Moodul 7 · 7.2
Tarnijate ja pilveteenuste hindamine
Moodul 7: Juurdepääs, tarnijad ja pilv · Lugemisaeg: 11 minutit
Õpieesmärk: Pärast seda õppetundi oskad hinnata tarnijat või pilveteenust turvalisuse, privaatsuse ja lahkumisvõimaluse järgi, selgitada, mida peab GDPR-i järgi reguleerima volitatud töötleja leping, ning pidada tarnijate nimekirja.
Põhimõisted: jagatud vastutus, volitatud töötleja, volitatud töötleja leping, alltöötleja, andmete asukoht, sertifikaat (näiteks ISO 27001), lahkumisstrateegia, tarnijate nimekiri
Sinu turvalisus on sama tugev kui su tarnijad
Väikesel ettevõttel on harva omaenda servereid. Meil töötab mõne pakkuja juures, raamatupidamine käib veebipõhises paketis, veebipood tegutseb platvormil, sülearvuteid haldab IT-ettevõte ja palgaarvestus käib raamatupidamisbüroo kaudu. See on mõistlik: need osapooled suudavad turvalisust sageli paremini korraldada, kui sina ise suudaksid. Aga see tähendab ka, et suur osa su turvalisusest on teiste kätes.
Joonista see enda jaoks välja. Pane oma ettevõte keskele ja tõmba joon iga osapoole suunas, kes su andmeid hoiab või kellel on juurdepääs su süsteemidele. Esita iga joone juures kaks küsimust:
- Mis saab, kui see osapool kaob? Rike, pankrot, hinnatõus, mille tõttu tahad lahkuda.
- Mis saab, kui selle osapoole juures toimub leke? Sissemurdmine tarnija juures, töötaja, kes näeb liiga palju, IT-ettevõtte konto, mis võetakse üle.
Jagatud vastutus
Õppetunnis 6.1 nägid juba jagatud vastutuse mudelit: pilveteenuse pakkuja hoolitseb andmekeskuse, serverite ja tarkvara toimimise eest; sina vastutad jätkuvalt oma andmete, kontode ja seadistuste eest. Microsoft ütleb oma dokumentatsioonis otsesõnu, et see kehtib igat liiki pilveteenuse puhul, ka valmistarkvara korral.
Mida see praktikas tähendab:
| Pakkuja korraldab tavaliselt | Sina korraldad alati ise |
|---|---|
| Andmekeskuse füüsiline turvalisus | Kellel on konto ja millised õigused (õppetund 7.1) |
| Serverite ja tarkvara uuendused | Kaheastmelise autentimise sisselülitamine ja kasutamine |
| Kättesaadavus vastavalt kokkulepetele | Mida jagad ja kellega (õppetund 7.3) |
| Varukoopiad hädaolukordade jaoks (kui see on kokku lepitud) | Oma varukoopia või eksport sellest, mida tõesti kaotada ei tohi (moodul 6) |
Levinud viga on eeldada, et pakkuja korraldab midagi, mida sa pole kunagi küsinud. Seega küsi.
Volitatud töötleja ja volitatud töötleja leping
Niipea kui tarnija töötleb sinu jaoks isikuandmeid, kehtivad GDPR-i reeglid. Mõtle näiteks kliendiandmetele oma veebipoes, nimede ja aadressidega meilidele, palgaandmetele või pilvehoidlale kandideerijate CV-dega.
- Sina oled vastutav töötleja: sina otsustad, mille jaoks ja kuidas andmeid kasutatakse.
- Tarnija on volitatud töötleja: ta töötleb andmeid sinu ülesandel, sinu eesmärkidel.
GDPR-i artikkel 28 ütleb, et sa tohid kasutada ainult volitatud töötlejaid, kes pakuvad piisavaid tagatisi asjakohaste tehniliste ja korralduslike meetmete rakendamiseks. Kokkulepped fikseerite volitatud töötleja lepingus, kirjalikult (elektrooniliselt on lubatud). Artikli 28 lõike 3 kohaselt reguleerib see leping igal juhul töötlemise eset, kestust, laadi ja eesmärki, milliste isikuandmete liikide ja andmesubjektidega on tegemist, ning seda, et volitatud töötleja:
- tegutseb ainult sinu kirjalike juhiste järgi;
- tagab, et tema töötajad hoiavad konfidentsiaalsust;
- võtab kasutusele artikli 32 turvameetmed;
- kaasab alltöötleja ainult sinu nõusolekul, samade kohustustega;
- aitab sind, kui inimesed kasutavad oma privaatsusõigusi (tutvumine, parandamine, kustutamine);
- aitab sind turvalisuse, andmelekete ja võimaliku mõjuhinnangu (DPIA) korral (artiklid 32 kuni 36);
- tegevuse lõppedes kustutab või tagastab andmed ja eemaldab koopiad, sinu valikul;
- annab sulle teavet, et kontrollida, kas ta peab kokkulepetest kinni, ja võimaldab auditeid.
