Modul 7 · 7.2
Posudzovanie dodávateľov a cloudových služieb
Modul 7: Prístup, dodávatelia a cloud · Čas čítania: 11 minút
Cieľ lekcie: Po tejto lekcii dokážete posúdiť dodávateľa alebo cloudovú službu z hľadiska bezpečnosti, ochrany súkromia a možnosti odchodu, vysvetliť, čo musí podľa GDPR upravovať sprostredkovateľská zmluva, a viesť prehľad dodávateľov.
Kľúčové pojmy: zdieľaná zodpovednosť, sprostredkovateľ, sprostredkovateľská zmluva, subsprostredkovateľ, miesto uloženia údajov, certifikácia (napríklad ISO 27001), exitová stratégia, prehľad dodávateľov
Vaša bezpečnosť je taká silná, ako sú vaši dodávatelia
Malá firma zriedkakedy má vlastné servery. Pošta beží u poskytovateľa, účtovníctvo v online balíku, e-shop na platforme, notebooky spravuje IT firma a mzdovú agendu zabezpečuje účtovná kancelária. To je rozumné: tieto subjekty často dokážu bezpečnosť zabezpečiť lepšie, než by ste to dokázali sami. Znamená to však aj to, že veľká časť vašej bezpečnosti je v rukách iných.
Skúste si to raz nakresliť. Umiestnite svoju firmu do stredu a nakreslite čiaru ku každému subjektu, ktorý uchováva vaše údaje alebo má prístup k vašim systémom. Pri každej čiare si položte dve otázky:
- Čo ak tento subjekt vypadne? Výpadok, konkurz, zvýšenie ceny, kvôli ktorému chcete odísť.
- Čo ak tento subjekt unikne údaje? Vlámanie u dodávateľa, zamestnanec, ktorý vidí príliš veľa, účet IT firmy, ktorý niekto prevezme.
Zdieľaná zodpovednosť
V lekcii 6.1 ste už videli model zdieľanej zodpovednosti: poskytovateľ cloudovej služby sa stará o dátové centrum, servery a fungovanie softvéru; vy ostávate zodpovední za svoje údaje, svoje účty a svoje nastavenia. Microsoft vo svojej dokumentácii doslova uvádza, že to platí pri každom type cloudovej služby, aj pri hotovom softvéri.
Čo to v praxi znamená:
| Poskytovateľ zvyčajne zabezpečuje | Vy si vždy zabezpečujete sami |
|---|---|
| Fyzickú bezpečnosť dátového centra | Kto má účet a s akými právami (lekcia 7.1) |
| Aktualizácie serverov a softvéru | Zapnutie a používanie dvojfaktorového overenia |
| Dostupnosť podľa dohodnutých podmienok | Čo zdieľate a s kým (lekcia 7.3) |
| Zálohy pre prípad havárie (ak je to dohodnuté) | Vlastnú zálohu alebo export toho, čo naozaj nesmiete stratiť (modul 6) |
Častou chybou je predpokladať, že poskytovateľ zabezpečuje niečo, čo ste si nikdy neoverili. Preto sa na to opýtajte.
Sprostredkovateľ a sprostredkovateľská zmluva
Hneď ako dodávateľ pre vás spracúva osobné údaje, platia pravidlá GDPR. Myslite napríklad na údaje zákazníkov vo vašom e-shope, poštu s menami a adresami, mzdové údaje alebo cloudové úložisko so životopismi uchádzačov.
- Vy ste prevádzkovateľ: vy určujete, na čo a akým spôsobom sa údaje používajú.
- Dodávateľ je sprostredkovateľ: spracúva údaje na váš pokyn, pre vaše ciele.
Článok 28 GDPR hovorí, že smiete využívať len takých sprostredkovateľov, ktorí poskytujú dostatočné záruky primeraných technických a organizačných opatrení. Dohody zaznamenávate v sprostredkovateľskej zmluve, písomne (elektronická forma je v poriadku). Podľa článku 28 ods. 3 táto zmluva musí upravovať aspoň predmet, dobu trvania, povahu a účel spracúvania, druh osobných údajov a kategórie dotknutých osôb, a to, že sprostredkovateľ:
- koná len na základe vašich písomných pokynov;
- zabezpečí, aby jeho zamestnanci dodržiavali mlčanlivosť;
- prijme bezpečnostné opatrenia podľa článku 32;
- zapojí subsprostredkovateľa len s vaším súhlasom, pri rovnakých povinnostiach;
- pomáha vám, keď si ľudia uplatňujú svoje práva na ochranu osobných údajov (prístup, oprava, vymazanie);
- pomáha vám pri bezpečnosti, únikoch údajov a prípadnom posúdení vplyvu na ochranu údajov (DPIA, články 32 až 36);
- po skončení spracúvania údaje vymaže alebo vráti a odstráni kópie, podľa vášho výberu;
- vám poskytne informácie na overenie dodržiavania dohôd a umožní audity.
