Pubblicazione 1075 dell'Internal Revenue Service degli Stati Uniti

Panoramica della pubblicazione 1075 dell'Internal Revenue Service degli Stati Uniti

La pubblicazione 1075 (IRS 1075) dell'Internal Revenue Service fornisce una guida per le agenzie governative degli Stati Uniti e i loro agenti che accedono alle informazioni fiscali federali (FTI) per garantire che utilizzino politiche, pratiche e controlli per proteggerne la riservatezza. L'IRS 1075 mira a ridurre al minimo il rischio di perdita, violazione o uso improprio delle FTI detenute da agenzie governative esterne. Ad esempio, un Dipartimento delle Entrate statale che elabora l'FTI nelle dichiarazioni dei redditi per i suoi residenti, o le agenzie di servizi sanitari che accedono all'FTI, devono disporre di programmi per salvaguardare tali informazioni.

Per proteggere FTI, IRS 1075 prescrive controlli di sicurezza e privacy per i servizi di applicazioni, piattaforme e data center. Ad esempio, dà priorità alla sicurezza delle attività del data center, come la corretta gestione dell'FTI e la supervisione degli appaltatori del data center per limitare l'ingresso. Per garantire che le agenzie governative che ricevono FTI applichino tali controlli, l'IRS ha istituito il programma di salvaguardie, che include revisioni periodiche di queste agenzie e dei loro appaltatori.

Pubblicazione 1075 di Microsoft e dell'Internal Revenue Service degli Stati Uniti

I servizi cloud Microsoft Azure per enti pubblici e Microsoft 365 U.S. Government forniscono un impegno contrattuale per disporre dei controlli appropriati e delle funzionalità di sicurezza necessarie per consentire ai clienti delle agenzie Microsoft di soddisfare i requisiti sostanziali di IRS 1075.

Questi servizi cloud Microsoft per enti pubblici forniscono una piattaforma su cui i clienti possono creare e gestire le loro soluzioni, ma i clienti devono determinare autonomamente se tali soluzioni specifiche sono gestite in conformità con l'IRS 1075 e sono, pertanto, soggette all'audit dell'IRS.

Per aiutare le agenzie governative nei loro sforzi di conformità, Microsoft:

• Offre indicazioni dettagliate per aiutare le agenzie a comprendere le proprie responsabilità e il modo in cui i vari controlli IRS vengono mappati alle funzionalità di Azure per enti pubblici e Microsoft 365 US Government. Il report sulla sicurezza di protezione (SSR) IRS 1075 documenta in modo dettagliato il modo in cui i servizi Microsoft implementano i controlli IRS applicabili e si basa sui pacchetti FedRAMP di Azure per enti pubblici e Microsoft 365 U.S. Government. Poiché sia IRS 1075 che FedRAMP si basano su NIST 800-53, il limite di conformità per IRS 1075 è lo stesso dell'autorizzazione FedRAMP.
• L'IRS deve approvare esplicitamente il rilascio di qualsiasi documento di salvaguardia dell'IRS, in modo che solo i clienti governativi ai sensi dell'NDA possano esaminare l'SSR.
• Rende disponibili i report di audit e le informazioni di monitoraggio prodotte da valutatori indipendenti per i propri servizi cloud.
• Fornisce all'IRS considerazioni sulla conformità di Azure per enti pubblici e Microsoft 365 considerazioni sulla conformità del governo degli Stati Uniti, che illustrano in che modo un'agenzia può usare Microsoft Cloud per i servizi governativi in modo conforme a IRS 1075. I clienti governativi con accordo di riservatezza possono richiedere questi documenti.
• Offre ai clienti l'opportunità (a loro spese) di comunicare con esperti in materia Microsoft o revisori esterni, se necessario.

Piattaforme e servizi cloud nell'ambito Microsoft

Le autorizzazioni FedRAMP sono concesse a tre livelli di impatto basati sulle linee guida NIST: basso, medio e alto. Questi livelli classificano l'impatto che la perdita di riservatezza, integrità o disponibilità potrebbe avere su un'organizzazione: basso (effetto limitato), medio (effetto avverso grave) e alto (effetto grave o catastrofico).

• Azure e Azure per enti pubblici
• Microsoft Dynamics 365 U.S. Government
• Office 365, Office 365 U.S. Government
• Servizio cloud Power BI, autonomo o incluso in un piano o in una famiglia di prodotti con marchio Office 365
• Windows 365 (U.S. Government)

Azure, Dynamics 365 e IRS 1075

Per altre informazioni sulla conformità di Azure, Dynamics 365 e di altri Servizi online, vedere l'offerta di Azure IRS 1075.

Office 365 e IRS 1075

Ambienti di Office 365

Microsoft Office 365 è una piattaforma cloud iperscalabile multi-tenant e un'esperienza integrata di app e servizi disponibili per i clienti in diverse aree geografiche del mondo. La maggior parte dei servizi di Office 365 consente ai clienti di specificare l'area geografica in cui si trovano i dati dei clienti. Microsoft potrebbe replicare i dati dei clienti in altre parti all'interno della stessa area geografica (ad esempio, gli Stati Uniti) per la resilienza dei dati. Tuttavia, Microsoft non replicherà i dati dei clienti al di fuori dell'area geografica prescelta.

