Modulul 7 · 7.2
Evaluarea furnizorilor și a serviciilor cloud
Modulul 7: Acces, furnizori și cloud · Timp de citire: 11 minute
Obiectiv de învățare: După această lecție veți putea evalua un furnizor sau un serviciu cloud din punctul de vedere al securității, confidențialității și posibilității de a pleca (exit), veți putea explica ce trebuie să reglementeze un acord de prelucrare conform GDPR și veți putea menține un inventar al furnizorilor.
Noțiuni cheie: responsabilitate partajată, persoană împuternicită (procesator), acord de prelucrare, subîmputernicit (subprocesator), locația datelor, certificare (de exemplu ISO 27001), strategie de exit, inventarul furnizorilor
Securitatea dumneavoastră este la fel de puternică precum a furnizorilor dumneavoastră
O afacere mică rareori are servere proprii. E-mailul rulează la un furnizor, contabilitatea într-un pachet online, magazinul online pe o platformă, laptopurile sunt gestionate de o firmă IT, iar administrarea salariilor trece printr-un birou de contabilitate. Acest lucru este înțelept: aceste părți pot gestiona adesea securitatea mai bine decât ați putea dumneavoastră. Dar înseamnă și că o mare parte din securitatea dumneavoastră se află în mâinile altora.
Desenați acest lucru pentru dumneavoastră. Puneți afacerea dumneavoastră în centru și trageți o linie către fiecare parte care păstrează date despre dumneavoastră sau are acces la sistemele dumneavoastră. Puneți-vă două întrebări pentru fiecare linie:
- Ce se întâmplă dacă partea respectivă dispare? O defecțiune, un faliment, o majorare de preț din cauza căreia doriți să plecați.
- Ce se întâmplă dacă partea respectivă are o scurgere de date? O spargere la furnizor, un angajat care poate vedea prea multe, un cont al firmei IT care este preluat.
Responsabilitate partajată
În lecția 6.1 ați văzut deja modelul de responsabilitate partajată: furnizorul unui serviciu cloud se ocupă de centrul de date, de servere și de funcționarea software-ului; dumneavoastră rămâneți responsabil pentru datele, conturile și setările dumneavoastră. Microsoft afirmă explicit în documentația sa că acest lucru rămâne valabil pentru orice tip de serviciu cloud, inclusiv pentru software gata de utilizare.
Ce înseamnă acest lucru în practică:
| Furnizorul se ocupă de obicei de | Dumneavoastră vă ocupați întotdeauna de |
|---|---|
| Securitatea fizică a centrului de date | Cine are un cont și cu ce drepturi (lecția 7.1) |
| Actualizările serverelor și ale software-ului | Activarea și utilizarea autentificării în doi pași |
| Disponibilitatea conform acordurilor | Ce partajați și cu cine (lecția 7.3) |
| Copii de siguranță pentru situații de urgență (dacă s-a convenit astfel) | O copie de siguranță proprie sau un export al a ceea ce nu vă puteți permite să pierdeți (modulul 6) |
O greșeală frecventă este să presupuneți că furnizorul se ocupă de ceva ce nu ați verificat niciodată. Așadar, întrebați.
Persoana împuternicită și acordul de prelucrare
De îndată ce un furnizor prelucrează date cu caracter personal pentru dumneavoastră, se aplică regulile GDPR. Gândiți-vă la datele clienților din magazinul dumneavoastră online, la e-mailuri cu nume și adrese, la datele salariale sau la un spațiu de stocare cloud cu CV-uri de la candidați.
- Dumneavoastră sunteți operatorul de date: dumneavoastră determinați pentru ce și cum sunt folosite datele.
- Furnizorul este persoana împuternicită (procesator): acesta prelucrează datele la cererea dumneavoastră, pentru scopurile dumneavoastră.
Articolul 28 din GDPR prevede că puteți folosi doar persoane împuternicite care oferă garanții suficiente pentru măsuri tehnice și organizatorice adecvate. Acordurile se consemnează într-un acord de prelucrare, în scris (forma electronică este permisă). Conform articolului 28 alineatul (3), acest acord reglementează cel puțin obiectul, durata, natura și scopul prelucrării, tipurile de date cu caracter personal și categoriile de persoane vizate, precum și faptul că persoana împuternicită:
- acționează doar pe baza instrucțiunilor dumneavoastră scrise;
- se asigură că personalul său respectă confidențialitatea;
- ia măsurile de securitate prevăzute la articolul 32;
- apelează la un subîmputernicit doar cu acordul dumneavoastră, sub aceleași obligații;
- vă ajută atunci când persoanele își exercită drepturile privind confidențialitatea (acces, rectificare, ștergere);
- vă ajută cu securitatea, încălcările de securitate a datelor și o eventuală DPIA (articolele 32 până la 36);
- după încheiere șterge sau returnează datele și elimină copiile, la alegerea dumneavoastră;
- vă oferă informațiile necesare pentru a verifica respectarea acordurilor și permite audituri.
