7. modulis · 7.2
Piegādātāju un mākoņpakalpojumu novērtēšana
7. modulis: Piekļuve, piegādātāji un mākonis · Lasīšanas laiks: 11 minūtes
Mērķis: Pēc šīs nodarbības Jūs varēsiet novērtēt piegādātāju vai mākoņpakalpojumu pēc drošības, privātuma un iziešanas iespējām, izskaidrot, kas saskaņā ar VDAR jāregulē datu apstrādes līgumā, un uzturēt piegādātāju uzskaiti.
Pamatjēdzieni: dalīta atbildība, apstrādātājs, datu apstrādes līgums, apakšapstrādātājs, datu atrašanās vieta, sertifikācija (piemēram, ISO 27001), iziešanas stratēģija, piegādātāju uzskaite
Jūsu drošība ir tikai tik stipra, cik stipri ir Jūsu piegādātāji
Mazam uzņēmumam reti ir savi serveri. E-pasts darbojas pie pakalpojumu sniedzēja, grāmatvedība tiešsaistes pakotnē, tīmekļa veikals uz platformas, klēpjdatorus pārvalda IT uzņēmums, un algu uzskaite notiek caur grāmatvedības biroju. Tas ir saprātīgi: šīs puses bieži var nodrošināt drošību labāk, nekā Jūs to varētu izdarīt pats. Taču tas arī nozīmē, ka liela daļa Jūsu drošības ir citu rokās.
Uzzīmējiet to sev. Novietojiet savu uzņēmumu centrā un novelciet līniju uz katru pusi, kas glabā Jūsu datus vai kam ir piekļuve Jūsu sistēmām. Pie katras līnijas uzdodiet divus jautājumus:
- Kas notiek, ja šī puse pazūd? Pārtraukums, maksātnespēja, cenas kāpums, kura dēļ Jūs vēlaties aiziet.
- Kas notiek, ja no šīs puses noplūst dati? Ielaušanās pie piegādātāja, darbinieks, kurš redz pārāk daudz, IT uzņēmuma konts, kuru pārņem kāds cits.
Dalīta atbildība
Nodarbībā 6.1 Jūs jau redzējāt dalītas atbildības modeli: mākoņpakalpojuma sniedzējs rūpējas par datu centru, serveriem un programmatūras darbību; Jūs paliekat atbildīgi par saviem datiem, saviem kontiem un saviem iestatījumiem. Microsoft savā dokumentācijā tieši norāda, ka tā tas paliek pie ikviena mākoņpakalpojuma veida, pat ja tas ir gatavs risinājums.
Ko tas praksē nozīmē:
| Pakalpojumu sniedzējs parasti nodrošina | Jūs vienmēr nodrošināt pats |
|---|---|
| Datu centra fizisko drošību | Kam ir konts un ar kādām tiesībām (nodarbība 7.1) |
| Serveru un programmatūras atjauninājumus | Divu faktoru autentifikācijas ieslēgšanu un izmantošanu |
| Pieejamību saskaņā ar vienošanos | Ko Jūs koplietojat un ar ko (nodarbība 7.3) |
| Rezerves kopijas ārkārtas gadījumiem (ja tā ir noteikts) | Savu rezerves kopiju vai eksportu tam, ko Jūs tiešām nedrīkstat zaudēt (modulis 6) |
Bieži pieļauta kļūda ir pieņemt, ka pakalpojumu sniedzējs nodrošina kaut ko, ko Jūs nekad neesat precizējuši. Tāpēc pajautājiet.
Apstrādātājs un datu apstrādes līgums
Tiklīdz piegādātājs Jūsu vārdā apstrādā personas datus, piemērojami VDAR noteikumi. Domājiet par klientu datiem savā tīmekļa veikalā, e-pastiem ar vārdiem un adresēm, algu datiem vai mākoņa krātuvi ar pretendentu CV.
- Jūs esat pārzinis: Jūs nosakāt, kādam nolūkam un kā dati tiek izmantoti.
- Piegādātājs ir apstrādātājs: viņš apstrādā datus Jūsu uzdevumā, Jūsu mērķiem.
