﻿Office 365 Güven Merkezi – İlk 10 Listeleri
Müşteriler, güvenli ve güvenilir olarak tasarlanan, kullanıma hazır üretkenlik çözümlerine gereksinim duyar. Bulut üretkenlik hizmetlerinin güvenliğini ve güvenilirliğini saptamanıza ve güvenlik beklentilerinizi karşılayan bir bulut hizmeti sağlayıcısı seçmenize yardımcı olmak için, bilinçli bir karar alırken göz önünde bulundurmanız gereken önemli gizlilik ve güvenlik konularını belirledik.
Bu üç en iyi on listesi, zaman kazanmanıza ve bilgiye dayalı kararlar almanıza yardımcı olabilir.
BT hizmetleriniz için bulutu değerlendirirken bulut hizmeti sağlayıcınıza sormanız gereken en önemli sorular ve bu sorulara Microsoft Office 365’in verdiği yanıtlar
1. Hizmetinizde depoladığımız verilerin sahibi kim? Verilerimizi reklam ürünleri oluşturmak için kullanacak mısınız?
Bir Office 365 müşterisi olarak, verileriniz size aittir ve sizin denetiminizdedir. Verilerinizi, abone olduğunuz hizmeti sağlamak dışında hiçbir nedenle kullanmayız. Hizmet sağlayıcısı olarak, e-posta veya belgelerinizi reklama yönelik amaçlarla taramayız. Daha fazla bilgi için lütfen Office 365 Güven Merkezi’nde Verilerinizi nasıl kullanırız? bölümünü ziyaret edin.
2. Hizmetinizde gizlilik denetimleri sunuyor musunuz?
Gizlilik denetimleri, hizmetin tüm müşterileri için varsayılan olarak etkindir ve gizlilikle ilgili özellikleri kuruluşunuzun gereksinimlerine bağlı olarak açabilir veya kapatabilirsiniz. Sözleşmenizin veri işleme koşullarında belirtilen güçlü gizlilik ve güvenlik önlemlerine uyacağımızı taahhüt ederiz.
3. Hizmette verilerimizin depolandığı yeri görebilir miyiz?
Verilerinizin nerede depolandığı konusunda şeffaflık yaklaşımını benimseriz. Daha fazla bilgi için lütfen Office 365 Güven Merkezi’nde Verilerim nerede? bölümünü ziyaret edin.
4. Güvenlik konusundaki yaklaşımınız nedir ve hizmetinizi dış saldırılardan korumak için hangi güvenlik özelliklerini sağlıyorsunuz?
Güvenlik, Office 365'in en önemli tasarım ilkelerinden ve özelliklerinden biridir. Güvenliğe bakışımız; donanım, yazılım, veri merkezlerimizin fiziksel güvenliği, ilke ve denetimler, ayrıca bağımsız denetçiler tarafından doğrulanma konularını kapsar.
Güvenlik özellikleri söz konusu olduğunda, genel olarak iki kategori vardır: 1) Yerleşik güvenlik ve 2) müşteri denetimleri. Yerleşik güvenlik, bilgilerinizi korumak ve kullanılabilirliği yüksek hizmetler sunmak için Microsoft'un tüm Office 365 müşterileri adına aldığı önlemleri temsil eder. Müşteri denetimleri, Office 365'i kuruluşunuzun belirli gereksinimlerini karşılayacak şekilde özelleştirmenize olanak sağlar. Her iki türdeki güvenlik özellikleriyle ilgili ayrıntılara Office 365 Güven Merkezi'ndeki Güvenlik bölümünden ulaşabilirsiniz.
5. Verilerimizi hizmetinizin dışına çıkarabilir miyiz?
Office 365’te depolanan verileriniz ve bunlara ilişkin tüm hak, mülkiyet hakkı ve menfaatler size aittir. Aboneliğiniz süresince ve aboneliğinizin sona ermesinden sonraki 90 gün boyunca, tüm verilerinizin bir kopyasını istediğiniz zaman ve herhangi bir nedenle, Microsoft'tan hiçbir yardım almadan indirebilirsiniz. Daha fazla bilgi için lütfen Office 365 Güven Merkezi’nde Verileriniz size aittir bölümünü ziyaret edin.
