle se měnícím odvětví online služeb závisí na zabezpečení a ochraně osobních údajů zákazníků a dostupnosti a odolnosti služeb, které společnost Microsoft nabízí. Společnost Microsoft pilně navrhuje a testuje aplikace a infrastrukturu pro mezinárodně uznávané standardy, aby prokázala tyto schopnosti a dodržování zákonů a interních zásad zabezpečení a ochrany osobních údajů. Zákazníci společnosti Microsoft si díky tomu mohou užít přesnější a konkrétně zaměřené testování a monitorování, automatické doručování oprav, úsporné možnosti škálování a průběžná vylepšení zabezpečení.

7|

Ochrana osobních údajů Společnost Microsoft usiluje o ochranu osobních údajů a zabezpečení zákazníků včetně dodržování všech platných zákonů na ochranu osobních údajů a přísných postupů ochrany osobních údajů, které jsou podrobně popsány v prohlášeních o ochraně osobních údajů společnosti Microsoft. Společnost Microsoft zajišťuje důvěryhodné prostředí pro zákazníky tak, že při vývoji softwaru, služeb a procesů dbá na zajištění ochrany osobních údajů. Týmy společnosti Microsoft zachovávají ostražitost při udržování shody s globálními zákony o ochraně osobních údajů a postupy společnosti v této oblasti částečně vycházejí z těchto typů zákonů po celém světě. Společnost Microsoft dodržuje příklad těchto zákonů a globálně tyto standardy zachovává. Společnost Microsoft se zavazuje chránit bezpečí vašich osobních informací. Týmy poskytující online služby používají různé technologie a postupy zabezpečení, které pomáhají chránit vaše osobní údaje před neoprávněným přístupem, použitím nebo zveřejněním. Vývojové týmy softwaru společnosti Microsoft uplatňují zásady PD3+C definované v procesu Security Development Lifecycle (SDL) napříč vývojovými a provozními postupy společnosti. •

Ochrana osobních údajů šitá na míru – společnost Microsoft tuto zásadu využívá několika způsoby během vývoje, navrhování a správy aplikací k zajištění, že jsou data shromážděná od zákazníků určena pro konkrétní účel a že zákazník dostane oznámení, aby se mohl informovaně rozhodovat. Jsou-li shromažďované údaje klasifikovány jako vysoce citlivé, mohou být při přenosu, při nepoužívání nebo v obou situacích uplatněna další bezpečnostní opatření, jako je šifrování.

•

Ochrana osobních údajů ve výchozím nastavení – nabídky společnosti Microsoft žádají před shromažďováním nebo přenosem citlivých údajů zákazníky o svolení. Po získání oprávnění jsou tato data chráněna prostředky, jako jsou seznamy řízení přístupu (ACL) kombinované s mechanismy ověřování identity.

•

Ochrana osobních údajů při nasazení – společnost Microsoft odkrývá mechanismy ochrany osobních údajů zákazníkům z organizací, aby jim umožnila vytvoření odpovídajících zásad ochrany osobních údajů a zabezpečení pro jejich uživatele.

•

Komunikace – společnost Microsoft aktivně zapojuje veřejnost prostřednictvím publikování zásad ochrany osobních údajů, dokumentů White Paper a jiné dokumentace týkající se ochrany osobních údajů.

Další informace týkající se závazku společnosti Microsoft chránit osobní údaje naleznete na webové stránce věnované ochraně osobních údajů iniciativy Microsoft Trustworthy Computing.

8|

Zabezpečení Společnost Microsoft pokračuje v přizpůsobení cloudové infrastruktury, aby mohla využívat výhod nově vznikajících technologií, jako je virtualizace. Výsledkem těchto pokroků je oddělení cenných informací od společné fyzické infrastruktury pro řadu typů objektů zákazníků. Zkombinujte je se skutečností, že proces vývoje softwaru pro online hostované aplikace je často rychlejší s častějšími verzemi, a výsledkem je, že se zvládání bezpečnostních rizik musí přizpůsobit, aby byla splněna ustanovení iniciativy Trustworthy Computing. V následujících částech tohoto dokumentu je uveden podrobnější přehled toho, jak tým pro přizpůsobení a zabezpečení online služeb společnosti Microsoft uplatňuje zásady zabezpečení a jaké úsilí společnost vynakládá při zvládání rizik v cloudové infrastruktuře společnosti Microsoft. Uvádí také, co znamená přístup hloubkové obrany k zabezpečení online služeb a jak vede výpočetní cloudové prostředí k novým přístupům k bezpečnostním opatřením.

Program zabezpečení informací Online program zabezpečení informací společnosti Microsoft definuje, jakým způsobem tým OSSC působí. Program byl nezávisle certifikován britským normalizačním institutem (BSI) a americkým systémem řízení jako vyhovující standardu ISO/IEC 27001:2005. Osvědčení ISO/IEC 27001:2005 naleznete na stránce Výsledky vyhledávání v adresáři certifikátů / klientů. Program zabezpečení informací obsahuje seznam požadavků na zabezpečení uspořádaný do tří domén nejvyšší úrovně: administrativní, technická a fyzická. Kritéria v těchto doménách představují základ pro správu rizika. Program zabezpečení informací začíná u pokynů a kontrol identifikovaných v doménách a jejich podkategoriích a dodržuje systém ISO/IEC27001:2005: „Plán, provedení, kontrola, akce.“

