7 modulis · 7.2
Tiekėjų ir debesijos paslaugų vertinimas
7 modulis: Prieiga, tiekėjai ir debesija · Skaitymo trukmė: 11 min.
Mokymosi tikslas: Po šios pamokos galėsite įvertinti tiekėją ar debesijos paslaugą pagal saugumą, privatumą ir pasitraukimo galimybes, paaiškinti, ką pagal BDAR turi reglamentuoti duomenų tvarkymo sutartis, ir tvarkyti tiekėjų inventorių.
Pagrindinės sąvokos: bendra atsakomybė, duomenų tvarkytojas, duomenų tvarkymo sutartis, subtvarkytojas, duomenų buvimo vieta, sertifikavimas (pavyzdžiui, ISO 27001), pasitraukimo strategija, tiekėjų inventorius
Jūsų saugumas yra toks pat stiprus, kaip ir Jūsų tiekėjai
Mažos įmonės retai turi savo serverius. Paštas veikia pas paslaugų teikėją, apskaita internetinėje sistemoje, internetinė parduotuvė platformoje, nešiojamus kompiuterius administruoja IT įmonė, o darbo užmokesčio apskaitą tvarko apskaitos įmonė. Tai pagrįstas sprendimas: šios šalys dažnai gali saugumą sutvarkyti geriau, nei galėtumėte patys. Tačiau tai reiškia ir tai, kad didelė dalis Jūsų saugumo yra kitų rankose.
Pabandykite tai nupiešti. Įmonę pažymėkite viduryje ir nubrėžkite liniją iki kiekvienos šalies, kuri saugo Jūsų duomenis arba turi prieigą prie Jūsų sistemų. Prie kiekvienos linijos užduokite du klausimus:
- Kas būtų, jei ta šalis dingtų? Gedimas, bankrotas, kainos padidinimas, dėl kurio norėtumėte išeiti.
- Kas būtų, jei ta šalis patirtų duomenų saugumo pažeidimą? Įsilaužimas pas tiekėją, darbuotojas, kuris mato per daug, IT įmonės paskyra, kurią kažkas perima.
Bendra atsakomybė
Pamokoje 6.1 jau matėte bendros atsakomybės modelį: debesijos paslaugos teikėjas rūpinasi duomenų centru, serveriais ir programinės įrangos veikimu; Jūs liekate atsakingi už savo duomenis, paskyras ir nustatymus. Microsoft savo dokumentacijoje tiesiogiai teigia, kad taip yra kiekvienos rūšies debesijos paslaugoje, net ir su paruoštu naudoti programinės įrangos sprendimu.
Ką tai reiškia praktiškai:
| Paslaugų teikėjas dažniausiai pasirūpina | Jūs visada tvarkote patys |
|---|---|
| Duomenų centro fizine apsauga | Kas turi paskyrą ir su kokiomis teisėmis (pamoka 7.1) |
| Serverių ir programinės įrangos atnaujinimais | Dviejų veiksnių autentifikavimo įjungimu ir naudojimu |
| Pasiekiamumu pagal susitarimus | Kuo dalijatės ir su kuo (pamoka 7.3) |
| Atsarginėmis kopijomis avarijos atveju (jei taip sutarta) | Savo atsargine kopija ar duomenų, kurių tikrai negalite prarasti, eksportu (modulis 6) |
Dažna klaida yra manyti, kad paslaugų teikėjas tvarko kažką, apie ką niekada nepasiteiravote. Taigi, paklauskite.
Duomenų tvarkytojas ir duomenų tvarkymo sutartis
Kai tiekėjas Jūsų vardu tvarko asmens duomenis, taikomos BDAR taisyklės. Tai, pavyzdžiui, klientų duomenys Jūsų internetinėje parduotuvėje, laiškai su vardais ir adresais, darbo užmokesčio duomenys arba debesijos saugykla su kandidatų gyvenimo aprašymais.
- Jūs esate duomenų valdytojas: Jūs nustatote, kokiu tikslu ir kaip duomenys naudojami.
- Tiekėjas yra duomenų tvarkytojas: jis tvarko duomenis Jūsų pavedimu ir Jūsų tikslais.
