Ochrana zákaznických dat před špehováním státními orgány

Mnoho našich zákazníků vyjadřuje vážné obavy z dohledu státních orgánů nad sítí Internet.

Tyto obavy sdílíme i my. Podnikáme proto opatření k tomu, abychom zajistili, že státní orgány budou při přístupu k zákaznickým datům používat zákonné postupy, nikoli hrubou technologickou sílu.

Tak jako mnoho jiných, i nás znepokojují především nedávná obvinění v médiích, která hovoří o širší a koordinované snaze některých státních orgánů obcházet online bezpečnostní opatření – a z našeho pohledu také zákonné postupy a garantovanou ochranu – s cílem tajně shromažďovat soukromá data zákazníků. Nedávné zprávy v médiích popisují konkrétní obvinění státních orgánů z toho, že bez povolení k prohlídce nebo soudního příkazu zachycují a shromažďují zákaznická data přenášená mezi počítači a servery zákazníků, případně mezi podnikovými datacentry.

Pokud jsou tyto zprávy pravdivé, jedná se o snahy, které podkopávají důvěru v zabezpečení a ochranu soukromí v online komunikaci. Můžeme dokonce říci, že případné špehování státních orgánů dnes představuje, vedle propracovaného malwaru a kybernetických útoků, „pokročilou a setrvalou hrozbu“.

Ve světle těchto obvinění jsme se rozhodli učinit okamžité a koordinované kroky v následujících třech oblastech:

• Rozšiřujeme šifrování napříč našimi službami.

• Posilujeme právní ochranu dat našich zákazníků.

• Vylepšujeme transparentnost našeho softwarového kódu, aby se zákazníci mohli snáze ujistit, že naše produkty neobsahují žádná „zadní vrátka“.

Pojďme si naše opatření v jednotlivých oblastech přiblížit podrobněji:

Rozšířené šifrování

Již řadu let používáme v našich produktech a službách šifrování, abychom naše zákazníky chránili před online podvodníky a hackery. Nemáme sice žádné přímé důkazy o tom, že by ze strany státních orgánů došlo k neautorizovanému přístupu k zákaznickým datům, nechceme je však vystavit sebemenšímu riziku, a proto se k tomuto riziku stavíme čelem. Naši programátoři proto vynaloží značné úsilí, abychom posílili šifrování zákaznických dat napříč našimi sítěmi a službami.

Toto úsilí se bude týkat našich hlavních komunikačních, kancelářských a vývojářských služeb, jako je Outlook.com, Office 365, OneDrive a Windows Azure, a zajistí ochranu obsahu vytvořeného zákazníky v celém jeho životním cyklu. Konkrétněji:

• Během přenosů mezi našimi zákazníky a  společností Microsoft bude zákaznický obsah ve výchozím nastavení šifrován.

• Všechny naše klíčové kancelářské a komunikační služby a služby platformy budou zákaznický obsah při jeho přenášení mezi našimi datacentry šifrovat.

• K ochraně těchto kanálů využijeme nejmodernější kryptografické metody, mimo jiné metodu Perfect Forward Secrecy a klíče o délce 2 048 bitů.

• Velká část těchto opatření je již účinná, v plném rozsahu budou implementovány do konce roku 2014.

• Šifrovat budeme rovněž zákaznický obsah, který ukládáme. V některých případech, například u služeb třetích stran určených pro prostředí Windows Azure, ponecháme volbu na vývojářích, nabídneme jim však nástroje, které jim ochranu dat usnadní.

• Spolupracujeme také s dalšími společnostmi z oboru, abychom zajistili, že data přenášená mezi službami – například od jednoho poskytovatele e-mailu k jinému – budou chráněna.

I když musíme, vzhledem k velkému počtu nabízených služeb i našich zákazníků, kterých jsou stovky milionů, v této souvislosti vynaložit značné úsilí, rychlé zavedení těchto opatření je naší prioritou. Silné šifrování už ve skutečnosti využívá řada našich služeb, ať v celém životním cyklu, nebo v jeho části. Například zákaznický obsah ve službách Office 365 a Outlook.com je již během přenosů mezi zákazníky a společností Microsoft šifrován. Totéž platí pro většinu úloh ve službách Office 365. Také obsah v úložištích Windows Azure nyní při přenášení mezi našimi datacentry šifrujeme. Zavádění šifrování urychlujeme také v dalších oblastech.

Posílení právní ochrany

Podnikneme také nová opatření k posílení právní ochrany dat našich zákazníků. Naší zásadou například je upozornit zákazníky z firemního sektoru i veřejné správy, pokud obdržíme soudní příkaz týkající se jejich dat. V případech, kdy nám v tom brání povinnost mlčenlivosti, takový příkaz napadneme u soudu. V minulosti jsme v podobných případech uspěli a budeme takto postupovat i nadále. Naším cílem je zachovat si možnost upozornit zákazníky, že se státní orgány snaží získat přístup k jejich datům. V případech, kdy státní orgány požadují tento typ zákaznického obsahu, který je uložen v jiné zemi, uplatníme vůči jejich požadavkům dostupné právní námitky.

Jsme přesvědčeni, že s výjimkou některých velmi omezených okolností mohou státní orgány požádat zákazníky z firemního sektoru i veřejné správy o informace či data o některém z jejich zaměstnanců přímo – jako to ostatně činily předtím, než tito zákazníci přesunuli svá data do cloudu – aniž by to ohrozilo jejich vyšetřování nebo národní bezpečnost. V případě výjimečných okolností by pak měl požadavek posoudit a rozhodnout o něm soud.

Vyšší transparentnost

Tak, jako voláme po vyšší transparentnosti v těchto otázkách ze strany státních orgánů, jsme přesvědčeni, že musíme podpořit transparentnost také na naší straně. Podnikáme proto další kroky ke zvýšení transparentnosti. Stavíme přitom na našem dlouhodobém programu, který poskytuje zákazníkům z řad veřejné správy odpovídající možnost nahlížet do našeho zdrojového kódu, ujistit se o jeho nezávadnosti a ověřit si, že v něm nejsou přítomna žádná „zadní vrátka“. Zprovozníme síť center transparentnosti, která těmto zákazníkům nabídne ještě širší možnosti, jak se ujistit o nezávadnosti produktů společnosti Microsoft. Tato centra otevřeme v Evropě, jižní i severní Americe a v Asii. Navíc dále rozšíříme škálu produktů zahrnutých do těchto programů.

V konečném důsledku se snažíme citlivě vnímat rovnováhu, která by měla panovat mezi oblastmi technologie, bezpečnosti a práva. Všichni chceme žít v bezpečném světě, zároveň však chceme žít v zemi, kde nás chrání ústavou garantovaná práva. Rádi bychom zajistili, aby v důležitých otázkách ohledně přístupu státních orgánů k informacím rozhodovaly soudy, nikoli aby rozhodnutí diktovala technologická síla. Protože si uvědomujeme globální povahu těchto problémů, soustředíme se na uplatnění nových ochranných opatření po celém světě. Věříme, že naše současné kroky přispívají k nastolení správné rovnováhy, která  přinese jak zvýšení potřebného bezpečí, tak posílení ochrany soukromí, jež by u každého mělo být respektováno.