保护您的Dynamics 365数据和应用程序

语言 Chinese, Simplified

SEO Title

Secure your Dynamics 365 data and apps

客户和Microsoft之间基于部署类型的责任领域矩阵。

本文解释了适用于Dynamics365实现的安全原则和实践。它还描述了Microsoft在Dynamics 365中包含的安全功能。

主要目标
这篇文章可以帮助您：

了解Microsoft如何帮助您达到法规遵从性标准
了解您的数据所有权，以及Microsoft可以和不能使用您的数据
探索安全选项以及Microsoft如何保护您
了解对微软云服务透明度的期望
了解如何保护您的客户参与应用程序
了解Power Pages的安全性
使用金融和运营应用程序的安全功能
将安全性作为实施的优先事项
使用这些工具来保护您的数据并满足您的安全需求
避免常见的安全错误

基础原则

自1994年以来，微软一直在防御威胁，并为其在线服务提供安全保护。我们每年投资超过10亿美元来保护我们的客户。我们说我们的产品和服务是建立在信任之上的。您可以信任我们的专业知识，专注于经营您的业务。95%的财富500强企业都在值得信赖的微软云上运营。

Microsoft致力于保护您的数据，保护您对其做出决策的权利，并对其发生的事情保持透明。我们使您能够在一个值得信赖的平台上实现您的愿景。Microsoft Trusted Cloud建立在安全、隐私、合规和透明的基本原则之上。这四个关键原则指导我们如何在云中开展业务。

我们将这些原则应用于您的数据：

安全-我们使用强大的安全措施来保护您的数据。
隐私-我们尊重您控制和决定您的数据并将其保密的权利。
法规遵从性—我们依法管理您的数据，并帮助您满足法规遵从性需求。
透明度-我们对云服务是透明的，并用清晰、简单的语言解释我们如何处理您的数据。

安全

安全是在线部署中的共同责任。您和Microsoft共享某些安全方面。其他方面由您负责，其他方面由Microsoft负责。对于Dynamics 365部署，Microsoft负责物理数据中心安全、操作系统、网络控制和安全应用程序框架。

Dynamics 365中的核心安全功能包括：

安全开发生命周期
数据中心安全
数据隔离
加密
安全身份
批准
审计和监测

隐私

您拥有自己的数据。我们不将您的数据用于广告宣传。如果您选择终止服务，您可以随身携带数据。

我们在Dynamics 365中遵循以下隐私目标和做法：

隐私目标
- 您拥有自己的数据
- 您知道数据的位置
  - 您可以控制您的客户数据
实践
- 我们对所有数据进行分类
- 我们使用基于角色的安全性让您做出决定
- 我们将您的数据存储在您自己的独立数据存储库中，以最大限度地提高其安全性和完性
- 我们在信任中心的Microsoft Online Services中记录我们的数据处理实践

我们如何使用您的数据

您的数据就是您的业务，您可以随时访问、修改或删除它。未经您同意，Microsoft不会使用您的数据。在您同意的情况下，我们使用您的数据仅提供您选择的服务。我们根据您的协议并按照我们严格的政策和程序处理您的数据。我们不与广告商支持的服务共享您的数据，也不将其用于营销研究或广告等任何目的。了解有关Microsoft如何在提供在线服务时对数据进行分类的详细信息。

我们认为您应该控制您的数据。了解我们如何处理来自政府和执法机构的数据请求。

您的隐私责任

作为客户，您负责数据分类、身份管理，并分配适当的安全角色来保护数据。

了解有关Microsoft隐私的更多信息。

法规遵从性

每个组织都必须遵守其经营所在行业和地区的法律和监管标准。它们还可能有更多的合同要求和公司政策。

我们在Dynamics 365中遵循以下合规目标和做法：

合规性目标
- 定义并记录符合多项认证要求的标准操作程序
- 以合规的方式运行系统并收集证据
- 控制和审核对环境和数据的访问
实践
- 我们在构建功能和操作服务时遵循严格的隐私和安全实践
- 我们通过内部和外部审计
- 我们优先考虑跨行业认证
- 我们使用身份验证和授权

微软负责该平台，包括其提供的服务。我们提供的云服务可以满足或超过您的安全、隐私和合规需求。微软遵守云服务的数据保护和隐私法，并验证我们是否符合世界级的行业标准。我们的Microsoft信任中心提供了有关我们的云服务和解决方案合规性的详细信息，可帮助您满足数据安全的法规要求。

与安全和隐私一样，遵守法律法规是云服务提供商及其客户的共同责任。信任中心提供的工具可帮助您遵守国家、地区和行业特定的数据收集和使用要求，并提供审计报告可帮助您验证技术合规性和控制要求。

Compliance Manager：一个跨Microsoft云服务解决方案，可帮助您履行复杂的合规义务。它执行实时风险评估，显示您在使用Microsoft云服务时遵守数据保护法规的情况。它还为您提供了建议的操作和分步指导。
服务信任门户：此门户包含详细信息和文档，如白皮书、ISO报告和其他资源，用于解释Microsoft实施的保护云服务和客户数据的控制和流程。

有关在云中管理法规遵从性的详细信息，请访问Microsoft信任中心。

个人数据

《欧盟通用数据保护条例》（GDPR）赋予个人有关其数据的重要权利。有关GDPR的概述，请参阅Microsoft Learn General Data Protection Regulation Summary，包括术语、行动计划和准备情况检查表，以帮助您在使用Microsoft产品和服务时履行GDPR规定的义务。