Subsprostredkovateľ je subjekt, ktorý si váš sprostredkovateľ sám zaň zapojí, napríklad dátové centrum vášho poskytovateľa hostingu alebo poštová služba vášho účtovného balíka. GDPR hovorí, že sprostredkovateľ voči vám zostáva plne zodpovedný, ak subsprostredkovateľ nedodrží svoje povinnosti. Vyžiadajte si zoznam subsprostredkovateľov.
Úrad na ochranu osobných údajov odporúča dohody formulovať konkrétne, namiesto opakovania samotného znenia zákona, a stanoviť, ako rýchlo a s akými informáciami vás dodávateľ bude informovať o úniku údajov. Toto je dôležité: v lekcii 8.2 uvidíte, že musíte nahlásiť do 72 hodín, a táto lehota začína plynúť až vo chvíli, keď sa o tom dozviete vy.
Veľa poskytovateľov má štandardnú sprostredkovateľskú zmluvu. Prečítajte si ju a dajte pozor na to, či ju treba skutočne podpísať alebo odsúhlasiť: u niektorých poskytovateľov nie je automaticky účinná.
Táto lekcia poskytuje všeobecné vysvetlenie a nie je právnym poradenstvom. Úplné znenie nájdete v GDPR na eur-lex.europa.eu.
Otázky, ktoré by ste mali dodávateľovi položiť
Posúdenie nemusí byť auditovou správou na štyridsať strán. Pre malú firmu dobre funguje stály zoznam otázok. Odpovede často už nájdete na webovej stránke dodávateľa, na bezpečnostnej stránke alebo v zozname často kladených otázok.
| Téma | Otázka |
|---|---|
| Umiestnenie | Kde sa nachádzajú moje údaje, vrátane záloh? Prenášajú sa do krajín mimo Európskeho hospodárskeho priestoru? |
| Prístup | Môžem vynútiť dvojfaktorové overenie pre všetkých svojich používateľov? Môžem používateľom prideľovať vlastné práva? |
| Záloha | Robí dodávateľ zálohy, ako často, ako dlho sa uchovávajú a môžem si sám obnoviť údaje? |
| Šifrovanie | Sú údaje šifrované pri prenose aj na disku? |
| Únik údajov | Ako rýchlo a akým spôsobom ma dodávateľ informuje pri incidente? |
| Subsprostredkovatelia | Ktoré subjekty zapája a ako sa dozviem o zmenách? |
| Certifikácia | Existuje certifikát, napríklad ISO 27001, a na čo sa vzťahuje? |
| Odchod (exit) | Môžem exportovať všetky svoje údaje v použiteľnom formáte? Čo sa stane s mojimi údajmi po ukončení zmluvy? |
K certifikácii: ISO/IEC 27001 je medzinárodná norma s požiadavkami na systém riadenia informačnej bezpečnosti. ISO sama necertifikuje; to robí nezávislá certifikačná inštitúcia. Certifikát ukazuje, že organizácia svoju bezpečnosť rieši systematicky, ale nezaručuje, že sa nikdy nič nestane. Všímajte si najmä rozsah pôsobnosti uvedený na certifikáte: platí pre službu, ktorú používate, alebo len pre jednu kanceláriu či oddelenie?
Odchod (exit): schopnosť odísť je tiež bezpečnosť
Exitová stratégia je váš plán, ako od dodávateľa odísť, či už vynútene alebo dobrovoľne. Znie to ako niečo na neskôr, ale malo by sa riešiť už pri výbere: ak zistíte až pri konkurze, že nemôžete exportovať svoju zákaznícku databázu, je už neskoro.
Preto si vopred overte:
- či viete exportovať všetky údaje, a v akom formáte (otvorený formát ako CSV, štandardná pošta alebo bežné súbory sú lepšie ako vlastný formát);
- ako dlho ostanú vaše údaje dostupné po ukončení zmluvy;
- či je vaša doména vedená na vaše meno a či si môžete sami meniť nameservery (lekcia 4.3);
- či si uchovávate vlastný nedávny export ako súčasť svojej zálohy (lekcia 6.1).
Prehľad dodávateľov
Všetko si zaznamenajte do prehľadu dodávateľov: jedna tabuľka, kde pri každom dodávateľovi uvediete službu, aké údaje tam sú uložené, či ide o osobné údaje, či existuje sprostredkovateľská zmluva, kto je za to u vás zodpovedný, hlavné odpovede zo zoznamu otázok a možnosť odchodu. Prehľad raz ročne skontrolujte a aktualizujte, aj pri pridaní novej služby.
Ak sa na niektorého z vašich zákazníkov vzťahuje zákon o kybernetickej bezpečnosti (lekcia 9.1), môžete očakávať, že vám ako dodávateľovi bude klásť podobné otázky. S vlastným prehľadom máte odpovede pripravené.