9|

OSSC dále definuje čtyři kroky v tradiční struktuře Plán, provedení, kontrola, akce programu zabezpečení informací ISO takto: • Plán a) Rozhodování na základě rizik – tým OSSC vychází z upřednostňování klíčových aktivit a alokace zdrojů a vytváří akční plán zabezpečení na základě posuzování rizik. Cíle organizací a jednotlivců v tomto plánu řeší aktualizace zásad, provozních standardů a bezpečnostních kontrol v divizi GFS a mnoha produktových skupinách. b) Požadavky na dokumenty – tým OSSC stanoví jasná očekávání, která určují fázi pro získání atestací a certifikací třetích stran prostřednictvím zdokumentovaného kontrolního systému. Tento systém poskytuje požadavky průzračným, konzistentním a výstižným způsobem. •

Provedení a) Implementace vhodných kontrol – kontroly založené na akčním plánu zabezpečení uplatňuje tým pro zajištění provozu, produktů a služeb. b) Provádění kontrol – tým OSSC implementuje a provozuje řadu kontrol přímo, například ty, které slouží k zajištění globálního dodržování předpisů týkajících se trestných činů, ke správě hrozeb vůči infrastruktuře a k fyzickému zabezpečení datových center. Další opatření uplatňují a spravují týmy pro zajištění provozů, produktů a služeb.

•

Kontrola a) Opatření a zlepšení – tým OSSC kontroluje aktivity průběžně. K zajištění splnění cílů podrobně uvedených v zásadách zabezpečení a systému kontroly mohou být přidány další kontroly nebo změněny stávající kontroly.

•

Akce a) Ověření efektivity programu – interní týmy i externí kontroloři program zabezpečení informací pravidelně kontrolují v rámci neustálé snahy ověřovat jeho efektivitu. b) Úpravy k zachování relevantnosti – tým OSSC posuzuje program zabezpečení informací a jeho kontrolní systém na základě platné legislativy, předpisů, podnikových a oborových požadavků a standardů s cílem určit oblasti zlepšení a ověřit splnění cílů. Technologické a obchodní plány společnosti Microsoft jsou proto aktualizovány tak, aby řešily dopad provozních změn.

Žádný program zabezpečení není úplný bez vyřešení potřeby školení zaměstnanců. Společnost Microsoft vytváří a poskytuje školení zabezpečení s cílem zajistit, že všechny skupiny zapojené do vytváření, nasazení, provozování a podpory online služeb hostovaných v cloudové infrastruktuře rozumí svým zodpovědnostem ve vztahu k zásadě zabezpečení informací online služeb společnosti Microsoft. Tento školicí program vysvětluje základní zásady vedení, které by měly být uplatňovány při zvažování jednotlivých vrstev přístupu hloubkové obrany společnosti Microsoft k zabezpečení online služeb. Společnost Microsoft také nabádá obchodní zákazníky a vývojáře softwaru, aby stejné zásady uplatňovali při vývoji aplikací a poskytování služeb pomocí cloudové infrastruktury společnosti Microsoft.

10 |

Procesy řízení rizik Analýza a řešení chyb zabezpečení ve vzájemně provázaných online systémech je složitější a může být časově náročnější než ty v tradičních IT systémech. Řízení rizik a odpovídající kontroly je třeba tomuto dynamickému prostředí přizpůsobit. Společnost Microsoft využívá pokročilé procesy založené na dlouhodobé zkušenosti s poskytováním služeb na webu pro řízení těchto nových rizik. Zaměstnanci OSSC spolupracují při zvládání těchto rizik s provozními týmy a vlastníky firem v mnoha skupinách zajišťujících produkty a služby ve společnosti Microsoft. Program zabezpečení informací stanoví standardní požadavky na procesy a dokumentaci k nepřetržitému rozhodování na základě rizik. Prostřednictvím programu zvládání bezpečnostních rizik (SRMP) se posuzování rizik děje na různých úrovních a upřednostňování informací v oblastech, jako jsou plány na vydávání produktů, udržování zásad a přidělování zdrojů. Každoročně probíhá komplexní posouzení rizik pro cloudovou infrastrukturu společnosti Microsoft, které vede k dalším kontrolám v průběhu celého roku. Tato probíhající práce se zaměřuje na rizika, která mohou být vysoce ničivá. Společnost Microsoft při tomto procesu stanoví priority a určuje rozvoj bezpečnostních kontrol a souvisejících aktivit. Metodologie SRMP posuzuje účinnost proti hrozbám následujícími prostředky: •

Určování hrozeb a chyb zabezpečení prostředí

•

Výpočet rizika

•

Oznamování rizik napříč prostředím Microsoft cloud

•

Řešení rizik na základě posouzení jejich dopadu a přidružené případové studie

•

Testování dopadu nápravných akcí a zbývajících rizik

•

Průběžná správa rizik

Řízení nepřetržitého procesu Spousta organizací uvažující o využití cloudových aplikací si klade otázky týkající se dostupnosti a odolnosti služeb. Hostování aplikací a ukládání dat v cloudovém prostředí nabízí novou dostupnost služeb a možnosti odolnosti i možnosti zálohování dat a zotavení. Program Řízení nepřetržitého procesu společnosti Microsoft využívá osvědčené postupy v této oblasti k řešení nových aplikací při zveřejňování v prostředí Microsoft cloud. Společnost Microsoft používá průběžný proces správy a řízení k zajištění, že budou provedeny nezbytné kroky k určení dopadu možných ztrát, udržování schůdných strategií a plánů zotavení a zajištění kontinuity produktů a služeb. Pro vytvoření relevantního plánu akcí při havárii je zásadní znát všechny prostředky – osoby, vybavení a systémy – nezbytné k provedení úlohy nebo procesu. Jedním z největších rizik spojených se ztrátou kvůli havárii je nedodržení kontroly, údržby a testování plánu, proto program zajišťuje něco víc než jen zaznamenání postupů zotavení. Společnost Microsoft prostřednictvím cyklu životnosti vývoje plánu řízení nepřetržitého procesu vytváří a udržuje plány zotavení po havárii nasazením šesti fází, jak ukazuje následující obrázek:

11 |

Společnost Microsoft řeší zotavení služeb a dat po dokončení analýzy závislostí stanovením dvou cílů souvisejících se zotavením aktiv: •

Cíl doby zotavení (RTO) – Maximální doba, po kterou lze vydržet ztrátu důležitého procesu, funkce nebo zdroje předtím, než to bude mít závažný dopad na podnikání.

