Modul 7 · 7.2
Ocenjevanje dobaviteljev in storitev v oblaku
Modul 7: Dostop, dobavitelji in oblak · Čas branja: 11 minut
Cilj učenja: Po tej lekciji boste znali oceniti dobavitelja ali storitev v oblaku glede varnosti, zasebnosti in izhoda, pojasniti, kaj mora po GDPR urejati pogodba o obdelavi podatkov, in voditi popis dobaviteljev.
Ključni pojmi: deljena odgovornost, obdelovalec, pogodba o obdelavi podatkov, poddobavitelj, lokacija podatkov, certifikacija (na primer ISO 27001), strategija izhoda, popis dobaviteljev
Vaša varnost je tako močna kot Vaši dobavitelji
Majhno podjetje redko ima lastne strežnike. E-pošta teče pri ponudniku, računovodstvo v spletnem paketu, spletna trgovina na platformi, prenosnike upravlja IT podjetje, obračun plač pa gre prek računovodskega servisa. To je smiselno: te stranke pogosto lahko bolje poskrbijo za varnost, kot bi to zmogli sami. Vendar to tudi pomeni, da je velik del Vaše varnosti v rokah drugih.
Narišite si to. Vaše podjetje postavite v sredino in potegnite črto do vsake stranke, ki hrani Vaše podatke ali ima dostop do Vaših sistemov. Pri vsaki črti si zastavite dve vprašanji:
- Kaj, če ta stranka odpade? Motnja, stečaj, podražitev, zaradi katere bi radi odšli.
- Kaj, če pri tej stranki pride do uhajanja podatkov? Vdor pri dobavitelju, zaposleni, ki vidi preveč, prevzet račun IT podjetja.
Deljena odgovornost
V lekciji 6.1 ste že spoznali model deljene odgovornosti: ponudnik storitve v oblaku poskrbi za podatkovni center, strežnike in delovanje programske opreme; Vi pa ostajate odgovorni za svoje podatke, račune in nastavitve. Microsoft v svoji dokumentaciji dobesedno pravi, da to velja pri vsaki vrsti storitve v oblaku, tudi pri vnaprej pripravljeni programski opremi.
Kaj to pomeni v praksi:
| Ponudnik običajno uredi | Vi vedno uredite sami |
|---|---|
| Fizično varovanje podatkovnega centra | Kdo ima račun in s kakšnimi pravicami (lekcija 7.1) |
| Posodobitve strežnikov in programske opreme | Vklop in uporabo dvostopenjskega preverjanja |
| Razpoložljivost v skladu z dogovori | Kaj delite in s kom (lekcija 7.3) |
| Varnostne kopije za izredne razmere (če je to dogovorjeno) | Lastno varnostno kopijo ali izvoz tega, česar si res ne smete privoščiti izgubiti (modul 6) |
Pogosta napaka je domneva, da ponudnik ureja nekaj, za kar nikoli niste vprašali. Zato vprašajte.
Obdelovalec in pogodba o obdelavi podatkov
Takoj ko dobavitelj za Vas obdeluje osebne podatke, veljajo pravila GDPR. Mislite na podatke o strankah v Vaši spletni trgovini, e-pošto z imeni in naslovi, podatke o plačah ali shrambo v oblaku z življenjepisi kandidatov.
- Vi ste upravljavec: Vi določate, za kaj in kako se podatki uporabljajo.
- Dobavitelj je obdelovalec: podatke obdeluje po Vašem naročilu, za Vaše namene.
Člen 28 GDPR pravi, da smete uporabljati le obdelovalce, ki nudijo zadostna jamstva za ustrezne tehnične in organizacijske ukrepe. Dogovore zapišete v pogodbi o obdelavi podatkov, pisno (elektronsko je dovoljeno). V skladu s členom 28(3) ta pogodba vsekakor ureja predmet, trajanje, naravo in namen obdelave, vrste osebnih podatkov in kategorije posameznikov, na katere se nanašajo, ter to, da obdelovalec:
- deluje le na podlagi Vaših pisnih navodil;
- poskrbi, da njegovi ljudje spoštujejo zaupnost;
- sprejme varnostne ukrepe iz člena 32;
- le z Vašim dovoljenjem vključi poddobavitelja, pod enakimi obveznostmi;
- Vam pomaga, kadar posamezniki uveljavljajo svoje pravice v zvezi z zasebnostjo (vpogled, popravek, izbris);
- Vam pomaga pri varnosti, kršitvah varstva podatkov in morebitni oceni učinka v zvezi z varstvom podatkov (DPIA) (členi 32 do 36);
- po zaključku podatke izbriše ali vrne in odstrani kopije, po Vaši izbiri;
- Vam da informacije za preverjanje, ali spoštuje dogovore, in omogoči revizije.