VDAR 28. pants nosaka, ka Jūs drīkstat izmantot tikai tādus apstrādātājus, kas sniedz pietiekamas garantijas par atbilstošiem tehniskiem un organizatoriskiem pasākumiem. Vienošanās Jūs fiksējat datu apstrādes līgumā, rakstveidā (arī elektroniski ir pieļaujams). Saskaņā ar 28. panta 3. punktu šim līgumam jebkurā gadījumā jāregulē apstrādes priekšmets, ilgums, veids un mērķis, kādi personas datu veidi un datu subjektu kategorijas ir iesaistītas, kā arī tas, ka apstrādātājs:
- rīkojas vienīgi pēc Jūsu rakstveida norādījumiem;
- nodrošina, ka viņa darbinieki ievēro konfidencialitāti;
- veic 32. pantā minētos drošības pasākumus;
- iesaista apakšapstrādātāju tikai ar Jūsu piekrišanu, ar tādiem pašiem pienākumiem;
- palīdz Jums, ja cilvēki īsteno savas privātuma tiesības (piekļuvi, labošanu, dzēšanu);
- palīdz ar drošību, datu aizsardzības pārkāpumiem un iespējamo DPIA (32. līdz 36. pants);
- pēc apstrādes beigām dzēš vai atdod atpakaļ datus un dzēš kopijas, pēc Jūsu izvēles;
- sniedz Jums informāciju, lai pārliecinātos, ka viņš ievēro vienošanos, un dod iespēju veikt auditus.
Apakšapstrādātājs ir puse, ko Jūsu apstrādātājs pats iesaista papildus, piemēram, Jūsu mitināšanas pakalpojumu sniedzēja datu centrs vai Jūsu grāmatvedības pakotnes e-pasta pakalpojums. VDAR nosaka, ka apstrādātājs paliek pilnībā atbildīgs pret Jums, ja apakšapstrādātājs nepilda savas saistības. Pajautājiet apakšapstrādātāju sarakstu.
Datu valsts inspekcija iesaka vienošanās izklāstīt konkrēti, nevis tikai atkārtot likuma tekstu, un fiksēt, cik ātri un ar kādu informāciju piegādātājs Jūs informēs par datu aizsardzības pārkāpumu. Tas pēdējais ir svarīgi: nodarbībā 8.2 Jūs redzēsiet, ka Jums jāziņo 72 stundu laikā, un šis pulkstenis sāk iet tikai tad, kad Jūs par to uzzināt.
Daudziem pakalpojumu sniedzējiem ir standarta datu apstrādes līgums. Izlasiet to un pievērsiet uzmanību, vai tas tiešām jāparaksta vai jāapstiprina: dažiem pakalpojumu sniedzējiem tas automātiski nestājas spēkā.
Šī nodarbība sniedz vispārīgu skaidrojumu un nav juridisks padoms. Pilns teksts atrodams VDAR tekstā vietnē eur-lex.europa.eu.
Jautājumi, ko uzdot piegādātājam
Novērtējumam nav jābūt četrdesmit lappušu auditu ziņojumam. Mazam uzņēmumam labi der fiksēts jautājumu saraksts. Atbildes bieži jau atrodamas piegādātāja tīmekļa vietnē, drošības lapā vai biežāk uzdoto jautājumu sadaļā.