•

Cíl bodu zotavení (RPO) – Maximální velikost ztráty dat, kterou lze během této situace vydržet, zpravidla z pohledu času mezi posledním zálohováním dat a času výpadku.

Protože je proces identifikace a klasifikace majetku nepřetržitý v rámci zvládání rizik pro infrastrukturu cloud computingu společnosti Microsoft, znamená plán zotavení po havárii, že tyto cíle lze snáze použít při posouzení, zda mají být během havárie implementovány strategie zotavení nebo ne. Společnost Microsoft tyto strategie dále ověřuje pomocí cvičení, která zahrnují přípravu, testování, školení a údržbu.

12 |

Řízení incidentu porušení zabezpečení Procesy bezpečnostních kontrol a zvládání rizik, které společnost Microsoft uplatňuje k zabezpečení cloudové infrastruktury, snižují riziko incidentů porušení zabezpečení, ale přesto by bylo naivní domnívat se, že v budoucnu nedojde ke škodlivým útokům. Tým pro řízení incidentu porušení zabezpečení (SIM) spolu s týmem OSSC na tyto potíže reaguje, a to 24 hodin denně. Posláním tohoto týmu je rychle a přesně posoudit a zmírnit incidenty porušení zabezpečení zahrnující online služby společnosti Microsoft a současně sdělovat relevantní informace nejvyššímu vedení společnosti a dalších zapojených stran v rámci společnosti Microsoft. Postup, jakým tento tým reaguje na incidenty porušení zabezpečení, sestává ze šesti fází: •

Příprava – členové týmu pro řízení incidentu porušení zabezpečení absolvují průběžné školení, aby byli připraveni reagovat v případě, kdy k incidentu dojde.

•

Identifikace – vyhledání příčiny incidentu, ať již záměrné nebo nezáměrné, často znamená sledování problému prostřednictvím více hladin prostředí cloud computingu společnosti Microsoft. Tým pro řízení incidentu porušení zabezpečení spolupracuje se členy dalších interních týmů společnosti Microsoft na diagnostice původu daného incidentu.

•

Omezení – po zjištění příčiny incidentu tým pro řízení incidentu porušení zabezpečení spolu s ostatními potřebnými týmy zabrání působení incidentu. Postup závisí na dopadu incidentu na společnost.

•

Zmírnění – tým pro řízení incidentu porušení zabezpečení se v koordinaci s příslušnými týmy doručování produktů a služeb podílí na snížení rizika opakovaného výskytu incidentu.

•

Zotavení – tým podle potřeby nadále spolupracuje s ostatními skupinami a pomáhá při procesu zotavení služby.

•

Zpětná vazba – po vyřešení incidentu porušení zabezpečení svolá tým schůzku se všemi zapojenými osobami. Cílem této schůzky je posoudit, co se stalo, a zaznamenat zpětnou vazbu během procesu reagování na incident.

Tým pro řízení incidentu porušení zabezpečení je schopen brzy zjistit potíže a zmírnit dopad na narušení služeb díky spolupráci mezi týmy. Tento tým je například těsně spjat s provozními týmy včetně střediska Microsoft Security Response Center (další informace naleznete na webu Microsoft Security Response Center). Tento vztah týmu SIM umožňuje rychle získat celostní akceschopný pohled na incident v jeho průběhu. Členové týmu pro řízení incidentu porušení zabezpečení s vlastníky aktiv také určují závažnost incidentu na základě řady faktorů včetně potenciálních nebo dalších narušení služby a rizika poškození dobré pověsti.

Globální dodržování předpisů týkajících se trestných činů Program Globální dodržování předpisů týkajících se trestných činů (GCC) v rámci přizpůsobení a zabezpečení online služeb stanoví zásady a poskytování školení v procesu reagování společnosti Microsoft. Také reaguje na platné zákonné žádosti o informace. V rámci programu GCC jsou k dispozici právní zástupci v řadě zemí, kteří žádost ověří a v případě potřeby přeloží. Jedním z důvodů, proč je program GCC spoustou mezinárodních autorit považován za „nejlepší program odpovědí“, je, že poskytuje portál vynucování zákonů, který nabízí rady týkající se předložení zákonné žádosti společnosti Microsoft od osvědčených právních poradců v oblasti vymáhání zákona v několika jazycích.

13 |

Posláním programu GCC je zajistit školení odborníkům na vymáhání zákona. Poskytuje také školení pro všechny úrovně pracovníků společnosti Microsoft týkající se zodpovědnosti v oblasti uchování dat a jejich ochrany. Interní školení a práce se zásadami se vyvíjí s tím, jak společnost Microsoft přidává datová centra v místech po celém světě a tím rozšiřuje rozsah mezinárodních regulačních požadavků. Program GCC hraje zásadní roli v porozumění a implementaci procesů, které zohledňují různá mezinárodní práva, a způsobu jejich použití u spotřebitelů nebo firem, které spoléhají na online služby společnosti Microsoft.

Přizpůsobení provozu Prostředí online služeb společnosti Microsoft musí splňovat řadu vládou nařízených a pro odvětví specifických požadavků na zabezpečení vedle vlastních specifikací podmíněných potřebami společnosti. Protože se online služby společnosti Microsoft nadále rozvíjejí a mění a do cloudu společnosti Microsoft jsou zaváděny nové online služby, očekávají se další požadavky, které by mohly zahrnout regionální a místní standardy zabezpečení dat. Tým Přizpůsobení provozu pracuje napříč týmy zajištění operací, produktů a služeb a s interními a externími auditory na zajištění souladu společnosti Microsoft s relevantními standardy a závaznými předpisy. Následující seznam uvádí přehled některých auditů a posudků, kterým je cloudové prostředí společnosti Microsoft pravidelně podrobováno: •

Standard odvětví zabezpečení údajů na platebních kartách – vyžaduje každoroční kontroly a ověřování bezpečnostních kontrol souvisejících s transakcemi kreditních karet.