6. Hizmette değişiklik olduğunda bize bildirecek misiniz ve verilerimizin gizliliği ihlal edilirse bize haber verecek misiniz?
Hizmette güvenlik, gizlilik veya uyumluluk açısından önemli olan herhangi bir değişiklik yapıldığında bunu size bildiririz. Ayrıca, verilerinize uygun olmayan yollarla erişilmesi durumunda da sizi hemen bilgilendiririz.
7. Verilerimizi nasıl kullandığınız ve verilerimize nasıl eriştiğiniz konusunda şeffaf bir yaklaşım sunuyor musunuz?
Veri depolamayla ilgili önemli konuları (verilerinizin coğrafi olarak nerede bulunduğu, verilerinize Microsoft’ta kimler tarafından erişilebildiği ve bu bilgilerle şirket içinde ne yaptığımız gibi) sizinle paylaşırız. Daha fazla bilgi için lütfen Office 365 Güven Merkezi’nde Verilerinize kimler erişebilir? bölümünü ziyaret edin.
Verilerinize erişim konusundaki yaklaşımımız:
Size müşteri verilerinize her zaman erişme olanağı sunarız. Müşteri verilerine erişim, sıkı şekilde denetlenmektedir ve günlüğe kaydedilir; erişimin yalnızca uygun iş amaçlarıyla yapıldığını doğrulamak için hem Microsoft, hem de üçüncü taraflarca örnek denetlemeler gerçekleştirilir. Müşterilerimize ait içeriğin fazlasıyla önemli olduğunun farkındayız. Microsoft personeli, iş ortakları veya sizin kendi yöneticileriniz gibi kişiler hizmette yer alan içeriğinize erişirse, talep etmeniz durumunda söz konusu erişim hakkında size rapor sunabiliriz.
8. Güvenlik ve gizlilikle ilgili ne tür taahhütlerde bulunuyorsunuz?
Office 365 adına; müşteri verilerini işleme koşullarını, HIPAA iş ortağı anlaşmasını ve AB model maddelerini imzalamaya hazırız. Ayrıca ISO 27001, ISO 27018, FISMA ve FedRAMP gibi standartlarla da uyumluyuz. Daha fazla bilgi için lütfen Office 365 Güven Merkezi’nin Bağımsız olarak doğrulandı bölümünü ziyaret edin.
9. Hizmetinizin güvenilir olmasını nasıl sağlıyorsunuz?
Tasarım ve işlemler konusunda; yedeklilik, dayanıklılık, dağıtılmış hizmetler ve izleme gibi en iyi yöntemleri uyguluyoruz. Kısa süre önce, hizmetimizle ilgili olarak üç aylık kullanılabilirlik rakamlarımızı yayımlamaya başladık. Daha fazla bilgi için lütfen Office 365 Güven Merkezi’nin Şeffaf işlemler bölümünü ziyaret edin.
10. Hizmetimin sürekliliğini sağlamaya ilişkin taahhütleriniz nelerdir?
Mali olarak desteklenen hizmet düzeyi sözleşmemizle %99,9 oranında çalışma süresi sağlıyoruz. Bir müşteri aylık olarak %99,9'un altında bir çalışma süresi elde ederse, hizmet kredileriyle bunu müşterimize tazmin ediyoruz.
Microsoft Office 365'in yukarıdaki sorularla ilgili olarak müşterilere nasıl güvence verdiği konusunda daha fazla bilgi ve bunların kanıtları için, lütfen Office 365 Güven Merkezi’ni ziyaret edin.
Office 365’in en önemli 10 güvenlik ve gizlilik özelliği
1. Fiziksel veri merkezine yalnızca yetkili personelin erişmesine izin veririz ve fiziksel güvenliği biyometrik okuyucular, hareket sensörleri, 24 saat güvenlikli erişim, video kamerayla izleme ve güvenlik ihlali alarmları gibi çok katmanlı bir yaklaşımla sağlarız.
2. Verilerin, hem bekleme sırasında hem de veri merkezi ve kullanıcı arasında aktarılırken ağ aracılığıyla şifrelenmesini sağlarız.
