Quando un’azienda porta i propri dati nel cloud deve potersi fidare del provider. Microsoft affronta questo bisogno con due destinazioni pubbliche distinte e uno strumento operativo: il Trust Center, il Service Trust Portal e Compliance Manager (in Microsoft Purview). Capire quale usare quando è esattamente il tipo di distinzione che l’esame MS-900 ti chiede.
Microsoft Trust Center
Il Trust Center (microsoft.com/trust-center) è il punto di partenza pubblico e divulgativo. Non richiede login e spiega l’approccio di Microsoft ai quattro pilastri: security, privacy, compliance e AI responsabile.
- Contenuti di alto livello: white paper, panoramiche, principi, FAQ.
- Risponde alla domanda “come protegge Microsoft i miei dati e cosa promette?”.
- Pensato per decisori, security officer e chiunque valuti Microsoft 365 o Azure.
Pensa al Trust Center come alla vetrina che spiega le policy e gli impegni, senza scaricare documenti probatori.
Service Trust Portal (STP)
Il Service Trust Portal (servicetrust.microsoft.com) è il luogo dove si scaricano le prove documentali. A differenza del Trust Center, richiede l’accesso con un account Microsoft Entra ID dell’organizzazione (o un account Microsoft), perché molti documenti sono coperti da NDA.
Qui trovi:
- Audit report indipendenti di terze parti (es. report SOC 1 / SOC 2 / SOC 3).
- Certificati e documentazione per gli standard ISO (es. ISO 27001, ISO 27018).
- Guide alla compliance per GDPR, HIPAA, FedRAMP, PCI DSS e altri framework.
- Risorse per la data protection e la valutazione dei rischi.
Regola pratica per l’esame: se lo scenario dice “scaricare il report SOC 2” o “ottenere il certificato ISO 27001 per un audit”, la risposta è il Service Trust Portal.
Certificazioni e compliance offerings
Microsoft mantiene un ampio portafoglio di compliance offerings verificate da enti indipendenti. Le più citate a livello fundamentals:
- ISO/IEC 27001 — standard internazionale per i sistemi di gestione della sicurezza delle informazioni (ISMS).
- ISO/IEC 27018 — protezione dei dati personali (PII) nei servizi cloud pubblici.
- SOC 1 / SOC 2 / SOC 3 — report di audit su controlli finanziari (SOC 1) e su sicurezza, disponibilità e riservatezza (SOC 2/3).
Queste certificazioni non le ottieni tu: sono di Microsoft e la tua organizzazione le eredita usando i servizi cloud, potendone esibire le evidenze per i propri audit.
Compliance Manager in Microsoft Purview
Trust Center e STP informano; Compliance Manager, dentro il Microsoft Purview compliance portal, ti aiuta a gestire la tua compliance. Fornisce assessment basati su template (GDPR, ISO 27001, ecc.), improvement actions e un Compliance Score che misura la tua postura rispetto alle normative.
Distinzione chiave: STP = documenti di Microsoft; Compliance Manager = strumento operativo per la tua conformità.
Privacy e residenza dei dati
Gli impegni di Microsoft sulla privacy sono contrattuali, non solo dichiarazioni:
- Tu sei il proprietario dei tuoi dati: Microsoft agisce come processor e non usa i dati dei clienti per la pubblicità.
- Gli obblighi sono formalizzati nel Data Protection Addendum (DPA).
- Sulla residenza dei dati, Microsoft permette di scegliere la geografia in cui risiedono i dati at-rest e offre l’EU Data Boundary per mantenere i dati dei clienti europei all’interno dell’Unione Europea.
Trappole tipiche d’esame
- Scenario: devi scaricare il report SOC 2 per l’auditor. → Risposta: Service Trust Portal (login con Entra ID), non il Trust Center.
- Scenario: vuoi solo leggere come Microsoft gestisce privacy e sicurezza, senza autenticarti. → Risposta: Trust Center.
- Scenario: devi valutare e migliorare la conformità della tua organizzazione al GDPR con un punteggio. → Risposta: Compliance Manager in Microsoft Purview (non STP).
- Scenario: l’azienda deve garantire che i dati dei clienti UE restino in Europa. → Risposta: EU Data Boundary / scelta della data residency.
- Scenario: chi possiede i dati caricati in Microsoft 365? → Risposta: il cliente; Microsoft non li usa per profilazione pubblicitaria.