Questa sezione riguarda i seguenti ambienti di Office 365:

• Software client (client): software client commerciale in esecuzione nei dispositivi dei clienti.
• Office 365 (commerciale): il servizio cloud pubblico commerciale di Office 365 disponibile a livello globale.
• Office 365 Government Community Cloud (GCC): il servizio cloud Office 365 GCC è disponibile per i governi federali, statali, locali e tribali degli Stati Uniti, nonché per i terzisti che detengono o elaborano dati per conto del governo degli Stati Uniti.
• Office 365 Government Community Cloud - High (GCC High): il servizio cloud Office 365 GCC High è progettato secondo i controlli di livello 4 delle linee guida sui requisiti di sicurezza del Dipartimento della Difesa (DoD) e controlla e supporta le informazioni federali e di difesa rigorosamente regolamentate. Questo ambiente viene usato dalle agenzie federali, dalla Defense Industrial Base (DIB) e dai terzisti governativi.
• Office 365 DoD (DoD): il servizio cloud Office 365 DoD è progettato secondo i controlli di livello 5 delle linee guida sui requisiti di sicurezza del Dipartimento della Difesa e supporta rigide normative federali e di difesa. Questo ambiente è destinato all'uso esclusivo da parte del Dipartimento della Difesa degli Stati Uniti.

Usare questa sezione per soddisfare gli obblighi di conformità in settori regolamentati e mercati globali. Per scoprire quali servizi sono disponibili in quali aree geografiche, vedere le informazioni sulla disponibilità internazionale e l'articolo Dove sono archiviati i dati dei clienti Microsoft 365. Per altre informazioni sull'ambiente cloud di Office 365 Government, vedere l'articolo Office 365 Government Cloud.

L'organizzazione è interamente responsabile di garantire la conformità a tutte le leggi e normative applicabili. Le informazioni fornite in questa sezione non costituiscono una consulenza legale. Pertanto, è consigliabile consultare i propri consulenti legali per eventuali domande relative alla conformità normativa della propria organizzazione.

Applicabilità di Office 365 e servizi inclusi nell'ambito

Usare la tabella seguente per determinare l'applicabilità per i servizi e l'abbonamento a Office 365:

Controlli, report e certificati di Office 365

La conformità ai requisiti sostanziali dell'IRS 1075 è coperta dall'audit FedRAMP ogni anno.

• Autorizzazione FedRAMP per Microsoft 365 GCC

Domande frequenti

In che modo Microsoft soddisfa i requisiti di IRS 1075?

Microsoft monitora regolarmente i controlli di sicurezza, privacy e operativi e i controlli NIST 800-53 rev. 5 richiesti dalla linea di base FedRAMP per i sistemi informativi a impatto moderato. Fornisce accesso trimestrale a queste informazioni attraverso rapporti di monitoraggio continuo. I clienti di Azure per enti pubblici e Microsoft 365 U.S. Government possono accedere a queste informazioni sensibili sulla conformità tramite il Service Trust Portal.

Inoltre, Microsoft si impegna a includere i controlli IRS 1075 nel set di controlli master per Azure per enti pubblici e Microsoft 365 U.S. Government e a verificarli annualmente.

È possibile esaminare i pacchetti FedRAMP o il piano di sicurezza del sistema?

Sì, se l'organizzazione soddisfa i requisiti di idoneità per Azure per enti pubblici e Microsoft 365 U.S. Government. Contatta direttamente il tuo rappresentante Microsoft per esaminare questi documenti. È anche possibile fare riferimento all'elenco FedRAMP dei provider di servizi cloud conformi.

È possibile usare gli ambienti cloud pubblici di Azure o Microsoft 365 ed essere comunque conformi all'IRS 1075?

I clienti che soddisfano i requisiti di idoneità possono archiviare e/o elaborare le informazioni fiscali federali in Azure per enti pubblici o Microsoft 365 Government Community Cloud. Questi clienti possono anche archiviare e/o elaborare le informazioni fiscali federali in Azure commerciale se gestiscono due controlli: limitare l'archiviazione dei dati agli Stati Uniti e implementare la crittografia Customer Managed Key (CMK) tramite moduli di protezione hardware (HSM) convalidati FIPS 140 sotto il loro controllo.

Usare Microsoft Purview Compliance Manager per valutare il rischio

Microsoft Purview Compliance Manager è una funzionalità del portale Microsoft Purview che consente di comprendere il comportamento di conformità dell'organizzazione e di intraprendere azioni per ridurre i rischi. Compliance Manager offre un modello premium per creare una valutazione per questa normativa. Individuare il modello nella pagina modelli di valutazioni in Compliance Manager. Informazioni su come creare valutazioni in Compliance Manager.

Risorse

• Pubblicazione IRS 1075
• Programma di salvaguardia dell'IRS
• Hub dei controlli comuni del framework di conformità Microsoft
• Microsoft Cloud per enti pubblici
• Conformità in Microsoft Trust Center