Un subîmputernicit este o parte pe care persoana dumneavoastră împuternicită o angajează la rândul său, de exemplu centrul de date al furnizorului dumneavoastră de găzduire sau serviciul de e-mail al pachetului dumneavoastră de contabilitate. GDPR prevede că persoana împuternicită rămâne pe deplin răspunzătoare față de dumneavoastră dacă un subîmputernicit nu își respectă obligațiile. Întrebați despre lista subîmputerniciților.
Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) recomandă ca acordurile să fie concrete, nu doar o repetare a textului legal, și să se stabilească cât de repede și cu ce informații vă anunță furnizorul despre o încălcare a securității datelor. Acest ultim aspect este important: în lecția 8.2 veți vedea că trebuie să notificați în termen de 72 de ore, iar acel ceas începe să curgă abia din momentul în care aflați.
Mulți furnizori au un acord de prelucrare standard. Citiți-l și fiți atent dacă trebuie semnat sau acceptat în mod explicit: la unii furnizori nu intră automat în vigoare.
Această lecție oferă explicații generale și nu constituie consultanță juridică. Textul integral se găsește în GDPR, pe eur-lex.europa.eu.
Întrebări de adresat unui furnizor
O evaluare nu trebuie să fie un raport de audit de patruzeci de pagini. Pentru o afacere mică, o listă fixă de întrebări funcționează bine. Răspunsurile se găsesc adesea deja pe site-ul furnizorului, pe o pagină de securitate sau într-o listă de întrebări frecvente.
| Subiect | Întrebare |
|---|---|
| Locație | Unde se află datele mele, inclusiv copiile de siguranță? Ajung în țări din afara Spațiului Economic European? |
| Acces | Pot impune autentificarea în doi pași pentru toți utilizatorii mei? Pot acorda utilizatorilor drepturi proprii? |
| Copie de siguranță | Furnizorul face copii de siguranță, cât de des, cât timp sunt păstrate și pot restaura eu însumi? |
| Criptare | Datele sunt criptate în tranzit și pe disc? |
| Încălcare a securității datelor | Cât de repede și cum mă informează furnizorul în caz de incident? |
| Subîmputerniciți | Ce părți angajează și cum aflu despre modificări? |
| Certificare | Există un certificat, de exemplu ISO 27001, și pentru ce este valabil? |
| Exit | Pot exporta toate datele mele într-un format utilizabil? Ce se întâmplă cu datele mele după reziliere? |
Despre certificare: ISO/IEC 27001 este un standard internațional cu cerințe pentru un sistem de management al securității informației. ISO nu certifică ea însăși; acest lucru este făcut de un organism de certificare independent. Un certificat arată că o organizație își gestionează securitatea în mod planificat, dar nu garantează că nu se va întâmpla niciodată nimic. Verificați în special domeniul de aplicare de pe certificat: se aplică serviciului pe care îl utilizați dumneavoastră sau doar unui singur birou sau departament?
Exit: a putea pleca este și securitate
O strategie de exit este planul dumneavoastră de a părăsi un furnizor, forțat sau voluntar. Sună a ceva pentru mai târziu, dar trebuie stabilit încă de la alegere: dacă descoperiți abia la un faliment că nu vă puteți exporta baza de date a clienților, este prea târziu.
Verificați deci în prealabil:
- dacă puteți exporta toate datele și în ce format (un format deschis precum CSV, e-mail standard sau fișiere obișnuite este mai bun decât un format propriu);
- cât timp rămân datele dumneavoastră disponibile după reziliere;
- dacă numele de domeniu este pe numele dumneavoastră și dacă puteți modifica singur serverele de nume (lecția 4.3);
- dacă păstrați chiar dumneavoastră un export recent, ca parte a copiei de siguranță (lecția 6.1).
Inventarul furnizorilor
Consemnați totul într-un inventar al furnizorilor: un singur tabel cu, pentru fiecare furnizor, serviciul, ce date sunt stocate, dacă sunt incluse date cu caracter personal, dacă există un acord de prelucrare, cine este responsabil din partea dumneavoastră, răspunsurile principale din lista de întrebări și posibilitatea de exit. Revizuiți-l o dată pe an și atunci când adăugați un serviciu nou.
Dacă unul dintre clienții dumneavoastră intră sub incidența transpunerii naționale a NIS2 (lecția 9.1), puteți să vă așteptați ca acel client să vă adreseze, în calitate de furnizor, acest tip de întrebări. Având propriul inventar, aveți răspunsurile pregătite.
