مایکروسافت در مورد استفاده از ابرها به کاربران اطمینان داد

اوایل امسال، مایکروسافت اعلام کرد گواهی ISO/IEC 27018 را برای حریم خصوصی ابر دریافت نموده است. در ادامه، Erick Stephens، مدیر فناوری بخش آسیا- اقیانوسیه شرکت مایکروسافت در مورد علت این اقدام شرکت و چگونگی تعهد این استاندارد در برابر ایمنی داده های حفظ شده و حفاظت از حریم خصوصی کسب و کار و داده های مشتریان توضیح داد.

 امسال، سال مهم و شاخصی برای مایکروسافت است زیرا در این سال شرکت به اولین و پیشروترین تامین کننده فضای ابری در پذیرش برجسته ترین استاندارد بین المللی جهان برای حریم خصوصی ابر تبدیل شد، استاندارد ISO/IEC 27018 که برای ایجاد یک رویکرد یکسان بین المللی به منظور حفظ حریم خصوصی برای نگهداری داده های شخصی در فضای ابر تدوین شده است.

 حقیقت این است که حریم خصوصی تنها یک مشکل مهندسی و فناوری نیست. امنیت اطلاعات و حفاظت از داده ها مطمئناً می تواند توسط ابزارها و فرایندهایی مورد توجه قرار گیرد اما حریم خصوصی موضوعی اجتماعی است که اثرات آن فراتر از داده های حفظ و مدیریت شده توسط خدمات ابر می باشد. این امر نیازمند این است که دولت ها، شرکت ها، دانشگاه ها و مصرف کنندگان بیش از پیش در خصوص مضرات و ریسک های فضای ابر مورد توجه قرار بگیرند، با ISO/IEC 27018 فرایندهای مربوط به این موضوع شفاف تر می شود.

قبل از تدوین ISO/IEC 27018، یک معیار قوی و بین المللی شناخته شده برای حفاظت از اطلاعات قابل شناسایی شخصی (PII) حفظ شده در ابر وجود نداشت. پیشتر استاندارد ISO/IEC 27001:2013 وجود داشت که سیستم انعطاف پذیری برای تعیین ریسک های امنیت اطلاعات و انتخاب کنترل های لازم برای این ریسک ها را ارائه می کرد. بر این اساس، ISO/IEC 27018دستورالعمل ویژه ای را برای کمک به ارائه دهندگان سرویس های ابر (CSPs) فراهم می کند تا ریسک ها را ارزیابی کرده و به روزترین کنترل ها را برای حفاظت از PII حفظ شده در ابر اعمال نمایند.

مطابقت با ISO/IEC 27018 تضمین کننده یک رویکرد اصولی برای حفاظت از داده هاست و به معنای آن است که CSP می تواند قابل اعتماد بودن خود را در فضای ابر اثبات نماید. در فضایی که بسیاری از الزامات امنیتی و حریم خصوصی ابر ملی مانع از انجام کار می شوند، داشتن این گواهی را می توان به عنوان یک الزام پایه جهانی در خدمات ابر تلقی نمود.

شرکت مایکروسافت و دیگر CSPs باید تحت شش شرط اصولی ISO/IEC 27018 عمل نمایند:

۱- اجازه: CSPs نباید از داده های شخصی که دریافت می کند برای تبلیغات و بازاریابی استفاده کند مگر زمانی که از مشتری صریحاً برای انجام این کار دستور دریافت کند. علاوه بر آن، یک مشتری باید قادر به استفاده از خدمات باشد بدون آنکه از اطلاعات خصوصی وی برای مقاصد ذکر شده استفاده شود.

۲- کنترل: مشتری به طور شفاف بر نحوه استفاده از داده های شخصی خود کنترل دارد.

۳- شفافیت: CSPs باید مشتریان را نسبت به محلی که داده های شخصیشان حفظ می شود، مطلع نمایند.

۴- مسئولیت پذیری: ISO/IEC 27018 ادعا می کند که هر گونه رخنه در امنیت اطلاعات باید باعث بازنگری توسط تامین کننده خدمت باشد تا معلوم شود آیا چیزی کم شده، افشا شده و یا تغییری در داده های شخصی رخ داده است یا خیر.

۵- ارتباطات: درصورت وجود هر رخنه ای، CSP ها باید مشتریان را مطلع ساخته، سوابق این رویداد و واکنش نسبت به آن را به روشنی حفظ نمایند.

۶- بازرسی سالانه و مستقل: یک بازرسی شخص ثالث موفق در خصوص مطابقت مدارک CSP با استاندارد.

پذیرش ISO/IEC 27018 بخشی از تعهد مایکروسافت برای ارائه خدمات ابر است که می تواند قابل اعتماد باشد. دلایل بسیاری برای پذیرش ISO/IEC 27018 وجود دارد، زیرا با این استاندارد مشتریان اطمینان می یابند که از حریم خصوصیشان حفاظت می شود و در نتیجه می توانند با خیال راحت داده های خود را به فضای ابر مایکروسافت منتقل کنند، بدین معنی که:

• همیشه از محل حفظ داده هایشان اطلاع دارند و می دانند چه کسی این داده ها را پردازش می کند
• بابت استفاده بدون اجازه از اطلاعاتشان در بازاریابی و آگهی نگرانی نخواهند داشت. همیشه امکان انتخاب دارند.
• می توانند مطمئن باشند که شرکت در مورد توانایی بازگرداندن یا انتقال هرگونه داده شخصی بنابر تقاضای مشتریان شفاف عمل می کند.
• می توانند در مورد درخواست های مربوط به دسترسی، اصلاح یا حذف به این شرکت ها تکیه کنند. برخی قوانین حفاظت از داده ها الزامات خاصی را به CSP ها القا می کنند، نظیر اجازه دادن به افراد برای دسترسی به اطلاعات شخصی خود، اصلاح و حتی حذف آنها.
• می توانند به توانایی شرکت ها در خصوص اطلاع رسانی مناسب حین بروز یک رویداد امنیتی که نتیجه آن افشای غیرمجاز داده های شخصی است، تکیه نمایند.
• می توانند بر ممیزی مستقل توسط شخص ثالث در خصوص اصول فوق تکیه کنند. برای ادعا در مورد مطابقت با ISO/IEC 27018، شرکت ها باید فرایند سفت و سخت اخذ گواهی ISO/IEC 27001 را از سر بگذرانند که توسط یک شرکت صدور گواهی مستقل و تایید صلاحیت شده انجام می شود. 

  اعتماد مهمترین عامل نفوذ مشتریان به ابر است، به ویژه زمانیکه از بازرسی شخص ثالث برای مدیریت و به سرانجام رساندن داده های حساس مشتریان استفاده می شود.

به طور فزاینده ای مشتریان متقاضی ممیزی هستند که شیوه های وعده داده شد در آنها اعمال شود. شرکت مایکروسافت این دغدغه های مشتریان و اهمیت شفاف بودن را درک نموده و بنابراین به اولین و اصلی ترین CSP تبدیل شده که اصول حریم خصوصی ذکرشده در ISO/IEC 27018 را رعایت می نماید.

مطابقت با این استاندارد شاهدی بر قابل اعتماد بودن شرکت مایکروسافت است و اینکه این شرکت داده های شخصی را به صورت امن حفظ کرده و تنها برای هدفی که توسط مالک مشخص شده، از این داده ها استفاده می کند. با ابر مایکروسافت، کنترل در دستان شماست.

منبع: سایت ایزو

 مترجم:‌ پریسا فقیهی