Modul 7 · 7.2
Procjena dobavljača i cloud usluga
Modul 7: Pristup, dobavljači i cloud · Vrijeme čitanja: 11 minuta
Cilj učenja: Nakon ove lekcije moći ćete procijeniti dobavljača ili cloud uslugu po sigurnosti, privatnosti i mogućnosti izlaska, objasniti što prema GDPR-u mora biti uređeno ugovorom o obradi podataka, i voditi inventar dobavljača.
Ključni pojmovi: podijeljena odgovornost, izvršitelj obrade, ugovor o obradi podataka, podobrađivač, lokacija podataka, certifikacija (na primjer ISO 27001), strategija izlaska, inventar dobavljača
Vaša sigurnost jaka je onoliko koliko i Vaši dobavljači
Malo poduzeće rijetko ima vlastite poslužitelje. E-pošta se vodi kod pružatelja usluge, knjigovodstvo u online paketu, web trgovina na platformi, prijenosna računala održava IT tvrtka, a obračun plaća ide preko knjigovodstvenog servisa. To je razumno: te stranke često mogu bolje urediti sigurnost nego što biste to mogli sami. No to znači i da je velik dio Vaše sigurnosti u rukama drugih.
Nacrtajte to za sebe. Stavite svoju tvrtku u sredinu i povucite liniju prema svakoj stranci koja čuva Vaše podatke ili ima pristup Vašim sustavima. Kod svake linije postavite dva pitanja:
- Što ako ta stranka otpadne? Prekid rada, stečaj, povećanje cijene zbog kojeg želite otići.
- Što ako ta stranka procuri podatke? Provala kod dobavljača, zaposlenik koji vidi previše, račun IT tvrtke koji je preuzet.
Podijeljena odgovornost
U lekciji 6.1 već ste vidjeli model podijeljene odgovornosti: pružatelj cloud usluge brine se za podatkovni centar, poslužitelje i rad softvera; Vi ostajete odgovorni za svoje podatke, svoje račune i svoje postavke. Microsoft u svojoj dokumentaciji doslovno navodi da to vrijedi za svaku vrstu cloud usluge, pa i kod gotovog softvera.
Što to znači u praksi:
| Dobavljač obično uređuje | Vi uvijek sami uređujete |
|---|---|
| Fizičku sigurnost podatkovnog centra | Tko ima račun i s kojim pravima (lekcija 7.1) |
| Ažuriranja poslužitelja i softvera | Uključivanje i korištenje dvofaktorske autentifikacije |
| Dostupnost prema dogovorenim uvjetima | Što dijelite i s kim (lekcija 7.3) |
| Sigurnosne kopije za hitne slučajeve (ako je to dogovoreno) | Vlastitu sigurnosnu kopiju ili izvoz onoga što zaista ne smijete izgubiti (modul 6) |
Česta pogreška je pretpostaviti da dobavljač nešto uređuje, a da to niste nikada provjerili. Zato pitajte.
Izvršitelj obrade i ugovor o obradi podataka
Čim dobavljač za Vas obrađuje osobne podatke, vrijede pravila GDPR-a. Mislite na podatke kupaca u Vašoj web trgovini, e-poštu s imenima i adresama, podatke o plaćama, ili cloud pohranu sa životopisima kandidata.
- Vi ste voditelj obrade: Vi određujete zašto i kako se podaci koriste.
- Dobavljač je izvršitelj obrade: on obrađuje podatke po Vašem nalogu, za Vaše svrhe.
Članak 28. GDPR-a kaže da smijete koristiti samo izvršitelje obrade koji pružaju dostatna jamstva za primjenu odgovarajućih tehničkih i organizacijskih mjera. Dogovore zapisujete u ugovoru o obradi podataka, u pisanom obliku (elektronski je dopušten). Prema članku 28. stavku 3. taj ugovor u svakom slučaju uređuje predmet, trajanje, narav i svrhu obrade, vrste osobnih podataka i kategorije ispitanika, te obvezu izvršitelja obrade da:
- djeluje samo na temelju Vaših pisanih uputa;
- osigura da njegovi djelatnici poštuju povjerljivost;
- poduzme sigurnosne mjere iz članka 32.;
- angažira podobrađivača samo uz Vašu suglasnost, pod istim obvezama;
- pomaže Vam kad ljudi ostvaruju svoja prava na privatnost (uvid, ispravak, brisanje);
- pomaže Vam kod sigurnosti, povreda osobnih podataka i eventualne procjene učinka na zaštitu podataka (DPIA, članci 32. do 36.);
- nakon završetka briše ili vraća podatke i uklanja kopije, prema Vašem izboru;
- Vam daje informacije kako biste provjerili poštuje li dogovore, i omogući revizije (audite).