BDAR 28 straipsnis nurodo, kad galite naudotis tik tais duomenų tvarkytojais, kurie pateikia pakankamas garantijas, kad bus įgyvendintos tinkamos techninės ir organizacinės priemonės. Susitarimai įforminami duomenų tvarkymo sutartyje, raštu (elektroninė forma leidžiama). Pagal 28 straipsnio 3 dalį šioje sutartyje bet kuriuo atveju nurodomas tvarkymo dalykas, trukmė, pobūdis ir tikslas, kokių rūšių asmens duomenys ir duomenų subjektai yra susiję, taip pat tai, kad duomenų tvarkytojas:
- veikia tik pagal Jūsų rašytinius nurodymus;
- užtikrina, kad jo darbuotojai laikytųsi konfidencialumo;
- taiko 32 straipsnyje numatytas saugumo priemones;
- tik su Jūsų sutikimu pasitelkia subtvarkytoją, kuriam taikomos tos pačios pareigos;
- padeda Jums, kai asmenys naudojasi savo privatumo teisėmis (susipažinimu, taisymu, ištrynimu);
- padeda užtikrinti saugumą, tvarkyti duomenų saugumo pažeidimus ir, jei reikia, DPIA (32-36 straipsniai);
- pasibaigus sutarčiai ištrina arba grąžina duomenis bei pašalina kopijas, Jūsų pasirinkimu;
- suteikia Jums informaciją, reikalingą patikrinti, ar laikomasi susitarimų, ir sudaro sąlygas auditui.
Subtvarkytojas yra šalis, kurią pats Jūsų duomenų tvarkytojas pasitelkia, pavyzdžiui, Jūsų talpinimo paslaugų teikėjo duomenų centras arba Jūsų apskaitos sistemos pašto paslauga. BDAR nurodo, kad duomenų tvarkytojas lieka visiškai atsakingas prieš Jus, jei subtvarkytojas nesilaiko savo pareigų. Pasiteiraukite subtvarkytojų sąrašo.
Valstybinė duomenų apsaugos inspekcija (VDAI) rekomenduoja susitarimus suformuluoti konkrečiai, o ne tik pakartoti įstatymo tekstą, bei numatyti, kaip greitai ir su kokia informacija tiekėjas Jus informuos apie duomenų saugumo pažeidimą. Tai svarbu: pamokoje 8.2 matysite, kad turite pranešti per 72 valandas, o šis laikas pradedamas skaičiuoti tik nuo to momento, kai Jūs apie tai sužinote.
Daugelis paslaugų teikėjų turi standartinę duomenų tvarkymo sutartį. Perskaitykite ją ir atkreipkite dėmesį, ar ją reikia iš tikrųjų pasirašyti arba patvirtinti: pas kai kuriuos tiekėjus ji nėra automatiškai įsigaliojusi.
Ši pamoka pateikia bendrą paaiškinimą ir nėra teisinė konsultacija. Visą tekstą rasite BDAR tekste adresu eur-lex.europa.eu.
Klausimai, kuriuos reikia užduoti tiekėjui
Vertinimas nebūtinai turi būti keturiasdešimties puslapių audito ataskaita. Mažai įmonei puikiai tinka fiksuotas klausimų sąrašas. Atsakymai dažnai jau pateikti tiekėjo svetainėje, saugumo puslapyje arba dažniausiai užduodamų klausimų sąraše.
