Microsoft Teams

プライバシー・セキュリ
ティへの取り組み～プライバシー日本マイクロソフト株式会社
山崎善寛
2020年4月16日
日本マイクロソフト株式会社
Microsoft 365 ビジネス本部 本部長

山本 築
日本マイクロソフト株式会社
Microsoft 365 ビジネス本部
プロダクトマネージャー

「企業や個人のユーザーがテクノロジーを心から受け入れるとすれば、それはそのテクノロジーを信頼することができた場合だけです。」
Satya Nadella
Chief Executive Officer
Microsoft Corporation

プライバシーを守るための設計• データはお客様のもの• データの使用目的は契約に明記。目的外使用は禁止。
• データへのアクセスは厳しく制限• 契約終了後はデータを削除• 各種法令、規制に対応• データの運用に関する情報公開4顧客データの使用❑ お客様が顧客データのすべての権利を持ちます。
❑ ＭＳによる使用目的を契約に明記し、目的外使用は禁止です。
•お客様へのオンラインサービス（＝クラウドサービス）提供のため
ooo•

クラウドサービス機能の提供
トラブルシューティング
生産性、ライセンス、有効性、セキュリティ面での製品改良

オンラインサービス提供に伴うＭＳの正当な事業運営のため
o サイバー犯罪への対応
o 課金やアカウント管理
o インセンティブ計算
o 内部報告（業績予測、キャパシティ計画など）
o アクセシビリティ、プライバシー、エネルギー効率面での製品改良
o 財務務報告その他ＭＳの法令遵守※ユーザープロファイリング、広告その他商用目的では使用しません。
5

顧客データへのアクセス• お客様は契約期間中自由にアクセスできます• ＭＳの顧客データへのアクセスは厳しく制限されています• ＭＳは第三者に顧客データを開示しません＜例外＞✓ お客様の指示がある場合✓ 契約に明記されている場合✓ 法令上の要求

法執行機関からの要請への対応プロセス
1. MSではなくお客様に請求するよう回答
2. （再要請を受けたときは）強制力のある要請が法務部門にて詳しく検討
3. 強制力のある要請の場合のみ、必要最低限の情報を提供
4. （法令上認められれば）お客様に要請があったことを通知
6契約終了後のデータ削除

契約期間中

契約終了後90日

お客様は自由にデータを保存、機能限定アカウントにデータ抽出、削除可能が保持される

お客様によるデータ抽出可能

契約終了後91日から
180日お客様はアクセスできない
期間内にアカウント無効となり、データ削除

下請業者の利用• 下請業者を利用します。
• 下請業者は、MSとの書面契約に基づき、の責任を負います。
• 顧客データの処理にかかわる下請業者リストを公開。
• 新規の業者を追加する場合、アクセスするデー
タの種類に応じて、60日または14日前までに通知• その業者の使用を認めない場合、ペナルティなしで解約可能

8

Us Gov

Industry

Regional

Globalコンプライアンス-世界各国の基準や法律に対応
ISO 27001

Argentina
PDPA

ISO 27018

EU
Model
Clauses

PCI DSS
Level 1Moderate
JAB P-ATO

UK
G-Cloud

CDSAHigh
JAB P-ATO

ISO 27017

China
DJCP

MPAA

ISO 22301

China
GB 18030

China
TRUCS

FACT UK

SharedAssessments

DoD DISASRG Level 2

SingaporeMTCS

DoD DISASRG Level 4SOC 1 Type 2Australia
IRAP/CCSLFISC Japan

DoD DISASRG Level 5

SOC 2 Type 2

New
Zealand
GCIO

Japan My
Number Act

HIPAA/HITECH ActHITRUST

SP 800-171

ENISA
IAF

SOC 3

Japan CSMark GoldGxP
21 CFR Part 11

FIPS 140-2

CSA STAR
Self-Assessment

Spain
ENS

MARS-E

Section 508 VPAT

Spain
DPA

CSA STAR
Certification

India
MeitY

IG Toolkit UK

ITAR

CSA STAR
Attestation

CanadaPrivacy Laws

FERPA

Privacy
ShieldGLBA

CJISGermany IT
Grundschutz
workbook

FFIEC

IRS 1075積極的な情報公開• クラウドサービスのセキュリティ、プライバシーに関するweb上での情報提供• クラウドサービスの運用に関する契約をwebで公開• 誰でも、サービス利用前でも内容確認可能• 過去の契約も確認• 法執行機関からの開示要請への対応状況をwebで公開

10

トラストセンターhttps://www.microsoft.com/ja-jp/trust-center11

オンラインサービスデータ保護追加条件 Data Protection Addendum

顧客データ取扱い、セキュリティなど詳細。
法的拘束力のある契約。ダウンロード可。
日本語、外国語にも対応。
https://www.microsoftvolumelicensing.com/DocumentSearch.aspx?Mode=3&DocumentTypeId=67

オンラインサービス条件 Online Services Terms (OST)オンラインサービス毎の条件。顧客データの保存場所。
法的拘束力のある契約。ダウンロード可。
毎月更新。日本語、外国語にも対応。
https://www.microsoft.com/ja-jp/licensing/product-licensing/products

法執行機関からの開示要請情報の公開

https://www.microsoft.com/en-us/corporate-responsibility/law-enforcement-requests-reportMicrosoft Teams

プライバシー・セキュリ
ティへの取り組み

日本マイクロソフト株式会社山崎善寛
2020年4月16日
日本マイクロソフト株式会社
Microsoft 365 ビジネス本部 本部長

山本 築
日本マイクロソフト株式会社
Microsoft 365 ビジネス本部
プロダクトマネージャー

情報セキュリティの 3 大要素 - CIA

18

IT 環境の変化

非信頼ゾーン
信頼ゾーン

IT 管理基盤 コミュニケーション
業務システム(Directory…)
基盤 (Mail, 共有…) (CRM, HR, ERP…)

IT 環境の変化→ ネットワーク境界モデルの限界
・・・

システムのクラウドシフトが進み、IT 環境が大きく変化

必要なモノが非信頼ゾーンに
非信頼ゾーン
信頼ゾーン

IT 管理基盤 コミュニケーション
業務システム(Directory…)
基盤 (Mail, 共有…) (CRM, HR, ERP…)攻撃の高度化、多様化により信頼ゾーンへの侵入は日常的に信頼ゾーンが信頼できない

!

!

!
!

!

!

Multi-factor authentication
Data encryption
User accounts
Device log-ins

MalwareUnauthorized data access

Attacks

User log-ins

Phishing

Denial of service

System updates
Enterprise security

Intelligent Security Graph
Cyber Defense
Operations
Center (CDOC)

Anti-Virus
Network
Malware Protection
Center (MMPC)CERT andPartners

Cyber Hunting Teams

PaaS

Legal Comm.

Security Response
Center (MSRC)

Digital Crime Unit
(DCU)

IaaS

SaaS

ID

App and Data

Infrastructure

Devicehttps://aka.ms/security-teams-blog
Teams ではデータの転送中も静止状態
でも暗号化が施され、安全なデータセンターネットワーク内に保存
多要素認証 (MFA) による、脆弱なパスワードや盗難パスワードを利用した攻撃からのユーザー保護
HIPAA | GDPR | FedRAMP | SOCなど90以上の国際的な規制基準や法律に準拠
28