•

Rada hodnocení médií – spojuje integritu generování a zpracování dat reklamního systému.

•

Sarbanes-Oxley – vybrané systémy jsou každý rok kontrolovány, zda odpovídají klíčovým procesům spojeným s integritou vykazování financí.

•

Zákon o přenositelnosti zdravotního pojištění a zodpovědnosti – určuje pokyny týkající se ochrany osobních údajů, zabezpečení a zotavení při havárii pro elektronické uchovávání zdravotních záznamů.

•

Interní kontroly a hodnocení ochrany osobních údajů – hodnocení probíhá v daném roce.

Splnění všech těchto závazků kontroly se stalo ve společnosti Microsoft významnou výzvou. Společnost Microsoft při ověřování požadavků stanovila, že většina z auditů a hodnocení vyžadovala posouzení stejných provozních kontrol a procesů. Pro rozpoznání významné příležitosti, vedoucí k eliminaci zbytečného úsilí, usnadnění procesů a aktivní správě očekávání od dodržování předpisů, vyvinul tým OSSC komplexní systém dodržování předpisů. Tento systém a s ním související procesy jsou založeny na metodologii o pěti krocích, která je znázorněna na následujícím obrázku:

14 |

•

Rozpoznání a integrace požadavků – je definován rozsah a příslušné kontroly. Jsou získány a zkontrolovány standardní provozní postupy a dokumenty k procesům.

•

Zhodnocení nedostatků a jejich náprava – jsou identifikovány a napraveny nedostatky v kontrolách procesu nebo technologie.

•

Test účinnosti a zhodnocení rizik – proběhne změření a oznámení efektivity kontrol.

•

Získání certifikace a atestací – proběhne schůzka s certifikačními autoritami a auditory třetích stran.

•

Zlepšení a optimalizace – pokud se zjistí nedodržení předpisů, zdokumentuje se a dále posuzuje kořenová příčina. Uvedená zjištění jsou sledována až do úplného odstranění. Tato fáze zahrnuje také další optimalizaci kontrol v doménách zabezpečení s cílem generovat schopnost uspět v budoucích kontrolách auditu a certifikace.

Jedním z úspěchů implementace tohoto programu je, že cloudová infrastruktura společnosti Microsoft dosáhla atestace SAS 70 typu I i II a certifikace ISO/IEC 27001:2005. Tento úspěch prokazuje závazek společnosti Microsoft dodržovat důvěryhodnou infrastrukturu cloud computingu, protože vlastnictví:

15 |

•

certifikace ISO/IEC 27001:2005 ověřuje, že společnost Microsoft implementovala mezinárodně uznávané kontroly zabezpečení informací definované tímto standardem;

•

atestace SAS 70 ilustrují ochotu společnosti Microsoft k otevření interních programů zabezpečení prohlídce zvenčí.

Zaujetí přístupu hloubkové obrany Uplatňování přístupu hloubkové obrany je zásadním prvkem poskytování důvěryhodné cloudové infrastruktury společnosti Microsoft. Použití kontrol na více hladinách zahrnuje uplatňování mechanismů obrany, vývoj strategií zmírňování rizik a schopnost reagovat na útoky, když nastanou. Použití více bezpečnostních opatření různé síly – podle citlivosti chráněných aktiv – vede k vylepšené schopnosti bránit porušování nebo zmírnění vlivu incidentu porušení zabezpečení. Nástup cloud computingu tuto zásadu (že se síla kontrol odvozuje od citlivosti aktiva nebo jak zásadní je zvládání bezpečnostních rizik) nemění. Skutečnost, že v prostředí cloud computingu lze virtualizovat většinu aktiv, vede k posunům v analýze rizik a způsobu použití bezpečnostních kontrol v tradičních vrstvách hloubkové obrany (fyzická, síť, data, přístup identit, ověřování a kontrola přístupu a hostitelé). Online služby včetně služeb infrastruktury a platformy poskytované divizí GFS využívají výhod virtualizace. Proto mohou zákazníci využívající služby hostované v cloudovém prostředí společnosti Microsoft využívat aktiva, která již nelze snadno spojovat s fyzickou přítomností. Data lze skladovat virtuálně a distribuovat do mnoha míst. Tento základní fakt znamená, že se musí vyvíjet identifikace bezpečnostních kontrol a určení, jak je používat k implementaci vrstveného přístupu k ochraně aktiv. Nadále je samozřejmě nutné uplatňovat prostředky fyzického zabezpečení a zabezpečení sítí. Ohnisko zvládání rizik se však posouvá blíže k úrovni objektu, blíže k prvkům používaným v cloudovém prostředí: například statické nebo dynamické kontejnery úložiště dat, objekty virtuálního počítače, běhové prostředí, v němž probíhají výpočty. Různé probíhající kontroly využívají řadu metod a zařízení fyzického zabezpečení a zabezpečení sítí k ověření, zda entita (osoba vyžadující přístup do budovy datového centra nebo výpočetní proces vyžadující přístup k údajům o zákaznících uložených dynamicky v prostředí Microsoft cloud) je autentická a má oprávnění pro požadovaný přístup. Uplatňují se rovněž opatření k ověření, zda jsou instance serverů a operačního systému běžící v infrastruktuře Microsoft cloud zabezpečeny proti útokům. Tato část uvádí přehled některých procesů a kontrol, jichž společnost Microsoft využívá k řešení zabezpečení datových center, síťového hardwaru a komunikací a hostitelů služeb.