3. Reklam amaçlı olarak verilerinizi araştırmaz ve verilerinize bu amaçla erişmeyiz.
4. Müşteri verilerini yalnızca hizmeti sağlamak için kullanırız; bunun dışındaki durumlarda, izniniz olmadan posta kutunuza bakmayız.
5. Verilerinizi düzenli olarak yedekleriz.
6. Hizmet sürenizin sonunda, sunduğumuz veri taşınabilirliği hizmetinden yararlanmadığınız sürece hesabınızdaki verilerin hiçbirini silmeyiz.
7. Müşteri verilerinizi bölgesel olarak barındırırız.
8. Verilerinizin güvenliğini artırmak için ”zor” parolaların kullanılmasını zorunlu tutarız.
9. Gizliliği etkileyen özellikleri, gereksinimlerinize uygun olarak kapatıp açmanıza izin veririz.
10. Burada verilen taahhütleri, toplu lisanslama sözleşmenizin veri işleme koşulları kapsamında yerine getiririz. Daha fazla bilgi için Office 365 Güven Merkezi’nin Bağımsız olarak doğrulandı bölümünü ziyaret edin.
Office 365’in en önemli 10 uyumluluk alanı
1. Sağlık Sigortası Taşınabilirlik ve Sorumluluk Yasası (HIPAA):
HIPAA, yasal bakımdan “kapsama giren tüzel kişilikler” arasında yer alabilecek müşterilerimize, elektronik olarak korunan sağlık bilgilerini işlemeyle ilgili olarak güvenlik, gizlilik ve raporlama gereksinimleri uygular. Microsoft, Office 365’i müşterilerimizin HIPAA ile uyumlu olmasına yardımcı olmak üzere fiziksel, yönetimsel ve teknik koruma olanakları sağlayacak şekilde geliştirmiştir. Tüm müşterilerimize bir HIPAA İş Ortağı Anlaşması (BAA) seçeneği sunarız. HIPAA BAA hakkında daha fazla bilgi için HIPAA/HITECH Hakkında SSS (İngilizce) bölümünü ziyaret edin.
2. Veri işleme koşulları:
Müşterilerimize Microsoft’un müşteri verilerini işleme ve korumasıyla ilgili olarak, veri işleme koşullarımız aracılığıyla ek sözleşme güvenceleri sağlarız. Bu koşulları kabul etmekle, dünya genelindeki yasal düzenlemelerden toplanmış 40’ın üzerinde özel güvenlik taahhüdüne uymuş oluruz. Veri işleme koşullarımızdaki güçlü taahhütlerden, varsayılan olarak tüm müşterilerimiz yararlanabilir.
3. Federal Bilgi Güvenliği Yönetimi Yasası (FISMA),
ABD federal kurumlarının bilgilerini ve bilgi sistemlerini güvenlik altına almak için denetimler geliştirmesini, bunları belgelemesini ve hayata geçirmesini gerektirir. Federal Risk ve Yetkilendirme Programı (FedRAMP), bulut ürünleriyle hizmetlerini değerlendirmek ve izlemek için standartlaştırılmış bir yaklaşım sağlayan federal risk yönetimi programıdır. FedRAMP/FISMA Hakkında SSS (İngilizce) bölümünde, Office 365 hizmetinin FedRAMP/FISMA ile ilgili izlediği güvenlik ve gizlilik süreçleri açıklanmaktadır.
ISO 27001, tüm dünyadaki en iyi güvenlik kıyaslamalarından biridir. Office 365’te yer alan çok sayıda ürünün ISO 27001:2013 ile tanımlanan sıkı fiziksel, mantıksal, işlemsel ve yönetimsel denetimlerle uyumlu olduğu doğrulanmıştır. Bu ayrıca, son denetlemedeki ISO 27018 Gizlilik denetimlerini de içerir. ISO değerlendirme sürecine eklenen bu yeni ISO 27018 denetimleri, Office 365’in müşteri verilerinin gizliliğine yönelik sunduğu koruma düzeyini müşterilerine daha da iyi göstermesine yardımcı olacaktır.
