Ocena dostawców i usług w chmurze
Moduł 7: Dostęp, dostawcy i chmura · Czas czytania: 11 minut
Cel lekcji: Po tej lekcji będą Państwo potrafili ocenić dostawcę lub usługę w chmurze pod kątem bezpieczeństwa, prywatności i możliwości wyjścia, wyjaśnić, co musi regulować umowa powierzenia przetwarzania danych zgodnie z RODO, oraz prowadzić inwentaryzację dostawców.
Kluczowe pojęcia: wspólna odpowiedzialność, podmiot przetwarzający, umowa powierzenia przetwarzania danych, podpowierzenie, lokalizacja danych, certyfikacja (np. ISO 27001), strategia wyjścia, inwentaryzacja dostawców
Państwa bezpieczeństwo jest tak silne, jak Państwa dostawcy
Małe firmy rzadko mają własne serwery. Poczta działa u dostawcy, księgowość w pakiecie online, sklep internetowy na platformie, laptopami zarządza firma IT, a kadry i płace obsługuje biuro rachunkowe. To rozsądne rozwiązanie: te podmioty często potrafią lepiej zadbać o bezpieczeństwo, niż byliby Państwo w stanie zrobić to sami. Oznacza to jednak również, że znaczna część Państwa bezpieczeństwa znajduje się w rękach innych podmiotów.
Proszę to sobie narysować. Proszę umieścić swoją firmę na środku i poprowadzić linię do każdego podmiotu, który przechowuje Państwa dane lub ma dostęp do Państwa systemów. Przy każdej linii proszę zadać sobie dwa pytania:
- Co się stanie, jeśli ten podmiot zniknie? Awaria, upadłość, podwyżka cen, przez którą chcą Państwo odejść.
- Co się stanie, jeśli dojdzie u niego do wycieku? Włamanie u dostawcy, pracownik, który widzi za dużo, przejęcie konta firmy IT.
Wspólna odpowiedzialność
W lekcji 6.1 widzieli już Państwo model wspólnej odpowiedzialności: dostawca usługi w chmurze dba o centrum danych, serwery i działanie oprogramowania; Państwo nadal odpowiadają za swoje dane, konta i ustawienia. Microsoft w swojej dokumentacji stwierdza wprost, że dotyczy to każdego rodzaju usługi w chmurze, również gotowego oprogramowania.
Co to oznacza w praktyce:
| Dostawca zazwyczaj zapewnia | Państwo zawsze zapewniają sami |
|---|---|
| Fizyczne zabezpieczenie centrum danych | Kto ma konto i z jakimi uprawnieniami (lekcja 7.1) |
| Aktualizacje serwerów i oprogramowania | Włączenie i używanie uwierzytelniania dwuskładnikowego |
| Dostępność zgodnie z ustaleniami | Co i z kim Państwo udostępniają (lekcja 7.3) |
| Kopie zapasowe na wypadek awarii (jeśli tak uzgodniono) | Własną kopię zapasową lub eksport tego, czego naprawdę nie mogą Państwo stracić (moduł 6) |
Częstym błędem jest zakładanie, że dostawca zapewnia coś, o co nigdy nie zapytano. Proszę więc zapytać.
Podmiot przetwarzający i umowa powierzenia przetwarzania danych
Gdy tylko dostawca przetwarza dla Państwa dane osobowe, obowiązują przepisy RODO. Chodzi na przykład o dane klientów w sklepie internetowym, pocztę z nazwiskami i adresami, dane płacowe czy przechowywanie w chmurze CV kandydatów do pracy.
- Są Państwo administratorem danych: to Państwo decydują, w jakim celu i w jaki sposób dane są wykorzystywane.
- Dostawca jest podmiotem przetwarzającym: przetwarza dane na Państwa zlecenie, w Państwa celach.