Fyzické zabezpečení Jedním ze způsobů změny fyzického zabezpečení díky pokrokům zabezpečovacích technologií je využití technických systémů k automatizaci oprávnění přístupu a ověření pro určité typy zabezpečení. Dalším je posun od použití tradičních podnikových aplikací nasazených na výpočetním hardwaru a softwaru fyzicky umístěném ve firmě k využití modelu Software jako služba a Software a služby. Tyto změny s sebou nesou další úpravy způsobu, jakým společnosti zajišťují zabezpečení svých aktiv. Program OSSC řídí fyzické zabezpečení všech datových center společnosti Microsoft, což je zásadní pro udržení provozu zařízení a ochranu dat zákazníka. Stanovené přesné postupy v navrhování a provozech zabezpečení se využívají ve všech zařízeních. Společnost Microsoft zajišťuje zavedení vnějších a vnitřních hranic s rostoucími kontrolami v každé vrstvě.

16 |

Systém zabezpečení používá kombinované využití technologických řešení včetně kamer, biometriky, čteček karet a alarmů s tradičními bezpečnostními opatřeními, jako jsou zámky a klíče. Jsou začleněny provozní kontroly s cílem usnadnit automatizované monitorování a včasné upozornění na porušení nebo problém. Dále je zajištěna zodpovědnost prostřednictvím poskytování kontrolovatelné dokumentace programu fyzického zabezpečení datového centra. Následující seznam uvádí další příklady toho, jak společnost Microsoft uplatňuje kontroly fyzického zabezpečení: •

Omezení přístupu pro pracovníky datového centra – společnost Microsoft poskytuje bezpečnostní požadavky, na jejichž základě jsou kontrolováni zaměstnanci a smluvní strany datového centra. Kromě smluvních ustanovení vůči zaměstnancům na daném místě je použita další vrstva zabezpečení v datovém centru na pracovníky jeho obsluhy. Přístup je omezen použitím nejméně jedné zásady oprávnění, takže právo na správu aplikací a služeb zákazníka mají pouze nejdůležitější pracovníci.

•

Řešení požadavků na data se závažným dopadem pro podnik – společnost Microsoft vyvinula přísnější minimální požadavky na kategorizaci aktiv, která jsou vysoce citlivá, než na ta s nízkou či mírnou citlivostí v datových centrech využívaných k poskytování online služeb. Standardní protokoly zabezpečení týkající se identifikace, přístupových hesel a protokolování a střežení vstupu na pracoviště jasně uvádějí, jaký typ ověřování je třeba. V případě přístupu k vysoce citlivým aktivům je požadováno ověřování s více faktory.

•

Centralizace řízení přístupu k fyzickému majetku – s tím, jak společnost Microsoft rozšiřuje počet datových center používaných k poskytování online služeb, byl vyvinut nástroj pro správu řízení přístupu k fyzickému majetku, který poskytuje také kontrolovatelné záznamy prostřednictvím centralizace pracovního postupu pro proces požadování, schvalování a poskytování přístupu do datových center. Tento nástroj funguje na principu poskytování nejmenšího potřebného přístupu a zahrnuje pracovní postup pro získání schválení od více stran udělujících oprávnění. Lze jej nakonfigurovat podle potřeb daného místa a umožňuje efektivnější přístup k historickým záznamům pro vykazování a dodržení výsledků auditů.

Zabezpečení sítě Společnost Microsoft uplatňuje řadu vrstev zabezpečení vhodných pro zařízení datových center a síťová připojení. Bezpečnostní kontroly se například používají na rovině kontroly i řízení. Ke zvládání útoků prostřednictvím odepření služeb (DoS) se používá specializovaný hardware, jako jsou služby vyrovnání zatížení, brány firewall a nástroje prevence vniknutí. Týmy pro řízení sítí používají pro segmentované virtuální místní sítě (VLAN) a aplikace podle potřeby vrstvené seznamy řízení přístupu (ACL). Společnost Microsoft používá prostřednictvím síťového hardwaru funkce aplikační brány k použití hloubkových prověrek paketů a provádí akce, jako je posílání výstrah na základě podezřelých síťových přenosů nebo blokujících podezřelé síťové přenosy. Pro prostředí Microsoft cloud se používá globálně redundantní interní a externí infrastruktura DNS. Redundance se poskytuje pro toleranci chyb a dosahuje se jí pomocí clusteringu serverů DNS. Další kontroly snižují riziko útoků distribuovaného odepření služeb (DDoS) a zničení nebo znečištění mezipaměti. Seznamy ACL se servery DNS a zónami DNS například omezují přístup pro zápis do záznamů DNS pouze na oprávněné pracovníky. Nové funkce zabezpečení, jako je například náhodnost identifikátorů dotazů z nejnovějšího softwaru zabezpečení DNS, se používají na všech serverech služby DNS. Clustery služby DNS jsou průběžně monitorovány na neautorizovaný software a konfigurace zóny DNS se mění stejně jako u jiných událostí narušení služby.

17 |

Služba DNS je součástí globálně propojeného Internetu a její poskytování vyžaduje účast mnoha organizací. Společnost Microsoft se podílí na spoustě těchto událostí například prostřednictvím konsorcia pro analýzu provozu služby DNS a výzkumu (DNS Operations Analysis and Research Consortium – DNS-OARC), které sestává z odborníků na službu DNS z celého světa.

