Czy Dynamics 365 jest bezpieczny? 9 faktów, które uspokoją Twoje IT
Jacek Szafader 15 maja, 2025 Czytasz:
Czy Dynamics 365 jest bezpieczny? 9 faktów, które uspokoją Twoje IT
Migracja CRM‑u do chmury brzmi kusząco, ale pierwsze pytania zespołu bezpieczeństwa zawsze brzmią tak samo: Gdzie będą nasze dane? Kto je chroni? Czy spełnimy audyt?
1. Dlaczego w ogóle warto zaufać Dynamics 365 ?
Microsoft buduje swoje aplikacje biznesowe na tej samej infrastrukturze, która napędza Azure. Oznacza to > 99,9 % dostępności w SLA, globalne centra danych oraz zestaw certyfikatów, którym zaufały banki, instytucje publiczne i firmy na rynkach regulowanych.
2. Certyfikaty - kto audytuje Microsoft i z jakim wynikiem?
Skrót
ISO / IEC 27001
Co gwarantuje?
Systemowe zarządzanie bezpieczeństwem informacji
Dlaczego ma to znaczenie?
To jedna z najbardziej rozpoznawalnych norm na świecie – potwierdza procesowe podejście do ochrony danych.
SOC 1 & SOC 2
Raporty niezależnych audytorów (kontrole operacyjne)
Transparentnie pokazują, jak Microsoft spełnia kryteria poufności, dostępności i integralności.
PCI DSS
Standard obsługi kart płatniczych
Ważny, gdy przechowujesz lub przetwarzasz dane transakcyjne.
HIPAA, FedRAMP
Przepisy ochrony zdrowia (USA) i sektor publiczny (USA)
Dowód, że platforma przechodzi restrykcyjne kontrole compliance.
3. Gdzie faktycznie leżą Twoje dane?
Region wybierasz przy zakładaniu usługi – dla firm z Polski jest to zazwyczaj Europa (EUR), np. crm4.dynamics.com. Pełną listę dostępnych lokalizacji i adresów instancji znajdziesz w dokumentacji Microsoft tutaj.
Brak transkontynentalnej replikacji – dane i kopie zapasowe pozostają w obrębie wybranego makro‑regionu (Europa, USA, APAC itd.). Zapewnia to zgodność z lokalnymi przepisami o rezydencji danych.
Geo‑redundancja w ramach regionu – kopie trafiają do zapasowych stref Availability Zone, dzięki czemu awaria jednego centrum danych nie wpływa na działanie usługi.
Możesz zmienić region tylko przy migracji tenant‑to‑tenant – dlatego warto od razu wybrać go świadomie.
4. Jak wygląda fizyczne bezpieczeństwo centrów danych?
- 24/7 ochrona, CCTV, śluzy z biometrią
- Redundancja zasilania + systemy gaszenia pre‑action
- Dostęp na zasadzie „zero standing privilege” – nikt nie ma stałych uprawnień
5. Szyfrowanie – w spoczynku i „w locie”
Dane w spoczynku
- SQL Transparent Data Encryption (TDE) włączone domyślnie; szyfruje całą bazę i kopie zapasowe.
- BYOK - możesz przejąć kontrolę nad kluczem (Azure Key Vault), co spełnia wymagania branż regulowanych.
Dane w tranzycie
- Cała komunikacja (przeglądarka ↔ front‑end ↔ back‑end ↔ API) wymaga protokołu TLS 1.2+. Próby połączeń po starszych protokołach są blokowane.
Dlaczego to ważne?
- Od razu spełniasz ISO 27001, SOC 2, GDPR i inne standardy.
- Fizyczny dostęp do dysków nie daje atakującym możliwości odczytu danych.
- Elastycznie zarządzasz kluczami i certyfikatami w swoim tenancie Azure.
- Dane przesyłane online pozostają bezpieczne i nieczytelne dla niepowołanych.
6. Backup, HA i DR w praktyce
Element
Backup automatyczny
Jak to działa?
Przywracanie
(Restore)
Samodzielne przywracanie w Power Platform Admin Center (do wybranego punktu w czasie).
Wysoka dostępność (High Availability)
Odzyskiwanie po awarii (Disaster Recovery)
Dynamics 365 Sales działa w architekturze SaaS opartej na Azure, co oznacza automatyczne aktualizacje, ciągłość działania (SLA 99,9%) i odporność na awarie dzięki rozproszonej infrastrukturze. Skalujesz system – w zależności od potrzeb – bez inwestycji w dodatkowy sprzęt czy przestoju dla użytkowników.
7. Reagowanie na incydenty i zgłoszenia klientów
Microsoft utrzymuje globalny Incident Response Team pracujący 24/7 w trzech strefach czasowych. Jeśli zostanie potwierdzone naruszenie bezpieczeństwa danych:
- Powiadomienie trafia do administratorów w Centrum komunikatów Microsoft 365 w ciągu maks. 72 godzin od wykrycia.
- Po zamknięciu incydentu klienci otrzymują raport post‑mortem z przyczynami zdarzenia i listą usprawnień wprowadzonych, by zapobiec powtórce.
8. Testy penetracyjne i audyty „na żywo”
Pen‑test na własnym tenancie: możesz przeprowadzić testy bezpieczeństwa pod warunkiem, że nie dotykasz infrastruktury współdzielonej; obowiązują zasady Microsoft Cloud Penetration Testing Rules of Engagement.
9. Ekspresowy eksport danych i DLP
- Microsoft Purview DLP - zasady wykrywające wrażliwe dane (np. PESEL, numery kart) i blokujące lub maskujące je w Dynamics 365 oraz innych usługach M365.
Podsumowanie