您可以了解更多有关GDPR的信息，以及Microsoft如何帮助支持GDPR以及受其影响的客户。

Microsoft信任中心提供有助于GDPR问责制的一般信息、合规性最佳实践和文档，如数据保护影响评估、数据主体请求和数据泄露通知。
服务信任门户提供有关Microsoft服务如何帮助支持遵守GDPR的信息。
使用下表中的链接可以帮助您响应个人数据请求。

Platform feature area	Link to learn more
Power Apps	Responding to Data Subject Rights (DSR) requests to export Power Apps customer data
Dataverse	Responding to Data Subject Rights (DSR) requests for Dataverse customer data
Power Automate	Respond to personal data requests (work or school account)
Microsoft Accounts (MSAs)	Respond to personal data requests (Microsoft account)
Dynamics 365 apps	Dynamics 365 Data Subject Requests

您的合规责任

作为Microsoft的客户，您必须确定哪些控制适用于您的业务，并了解如何实施和配置这些控制，以管理安全性并遵守您所在国家、地区和行业的法律法规要求。

了解有关法规遵从性标准和Microsoft产品的更多信息。

透明度

Microsoft对您的数据所在位置是透明的。你知道你的数据存储在哪里，谁可以访问它，以及在什么条件下。您可以指定存储客户数据的Azure数据中心区域。为了数据的持久性，Microsoft可能会将您的数据复制到同一地理位置的其他地区，但以下情况除外：

Microsoft Entra ID，可在全球范围内存储Microsoft Entra标识数据

笔记
Azure Active Directory现在是Microsoft Entra ID。了解更多信息
Azure多因素身份验证（MFA），可以全局存储MFA数据
Microsoft 365管理中心在入职过程中收集的客户数据

微软对政府和执法部门对客户数据的要求非常严格。如Microsoft隐私原则所述，如果Microsoft收到您的数据请求，我们会指示请求者从您那里获取数据。如果我们必须披露或允许访问您的任何数据，我们会通知您并向您提供请求的副本，除非法律禁止我们这样做。

我们在Dynamics 365中遵循以下透明度目标和做法：

透明度目标
- 您可以选择数据的存储位置
- 你知道我们
  如何回应政府对你数据的要求
实践
- 您选择存储Dynamics 365数据的区域
- 除非您指示我们

特定于产品的安全指南

本节介绍安全原则如何应用于不同的Dynamics 365应用程序，并为您应考虑的安全措施提供特定于产品的指导。

Customer engagement apps security

Power Pages security

Finance and operations apps security

将安全作为优先事项

启动Dynamics365项目时，安全性应该是您首先考虑的问题，而不是事后考虑的问题。忽视安全要求可能会导致严重的法律、财务和业务风险，并导致项目延误。它还可能影响解决方案的整体可扩展性和性能。从第一天起就把安全作为优先事项，并考虑对可扩展性、性能、法规遵从性、推出计划、报告和运营方面的一些安全影响，以及基于我们讨论过的概念的每个产品的具体示例。

要避免的安全错误

通过查看一些安全反模式的关键示例，或者不应该做什么来避免常见错误。反模式是对问题的频繁实现、无效的响应。出于扩展、性能和安全方面的原因，应避免出现一些安全错误。我们在上一节中分享了一些，例如在客户参与应用程序中使用组织所有的实体作为参考数据表，或在财务和运营应用程序中记录交易表。在本节中，我们将讨论一些需要避免的错误。

隐晦式安全

项目团队有时试图实现“通过模糊实现安全性”。例如，使用自定义代码将字段隐藏在表单和视图中。这不是安全性，因为任何具有正确安全角色的人都可以通过多种方式访问这些字段，例如使用Advance Find、Power Automate和API。

始终考虑避免默认安全功能的所有后果。

Dynamics 365中存储的凭据

存储凭据不正确是比较常见的错误之一。项目经常通过插件和JavaScript调用外部系统。建议通过插件调用外部服务。然而，调用这些服务的凭据通常存储在系统中某些配置实体的代码中。这种做法会造成重大的安全风险，因为凭据可能会暴露给许多与服务使用无关的角色。此外，如果凭据发生更改，则对外部服务的调用将失败。作为最佳实践，不要在系统中存储任何凭据。

笔记

Azure密钥库使您能够在中央安全的云存储库中安全地存储和管理应用程序凭据，如机密、密钥和证书。密钥保管库无需在应用程序中存储凭据。您的应用程序可以在运行时向Key Vault进行身份验证以获取凭据。

资源

在本文中，我们介绍了可信云是如何建立在安全、隐私、合规和透明原则的基础上的，并概述了Dynamics 365信息安全的基本概念。然后，我们研究了这些安全概念如何应用于不同的Dynamics365产品。在此基础上，我们解释了为什么从一开始就将安全性作为优先事项至关重要，给出了一些具体的例子，并考虑了安全性对性能的影响。最后，我们总结了一些不该做什么的例子。

有了这些信息，您可以对Dynamics 365产品的安全性和您的实施充满信心。使用以下资源了解有关这些主题的更多信息。

一般资源

法规遵从性资源

隐私资源

安全资源

接下来的步骤

Learn about security controls in Dynamics 365
Learn about security features in customer engagement apps
Learn about security features in Power Pages
Learn about security features in finance and operations apps
Learn how to make security a priority from day one
Use the Success by Design security checklist to help identify and prioritize key requirements and implementation activities in the areas of privacy and compliance, identity and access, and application security