Artykuł 28 RODO mówi, że mogą Państwo korzystać wyłącznie z podmiotów przetwarzających, które dają wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych. Ustalenia zapisuje się w umowie powierzenia przetwarzania danych, na piśmie (forma elektroniczna jest dopuszczalna). Zgodnie z artykułem 28 ust. 3 taka umowa reguluje co najmniej przedmiot, czas trwania, charakter i cel przetwarzania, rodzaj danych osobowych i kategorie osób, których dane dotyczą, a także to, że podmiot przetwarzający:
- działa wyłącznie na Państwa pisemne polecenie;
- zapewnia, że jego pracownicy zachowują tajemnicę;
- stosuje środki bezpieczeństwa z artykułu 32;
- korzysta z podwykonawcy (podpowierzenia) wyłącznie za Państwa zgodą, na tych samych zasadach;
- pomaga Państwu, gdy osoby korzystają ze swoich praw w zakresie prywatności (dostęp, sprostowanie, usunięcie);
- pomaga przy zabezpieczeniach, naruszeniach ochrony danych i ewentualnej ocenie skutków dla ochrony danych (artykuły od 32 do 36);
- po zakończeniu świadczenia usług usuwa lub zwraca dane i usuwa kopie, zgodnie z Państwa wyborem;
- udostępnia Państwu informacje potrzebne do weryfikacji przestrzegania ustaleń i umożliwia audyty.
Podwykonawca (podpowierzenie) to podmiot, którego korzysta z usług Państwa podmiot przetwarzający, na przykład centrum danych dostawcy hostingu albo usługa pocztowa pakietu księgowego. RODO stanowi, że podmiot przetwarzający pozostaje w pełni odpowiedzialny wobec Państwa, jeśli podwykonawca nie wywiązuje się ze swoich obowiązków. Proszę zapytać o listę podwykonawców.
Prezes Urzędu Ochrony Danych Osobowych (UODO) zaleca, aby ustalenia były konkretne, a nie stanowiły jedynie powtórzenia tekstu przepisów, oraz aby zapisać, jak szybko i z jakimi informacjami dostawca poinformuje Państwa o naruszeniu ochrony danych. To ostatnie jest ważne: w lekcji 8.2 zobaczą Państwo, że zgłoszenie musi nastąpić w ciągu 72 godzin, a ten termin zaczyna biec dopiero od chwili, gdy Państwo się o tym dowiedzą.
Wielu dostawców ma standardową umowę powierzenia przetwarzania danych. Proszę ją przeczytać i sprawdzić, czy rzeczywiście trzeba ją podpisać lub zaakceptować: u niektórych dostawców nie obowiązuje ona automatycznie.
Ta lekcja zawiera ogólne wyjaśnienia i nie stanowi porady prawnej. Pełny tekst znajduje się w RODO na stronie eur-lex.europa.eu.
Pytania, które warto zadać dostawcy
Ocena nie musi przyjąć formy czterdziestostronicowego raportu z audytu. Dla małej firmy dobrze sprawdza się stała lista pytań. Odpowiedzi często znajdują się już na stronie dostawcy, na stronie poświęconej bezpieczeństwu lub w liście najczęściej zadawanych pytań.
| Temat | Pytanie |
|---|---|
| Lokalizacja | Gdzie znajdują się moje dane, również kopie zapasowe? Czy trafiają do krajów spoza Europejskiego Obszaru Gospodarczego? |
| Dostęp | Czy mogę wymusić uwierzytelnianie dwuskładnikowe dla wszystkich moich użytkowników? Czy mogę nadawać użytkownikom własne uprawnienia? |
| Kopia zapasowa | Czy dostawca tworzy kopie zapasowe, jak często, jak długo są przechowywane i czy mogę sam je przywrócić? |
| Szyfrowanie | Czy dane są szyfrowane podczas przesyłania i na dysku? |
| Naruszenie ochrony danych | Jak szybko i w jaki sposób dostawca informuje mnie o incydencie? |
| Podwykonawcy | Z jakich podmiotów korzysta i jak dowiaduję się o zmianach? |
| Certyfikacja | Czy istnieje certyfikat, na przykład ISO 27001, i czego dokładnie dotyczy? |
| Wyjście | Czy mogę wyeksportować wszystkie swoje dane w użytecznym formacie? Co dzieje się z moimi danymi po wypowiedzeniu umowy? |
Jeśli chodzi o certyfikację: ISO/IEC 27001 to międzynarodowa norma określająca wymagania dla systemu zarządzania bezpieczeństwem informacji. ISO samo nie wydaje certyfikatów; robi to niezależna jednostka certyfikująca. Certyfikat pokazuje, że organizacja w sposób planowy zarządza swoim bezpieczeństwem, ale nie gwarantuje, że nigdy nic się nie wydarzy. Proszę zwrócić szczególną uwagę na zakres stosowania podany na certyfikacie: czy dotyczy on usługi, z której Państwo korzystają, czy tylko jednego biura lub działu?