Alltöötleja on osapool, kelle su volitatud töötleja ise omakorda kaasab, näiteks su majutuspakkuja andmekeskus või su raamatupidamispaketi meiliteenus. GDPR ütleb, et volitatud töötleja jääb sinu ees täielikult vastutavaks, kui alltöötleja oma kohustusi ei täida. Küsi alltöötlejate nimekirja.
Andmekaitse Inspektsioon (AKI) soovitab muuta kokkulepped konkreetseks, mitte lihtsalt korrata seadusteksti, ning fikseerida, kui kiiresti ja millise teabega tarnija sind andmelekkest teavitab. Viimane on oluline: õppetunnis 8.2 näed, et sina pead teavitama 72 tunni jooksul, ja see kell hakkab käima alles siis, kui sina sellest teada saad.
Paljudel pakkujatel on standardne volitatud töötleja leping. Loe see läbi ja pane tähele, kas see tuleb tõesti allkirjastada või aktsepteerida: mõne pakkuja puhul ei kehti see automaatselt.
See õppetund annab üldist selgitust ega ole õigusnõustamine. Täistekst on leitav GDPR-i tekstist aadressil eur-lex.europa.eu.
Küsimused, mida tarnijalt küsida
Hindamine ei pea olema neljakümneleheküljeline auditiaruanne. Väikese ettevõtte jaoks toimib hästi kindel küsimustik. Vastused on sageli juba tarnija veebilehel, turvalisuse lehel või korduma kippuvate küsimuste loendis.
| Teema | Küsimus |
|---|---|
| Asukoht | Kus asuvad mu andmed, ka varukoopiad? Kas need lähevad riikidesse väljaspool Euroopa Majanduspiirkonda? |
| Juurdepääs | Kas saan nõuda kaheastmelist autentimist kõigile oma kasutajatele? Kas saan anda kasutajatele erinevad õigused? |
| Varukoopia | Kas tarnija teeb varukoopiaid, kui tihti, kui kaua need säilivad ja kas saan ise taastada? |
| Krüpteerimine | Kas andmed on krüpteeritud edastamisel ja kettal? |
| Andmeleke | Kui kiiresti ja kuidas tarnija mind intsidendist teavitab? |
| Alltöötlejad | Milliseid osapooli ta kaasab ja kuidas ma muudatustest kuulen? |
| Sertifikaat | Kas on olemas sertifikaat, näiteks ISO 27001, ja mille kohta see kehtib? |
| Lahkumine | Kas saan eksportida kõik oma andmed kasutuskõlblikus vormingus? Mis saab minu andmetest pärast lepingu lõpetamist? |
Sertifikaadi kohta: ISO/IEC 27001 on rahvusvaheline standard, mis sätestab nõuded infoturbe juhtimissüsteemile. ISO ise sertifikaate ei väljasta, seda teeb sõltumatu sertifitseerimisasutus. Sertifikaat näitab, et organisatsioon korraldab oma turvalisust süsteemselt, kuid see ei taga, et midagi kunagi ei juhtu. Vaata kindlasti sertifikaadi kohaldamisala: kas see kehtib teenuse kohta, mida sina kasutad, või ainult ühe kontori või osakonna kohta?
Lahkumine: lahkuda oskamine on ka turvalisus
Lahkumisstrateegia on sinu plaan tarnija juurest lahkumiseks, sunniviisiliselt või vabatahtlikult. See kõlab kui midagi hilisemaks, aga sellega tuleb arvestada juba valiku tegemisel: kui avastad alles pankroti korral, et sa ei saa oma kliendiandmebaasi eksportida, on juba hilja.
Kontrolli seetõttu eelnevalt:
- kas saad eksportida kõik andmed ja mis vormingus (avatud vorming nagu CSV, tavaline meil või tavalised failid on parem kui omapärane vorming);
- kui kaua jäävad su andmed pärast lepingu lõpetamist kättesaadavaks;
- kas su domeeninimi on registreeritud sinu enda nimele ja kas saad ise nimeservereid muuta (õppetund 4.3);
- kas säilitad ise hiljutise ekspordi osana oma varukoopiast (õppetund 6.1).
Tarnijate nimekiri
Pane kõik kirja tarnijate nimekirja: üks tabel, kus iga tarnija kohta on märgitud teenus, millised andmed seal asuvad, kas tegemist on isikuandmetega, kas on olemas volitatud töötleja leping, kes on su ettevõttes selle eest vastutav, küsimustiku kõige olulisemad vastused ja lahkumisvõimalus. Vaata see üle kord aastas ja iga kord, kui lisandub uus teenus.