Podobrađivač je stranka koju Vaš izvršitelj obrade sam dalje angažira, na primjer podatkovni centar Vašeg hosting dobavljača ili servis e-pošte Vašeg knjigovodstvenog paketa. GDPR kaže da izvršitelj obrade ostaje u potpunosti odgovoran prema Vama ako podobrađivač ne ispuni svoje obveze. Zatražite popis podobrađivača.
Agencija za zaštitu osobnih podataka (AZOP) preporučuje da dogovore konkretizirate, umjesto da samo ponovite tekst zakona, te da zapišete koliko brzo i s kojim informacijama Vas dobavljač obavještava o povredi osobnih podataka. To je potonje važno: u lekciji 8.2 vidjet ćete da morate prijaviti u roku od 72 sata, a taj rok počinje teći tek kad Vi saznate.
Mnogi dobavljači imaju standardni ugovor o obradi podataka. Pročitajte ga, i provjerite mora li zaista biti potpisan ili prihvaćen: kod nekih dobavljača nije automatski na snazi.
Ova lekcija daje opće objašnjenje i nije pravni savjet. Potpuni tekst nalazi se u GDPR-u na eur-lex.europa.eu.
Pitanja koja postavljate dobavljaču
Procjena ne mora biti izvještaj revizije od četrdeset stranica. Za malo poduzeće dobro funkcionira stalni popis pitanja. Odgovori često već stoje na web stranici dobavljača, na stranici o sigurnosti ili u popisu čestih pitanja.
| Tema | Pitanje |
|---|---|
| Lokacija | Gdje se nalaze moji podaci, uključujući sigurnosne kopije? Idu li u zemlje izvan Europskog gospodarskog prostora? |
| Pristup | Mogu li nametnuti dvofaktorsku autentifikaciju za sve svoje korisnike? Mogu li korisnicima dodijeliti vlastita prava? |
| Sigurnosna kopija | Izrađuje li dobavljač sigurnosne kopije, koliko često, koliko dugo se čuvaju, i mogu li sam vratiti podatke? |
| Enkripcija | Jesu li podaci šifrirani tijekom prijenosa i na disku? |
| Povreda podataka | Koliko brzo i kako me dobavljač obavještava kod incidenta? |
| Podobrađivači | Koje stranke angažira, i kako saznajem za promjene? |
| Certifikacija | Postoji li certifikat, na primjer ISO 27001, i za što vrijedi? |
| Izlazak | Mogu li izvesti sve svoje podatke u upotrebljivom formatu? Što se događa s mojim podacima nakon otkaza? |
O certifikaciji: ISO/IEC 27001 međunarodna je norma sa zahtjevima za sustav upravljanja informacijskom sigurnošću. ISO sam ne izdaje certifikate; to čini neovisno certifikacijsko tijelo. Certifikat pokazuje da organizacija sustavno uređuje svoju sigurnost, ali ne jamči da se nikada ništa neće dogoditi. Posebno obratite pozornost na područje primjene na certifikatu: vrijedi li za uslugu koju Vi koristite, ili samo za jedan ured ili odjel?
Izlazak: moći otići je i sigurnost
Strategija izlaska je Vaš plan za odlazak od dobavljača, prisilan ili dobrovoljan. Zvuči kao nešto za kasnije, ali to treba urediti već pri odabiru: ako tek kod stečaja otkrijete da ne možete izvesti bazu kupaca, prekasno je.
Zato unaprijed provjerite:
- možete li izvesti sve podatke, i u kojem formatu (otvoreni format poput CSV, standardna e-pošta ili obične datoteke bolji su od vlastitog formata);
- koliko dugo su Vaši podaci dostupni nakon otkaza;
- je li Vaša domena registrirana na Vaše ime i možete li sami mijenjati nazive poslužitelja imena (lekcija 4.3);
- čuvate li sami nedavni izvoz, kao dio svoje sigurnosne kopije (lekcija 6.1).
Inventar dobavljača
Zapišite sve u inventar dobavljača: jednu tablicu s podacima po dobavljaču o usluzi, koji se podaci čuvaju, ima li među njima osobnih podataka, postoji li ugovor o obradi podataka, tko je kod Vas vlasnik, najvažniji odgovori iz popisa pitanja i mogućnost izlaska. Pregledajte ga jednom godišnje, i kad dodate novu uslugu.
Ako jedan od Vaših klijenata spada pod Zakon o kibernetičkoj sigurnosti (lekcija 9.1), možete očekivati da će Vam taj klijent kao dobavljaču postaviti upravo ovakva pitanja. S vlastitim inventarom imate odgovore spremne.