| Tema | Klausimas |
|---|---|
| Vieta | Kur saugomi mano duomenys, įskaitant atsargines kopijas? Ar jie keliauja į šalis už Europos ekonominės erdvės ribų? |
| Prieiga | Ar galiu įpareigoti visus naudotojus naudoti dviejų veiksnių autentifikavimą? Ar galiu naudotojams suteikti skirtingas teises? |
| Atsarginė kopija | Ar tiekėjas daro atsargines kopijas, kaip dažnai, kiek laiko jos saugomos ir ar galiu pats atkurti duomenis? |
| Šifravimas | Ar duomenys šifruojami perduodant ir saugant diske? |
| Duomenų saugumo pažeidimas | Kaip greitai ir kaip tiekėjas mane informuoja apie incidentą? |
| Subtvarkytojai | Kokias šalis jis pasitelkia ir kaip sužinau apie pokyčius? |
| Sertifikavimas | Ar yra sertifikatas, pavyzdžiui, ISO 27001, ir kam konkrečiai jis taikomas? |
| Pasitraukimas | Ar galiu eksportuoti visus savo duomenis naudotinu formatu? Kas atsitinka su mano duomenimis nutraukus sutartį? |
Apie sertifikavimą: ISO/IEC 27001 yra tarptautinis standartas, nustatantis reikalavimus informacijos saugumo valdymo sistemai. ISO pats sertifikatų neišduoda; tai daro nepriklausoma sertifikavimo įstaiga. Sertifikatas rodo, kad organizacija savo saugumą tvarko sistemingai, tačiau tai negarantuoja, kad niekada nieko neatsitiks. Visų pirma atkreipkite dėmesį į sertifikato taikymo sritį: ar jis apima paslaugą, kurią Jūs naudojate, ar tik vieną biurą ar padalinį?
Pasitraukimas: galėjimas pasitraukti taip pat yra saugumas
Pasitraukimo strategija yra Jūsų planas, kaip pasitraukti nuo tiekėjo, priverstinai ar savanoriškai. Tai skamba kaip kažkas, kuo reikėtų užsiimti vėliau, tačiau tai reikia apsvarstyti jau renkantis tiekėją: jei apie tai, kad negalite eksportuoti klientų duomenų bazės, sužinosite tik bankroto atveju, bus per vėlu.
Todėl iš anksto patikrinkite:
- ar galite eksportuoti visus duomenis ir kokiu formatu (atviras formatas, pavyzdžiui, CSV, standartinis el. paštas ar įprasti failai yra geresnis pasirinkimas nei savitas formatas);
- kiek laiko duomenys lieka prieinami po sutarties nutraukimo;
- ar Jūsų domeno vardas registruotas Jūsų pačių vardu ir ar galite patys keisti vardų serverius (pamoka 4.3);
- ar patys saugote naujausią eksportą kaip savo atsarginės kopijos dalį (pamoka 6.1).
Tiekėjų inventorius
Viską užfiksuokite tiekėjų inventoriuje: vienoje lentelėje nurodykite kiekvieno tiekėjo paslaugą, kokie duomenys ten saugomi, ar yra asmens duomenų, ar sudaryta duomenų tvarkymo sutartis, kas iš Jūsų pusės yra atsakingas, svarbiausius atsakymus iš klausimyno ir pasitraukimo galimybes. Peržiūrėkite jį kartą per metus ir kaskart, kai atsiranda nauja paslauga.
Jei kuris nors iš Jūsų klientų patenka į Kibernetinio saugumo įstatymo (NIS2 perkėlimas) taikymo sritį (pamoka 9.1), galite tikėtis, kad tas klientas, kaip tiekėjui, Jums užduos panašius klausimus. Turėdami savo inventorių, atsakymus turėsite paruoštus.
Praktikoje: kaip tai atrodo
Daugelis paslaugų teikėjų atsakymus į šiuos klausimus pateikia saugumo puslapyje. Pavyzdinėje WebOké aplinkoje Nextcloud instrukcijose, pavyzdžiui, aprašoma, ką tvarko paslaugų teikėjas, o ką naudotojas atlieka pats: kur saugomi duomenys, šifravimas perduodant ir diskuose, privalomas dviejų veiksnių autentifikavimas, atnaujinimai ir atsarginės kopijos, bei tai, kad verslo naudojimui su asmens duomenimis sudaroma duomenų tvarkymo sutartis. Toks suskirstymas (ką tvarko tiekėjas, ką darau pats) yra būtent tai, ko reikia ieškoti pas kiekvieną tiekėją. Pas kitus paslaugų teikėjus tai dažnai pateikiama patikimumo centre, saugumo puslapyje arba sąlygose; jei to nėra, paklauskite.
Santrauka
- Nupieškite savo tiekėjus ir prie kiekvienos linijos paklauskite: kas būtų, jei jie dingtų, kas būtų, jei įvyktų duomenų saugumo pažeidimas?
