Cómo protegemos tus datos en Azure AD

¡Hola!

Debido a todas las vulneraciones de los servicios de identidad en la nube de los últimos años, recibimos muchas preguntas sobre cómo protegemos los datos de los clientes. De este modo, la entrada del blog de hoy explica en detalle cómo protegemos los datos de los clientes en Azure AD.

Los centros de datos y la seguridad del servicio

Comencemos con nuestros centros de datos. Primero, todo el personal de los centros de datos de Microsoft debe pasar una verificación de antecedentes. Todos los accesos a nuestros centros de datos están estrictamente regulados y se controlan cada entrada y cada salida. Dentro de estos centros de datos, los servicios críticos de Azure AD que almacenan los datos de los clientes se encuentran en bastidores especiales protegidos; su acceso físico está altamente restringido y se controla con cámaras las 24 horas del día. Además, si se retira uno de estos servidores, se destruyen todos los discos de forma lógica y física para evitar la fuga de datos.

A continuación, limitamos la cantidad de personas que pueden acceder a los servicios de Azure AD, e incluso aquellas que sí tienen permisos de acceso trabajan sin estos privilegios a diario cuando inician sesión. Además, cuando necesitan privilegios para acceder al servicio, deben superar un desafío de autenticación multifactor con una tarjeta inteligente para confirmar su identidad y enviar una solicitud. Cuando se aprueba la solicitud, los privilegios de los usuarios se aprovisionan solo en el momento necesario. Estos privilegios también se eliminan automáticamente después de un período de tiempo específico y cualquier persona que necesite más tiempo debe realizar nuevamente el proceso de solicitud y aprobación.

Una vez que se otorgan estos privilegios, todo el acceso se realiza mediante una estación de trabajo administrada, de acuerdo con la guía publicada Privileged Access Workstation (Estación de trabajo de acceso privilegiado). Es un requisito que exige la directiva y su cumplimiento se supervisa estrictamente. Estas estaciones de trabajo utilizan una imagen fija y todo el software de la máquina está totalmente administrado. Para minimizar el área de riesgo, solo se permite realizar ciertas actividades, y los usuarios no pueden eludir accidentalmente el diseño de la estación de trabajo de administración, ya que no tienen privilegios de administrador. Para proteger aún más las estaciones de trabajo, se debe acceder siempre a ellas con una tarjeta inteligente, y el acceso a cada estación está limitado a un conjunto específico de usuarios.

Por último, mantenemos un número reducido (menos de cinco) de cuentas “de emergencia”. Estas cuentas se reservan solo para situaciones de emergencia y están protegidas por procedimientos de varios pasos. Cualquier uso de esas cuentas se supervisa y activa alertas.

Detección de amenazas

Realizamos varias comprobaciones automáticas periódicamente, cada pocos minutos, para garantizar que todo funciona como esperamos, incluso cuando agregamos una nueva funcionalidad solicitada por nuestros clientes:

• Detección de vulneraciones: Buscamos patrones que indiquen vulneraciones. Seguimos aumentando este conjunto de detecciones de forma periódica. Asimismo, usamos pruebas automatizadas que activan estos patrones, de modo que también estamos comprobando si nuestra lógica de detección de vulneraciones funciona correctamente.
  
• Pruebas de penetración: Estas pruebas se ejecutan en todo momento. En ellas se intenta hacer todo tipo de cosas para comprometer nuestro servicio y esperamos que fallen siempre. Si tienen éxito, sabemos que hay algo que no funciona y podemos corregirlo inmediatamente.
  
• Auditoría: Se registran todas las actividades administrativas. Cualquier actividad no prevista (como que un administrador cree cuentas con privilegios) activa las alertas y llevamos a cabo una inspección profunda de esa acción para asegurarnos de que no sea anómala.
  

¿Mencionamos ya que ciframos todos tus datos en Azure AD? Sí, lo hacemos, usamos BitLocker para cifrar todos los datos de identidad de Azure AD en reposo. ¿Y durante la conexión? También. Todas las API de Azure AD están basadas en web con SSL a través de protocolos HTTPS para cifrar los datos. Todos los servidores de Azure AD están configurados para usar TLS 1.2. Permitimos conexiones entrantes a través de TLS 1.1 y 1.0 para admitir clientes externos. No obstante, denegamos explícitamente cualquier conexión mediante las versiones heredadas de SSL, incluidas SSL 3.0 y 2.0. El acceso a la información está restringido a través de la autorización basada en tokens y solo pueden acceder a los datos de cada espacio empresarial las cuentas permitidas en cada uno de ellos. Además, nuestras API internas tienen el requisito adicional de usar la autenticación SSL de cliente y servidor en certificados de confianza y cadenas de emisión.

Una observación final

Azure AD se proporciona de dos maneras, y esta publicación describe la seguridad y el cifrado para el servicio público ofrecido y operado por Microsoft. Si tienes preguntas similares sobre nuestras instancias en la nube nacional operadas por partners de confianza, te invitamos a contactar con tus equipos de cuentas.

(Nota: Como regla general, si administras tus servicios de Microsoft Online o accedes a ellos a través de direcciones URL que terminan en .com, esta publicación describe cómo protegemos y ciframos tus datos).

La seguridad de tus datos es nuestra máxima prioridad y nos la tomamos muy en serio. Espero que este resumen de nuestro protocolo de seguridad y de cifrado de datos te haya resultado tranquilizador y útil.

Atentamente,

Alex Simons (Twitter: @Alex_A_Simons)

Director de administración de programas

División de Identidad de Microsoft

[actualizado el 3/10/2017 para agregar información específica de la versión sobre nuestro uso de TLS y SSL]