Zabezpečení dat Společnost Microsoft klasifikuje aktiva k určení síly bezpečnostních kontrol, které se mají použít. Kategorie zahrnují relativní potenciál poškození finanční stránky a pověsti v případě, že by se aktiva stala obětí incidentu porušení zabezpečení. Po zařazení se uplatňuje přístup hloubkové obrany k určení potřebných ochranných prvků. Datová aktiva spadající do kategorie mírného vlivu například podléhají požadavkům na zašifrování, když jsou umístěna na přenosném médiu nebo když jsou zapojena do externích síťových přenosů. Data vysoké důležitosti podléhají kromě těchto požadavků také požadavkům na zašifrování pro úložiště a interní systém a síťové přenosy. Všechny produkty společnosti Microsoft musí splňovat kryptografické standardy SDL, které uvádějí přijatelné a nepřijatelné kryptografické algoritmy. Symetrické šifrování například vyžaduje klíče delší než 128 bitů. Při použití asymetrických algoritmů jsou požadovány klíče dlouhé 2048 bitů, případně delší.

Správa identit a přístupů Společnost Microsoft používá pro správu přístupu k aktivům model potřeby znalostí a nejnižšího oprávnění. Tam, kde je to uskutečnitelné, jsou k přidělování logického přístupu ke specifickým pracovním funkcím nebo oblastem zodpovědnosti používány kontroly přístupu na základě rolí, nikoli jednotlivce. Tyto zásady diktují, aby byl přístup, který nebyl výslovně udělen vlastníkem aktiva na základě určeného obchodního požadavku, rovnou zamítnut. Osoby, které mají přístupové právo k jakémukoli aktivu, musí k získání tohoto přístupu použít příslušná opatření. Vysoce citlivá aktiva vyžadují vícefaktorové ověřování včetně takových opatření, jako jsou hesla, hardwarové symboly, čipové karty nebo biometrika. Spárování uživatelských účtů s oprávněním použití se děje průběžně, aby se zajistilo vhodné použití aktiva, které je třeba k dokončení dané činnosti. Účty, které již k danému aktivu nepotřebují přístup, jsou zakázány.

Zabezpečení aplikací Zabezpečení aplikací je klíčovým prvkem přístupu společnosti Microsoft k zabezpečení prostředí cloud computingu. Přísné postupy zabezpečení uplatňované týmy vývojářů ve společnosti Microsoft byly v roce 2004 formalizovány do procesu nazývaného Security Development Lifecycle (SDL). Proces SDL představuje agnostiku vývojové metodologie a je plně integrován s cyklem životnosti vývoje aplikace od návrhu až k reakci a nepředstavuje náhradu metodologií vývoje softwaru, jako je postup akcí nebo agilní metoda. Různé fáze procesu SDL zdůrazňují vzdělání a školení a také přikazují, aby byly použity konkrétní aktivity a procesy vhodné pro jednotlivé fáze vývoje softwaru. Hlavní vedení ve společnosti Microsoft nadále podporuje mandát, že proces SDL bude použit během procesu vývoje produktů společnosti Microsoft včetně poskytování online služeb. Program OSSC hraje zásadní roli při zajištění, že proces SDL je a nadále bude používán při vytváření aplikací určených k hostování v infrastruktuře Microsoft cloud.

18 |

Proces SDL je znázorněn na následujícím obrázku:

Proces SDL zahrnuje od fáze požadavků řadu konkrétních aktivit při zvažování pro vývoj aplikací hostovaných v prostředí Microsoft: •

Požadavky – základním cílem v této fázi je určení klíčových cílů zabezpečení a další maximalizace zabezpečení softwaru při minimalizaci narušení použitelnosti, plánů a rozpisů u zákazníků. Tato činnost může zahrnovat akceschopnou diskusi při manipulaci s hostovanými aplikacemi, které se zaměřují na definování způsobu, jakým bude služba využívat síťová připojení a přenosy zpráv.

•

Návrh – mezi zásadní kroky pro zabezpečení v této fázi patří zdokumentování potenciálního útoku a řízení modelování hrozeb. Stejně jako u fáze požadavků mohou být identifikována kritéria pro prostředí při procházení tímto procesem u hostované aplikace.

•

Implementace – v této fázi probíhá kódování a testování. Při implementaci jsou zásadními postupy prevence vytvoření kódu s chybami zabezpečení a provedení kroků k odstranění takovýchto potíží, pokud existují.

•

Ověření – pokud nové aplikace nejsou považovány za funkčně kompletní, jsou ve fázi beta. V této fázi je věnována značná pozornost určení, jaká bezpečnostní rizika existují při nasazení aplikace v praxi a jaké kroky mohou být provedeny k eliminaci nebo zmírnění těchto rizik.

•

Vydání – v této fázi proběhne závěrečná kontrola zabezpečení (FSR). Pokud je třeba, před vydáním nové aplikace v cloudovém prostředí společnosti Microsoft proběhne také kontrola provozního zabezpečení.

•

Odezva – pro cloudové prostředí společnosti Microsoft zaujímá tým SIM přední pozici při reagování na incidenty porušení zabezpečení a úzce spolupracuje s týmy pro zajištění produktů a služeb a s členy střediska Microsoft Security Response Center při přezkoumání, výzkumu a nápravě oznámených incidentů.

Další informace o procesu SDL naleznete na webové stránce procesu Microsoft Security Development Lifecycle (SDL). Tým OSSC řídí proces FSR, povinnou kontrolu procesu SDL pro online služby společnosti Microsoft k zajištění splnění příslušných požadavků na zabezpečení před nasazením nových aplikací do cloudové infrastruktury společnosti Microsoft. FSR představuje shrnutí toho, jak tým dodržuje proces SDL v procesu vývoje. Během fáze FSR zvládá tým OSSC následující úlohy: 19 |

•

Koordinace produktového týmu – tým vývoje produktu musí vyplnit dotazníky a další dokumentaci. Tým OSSC tyto informace používá k zajištění, že během vývoje byl proces SDL správně použit.

