Ameaça interna e Office 365 - STIGs ou resultados semelhantes?

Question

O Office 365 é uma maneira conveniente de manter o trabalho sincronizado entre vários computadores e smartphones. No entanto, nos casos em que uma pessoa é contratualmente obrigada a proteger e proteger os dados e documentos de um cliente, a questão da ameaça interna é uma preocupação real (por exemplo, dados relacionados à conformidade HIPAA para a saúde, preocupações com propriedade intelectual ou materiais confidenciais).

Alguém poderia me indicar um white paper recente (no último ano) ou os resultados de um teste do Office 365 contra STIGs formais ou testes de segurança semelhantes realizados na presença de um terceiro ou testemunha do governo?

    

Answer 1

A Microsoft publica várias auditorias aprovadas e um resumo dos resultados na Central de Confiabilidade. link

O MS está apenas protegendo e obedecendo até onde o serviço está habilitado. Depois de ligá-lo, você é responsável por quaisquer outros requisitos para garantir o serviço. Enquanto eles vão emitir dizer um HIPAA BAA, isso seria apenas algo que você faz referência e você teria confiança / herdar os controles de segurança.

Coisas como HITECH e ISO27001 podem ser aplicadas a um serviço de nuvem - mas se você precisar de coisas como FISMA ou outros controles do Governo, você não estará olhando para uma nuvem pública, mas sim para o Governo (somente agências governamentais). fornece.