Poddobavitelj je stranka, ki jo Vaš obdelovalec sam ponovno vključi, na primer podatkovni center Vašega ponudnika gostovanja ali storitev e-pošte Vašega računovodskega paketa. GDPR določa, da obdelovalec ostaja do Vas v celoti odgovoren, če poddobavitelj ne izpolnjuje svojih obveznosti. Vprašajte za seznam poddobaviteljev.
Informacijski pooblaščenec priporoča, da dogovore naredite konkretne, namesto da le ponovite besedilo zakona, in da zapišete, kako hitro in s kakšnimi informacijami Vas bo dobavitelj obvestil o kršitvi varstva podatkov. To je pomembno: v lekciji 8.2 boste videli, da morate prijavo oddati v 72 urah, ta rok pa začne teči šele, ko Vi za kršitev izveste.
Veliko ponudnikov ima standardno pogodbo o obdelavi podatkov. Preberite jo in bodite pozorni na to, ali jo je treba dejansko podpisati ali sprejeti: pri nekaterih ponudnikih ne velja samodejno.
Ta lekcija podaja splošno razlago in ni pravni nasvet. Celotno besedilo je objavljeno v GDPR na eur-lex.europa.eu.
Vprašanja, ki jih zastavite dobavitelju
Ocena ne rabi biti štiridesetstranski revizijski poročilo. Za majhno podjetje dobro deluje stalen vprašalnik. Odgovori so pogosto že objavljeni na spletni strani dobavitelja, na strani o varnosti ali v seznamu pogostih vprašanj.
| Tema | Vprašanje |
|---|---|
| Lokacija | Kje se nahajajo moji podatki, tudi varnostne kopije? Ali gredo v države zunaj Evropskega gospodarskega prostora? |
| Dostop | Ali lahko za vse svoje uporabnike zahtevam dvostopenjsko preverjanje? Ali lahko uporabnikom dodelim lastne pravice? |
| Varnostna kopija | Ali dobavitelj izdeluje varnostne kopije, kako pogosto, kako dolgo jih hrani in ali jih lahko sam obnovim? |
| Šifriranje | Ali so podatki šifrirani med prenosom in na disku? |
| Kršitev varstva podatkov | Kako hitro in kako me dobavitelj obvesti o incidentu? |
| Poddobavitelji | Katere stranke vključuje in kako izvem za spremembe? |
| Certifikacija | Ali obstaja certifikat, na primer ISO 27001, in za kaj velja? |
| Izhod | Ali lahko izvozim vse svoje podatke v uporabni obliki? Kaj se zgodi z mojimi podatki po odpovedi? |
O certifikaciji: ISO/IEC 27001 je mednarodni standard z zahtevami za sistem upravljanja informacijske varnosti. ISO sam ne izdaja certifikatov; to počne neodvisen certifikacijski organ. Certifikat kaže, da organizacija svojo varnost ureja načrtno, vendar ne zagotavlja, da se nikoli nič ne zgodi. Posebej bodite pozorni na področje uporabe na certifikatu: ali velja za storitev, ki jo uporabljate Vi, ali le za eno pisarno ali oddelek?
Izhod: možnost odhoda je tudi varnost
Strategija izhoda je Vaš načrt za odhod od dobavitelja, prisilno ali prostovoljno. Zveni kot nekaj za pozneje, vendar mora biti del izbire: če šele ob stečaju ugotovite, da ne morete izvoziti podatkov o strankah, je prepozno.
Zato vnaprej preverite:
- ali lahko izvozite vse podatke in v kateri obliki (odprta oblika, kot je CSV, standardna e-pošta ali navadne datoteke, je boljša od lastne oblike);
- koliko časa so Vaši podatki po odpovedi še dostopni;
- ali je Vaše ime domene registrirano na Vaše ime in ali lahko sami spremenite imenske strežnike (lekcija 4.3);
- ali sami hranite nedaven izvoz, kot del svoje varnostne kopije (lekcija 6.1).
Popis dobaviteljev
Vse zapišite v popis dobaviteljev: eno tabelo z za vsakega dobavitelja storitvijo, kateri podatki so pri njem shranjeni, ali gre za osebne podatke, ali obstaja pogodba o obdelavi podatkov, kdo je pri Vas lastnik, najpomembnejšimi odgovori iz vprašalnika in možnostjo izhoda. Pregled ponovite enkrat letno in ob vsaki novi storitvi.
Če eden od Vaših strank spada pod slovenski prenos direktive NIS2 (Zakon o informacijski varnosti, ZInfV-1) (lekcija 9.1), lahko pričakujete, da bo ta stranka Vam kot dobavitelju zastavljala tovrstna vprašanja. Z lastnim popisom boste imeli odgovore pripravljene.