U praksi: tako to izgleda
Mnogi dobavljači stavljaju odgovore na ova pitanja na stranicu o sigurnosti. U demonstracijskom okruženju WebOké, upute za Nextcloud opisuju primjerice što uređuje dobavljač, a što korisnik radi sam: gdje se nalaze podaci, enkripciju tijekom prijenosa i na diskovima, obveznu dvofaktorsku autentifikaciju, ažuriranja i sigurnosne kopije, te da za poslovnu uporabu s osobnim podacima sklapate ugovor o obradi podataka. Ta podjela (što uređuje dobavljač, što radim sam) upravo je ono što tražite kod svakog dobavljača. Kod drugih dobavljača to često stoji u centru povjerenja, na stranici o sigurnosti ili u uvjetima korištenja; ako ne stoji, pitajte.
Sažetak
- Nacrtajte svoje dobavljače i kod svake linije pitajte: što ako ta stranka otpadne, što ako procuri podatke?
- Podijeljena odgovornost: dobavljač uređuje infrastrukturu, Vi svoje podatke, račune i postavke.
- Ako dobavljač za Vas obrađuje osobne podatke, on je izvršitelj obrade i sklapate ugovor o obradi podataka prema članku 28. GDPR-a.
- Koristite stalni popis pitanja: lokacija, pristup, sigurnosna kopija, enkripcija, povreda podataka, podobrađivači, certifikacija, izlazak.
- Certifikat nešto govori, ali provjerite područje primjene; uredite izlazak prije nego Vam zatreba.
Kviz
Zadatak
Zadatak D7.2: Vaš inventar dobavljača. Izradite tablicu Vaših pet najvažnijih dobavljača i cloud usluga. Za svakog dobavljača unesite koji se podaci čuvaju, ima li među njima osobnih podataka, postoji li ugovor o obradi podataka, te pronađite odgovore na pitanja iz popisa iz ove lekcije (lokacija, dvofaktorska autentifikacija, sigurnosna kopija, povreda podataka, podobrađivači, certifikacija, izlazak). Pokušajte barem kod jedne usluge zaista napraviti izvoz.
Zadatak D7.2: Vaš inventar dobavljača
Pristup korak po korak: (1) Nacrtajte Vašu tvrtku u sredini s linijama prema svakoj strani koja čuva Vaše podatke ili ima pristup Vašim sustavima. (2) Odaberite pet najvažnijih i napravite tablicu s: uslugom, vrstom podataka, osobnim podacima (da/ne), ugovorom o obradi podataka (da/ne/nije potrebno), vlasnikom kod Vas, te odgovorima na upitnik iz lekcije 7.2: lokacija podataka i sigurnosnih kopija, obvezna dvofaktorska autentifikacija (2FA), sigurnosna kopija i samostalno vraćanje, enkripcija, brzina obavještavanja kod povrede podataka, podobrađivači, certifikacija s područjem primjene, izvoz podataka i što se događa nakon otkazivanja. (3) Prvo potražite odgovore u dokumentaciji, na stranici o sigurnosti ili u uvjetima dobavljača. Zabilježite izvor. Ako informacija nije dostupna, postavite pitanje dobavljaču i zabilježite odgovor. (4) Za svakog dobavljača koji za Vas obrađuje osobne podatke provjerite postoji li ugovor o obradi podataka i treba li ga prihvatiti ili potpisati. (5) Kod barem jedne usluge stvarno napravite izvoz svojih podataka i provjerite možete li ga otvoriti. (6) Za najvažniju uslugu napišite u tri rečenice svoj plan izlaska: kamo odlazite, kako preuzimate svoje podatke, koliko vremena Vam je za to potrebno.
Vaše kvačice i bilješke ostaju samo u ovom pregledniku; ne šaljemo ih nikamo. Ako ste prijavljeni, u Moji tečajevi čuvamo samo podatak da ste zadatak završili.
Dodatno štivo
Koraci u WebOké člancima vrijede za okruženje WebOké; kod drugih dobavljača to funkcionira slično ili drugačije.
- Nextcloud priručnik 3.1: Kako WebOké osigurava Vaš Nextcloud?
- Nextcloud priručnik 15.13: Često postavljana pitanja o sigurnosti i privatnosti
- GDPR (Uredba (EU) 2016/679), članak 28.: https://eur-lex.europa.eu/eli/reg/2016/679/oj
- Microsoft, Shared responsibility in the cloud (na engleskom): https://learn.microsoft.com/en-us/azure/security/fundamentals/shared-responsibility