Kui mõni su klientidest käib küberturvalisuse seaduse alla (õppetund 9.1), siis võid oodata, et see klient hakkab sinult kui tarnijalt selliseid küsimusi küsima. Oma nimekirjaga on vastused sul juba valmis.
Praktikas: nii see välja näeb
Paljud pakkujad panevad vastused nendele küsimustele turvalisuse lehele. WebOké näidiskeskkonnas kirjeldab näiteks Nextcloudi juhend, mida korraldab pakkuja ja mida teeb kasutaja ise: kus andmed asuvad, krüpteerimine edastamisel ja ketastel, kohustuslik kaheastmeline autentimine, uuendused ja varukoopiad, ning et isikuandmete äriliseks kasutamiseks sõlmid volitatud töötleja lepingu. See jaotus (mida korraldab tarnija, mida teen ise) on täpselt see, mida sa iga tarnija puhul otsid. Teistel pakkujatel on see sageli kirjas usalduskeskuses (trust center), turvalisuse lehel või tingimustes; kui seda seal pole, siis küsi.
Kokkuvõte
- Joonista oma tarnijad välja ja küsi iga joone kohta: mis saab, kui see kaob, mis saab, kui seal toimub leke?
- Jagatud vastutus: pakkuja korraldab infrastruktuuri, sina oma andmed, kontod ja seadistused.
- Kui tarnija töötleb sinu jaoks isikuandmeid, on ta volitatud töötleja ja sõlmid temaga volitatud töötleja lepingu vastavalt GDPR-i artiklile 28.
- Kasuta kindlat küsimustikku: asukoht, juurdepääs, varukoopia, krüpteerimine, andmeleke, alltöötlejad, sertifikaat, lahkumine.
- Sertifikaat ütleb midagi, aga kontrolli kohaldamisala; korralda oma lahkumisvõimalus enne, kui seda vajad.
Test
Ülesanne
Ülesanne D7.2: Sinu tarnijate ülevaade. Koosta tabel oma viiest kõige olulisemast tarnijast ja pilveteenusest. Täida iga tarnija kohta, millised andmed seal asuvad, kas tegemist on isikuandmetega, kas on olemas volitatud töötleja leping, ning otsi üles vastused selle õppetunni küsimustikule (asukoht, kaheastmeline autentimine, varukoopia, andmeleke, alltöötlejad, sertifikaat, lahkumine). Proovi vähemalt ühe teenuse puhul tõesti eksport teha.
Ülesanne D7.2: Sinu tarnijate ülevaade
Nii teed seda: (1) Joonista oma ettevõte keskele ja joonista jooned iga osapooleni, kes hoiab su andmeid või kellel on ligipääs su süsteemidele. (2) Vali viis kõige olulisemat ja tee tabel: teenus, millised andmed, isikuandmed (jah/ei), andmetöötluslepe (jah/ei/pole vajalik), vastutaja sinu poolel, ja vastused õppetund 7.2 küsimustikust: andmete ja varukoopiate asukoht, kas kaheastmeline autentimine (2FA) on nõutav, varukoopia ja ise taastamine, krüpteerimine, kui kiiresti andmelekke korral teavitatakse, alltöötlejad, sertifikaat ja selle kohaldamisala, eksport ja mis juhtub pärast lepingu lõppu. (3) Otsi vastused kõigepealt tarnija dokumentatsioonist, turvalisuse lehelt või tingimustest. Kirjuta allikas üles. Kui seda ei leia, küsi tarnijalt ja kirjuta vastus üles. (4) Kontrolli iga tarnija puhul, kes su eest isikuandmeid töötleb, kas on olemas andmetöötlusleping ja kas see tuleb aktsepteerida või allkirjastada. (5) Tee vähemalt ühe teenuse puhul päriselt oma andmete eksport ja kontrolli, kas saad selle avada. (6) Kirjuta kõige olulisema teenuse juurde kolme lausega oma väljumisplaan: kuhu lähed, kuidas saad oma andmed kaasa, kui kaua selleks aega kulub.
Su linnukesed ja märkmed jäävad ainult sellesse brauserisse, me ei saada neid kuhugi. Kui oled sisse loginud, salvestame Minu kursustes ainult info, et tegid ülesande ära.
Rohkem lugemist
WebOké artiklites kirjeldatud sammud kehtivad WebOké keskkonnas; teistel pakkujatel toimib see sarnaselt või teisiti.
- Nextcloudi juhend 3.1: Kuidas WebOké kaitseb sinu Nextcloudi?
- Nextcloudi juhend 15.13: Korduma kippuvad küsimused turvalisuse ja privaatsuse kohta
- GDPR (määrus (EL) 2016/679), artikkel 28: https://eur-lex.europa.eu/eli/reg/2016/679/oj
- Microsoft, Shared responsibility in the cloud (inglise keeles): https://learn.microsoft.com/en-us/azure/security/fundamentals/shared-responsibility