- Bendra atsakomybė: paslaugų teikėjas tvarko infrastruktūrą, Jūs tvarkote savo duomenis, paskyras ir nustatymus.
- Jei tiekėjas Jūsų vardu tvarko asmens duomenis, jis yra duomenų tvarkytojas, ir sudarote duomenų tvarkymo sutartį pagal BDAR 28 straipsnį.
- Naudokite fiksuotą klausimyną: vieta, prieiga, atsarginė kopija, šifravimas, duomenų saugumo pažeidimas, subtvarkytojai, sertifikavimas, pasitraukimas.
- Sertifikatas šį tą reiškia, bet patikrinkite jo taikymo sritį; pasitraukimą sutvarkykite dar prieš tai, kai jo prireiks.
Testas (quiz)
Užduotis
Užduotis D7.2: Jūsų tiekėjų inventorius. Sudarykite savo penkių svarbiausių tiekėjų ir debesijos paslaugų lentelę. Prie kiekvieno tiekėjo nurodykite, kokie duomenys ten saugomi, ar yra asmens duomenų, ar sudaryta duomenų tvarkymo sutartis, ir suraskite atsakymus į šios pamokos klausimyną (vieta, dviejų veiksnių autentifikavimas, atsarginė kopija, duomenų saugumo pažeidimas, subtvarkytojai, sertifikavimas, pasitraukimas). Pabandykite bent vienoje paslaugoje iš tikrųjų atlikti eksportą.
Užduotis D7.2: Jūsų tiekėjų inventorius
Kaip tai atlikti: (1) Nubraižykite savo įmonę viduryje su linijomis į kiekvieną šalį, kuri saugo Jūsų duomenis arba turi prieigą prie Jūsų sistemų. (2) Išrinkite penkis svarbiausius ir sudarykite lentelę su: paslauga, kokie duomenys, asmens duomenys (taip/ne), duomenų tvarkymo sutartis (taip/ne/nereikia), atsakingas asmuo pas Jus, ir atsakymus į 7.2 pamokos klausimyną: duomenų ir atsarginių kopijų vieta, galimybė priversti naudoti dviejų veiksnių autentifikavimą, atsarginė kopija ir savarankiškas atkūrimas, šifravimas, kaip greitai informuojama apie duomenų saugumo pažeidimą, subtvarkytojai, sertifikavimas su taikymo sritimi, eksportas ir kas vyksta po sutarties nutraukimo. (3) Pirmiausia ieškokite atsakymų tiekėjo dokumentacijoje, saugumo puslapyje ar sąlygose. Užsirašykite šaltinį. Jei informacijos nėra, užduokite klausimą tiekėjui ir užsirašykite atsakymą. (4) Patikrinkite kiekvieną tiekėją, kuris tvarko asmens duomenis Jūsų vardu, ar yra duomenų tvarkymo sutartis ir ar ją reikia priimti arba pasirašyti. (5) Bent su viena paslauga iš tikrųjų padarykite savo duomenų eksportą ir patikrinkite, ar galite jį atidaryti. (6) Prie svarbiausios paslaugos trimis sakiniais užrašykite savo pasitraukimo planą: kur persikeliate, kaip pasiimsite savo duomenis, kiek tam reikės laiko.
Jūsų pažymėti varneliai ir pastabos lieka tik šioje naršyklėje; niekur jų nesiunčiame. Jei esate prisijungę, skiltyje Mano kursai išsaugome tik tai, kad užduotį atlikote.
Skaityti daugiau
WebOké straipsniuose nurodyti veiksmai galioja WebOké aplinkai; pas kitus paslaugų teikėjus tai veikia panašiai arba kitaip.
- Nextcloud vadovas 3.1: Kaip WebOké apsaugo Jūsų Nextcloud?
- Nextcloud vadovas 15.13: Dažniausiai užduodami klausimai apie saugumą ir privatumą
- BDAR (Reglamentas (ES) 2016/679), 28 straipsnis: https://eur-lex.europa.eu/eli/reg/2016/679/oj
- Microsoft, Shared responsibility in the cloud (anglų k.): https://learn.microsoft.com/en-us/azure/security/fundamentals/shared-responsibility