Модул 7 · 7.2
Оценка на доставчици и облачни услуги
Модул 7: Достъп, доставчици и облак · Време за четене: 11 минути
Цел на урока: След този урок ще можете да оцените доставчик или облачна услуга по отношение на сигурност, поверителност и изход (exit), да обясните какво трябва да урежда договор за обработване на лични данни съгласно GDPR (ОРЗД), и да поддържате инвентаризация на доставчиците.
Основни понятия: споделена отговорност, обработващ лични данни, договор за обработване на лични данни, подизпълнител (субобработващ), местоположение на данните, сертификация (например ISO 27001), стратегия за изход (exit), инвентаризация на доставчиците
Вашата сигурност е толкова силна, колкото Вашите доставчици
Малките предприятия рядко разполагат със собствени сървъри. Пощата работи при доставчик, счетоводството в онлайн пакет, онлайн магазинът на платформа, лаптопите се управляват от IT фирма, а обработката на заплати минава през счетоводна кантора. Това е разумно: тези страни често могат да уредят сигурността по-добре, отколкото бихте могли сами. Но това означава и че голяма част от Вашата сигурност е в ръцете на други.
Начертайте го за себе си. Поставете Вашата фирма в центъра и прекарайте линия към всяка страна, която съхранява Ваши данни или има достъп до Вашите системи. При всяка линия си задайте два въпроса:
- Какво, ако тази страна отпадне? Прекъсване, фалит, увеличение на цената, заради което искате да напуснете.
- Какво, ако тази страна има теч на данни? Пробив при доставчика, служител, който вижда твърде много, акаунт на IT фирмата, който е превзет.
Споделена отговорност
В урок 6.1 вече видяхте модела на споделена отговорност: доставчикът на облачна услуга се грижи за центъра за данни, сървърите и функционирането на софтуера; Вие оставате отговорни за Вашите данни, Вашите акаунти и Вашите настройки. Microsoft заявява в своята документация буквално, че това важи за всеки вид облачна услуга, дори и за готов софтуер.
Какво означава това на практика:
| Доставчикът обикновено урежда | Вие винаги уреждате сами |
|---|---|
| Физическата сигурност на центъра за данни | Кой има акаунт и с какви права (урок 7.1) |
| Актуализации на сървърите и софтуера | Включване и използване на двуфакторно удостоверяване |
| Наличност съгласно договорените условия | Какво споделяте и с кого (урок 7.3) |
| Резервни копия при бедствия (ако е договорено) | Собствено резервно копие или експорт на това, което наистина не бива да загубите (модул 6) |
Често срещана грешка е да приемете, че доставчикът урежда нещо, за което никога не сте питали. Затова попитайте.
Обработващ лични данни и договор за обработване на лични данни
Щом доставчик обработва лични данни за Вас, важат правилата на GDPR (ОРЗД). Помислете за клиентски данни във Вашия онлайн магазин, имейли с имена и адреси, данни за заплати или облачно хранилище с автобиографии на кандидати за работа.
- Вие сте администратор на данни: Вие определяте за какво и как се използват данните.
- Доставчикът е обработващ лични данни: той обработва данните по Ваше възложение, за Вашите цели.
Член 28 от GDPR (ОРЗД) гласи, че можете да използвате само обработващи лични данни, които предоставят достатъчни гаранции за подходящи технически и организационни мерки. Договореностите се фиксират в договор за обработване на лични данни, писмено (електронна форма е допустима). Съгласно член 28, параграф 3, този договор урежда най-малко предмета, продължителността, естеството и целта на обработването, видовете лични данни и засегнатите лица, и че обработващият:
- работи само по Вашите писмени инструкции;
- гарантира, че неговите служители спазват поверителност;
- прилага мерките за сигурност от член 32;
- наема подизпълнител (субобработващ) само с Вашето съгласие, при същите задължения;
- Ви съдейства, когато хората упражняват своите права за защита на личните данни (достъп, корекция, заличаване);
- Ви съдейства при сигурността, нарушенията на сигурността на данните и евентуална оценка на въздействието (ОВЗД) (членове 32 до 36);
- след края заличава или връща данните и премахва копията, по Ваш избор;
- Ви предоставя информацията за проверка дали спазва договореностите, и позволява одити.