Wyjście: możliwość odejścia to też bezpieczeństwo
Strategia wyjścia to Państwa plan na odejście od dostawcy, wymuszone lub dobrowolne. Brzmi jak coś na później, ale trzeba o tym pomyśleć już przy wyborze: jeśli dopiero w chwili upadłości dostawcy odkryją Państwo, że nie można wyeksportować bazy klientów, będzie za późno.
Proszę więc sprawdzić wcześniej:
- czy można wyeksportować wszystkie dane i w jakim formacie (otwarty format, taki jak CSV, standardowa poczta czy zwykłe pliki, jest lepszy niż format własny dostawcy);
- jak długo dane pozostają dostępne po wypowiedzeniu umowy;
- czy nazwa domeny jest zarejestrowana na Państwa nazwisko/firmę i czy mogą Państwo samodzielnie zmieniać serwery nazw (lekcja 4.3);
- czy przechowują Państwo sami aktualny eksport danych, jako część swojej kopii zapasowej (lekcja 6.1).
Inwentaryzacja dostawców
Proszę zapisać wszystko w inwentaryzacji dostawców: jedna tabela, w której dla każdego dostawcy wskazują Państwo usługę, jakie dane są przechowywane, czy wśród nich są dane osobowe, czy istnieje umowa powierzenia przetwarzania danych, kto po Państwa stronie jest właścicielem relacji, najważniejsze odpowiedzi z listy pytań oraz możliwość wyjścia. Proszę przeglądać ją raz w roku oraz za każdym razem, gdy pojawia się nowa usługa.
Jeśli jeden z Państwa klientów podlega ustawie o krajowym systemie cyberbezpieczeństwa (KSC) (lekcja 9.1), mogą Państwo spodziewać się, że ten klient, jako odbiorca Państwa usług, zada Państwu podobne pytania jak dostawcy. Mając własną inwentaryzację, będą Państwo mieli odpowiedzi gotowe.
W praktyce: jak to wygląda
Wielu dostawców umieszcza odpowiedzi na te pytania na stronie poświęconej bezpieczeństwu. W środowisku przykładowym WebOké instrukcja dotycząca Nextcloud opisuje na przykład, co zapewnia dostawca, a co użytkownik robi sam: gdzie znajdują się dane, szyfrowanie podczas przesyłania i na dyskach, obowiązkowe uwierzytelnianie dwuskładnikowe, aktualizacje i kopie zapasowe, a także to, że przy użytkowaniu firmowym z danymi osobowymi zawiera się umowę powierzenia przetwarzania danych. Taki podział (co zapewnia dostawca, co robię sam) to dokładnie to, czego należy szukać u każdego dostawcy. U innych dostawców informacje te znajdują się często w centrum zaufania, na stronie poświęconej bezpieczeństwu lub w regulaminie; jeśli ich tam nie ma, proszę zapytać.
Podsumowanie
- Proszę narysować swoich dostawców i przy każdej linii zapytać: co się stanie, jeśli ten podmiot zniknie, co się stanie, jeśli dojdzie u niego do wycieku?
- Wspólna odpowiedzialność: dostawca zapewnia infrastrukturę, Państwo odpowiadają za swoje dane, konta i ustawienia.