| Temats | Jautājums |
|---|---|
| Atrašanās vieta | Kur atrodas mani dati, arī rezerves kopijas? Vai tie nonāk valstīs ārpus Eiropas Ekonomikas zonas? |
| Piekļuve | Vai es varu pieprasīt divu faktoru autentifikāciju visiem saviem lietotājiem? Vai es varu piešķirt lietotājiem atšķirīgas tiesības? |
| Rezerves kopija | Vai piegādātājs veido rezerves kopijas, cik bieži, cik ilgi tās glabā, un vai es pats varu atjaunot datus? |
| Šifrēšana | Vai dati ir šifrēti pārraides laikā un diskā? |
| Datu aizsardzības pārkāpums | Cik ātri un kā piegādātājs mani informē par incidentu? |
| Apakšapstrādātāji | Kādas puses viņš iesaista, un kā es uzzinu par izmaiņām? |
| Sertifikācija | Vai ir sertifikāts, piemēram, ISO 27001, un uz ko tas attiecas? |
| Iziešana | Vai es varu eksportēt visus savus datus izmantojamā formātā? Kas notiek ar maniem datiem pēc līguma izbeigšanas? |
Par sertifikāciju: ISO/IEC 27001 ir starptautisks standarts ar prasībām informācijas drošības pārvaldības sistēmai. ISO pats sertifikātus neizsniedz; to dara neatkarīga sertificēšanas iestāde. Sertifikāts parāda, ka organizācija savu drošību pārvalda plānveidīgi, taču tas negarantē, ka nekad nekas nenotiks. Pievērsiet uzmanību īpaši sertifikāta darbības jomai: vai tas attiecas uz pakalpojumu, ko izmantojat Jūs, vai tikai uz vienu biroju vai nodaļu?
Iziešana: iespēja aiziet ir arī drošība
Iziešanas stratēģija ir Jūsu plāns, kā aiziet no piegādātāja, piespiedu kārtā vai labprātīgi. Tas izklausās pēc kaut kā, ko darīt vēlāk, taču tas jāņem vērā jau izvēloties: ja Jūs atklājat, ka nevarat eksportēt savu klientu datubāzi, tikai tad, kad piegādātājs bankrotē, ir par vēlu.
Tāpēc pārbaudiet iepriekš:
- vai varat eksportēt visus datus un kādā formātā (atvērts formāts, piemēram, CSV, standarta e-pasts vai parasti faili ir labāki par pašu izstrādātu formātu);
- cik ilgi dati pēc līguma izbeigšanas vēl būs pieejami;
- vai Jūsu domēna nosaukums ir reģistrēts uz Jūsu vārda un vai Jūs pats varat mainīt nosaukumu serverus (nodarbība 4.3);
- vai Jūs pats saglabājat nesenu eksportu kā daļu no savas rezerves kopijas (nodarbība 6.1).
Piegādātāju uzskaite
Fiksējiet visu piegādātāju uzskaitē: vienā tabulā par katru piegādātāju norādiet pakalpojumu, kādi dati tajā glabājas, vai tie ietver personas datus, vai ir noslēgts datu apstrādes līgums, kas Jūsu pusē ir atbildīgais, galvenās atbildes no jautājumu saraksta un iziešanas iespējas. Pārskatiet to reizi gadā un ikreiz, kad pievienojas jauns pakalpojums.
Ja kāds no Jūsu klientiem ietilpst Nacionālā kiberdrošības likuma darbības jomā (nodarbība 9.1), varat sagaidīt, ka šis klients kā no piegādātāja pieprasīs no Jums šāda veida atbildes. Ar savu pašu uzskaiti Jums atbildes būs gatavas.
Praksē: šādi tas izskatās
Daudzi pakalpojumu sniedzēji atbildes uz šiem jautājumiem publicē drošības lapā. WebOké piemēra vidē, piemēram, Nextcloud rokasgrāmatā ir aprakstīts, ko nodrošina pakalpojumu sniedzējs un ko dara pats lietotājs: kur atrodas dati, šifrēšana pārraides laikā un diskos, obligāta divu faktoru autentifikācija, atjauninājumi un rezerves kopijas, un ka komerciālai lietošanai ar personas datiem jānoslēdz datu apstrādes līgums. Šis iedalījums (ko nodrošina piegādātājs, ko daru pats) ir tieši tas, kas jāmeklē pie katra piegādātāja. Citiem pakalpojumu sniedzējiem tas bieži atrodams uzticamības centrā, drošības lapā vai noteikumos; ja tas tur nav atrodams, pajautājiet.
Kopsavilkums
- Uzzīmējiet savus piegādātājus un pie katras līnijas pajautājiet: kas notiek, ja šī puse pazūd, kas notiek, ja no tās noplūst dati?
- Dalīta atbildība: pakalpojumu sniedzējs nodrošina infrastruktūru, Jūs savus datus, kontus un iestatījumus.