Подизпълнител (субобработващ) е страна, която Вашият обработващ сам наема, например центърът за данни на Вашия хостинг доставчик или пощенската услуга на Вашия счетоводен пакет. GDPR (ОРЗД) постановява, че обработващият остава изцяло отговорен пред Вас, ако подизпълнител не изпълнява задълженията си. Поискайте списъка с подизпълнители.
Комисията за защита на личните данни (КЗЛД) препоръчва договореностите да се направят конкретни, вместо просто да се повтаря текстът на закона, и да се запише колко бързо и с каква информация доставчикът ще Ви уведоми за нарушение на сигурността на данните. Последното е важно: в урок 8.2 ще видите, че Вие трябва да уведомите в рамките на 72 часа, а този срок започва да тече едва когато Вие узнаете за това.
Много доставчици разполагат със стандартен договор за обработване на лични данни. Прочетете го и обърнете внимание дали наистина трябва да бъде подписан или приет: при някои доставчици той не влиза автоматично в сила.
Този урок дава общо обяснение и не е правен съвет. Пълният текст се намира в GDPR (ОРЗД) на eur-lex.europa.eu.
Въпроси, които да зададете на доставчик
Оценката не е нужно да бъде одитен доклад от четиридесет страници. За малка фирма добре работи фиксиран списък с въпроси. Отговорите често вече са на уебсайта на доставчика, в страница за сигурност или в списък с често задавани въпроси.
| Тема | Въпрос |
|---|---|
| Местоположение | Къде се намират моите данни, включително резервните копия? Отиват ли в държави извън Европейското икономическо пространство? |
| Достъп | Мога ли да наложа двуфакторно удостоверяване за всички мои потребители? Мога ли да давам на потребителите собствени права? |
| Резервно копие | Прави ли доставчикът резервни копия, колко често, колко дълго се съхраняват, и мога ли сам да възстановявам? |
| Криптиране | Данните криптирани ли са по време на пренос и на диска? |
| Нарушение на сигурността на данните | Колко бързо и как доставчикът ще Ви уведоми при инцидент? |
| Подизпълнители | Кои страни наема, и как ще разберете за промени? |
| Сертификация | Има ли сертификат, например ISO 27001, и за какво важи той? |
| Изход (exit) | Мога ли да експортирам всичките си данни в използваем формат? Какво се случва с моите данни след прекратяване? |
Относно сертификацията: ISO/IEC 27001 е международен стандарт с изисквания за система за управление на сигурността на информацията. ISO самото не сертифицира; това прави независима сертифицираща институция. Сертификатът показва, че дадена организация урежда своята сигурност планомерно, но не гарантира, че никога нищо няма да се случи. Обърнете особено внимание на обхвата на приложение на сертификата: важи ли той за услугата, която Вие използвате, или само за един офис или отдел?
Изход (exit): възможността да напуснете също е сигурност
Стратегия за изход (exit) е Вашият план за напускане на доставчик, принудително или доброволно. Звучи като нещо за по-късно, но трябва да се помисли още при избора: ако разберете едва при фалит, че не можете да експортирате базата си с клиенти, вече е твърде късно.
Затова проверете предварително:
- дали можете да експортирате всички данни, и в какъв формат (отворен формат като CSV, стандартна поща или обикновени файлове е по-добре от собствен формат);
- колко дълго данните Ви остават достъпни след прекратяване;
- дали Вашето домейн име е регистрирано на Ваше име и Вие можете сами да променяте сървърите за имена (nameservers) (урок 4.3);
- дали сами съхранявате скорошен експорт, като част от резервното Ви копие (урок 6.1).
Инвентаризацията на доставчиците
Запишете всичко в инвентаризация на доставчиците: една таблица, в която за всеки доставчик е посочено услугата, какви данни се съхраняват, дали има лични данни сред тях, дали има договор за обработване на лични данни, кой е собственик от Ваша страна, основните отговори от списъка с въпроси и възможността за изход. Преглеждайте я веднъж годишно, и когато се добави нова услуга.