- Jeśli dostawca przetwarza dla Państwa dane osobowe, jest podmiotem przetwarzającym i zawierają Państwo z nim umowę powierzenia przetwarzania danych zgodnie z artykułem 28 RODO.
- Proszę korzystać ze stałej listy pytań: lokalizacja, dostęp, kopia zapasowa, szyfrowanie, naruszenie ochrony danych, podwykonawcy, certyfikacja, wyjście.
- Certyfikat coś mówi, ale proszę sprawdzić jego zakres stosowania; strategię wyjścia proszę ustalić, zanim będzie potrzebna.
Quiz
Zadanie
Zadanie D7.2: Państwa inwentaryzacja dostawców. Proszę stworzyć tabelę swoich pięciu najważniejszych dostawców i usług w chmurze. Proszę uzupełnić dla każdego dostawcy, jakie dane są przechowywane, czy wśród nich są dane osobowe, czy istnieje umowa powierzenia przetwarzania danych, a także odnaleźć odpowiedzi na pytania z listy z tej lekcji (lokalizacja, uwierzytelnianie dwuskładnikowe, kopia zapasowa, naruszenie ochrony danych, podwykonawcy, certyfikacja, wyjście). Proszę spróbować przy co najmniej jednej usłudze rzeczywiście wykonać eksport danych.
Zadanie D7.2: Inwentaryzacja dostawców
Jak to zrobić: (1) Proszę narysować swoją firmę pośrodku z liniami do każdej strony, która przechowuje Państwa dane lub ma dostęp do Państwa systemów. (2) Proszę wybrać pięć najważniejszych i stworzyć tabelę z: usługą, jakie dane, dane osobowe (tak/nie), umowa powierzenia przetwarzania danych (tak/nie/niepotrzebna), właściciel po Państwa stronie oraz odpowiedzi na pytania z lekcji 7.2: lokalizacja danych i kopii zapasowych, możliwość wymuszenia uwierzytelniania dwuskładnikowego (2FA), kopia zapasowa i samodzielne przywracanie, szyfrowanie, jak szybko informują o naruszeniu danych, podwykonawcy przetwarzania, certyfikacja z zakresem stosowania, eksport danych oraz co dzieje się po rozwiązaniu umowy. (3) Proszę najpierw poszukać odpowiedzi w dokumentacji, na stronie dotyczącej bezpieczeństwa lub w warunkach dostawcy. Proszę zanotować źródło. Jeśli odpowiedzi nie ma, proszę zadać pytanie dostawcy i zapisać odpowiedź. (4) Przy każdym dostawcy, który przetwarza dla Państwa dane osobowe, proszę sprawdzić, czy istnieje umowa powierzenia przetwarzania danych i czy trzeba ją zaakceptować lub podpisać. (5) Proszę przy co najmniej jednej usłudze rzeczywiście wykonać eksport danych i sprawdzić, czy można go otworzyć. (6) Przy najważniejszej usłudze proszę opisać w trzech zdaniach swój plan wyjścia: dokąd Państwo przechodzą, jak zabiorą Państwo swoje dane, ile czasu na to potrzeba.
Zaznaczenia i notatki pozostają tylko w tej przeglądarce; nie są nigdzie wysyłane. Po zalogowaniu w Moje kursy zapisywana jest jedynie informacja, że zadanie zostało wykonane.
Przeczytaj więcej
Kroki opisane w artykułach WebOké dotyczą środowiska WebOké; u innych dostawców działa to podobnie lub inaczej.
- Podręcznik Nextcloud 3.1: Jak WebOké zabezpiecza Pana/Pani Nextcloud?
- Podręcznik Nextcloud 15.13: Najczęściej zadawane pytania dotyczące bezpieczeństwa i prywatności
- RODO (Rozporządzenie (UE) 2016/679), artykuł 28: https://eur-lex.europa.eu/eli/reg/2016/679/oj
- Microsoft, Shared responsibility in the cloud (w języku angielskim): https://learn.microsoft.com/en-us/azure/security/fundamentals/shared-responsibility