Leveranciers en clouddiensten beoordelen

Module 7: Toegang, leveranciers en cloud · Leestijd: 11 minuten

Leerdoel: Na deze les kun je een leverancier of clouddienst beoordelen op beveiliging, privacy en exit, uitleggen wat een verwerkersovereenkomst volgens de AVG moet regelen, en een leveranciersinventaris bijhouden.
Kernbegrippen: gedeelde verantwoordelijkheid, verwerker, verwerkersovereenkomst, subverwerker, locatie van gegevens, certificering (bijvoorbeeld ISO 27001), exitstrategie, leveranciersinventaris

Je beveiliging is zo sterk als je leveranciers

Een klein bedrijf heeft zelden eigen servers. De mail draait bij een aanbieder, de boekhouding in een online pakket, de webwinkel op een platform, de laptops worden beheerd door een IT-bedrijf, en de salarisadministratie gaat via een administratiekantoor. Dat is verstandig: die partijen kunnen beveiliging vaak beter regelen dan je zelf zou kunnen. Maar het betekent ook dat een groot deel van je beveiliging in handen is van anderen.

Teken het eens voor jezelf. Zet je bedrijf in het midden en trek een lijn naar elke partij die gegevens van je bewaart of toegang heeft tot je systemen. Stel bij elke lijn twee vragen:

1. Wat als die partij wegvalt? Een storing, een faillissement, een prijsverhoging waardoor je weg wilt.
2. Wat als die partij lekt? Een inbraak bij de leverancier, een medewerker die te veel kan zien, een account van het IT-bedrijf dat wordt overgenomen.

Gedeelde verantwoordelijkheid

In les 6.1 zag je al het model van gedeelde verantwoordelijkheid: de aanbieder van een clouddienst zorgt voor het datacenter, de servers en de werking van de software; jij blijft verantwoordelijk voor je gegevens, je accounts en je instellingen. Microsoft zegt in zijn documentatie letterlijk dat dat bij elke soort clouddienst zo blijft, ook bij kant-en-klare software.

Wat dat in de praktijk betekent:

Een veelgemaakte fout is aannemen dat de aanbieder iets regelt dat je nooit hebt nagevraagd. Vraag het dus.

Verwerker en verwerkersovereenkomst

Zodra een leverancier persoonsgegevens voor jou verwerkt, gelden de regels van de AVG. Denk aan klantgegevens in je webwinkel, mail met namen en adressen, salarisgegevens, of een cloudopslag met cv's van sollicitanten.

• Jij bent de verwerkingsverantwoordelijke: jij bepaalt waarvoor en hoe de gegevens worden gebruikt.
• De leverancier is een verwerker: hij verwerkt de gegevens in jouw opdracht, voor jouw doelen.

Artikel 28 van de AVG zegt dat je alleen verwerkers mag gebruiken die afdoende garanties bieden voor passende technische en organisatorische maatregelen. De afspraken leg je vast in een verwerkersovereenkomst, schriftelijk (elektronisch mag). Volgens artikel 28 lid 3 regelt die overeenkomst in elk geval het onderwerp, de duur, de aard en het doel van de verwerking, welke soorten persoonsgegevens en betrokkenen het betreft, en dat de verwerker:

1. alleen werkt op jouw schriftelijke instructies;
2. zorgt dat zijn mensen geheimhouding in acht nemen;
3. de beveiligingsmaatregelen van artikel 32 neemt;
4. alleen met jouw toestemming een subverwerker inschakelt, onder dezelfde verplichtingen;
5. je helpt als mensen hun privacyrechten uitoefenen (inzage, correctie, verwijdering);
6. je helpt bij beveiliging, datalekken en een eventuele DPIA (artikelen 32 tot en met 36);
7. na afloop de gegevens wist of teruggeeft en kopieën verwijdert, naar jouw keuze;
8. je de informatie geeft om te controleren dat hij zich aan de afspraken houdt, en audits mogelijk maakt.

Een subverwerker is een partij die je verwerker zelf weer inschakelt, bijvoorbeeld het datacenter van je hostingaanbieder of de maildienst van je boekhoudpakket. De AVG zegt dat de verwerker volledig aansprakelijk blijft tegenover jou als een subverwerker zijn verplichtingen niet nakomt. Vraag naar de lijst met subverwerkers.

De Autoriteit Persoonsgegevens raadt aan om de afspraken concreet te maken, in plaats van alleen de wettekst te herhalen, en om vast te leggen hoe snel en met welke informatie de leverancier je over een datalek informeert. Dat laatste is belangrijk: in les 8.2 zie je dat jij binnen 72 uur moet melden, en die klok begint pas te lopen als jij het weet.

Veel aanbieders hebben een standaard verwerkersovereenkomst. Lees hem, en let op of hij echt ondertekend of geaccepteerd moet worden: bij sommige aanbieders is hij niet automatisch van kracht.