V praxi: ako to vyzerá
Mnohí poskytovatelia uvádzajú odpovede na tieto otázky na bezpečnostnej stránke. V ukážkovom prostredí WebOké napríklad návod k Nextcloud opisuje, čo zabezpečuje poskytovateľ a čo si rieši používateľ sám: kde sa nachádzajú údaje, šifrovanie pri prenose aj na diskoch, povinné dvojfaktorové overenie, aktualizácie a zálohy, a že pri komerčnom využití s osobnými údajmi uzatvárate sprostredkovateľskú zmluvu. Toto rozdelenie (čo zabezpečuje dodávateľ, čo si riešim sám) je presne to, čo by ste mali hľadať pri každom dodávateľovi. U iných poskytovateľov sa to často nachádza v trust centre, na bezpečnostnej stránke alebo vo všeobecných podmienkach; ak to tam nie je, opýtajte sa.
Zhrnutie
- Nakreslite si svojich dodávateľov a pri každej čiare sa opýtajte: čo ak vypadne, čo ak unikne?
- Zdieľaná zodpovednosť: poskytovateľ zabezpečuje infraštruktúru, vy svoje údaje, účty a nastavenia.
- Ak dodávateľ pre vás spracúva osobné údaje, je sprostredkovateľom a uzatvárate s ním sprostredkovateľskú zmluvu podľa článku 28 GDPR.
- Používajte stály zoznam otázok: umiestnenie, prístup, záloha, šifrovanie, únik údajov, subsprostredkovatelia, certifikácia, odchod.
- Certifikát niečo znamená, ale overte si jeho rozsah pôsobnosti; svoj odchod si zariaďte skôr, než ho budete potrebovať.
Kvíz
Úloha
Úloha D7.2: Váš prehľad dodávateľov. Vytvorte tabuľku svojich piatich najdôležitejších dodávateľov a cloudových služieb. Pri každom dodávateľovi uveďte, aké údaje u neho sú uložené, či ide o osobné údaje, či existuje sprostredkovateľská zmluva, a vyhľadajte odpovede na zoznam otázok z tejto lekcie (umiestnenie, dvojfaktorové overenie, záloha, únik údajov, subsprostredkovatelia, certifikácia, odchod). Pri aspoň jednej službe skúste naozaj vytvoriť export.
Úloha D7.2: Váš prehľad dodávateľov
Postupujte takto: (1) Nakreslite svoju firmu do stredu a čiarami ju spojte s každou stranou, ktorá uchováva vaše údaje alebo má prístup k vašim systémom. (2) Vyberte päť najdôležitejších a vytvorte tabuľku s: službou, akými údajmi, osobné údaje (áno/nie), zmluva o spracúvaní (áno/nie/nie je potrebná), vlastník na vašej strane, a odpovede na dotazník z lekcie 7.2: miesto uloženia údajov a záloh, vynútenie dvojfaktorového overenia, záloha a samostatné obnovenie, šifrovanie, ako rýchlo informujú pri úniku údajov, subdodávatelia spracovania, certifikácia s rozsahom platnosti, export a čo sa stane po ukončení zmluvy. (3) Odpovede najprv vyhľadajte v dokumentácii, na stránke o zabezpečení alebo v podmienkach dodávateľa. Zapíšte si zdroj. Ak tam nie sú, opýtajte sa dodávateľa a zapíšte odpoveď. (4) Pri každom dodávateľovi, ktorý pre vás spracúva osobné údaje, overte, či existuje zmluva o spracúvaní a či ju treba odsúhlasiť alebo podpísať. (5) Pri aspoň jednej službe skutočne vytvorte export svojich údajov a overte, či ho viete otvoriť. (6) Pri najdôležitejšej službe napíšte v troch vetách svoj plán odchodu: kam prejdete, ako získate svoje údaje, koľko času na to potrebujete.
Vaše zaškrtnutia a poznámky zostávajú iba v tomto prehliadači, nikam ich neposielame. Po prihlásení si v sekcii Moje kurzy uchovávame iba to, že ste úlohu splnili.
Čítajte ďalej
Postupy v článkoch WebOké platia pre prostredie WebOké; u iných poskytovateľov to funguje podobne alebo inak.
- Návod na Nextcloud 3.1: Ako WebOké zabezpečuje váš Nextcloud?
- Návod na Nextcloud 15.13: Často kladené otázky o zabezpečení a ochrane súkromia
- GDPR (Nariadenie (EÚ) 2016/679), článok 28: https://eur-lex.europa.eu/eli/reg/2016/679/oj
- Microsoft, Shared responsibility in the cloud (po anglicky): https://learn.microsoft.com/en-us/azure/security/fundamentals/shared-responsibility