- Ja piegādātājs Jūsu vārdā apstrādā personas datus, viņš ir apstrādātājs, un Jūs noslēdzat datu apstrādes līgumu saskaņā ar VDAR 28. pantu.
- Izmantojiet fiksētu jautājumu sarakstu: atrašanās vieta, piekļuve, rezerves kopija, šifrēšana, datu aizsardzības pārkāpums, apakšapstrādātāji, sertifikācija, iziešana.
- Sertifikāts kaut ko pasaka, taču pārbaudiet tā darbības jomu; sakārtojiet savu iziešanu, pirms tā Jums vajadzīga.
Tests
Uzdevums
Uzdevums D7.2: Jūsu piegādātāju uzskaite. Izveidojiet tabulu ar Jūsu piecām svarīgākajām piegādātāju un mākoņpakalpojumu sistēmām. Pie katra piegādātāja norādiet, kādi dati tajā glabājas, vai tie ietver personas datus, vai ir noslēgts datu apstrādes līgums, un atrodiet atbildes uz šīs nodarbības jautājumu sarakstu (atrašanās vieta, divu faktoru autentifikācija, rezerves kopija, datu aizsardzības pārkāpums, apakšapstrādātāji, sertifikācija, iziešana). Vismaz vienam pakalpojumam mēģiniet tiešām izveidot eksportu.
Uzdevums D7.2: Jūsu piegādātāju apkopojums
Rīcības plāns: (1) Attēlojiet savu uzņēmumu centrā ar līnijām uz katru pusi, kas glabā Jūsu datus vai kam ir piekļuve Jūsu sistēmām. (2) Izvēlieties piecus svarīgākos un izveidojiet tabulu ar: pakalpojums, kādi dati, personas dati (jā/nē), datu apstrādes līgums (jā/nē/nav nepieciešams), atbildīgā persona pie Jums, un atbildes uz nodarbības 7.2 anketas jautājumiem: datu un rezerves kopiju atrašanās vieta, vai iespējams pieprasīt divu faktoru autentifikāciju, rezerves kopēšana un patstāvīga atjaunošana, šifrēšana, cik ātri informē par datu aizsardzības pārkāpumu, apakšapstrādātāji, sertifikācija ar darbības jomu, eksports un kas notiek pēc līguma izbeigšanas. (3) Vispirms meklējiet atbildes piegādātāja dokumentācijā, drošības lapā vai noteikumos. Pierakstiet avotu. Ja atbildes nav, uzdodiet jautājumu piegādātājam un pierakstiet atbildi. (4) Pārbaudiet pie katra piegādātāja, kas apstrādā Jūsu personas datus, vai ir noslēgts datu apstrādes līgums un vai tas jāpieņem vai jāparaksta. (5) Vismaz pie vienas pakalpojuma izveidojiet reālu datu eksportu un pārbaudiet, vai varat to atvērt. (6) Aprakstiet trijos teikumos svarīgākā pakalpojuma izstāšanās plānu: uz kurieni dodaties, kā saņemsiet savus datus, cik ilgs laiks Jums tam nepieciešams.
Jūsu atzīmes un piezīmes paliek tikai šajā pārlūkprogrammā; mēs tās nekur nesūtām. Ja esat pieteikušies, sadaļā Mani kursi saglabājam tikai to, ka uzdevums ir paveikts.
Papildu lasāmviela
Soļi WebOké rakstos attiecas uz WebOké vidi; citiem pakalpojumu sniedzējiem tas darbojas līdzīgi vai citādi.
- Nextcloud rokasgrāmata 3.1: Kā WebOké aizsargā Jūsu Nextcloud?
- Nextcloud rokasgrāmata 15.13: Biežāk uzdotie jautājumi par drošību un privātumu
- VDAR (Regula (ES) 2016/679), 28. pants: https://eur-lex.europa.eu/eli/reg/2016/679/oj
- Microsoft, Shared responsibility in the cloud (angļu valodā): https://learn.microsoft.com/en-us/azure/security/fundamentals/shared-responsibility