服务

Microsoft SSPA 合规

如果您向 Microsoft 提供服务，并且接触其数据、其系统或其客户的数据，您很可能需要参加供应商安全与隐私保障计划，即 SSPA。这是 Microsoft 把自身的安全和隐私标准沿供应链向下传导的方式：您需要同意数据保护要求，在评估工具中完成相应的档案，并且根据您为 Microsoft 所做的工作，除自我证明之外，可能还需要接受独立评估。

复杂之处在哪里

SSPA 的难点通常不在于某一项控制措施，而在于弄清楚哪些数据保护要求真正适用于您的具体业务合作，然后能够用真实的证据而不是良好的意愿来支撑您的回答。DPR 涵盖的范围很广：数据处理与分类、访问控制、事件响应、分包商管理，以及与 GDPR 式要求高度对应的隐私义务。范围界定出错，您要么回答与己无关的问题，要么更糟，漏掉适用的问题而被标记。

我的做法

我首先弄清楚您与 Microsoft 的合同究竟涉及哪类数据和访问权限，因为这决定了 DPR 的哪些部分在范围之内，以及您面对的是自我评估还是独立审计。然后，我对照您今天实际在做的事情（而不是您的政策文件说您在做什么）逐项核对要求，并建立评估员或 Microsoft 自己的审查会想看到的证据链：访问日志、分包商协议、事件响应记录、数据处理程序。

如果需要独立评估，我会像准备任何正式审计那样帮助您做准备：先弥补已知缺口，确保将被访谈的人了解实际已落实的内容，并确保您在评估工具中的回答与评估员实际查看时发现的情况一致。

适合哪些组织

适合与 Microsoft 存在现有或潜在供应商关系、涉及 Microsoft 数据或系统的公司，以及被交付了带有截止日期的 SSPA 要求、需要一位以前处理过 DPR 的人的采购或安全团队。

如果日历上已经有 SSPA 的截止日期，请联系我，让我们抢在前面。