Ако някой от Вашите клиенти попада под обхвата на Закона за киберсигурност (урок 9.1), можете да очаквате, че този клиент ще Ви задава подобни въпроси като Ваш доставчик. Със собствена инвентаризация ще имате отговорите готови.
На практика: ето как изглежда
Много доставчици публикуват отговорите на тези въпроси в страница за сигурност. В примерната среда на WebOké, например, ръководството за Nextcloud описва какво урежда доставчикът и какво прави потребителят сам: къде се намират данните, криптиране по време на пренос и на дисковете, задължително двуфакторно удостоверяване, актуализации и резервни копия, и че за бизнес употреба с лични данни се сключва договор за обработване на лични данни. Това разделение (какво урежда доставчикът, какво правя аз сам) е точно това, което трябва да търсите при всеки доставчик. При други доставчици често е описано в trust center, страница за сигурност или условията; ако не е посочено, попитайте.
Обобщение
- Начертайте Вашите доставчици и при всяка линия се запитайте: какво ако отпадне, какво ако има теч на данни?
- Споделена отговорност: доставчикът урежда инфраструктурата, Вие Вашите данни, акаунти и настройки.
- Ако доставчик обработва лични данни за Вас, той е обработващ лични данни и сключвате договор за обработване на лични данни съгласно член 28 от GDPR (ОРЗД).
- Използвайте фиксиран списък с въпроси: местоположение, достъп, резервно копие, криптиране, нарушение на сигурността на данните, подизпълнители, сертификация, изход.
- Сертификатът означава нещо, но проверете обхвата на приложение; уредете изхода, преди да Ви потрябва.
Тест (quiz)
Задача
Задача D7.2: Вашата инвентаризация на доставчици. Направете таблица на петте Ви най-важни доставчици и облачни услуги. Попълнете за всеки доставчик какви данни се съхраняват, дали има лични данни сред тях, дали има договор за обработване на лични данни, и потърсете отговорите на въпросите от този урок (местоположение, двуфакторно удостоверяване, резервно копие, нарушение на сигурността на данните, подизпълнители, сертификация, изход). Опитайте се при поне една услуга наистина да направите експорт.
Задача D7.2: Вашата инвентаризация на доставчици
Подходете по следния начин: (1) Нарисувайте Вашата фирма в средата с линии към всяка страна, която съхранява Ваши данни или има достъп до Вашите системи. (2) Изберете петте най-важни и направете таблица с: услуга, какви данни, лични данни (да/не), договор за обработка на лични данни (да/не/не е необходим), собственик при Вас, и отговорите на въпросника от урок 7.2: местоположение на данните и резервните копия, задължително двуфакторно удостоверяване (2FA), резервно копие и самостоятелно възстановяване, криптиране, колко бързо се уведомява при нарушение на сигурността на данните, подизпълнители обработващи данни, сертификация с обхват на приложение, износ на данни и какво се случва след прекратяване на договора. (3) Първо потърсете отговорите в документацията, страницата за сигурност или условията на доставчика. Отбележете източника. Ако го няма там, задайте въпроса на доставчика и отбележете отговора. (4) Проверете при всеки доставчик, който обработва лични данни за Вас, дали има договор за обработка на лични данни и дали трябва да бъде приет или подписан. (5) Направете реален износ на данните си от поне една услуга и проверете дали можете да го отворите. (6) Напишете за най-важната услуга в три изречения Вашия план за напускане: къде отивате, как вземате данните си, колко време Ви е нужно за това.
Вашите отметки и бележки остават само в този браузър; не ги изпращаме никъде. Ако сте влезли, в Моите курсове запазваме само че сте изпълнили задачата.
Прочетете още
Стъпките в статиите на WebOké важат за средата на WebOké; при други доставчици работи по подобен или различен начин.
- Nextcloud наръчник 3.1: Как WebOké защитава Вашия Nextcloud?
- Nextcloud наръчник 15.13: Често задавани въпроси за сигурността и поверителността
- GDPR (ОРЗД) (Регламент (ЕС) 2016/679), член 28: https://eur-lex.europa.eu/eli/reg/2016/679/oj
- Microsoft, Shared responsibility in the cloud (на английски): https://learn.microsoft.com/en-us/azure/security/fundamentals/shared-responsibility