•

Shrnutí modelů hrozeb – společnost Microsoft považuje modely hrozeb za zásadní při vývoji zabezpečovacího softwaru. Tým OSSC analyzuje modely hrozeb vytvořené produktovými týmy k ověření, zda jsou kompletní a aktuální. V rámci tohoto shrnutí probíhá také ověření, zda byly implementovány kontroly zmírnění k vyřešení všech identifikovaných rizik.

•

Shrnutí chyb zabezpečení – jsou shrnuty všechny chyby identifikované při navrhování, vývoji a testování. Tímto způsobem dojde k zajištění, že budou vyřešeny chyby, které mají vliv na zabezpečení nebo ochranu osobních údajů zákazníků.

•

Ověření použitých nástrojů – vývojové a testovací týmy společnosti Microsoft využívají v rámci procesu vývoje nástroje pro zabezpečení softwaru a zdokumentované vzorce a postupy. To může značně vylepšit zabezpečení softwaru prostřednictvím eliminace běžných chyb zabezpečení. Program OSSC zaručuje, že produktové týmy správně a vhodným způsobem využily nástroje, zdokumentovaný kód a vzorce a postupy, které mají k dispozici.

Kromě řízení procesu FSR spravuje program OSSC také proces označovaný jako kontrola provozního zabezpečení (OSR). Tento proces sestává z kontroly příslušných síťových komunikací, platformy, systémové konfigurace a schopností monitorování na základě zavedených standardů a podkladů pro zabezpečení. Proces OSR zajišťuje, že jsou před nasazením v cloudové infrastruktuře do provozních plánů zahrnuty odpovídající bezpečnostní kontroly.

Kontrola a vykazování zabezpečení hostitele Poskytování spolehlivých, řádně spravovaných, bezpečných a opravovaných služeb si žádá správu prostředí, jehož velikost i náročnost stále narůstá. Denní prověřování infrastruktury poskytuje stávající přehled o chybách zabezpečení hostitelského systému a umožňuje týmu OSSC spolupráci v partnerství se skupinami zajišťujícími produkty a služby pro účely zvládání souvisejících rizik, aniž by to způsobilo nežádoucí přerušení online služeb společnosti Microsoft. Testování průniku prováděné interními a externími stranami poskytuje důležitý přehled efektivity bezpečnostních kontrol infrastruktury Microsoft cloud. Výstup těchto kontrol a průběžné vyhodnocování výsledných kontrol se používají v následujícím prověřování, monitorování a nápravě rizik. Automatizované nasazení standardních zabezpečených bitových kopií operačního systému s aktivním využíváním kontrol zásad hostování, jako jsou Zásady skupiny společnosti Microsoft, umožňuje kontrolu přidávání serverů do cloudové infrastruktury. Po nasazení poskytují proces kontroly provozu a program nasazení oprav společnosti Microsoft průběžné zmírňování hrozeb zabezpečení hostitelského systému.

20 |

Tým OSSC spoléhá na kontroly a vykazování jako na detektivní kontroly a na to, že v případě incidentů získá přehled a soudní důkazy. Protokoly generované obvodovými branami firewall, systémy prevence proniknutí a síťová zařízení jsou centrálně shromažďovány prostřednictvím protokolu SYSLOG a ukládány jako soubory. Samostatné záznamy o událostech v těchto souborech jsou podrobeny analýze a odeslány do centralizované databáze na serveru SQL. Odeslané nástroje jsou analyzovány pomocí automatizovaných nástrojů pro vzorce, které mohou ukazovat na neobvyklé chování nebo škodlivou aktivitu v monitorovaném prostředí, a pokud může být zaručeno přezkoumání aktivity, vyvolají výstrahu pro tým SIM. Po zpracování jednotlivých souborů protokolu je generován kryptografický algoritmus hash, který je uložen spolu s relevantní statistikou souboru ve stejné databázi. Po provedení algoritmu hash jsou jednotlivé soubory protokolu komprimovány a uloženy na servery archivu redundantních souborů. Hodnoty hash auditorům umožňují ověření integrity původních souborů protokolu uložených v archivu pro případ, že by byly třeba k další analýze. Protokoly auditu kritických serverů v rámci infrastruktury Microsoft cloud, jako jsou řadiče domény, servery pro zabezpečení a servery obsahující citlivé informace, jsou shromažďovány téměř v reálném čase prostřednictvím funkce Audit Collection Services (ACS) aplikace Microsoft System Center Operations Manager 2007 a uloženy do databáze na serveru SQL Server. Kvůli velkému množství dat shromážděných pro tato prostředí jsou extrahovány důležité a relevantní události (označované jako „zajímavé události“) a jsou předány do jiné databáze SQL, kde tým OSSC používá k podrobným analýzám vyhledávajícím podezřelou aktivitu automatizované nástroje. Mezi informace shromážděné z protokolů událostí patří přihlášení uživatele, změny konfigurace zásad zabezpečení a neoprávněný přístup k systémovým nebo aplikačním souborům. Stejně jako záznamy generované hraničními a síťovými zařízeními jsou také zajímavé události extrahované z protokolů auditu zkontrolovány jako důkaz selhání kontrol, neoprávněných změn konfigurace serveru a jiných škodlivých činností. Kromě toho poskytují přizpůsobené balíčky správy vytvořené pro systémy Microsoft Operations Manager (MOM) a Microsoft System Center Operations Manager výstrahy a monitorování stavu v reálném čase. To umožňuje další přehled o narušení zabezpečení, změnách, které ovlivňují integritu systému, a porušení zásad jednotlivých systémů. Tyto události systémů MOM a System Center Operations Manager jsou integrovány do standardních provozních systémů. Příslušné provozní týmy společnosti Microsoft je také používají k nápravě méně naléhavých záležitostí. Informace získané z různých souborů protokolu slouží k vytvoření incidentu, generování sestavy a historickému stanovení trendů. To vše slouží k ověření účinnosti kontrol v kontrolním systému.