5. Avrupa Birliği (AB) Model Maddeleri:
AB gizlilik ve insan hakları yasalarının önemli bir parçası olan AB Veri Koruma Yönergeleri, AB içindeki müşterilerimizin kişisel verilerin AB dışına aktarımına yasal geçerlilik kazandırmasını gerektirir. AB model maddeleri, bulut bilgi işlem ortamları için kişisel verilerin AB dışına aktarımına yasal geçerlilik kazandırmada tercih edilen yöntem olarak kabul edilmiştir. AB model maddelerinin sunulması, bu maddelerin ayrıntılı gereksinimlerini karşılamak için gereken operasyonel denetimlere ve süreçlere yatırım yapıp bunları oluşturmayı içerir. AB model maddelerini kabul etmeye istekli olmayan bir bulut hizmeti sağlayıcısı, AB’den kişisel veriler için “yeterli koruma” sağlamayan yasama bölgelerine kişisel veri aktarımına yönelik AB Veri Koruma Yönergeleri gereksinimlerine uyabileceği konusunda müşterilerde güven uyandırmaz. AB model maddeleri hakkında SSS bölümünde, Microsoft’un AB model maddelerine düzenleyici tarafından uygun bulunmuş yaklaşımı açıklanmaktadır.
Microsoft, bulutta depolanan kişisel bilgilerin gizliliğinin korunması için tek tip, uluslararası bir yaklaşım belirleyen ISO 27018 ile uyumlu olduğu bağımsız olarak doğrulanan ilk büyük bulut hizmeti sağlayıcısıdır. ISO 27018 ile uyumlu olmamız; kişisel bilgileri yalnızca müşterinin yönergeleri uyarınca işlediğimiz, müşteri verilerine ne olduğu konusunda şeffaf olduğumuz, bulutumuzda kişisel bilgiler için güçlü koruma mekanizmaları sağladığımız, müşteri verilerinin reklam için kullanılmasına izin vermediğimiz ve hükümet tarafından verilerine erişilmesi durumunda müşterilerimizi bilgilendireceğimiz anlamına gelir.
7. Aile Eğitim Hakları ve Gizlilik Yasası (FERPA):
FERPA, öğrenci eğitim kayıtlarının (e-posta ve ekleri de dahil olmak üzere) kullanımı veya açıklanmasıyla ilgili olarak ABD eğitim kurumları için bazı gereksinimler belirler. Microsoft, FERPA tarafından belirlenen ve reklam için e-postaları ve belgeleri taramamak da dahil olmak üzere öğrenci eğitim kayıtlarını kullanımımızı sınırlandıran kullanım ve açıklama kısıtlamalarını kabul eder.
8. Onay Beyanları için Standartlar Hakkında Bildirim No. 16 (SSAE 16):
Office 365, bağımsız üçüncü taraflarca denetlenmiştir ve hizmetin, denetimleri nasıl uyguladığına ilişkin SSAE16 SOC 1 Tür I ve Tür II, ayrıca SSAE16 SOC 2 Tür II raporları sağlayabilir.
9. Gramm–Leach–Bliley Yasası (GLBA):
Gramm–Leach–Bliley Yasası, finansal kurumların müşterilerinin halka açık olmayan kişisel bilgilerini koruyacak süreçler kullanmasını gerektirir. GLBA, bilgileri güvenlik ve veri bütünlüğü açısından öngörülebilir tehditlerden koruyacak ilkelerin uygulanmasını zorunlu kılar. GLBA’ya tabi müşteriler, Office 365’i kullanırken GLBA gerekliliklerine uyum sağlayabilir.
10. Sağlık Bilgileri Güvence Anlaşması (HITRUST):
Office 365 ekibi, HITRUST ile uyumluluğumuzu değerlendirmek üzere bağımsız bir denetim kuruluşuyla birlikte çalışarak bir denetim gerçekleştirdi. ABD sağlık kurumları tarafından önemli bir standart olarak görülen HITRUST, kişisel sağlık bilgileri ve finansal bilgiler oluşturan, depolayan, takas eden veya bunlara erişen tüm kurumlar tarafından kullanılabilen ve sertifikalandırılabilen bir çerçeve olan Ortak Güvenlik Çerçevesi’ni (Common Security Framework - CSF) oluşturdu.
Office 365 uyumluluğu ile ilgili daha fazla bilgi için Endüstri Standartları ve Yasal Düzenlemeler için Uyumluluk Çerçevesi belgesine (İngilizce) göz atın.
En önemli gizlilik soruları