V praksi: tako je videti
Veliko ponudnikov odgovore na ta vprašanja objavi na varnostni strani. V testnem okolju WebOké navodila za Nextcloud na primer opisujejo, kaj uredi ponudnik in kaj naredi uporabnik sam: kje se nahajajo podatki, šifriranje med prenosom in na diskih, obvezno dvostopenjsko preverjanje, posodobitve in varnostne kopije, ter da za poslovno uporabo z osebnimi podatki sklenete pogodbo o obdelavi podatkov. Ta razdelitev (kaj uredi dobavitelj, kaj naredim sam) je točno to, kar iščete pri vsakem dobavitelju. Pri drugih ponudnikih je to pogosto objavljeno v centru zaupanja, na varnostni strani ali v pogojih; če ni, vprašajte.
Povzetek
- Narišite svoje dobavitelje in se pri vsaki črti vprašajte: kaj, če odpade, kaj, če pride do uhajanja podatkov?
- Deljena odgovornost: ponudnik ureja infrastrukturo, Vi svoje podatke, račune in nastavitve.
- Če dobavitelj za Vas obdeluje osebne podatke, je obdelovalec in sklenete pogodbo o obdelavi podatkov v skladu s členom 28 GDPR.
- Uporabite stalen vprašalnik: lokacija, dostop, varnostna kopija, šifriranje, kršitev varstva podatkov, poddobavitelji, certifikacija, izhod.
- Certifikat nekaj pove, vendar preverite področje uporabe; uredite izhod, preden ga potrebujete.
Kviz
Naloga
Naloga D7.2: Vaš popis dobaviteljev. Naredite tabelo svojih petih najpomembnejših dobaviteljev in storitev v oblaku. Za vsakega dobavitelja vpišite, kateri podatki so pri njem shranjeni, ali gre za osebne podatke, ali obstaja pogodba o obdelavi podatkov, in poiščite odgovore na vprašalnik iz te lekcije (lokacija, dvostopenjsko preverjanje, varnostna kopija, kršitev varstva podatkov, poddobavitelji, certifikacija, izhod). Pri vsaj eni storitvi poskusite dejansko narediti izvoz.
Naloga D7.2: Vaš popis dobaviteljev
Lotite se tega takole: (1) Narišite svoje podjetje na sredino in povlecite črte do vsake stranke, ki hrani Vaše podatke ali ima dostop do Vaših sistemov. (2) Izberite pet najpomembnejših in pripravite tabelo z: storitev, katere podatke, osebni podatki (da/ne), pogodba o obdelavi podatkov (da/ne/ni potrebna), lastnik pri Vas, in odgovori na vprašalnik iz lekcije 7.2: lokacija podatkov in varnostnih kopij, vsiljeno dvostopenjsko preverjanje, varnostna kopija in možnost samostojnega obnavljanja, šifriranje, kako hitro obveščajo ob kršitvi varstva podatkov, podobdelovalci, certificiranje s področjem uporabe, izvoz podatkov in kaj se zgodi po odpovedi. (3) Odgovore najprej poiščite v dokumentaciji, na varnostni strani ali v pogojih dobavitelja. Zabeležite vir. Če odgovora ni, vprašajte dobavitelja in zabeležite odgovor. (4) Pri vsakem dobavitelju, ki za Vas obdeluje osebne podatke, preverite, ali obstaja pogodba o obdelavi podatkov in ali jo je treba sprejeti ali podpisati. (5) Pri vsaj eni storitvi dejansko naredite izvoz svojih podatkov in preverite, ali ga lahko odprete. (6) Pri najpomembnejši storitvi v treh stavkih zapišite svoj izhodni načrt: kam greste, kako prenesete svoje podatke, koliko časa za to potrebujete.
Vaše kljukice in zapiski ostanejo samo v tem brskalniku, nikamor jih ne pošiljamo. Če ste prijavljeni, v Moji tečaji shranimo samo podatek, da ste nalogo opravili.
Za nadaljnje branje
Koraki v člankih WebOké veljajo za okolje WebOké; pri drugih ponudnikih deluje podobno ali drugače.
- Priročnik za Nextcloud 3.1: Kako WebOké zaščiti Vaš Nextcloud?
- Priročnik za Nextcloud 15.13: Pogosta vprašanja o varnosti in zasebnosti
- GDPR (Uredba (EU) 2016/679), člen 28: https://eur-lex.europa.eu/eli/reg/2016/679/oj
- Microsoft, Shared responsibility in the cloud (v angleščini): https://learn.microsoft.com/en-us/azure/security/fundamentals/shared-responsibility