21 |

Závěr Tým OSSC na základě stejných principů zabezpečení jako při zvládání rizik vývoje softwaru a operačního prostředí společnosti Microsoft vytvořil online program zabezpečení informací, který vede k neustálému vylepšování zabezpečení prostředí cloud computingu společnosti Microsoft. Koordinované a strategické využívání lidí, procesů a technologie společnosti Microsoft umožňuje přizpůsobit se prudkým změnám v cloudové infrastruktuře a na trhu s online službami a přitom stále dodržovat svůj závazek poskytovat zákazníkům služby v souladu s iniciativou Trustworthy Computing. Systém, který společnosti Microsoft umožnil získat akreditaci ISO 27001:2005 a atestace SAS typu I a II pro infrastrukturu Microsoft cloud, stanoví fázi pro týmy pro zajištění produktů a služeb, aby mohly podle potřeby efektivněji získávat další certifikace a atestace. Bezpečnostní školení, průběžné kontroly a zvládání rizik, rychlá reakce na bezpečnostní incidenty a právní požadavky – to vše na jednom místě – umožňuje společnosti Microsoft poskytovat pevný závazek v souladu s iniciativou Trustworthy Computing při současném stanovení stavu pro partnery a zákazníky a využití výhod těchto vyspělých a flexibilních procesů. Společnost Microsoft udržuje prostřednictvím tohoto programu zabezpečení informací komplexní systém dodržování předpisů a řadu bezpečnostních kontrol a zásad k poskytování spolehlivosti a ochrany osobních údajů očekávanou zákazníky při dodržování všech příslušných regulačních závazků a standardů odvětví. Prokázaný doklad o úspěchu společnosti Microsoft v kombinaci s nezávisle certifikovanými programy ukazuje nepřetržitou významnost těchto programů vedoucích k průběžnému vývoji výzev a příležitostí na měnícím se trhu s online službami. Produktové týmy společnosti Microsoft tyto postupy využívají k navázání důvěryhodnosti a vhodné úrovně transparentnosti pro nové nabídky v rámci strategie Software a služby pro svižný a nenákladný vývoj. Používání důvěryhodné cloudové infrastruktury umožňuje společnosti Microsoft, jejím partnerům a týmům zákazníků vytvářet pro toto dynamické cloudové prostředí bezpečnější aplikace.

22 |

Další zdroje Iniciativa Microsoft Trustworthy Computing, domovská stránka: http://www.microsoft.com/twc Důležité poznámky online prohlášení o ochraně osobních údajů společnosti Microsoft: http://www.microsoft.com/privacy Certifikát ISO 27001:2005 pro skupinu Global Foundation Services ve společnosti Microsoft: http://www.bsiglobal.com/en/Assessment-and-certification-services/Client-directory/CertificateClient-Directory-SearchResults/?pg=1&licencenumber=IS+533913&searchkey=companyXeqXmicrosoft Služba Microsoft Global Foundation Services, domovská stránka: http://www.globalfoundationservices.com Proces Microsoft Security Development Lifecycle (SDL): http://msdn.microsoft.com/en-us/security/cc448177.aspx Proces Microsoft Security Development Lifecycle (SDL) – verze 3.2, dohled nad procesem: http://msdn.microsoft.com/en-us/library/cc307748.aspx Středisko Microsoft Security Response Center: http://www.microsoft.com/security/msrc Nástroj modelování hrozeb programu Microsoft SDL: http://msdn.microsoft.com/en-us/security/dd206731.aspx Online služby společnosti Microsoft: http://www.microsoft.com/online

23 |

Podmínky Informace obsažené v tomto dokumentu představují aktuální názory společnosti Microsoft Corporation na diskutované problémy ke dni vydání. Protože společnost Microsoft musí reagovat na vývoj na trhu, nemohou být informace uvedené v tomto dokumentu považovány za zavazující a společnost Microsoft nemůže ručit za jejich správnost po zveřejnění. Tento dokument white paper slouží pouze k informativním účelům. SPOLEČNOST MICROSOFT NEPOSKYTUJE NA INFORMACE UVEDENÉ V TOMTO DOKUMENTU ŽÁDNÉ VÝSLOVNĚ UVEDENÉ, IMPLICITNĚ PŘEDPOKLÁDANÉ ČI ZÁKONNÉ ZÁRUKY. Uživatel plně zodpovídá za dodržení všech příslušných autorských zákonů. Aniž by tím byla omezena autorská práva, nesmí být tento dokument po částech ani jako celek reprodukován, ukládán, převáděn ani přenášen v jakékoli formě a jakýmkoli způsobem (ať elektronicky, mechanicky, fotokopírováním, záznamem, či jinak), a to pro jakékoli účely, bez předchozího výslovného písemného povolení společnosti Microsoft Corporation. Společnost Microsoft může být držitelem patentů, žádostí o patenty, ochranných známek, autorských práv nebo jiných práv chránících duševní vlastnictví, které se mohou vztahovat na obsah tohoto dokumentu. Dodání tohoto dokumentu vám neposkytuje žádnou licenci k těmto patentům, ochranným známkám, autorským právům či jiným právům k duševnímu vlastnictví, s výjimkou případů, kdy je tak výslovně uvedeno v některé licenční smlouvě společnosti Microsoft. © 2009 Microsoft Corporation. Všechna práva vyhrazena. Microsoft, Active Directory, Hotmail, Microsoft Dynamics, MSN, SharePoint, SQL Server, Windows Live a Xbox LIVE jsou ochranné známky skupiny společností Microsoft. Všechny ostatní ochranné známky jsou majetkem příslušných vlastníků.

24 |