În practică: așa arată
Mulți furnizori publică răspunsurile la aceste întrebări pe o pagină de securitate. În mediul exemplu WebOké, ghidul Nextcloud descrie, de exemplu, ce se ocupă furnizorul și ce face utilizatorul însuși: unde se află datele, criptarea în tranzit și pe discuri, autentificarea obligatorie în doi pași, actualizările și copiile de siguranță, precum și faptul că pentru utilizarea comercială cu date cu caracter personal încheiați un acord de prelucrare. Această structură (ce reglementează furnizorul, ce fac eu însumi) este exact ceea ce căutați la fiecare furnizor. La alți furnizori, aceasta se găsește adesea într-un trust center, pe o pagină de securitate sau în termenii și condițiile; dacă nu există, întrebați.
Rezumat
- Desenați-vă furnizorii și întrebați-vă pentru fiecare linie: ce se întâmplă dacă dispare, ce se întâmplă dacă are o scurgere de date?
- Responsabilitate partajată: furnizorul se ocupă de infrastructură, dumneavoastră de datele, conturile și setările dumneavoastră.
- Dacă un furnizor prelucrează date cu caracter personal pentru dumneavoastră, acesta este persoană împuternicită și încheiați un acord de prelucrare conform articolului 28 din GDPR.
- Folosiți o listă fixă de întrebări: locație, acces, copie de siguranță, criptare, încălcare a securității datelor, subîmputerniciți, certificare, exit.
- Un certificat spune ceva, dar verificați domeniul de aplicare; rezolvați-vă exitul înainte de a avea nevoie de el.
Test (quiz)
Exercițiu
Exercițiul D7.2: Inventarul dumneavoastră de furnizori. Creați un tabel cu cei mai importanți cinci furnizori și servicii cloud ale dumneavoastră. Completați, pentru fiecare furnizor, ce date sunt stocate, dacă sunt incluse date cu caracter personal, dacă există un acord de prelucrare, și căutați răspunsurile la lista de întrebări din această lecție (locație, autentificare în doi pași, copie de siguranță, încălcare a securității datelor, subîmputerniciți, certificare, exit). Încercați să faceți efectiv un export la cel puțin un serviciu.
Exercițiul D7.2: Inventarul dumneavoastră de furnizori
Procedați astfel: (1) Desenați afacerea dumneavoastră în centru, cu linii către fiecare parte care vă păstrează date sau are acces la sistemele dumneavoastră. (2) Alegeți cei mai importanți cinci furnizori și alcătuiți un tabel cu: serviciul, ce date, date cu caracter personal (da/nu), acord de prelucrare a datelor (da/nu/nu este necesar), proprietarul la dumneavoastră și răspunsurile la chestionarul din lecția 7.2: locația datelor și a copiilor de siguranță, impunerea autentificării în doi pași, copie de siguranță și restaurare proprie, criptare, viteza de notificare în caz de incident, subprocesatori, certificare cu domeniul de aplicare, export și ce se întâmplă după reziliere. (3) Căutați mai întâi răspunsurile în documentație, pe pagina de securitate sau în condițiile furnizorului. Notați sursa. Dacă nu găsiți informația, adresați întrebarea furnizorului și notați răspunsul. (4) Verificați la fiecare furnizor care prelucrează date cu caracter personal pentru dumneavoastră dacă există un acord de prelucrare a datelor și dacă acesta trebuie acceptat sau semnat. (5) Realizați efectiv un export al datelor dumneavoastră la cel puțin un serviciu și verificați dacă îl puteți deschide. (6) Scrieți pentru cel mai important serviciu, în trei fraze, planul dumneavoastră de ieșire: unde mergeți, cum vă recuperați datele, cât timp aveți nevoie pentru aceasta.
Bifele și notițele dumneavoastră rămân doar în acest browser; nu le trimitem nicăieri. Dacă sunteți autentificat, păstrăm în Cursurile mele doar faptul că ați finalizat exercițiul.
Lecturi suplimentare
Pașii din articolele WebOké sunt valabili pentru mediul WebOké; la alți furnizori funcționează similar sau diferit.
- Manual Nextcloud 3.1: Cum vă securizează WebOké Nextcloud-ul?
- Manual Nextcloud 15.13: Întrebări frecvente despre securitate și confidențialitate
- GDPR (Regulamentul (UE) 2016/679), articolul 28: https://eur-lex.europa.eu/eli/reg/2016/679/oj
- Microsoft, Shared responsibility in the cloud (în engleză): https://learn.microsoft.com/en-us/azure/security/fundamentals/shared-responsibility