Deze les geeft algemene uitleg en is geen juridisch advies. De volledige tekst staat in de AVG op eur-lex.europa.eu.

Vragen om aan een leverancier te stellen

Een beoordeling hoeft geen auditrapport van veertig pagina's te zijn. Voor een klein bedrijf werkt een vaste vragenlijst goed. De antwoorden staan vaak al op de website van de leverancier, in een beveiligingspagina of een veelgestelde vragen-lijst.

Over certificering: ISO/IEC 27001 is een internationale norm met eisen voor een managementsysteem voor informatiebeveiliging. ISO certificeert zelf niet; dat doet een onafhankelijke certificerende instelling. Een certificaat laat zien dat een organisatie haar beveiliging planmatig regelt, maar het garandeert niet dat er nooit iets gebeurt. Kijk vooral naar het toepassingsgebied op het certificaat: geldt het voor de dienst die jij gebruikt, of alleen voor één kantoor of afdeling?

Exit: weg kunnen is ook beveiliging

Een exitstrategie is je plan om bij een leverancier weg te gaan, gedwongen of vrijwillig. Het klinkt als iets voor later, maar het moet bij het kiezen: als je pas bij een faillissement ontdekt dat je je klantenbestand niet kunt exporteren, is het te laat.

Controleer daarom vooraf:

• of je alle gegevens kunt exporteren, en in welk formaat (een open formaat als CSV, standaard mail of gewone bestanden is beter dan een eigen formaat);
• hoe lang je gegevens na opzegging nog beschikbaar zijn;
• of je domeinnaam op je eigen naam staat en je de nameservers zelf kunt wijzigen (les 4.3);
• of je een recente export zelf bewaart, als onderdeel van je back-up (les 6.1).

De leveranciersinventaris

Leg alles vast in een leveranciersinventaris: één tabel met per leverancier de dienst, welke gegevens er staan, of er persoonsgegevens bij zijn, of er een verwerkersovereenkomst is, wie bij jou eigenaar is, de belangrijkste antwoorden uit de vragenlijst en de exitmogelijkheid. Loop hem eens per jaar na, en als er een nieuwe dienst bij komt.

Valt een van je klanten onder de Cyberbeveiligingswet (les 9.1), dan kun je verwachten dat die klant jou als leverancier dit soort vragen gaat stellen. Met een eigen inventaris heb je de antwoorden klaar.

In de praktijk: zo ziet het eruit

Veel aanbieders zetten de antwoorden op deze vragen in een beveiligingspagina. In de voorbeeldomgeving WebOké beschrijft de Nextcloud-handleiding bijvoorbeeld wat de aanbieder regelt en wat de gebruiker zelf doet: waar de gegevens staan, versleuteling onderweg en op de schijven, verplichte tweestapsverificatie, updates en back-ups, en dat je voor zakelijk gebruik met persoonsgegevens een verwerkersovereenkomst sluit. Die indeling (wat regelt de leverancier, wat doe ik zelf) is precies wat je bij elke leverancier zoekt. Bij andere aanbieders staat het vaak in een trust center, een beveiligingspagina of de voorwaarden; staat het er niet, vraag het dan.

Samenvatting

• Teken je leveranciers en vraag per lijn: wat als die wegvalt, wat als die lekt?
• Gedeelde verantwoordelijkheid: de aanbieder regelt de infrastructuur, jij je gegevens, accounts en instellingen.
• Verwerkt een leverancier persoonsgegevens voor jou, dan is hij verwerker en sluit je een verwerkersovereenkomst volgens AVG artikel 28.
• Gebruik een vaste vragenlijst: locatie, toegang, back-up, versleuteling, datalek, subverwerkers, certificering, exit.
• Een certificaat zegt iets, maar check het toepassingsgebied; regel je exit voordat je hem nodig hebt.

Quiz

Opdracht

Opdracht D7.2: Je leveranciersinventaris. Maak een tabel van je vijf belangrijkste leveranciers en clouddiensten. Vul per leverancier in welke gegevens er staan, of er persoonsgegevens bij zijn, of er een verwerkersovereenkomst is, en zoek de antwoorden op de vragenlijst uit deze les op (locatie, tweestapsverificatie, back-up, datalek, subverwerkers, certificering, exit). Probeer bij minstens één dienst echt een export te maken.

Verder lezen

De stappen in de WebOké-artikelen gelden voor de omgeving van WebOké; bij andere aanbieders werkt het vergelijkbaar of anders.

• Nextcloud handleiding 3.1: Hoe beveiligt WebOké je Nextcloud?
• Nextcloud handleiding 15.13: Veelgestelde vragen over beveiliging en privacy
• AVG (Verordening (EU) 2016/679), artikel 28: https://eur-lex.europa.eu/eli/reg/2016/679/oj
• Microsoft, Shared responsibility in the cloud (Engels): https://learn.microsoft.com/en-us/azure/security/fundamentals/shared-responsibility