Ενότητα 7 · 7.2
Αξιολόγηση προμηθευτών και υπηρεσιών cloud
Ενότητα 7: Πρόσβαση, προμηθευτές και cloud · Χρόνος ανάγνωσης: 11 λεπτά
Στόχος μαθήματος: Μετά από αυτό το μάθημα θα μπορείτε να αξιολογήσετε έναν προμηθευτή ή μια υπηρεσία cloud ως προς την ασφάλεια, το απόρρητο και τη δυνατότητα αποχώρησης, να εξηγήσετε τι πρέπει να ρυθμίζει μια σύμβαση εκτέλεσης επεξεργασίας σύμφωνα με τον GDPR, και να τηρείτε μια απογραφή προμηθευτών.
Βασικές έννοιες: κοινή ευθύνη, εκτελών την επεξεργασία, σύμβαση εκτέλεσης επεξεργασίας, υποεκτελών την επεξεργασία, τοποθεσία δεδομένων, πιστοποίηση (για παράδειγμα ISO 27001), στρατηγική αποχώρησης, απογραφή προμηθευτών
Η ασφάλειά σας είναι τόσο ισχυρή όσο οι προμηθευτές σας
Μια μικρή επιχείρηση σπάνια διαθέτει δικούς της servers. Το email λειτουργεί μέσω κάποιου πάροχου, η λογιστική σε ένα online πακέτο, το ηλεκτρονικό κατάστημα σε μια πλατφόρμα, τα laptop τα διαχειρίζεται μια εταιρεία πληροφορικής και η μισθοδοσία γίνεται μέσω λογιστικού γραφείου. Αυτό είναι λογικό: αυτοί οι φορείς μπορούν συχνά να ρυθμίσουν καλύτερα την ασφάλεια από ό,τι θα μπορούσατε εσείς μόνοι σας. Σημαίνει όμως και ότι μεγάλο μέρος της ασφάλειάς σας βρίσκεται στα χέρια άλλων.
Σχεδιάστε το κάποτε για τον εαυτό σας. Βάλτε την επιχείρησή σας στο κέντρο και τραβήξτε μια γραμμή προς κάθε φορέα που φυλάσσει δεδομένα σας ή έχει πρόσβαση στα συστήματά σας. Σε κάθε γραμμή θέστε δύο ερωτήσεις:
- Τι θα γινόταν αν αυτός ο φορέας έπαυε να λειτουργεί; Μια διακοπή λειτουργίας, μια πτώχευση, μια αύξηση τιμής εξαιτίας της οποίας θέλετε να φύγετε.
- Τι θα γινόταν αν αυτός ο φορέας είχε διαρροή δεδομένων; Μια παραβίαση στον προμηθευτή, ένας εργαζόμενος που βλέπει περισσότερα απ' όσα θα έπρεπε, ένας λογαριασμός της εταιρείας πληροφορικής που καταλαμβάνεται.
Κοινή ευθύνη
Στο μάθημα 6.1 είδατε ήδη το μοντέλο της κοινής ευθύνης: ο πάροχος μιας υπηρεσίας cloud φροντίζει για το data center, τους servers και τη λειτουργία του λογισμικού, ενώ εσείς παραμένετε υπεύθυνοι για τα δεδομένα σας, τους λογαριασμούς σας και τις ρυθμίσεις σας. Η Microsoft αναφέρει ρητά στην τεκμηρίωσή της ότι αυτό ισχύει για κάθε είδος υπηρεσίας cloud, ακόμη και για έτοιμο λογισμικό.
Τι σημαίνει αυτό στην πράξη:
| Ο πάροχος ρυθμίζει συνήθως | Εσείς ρυθμίζετε πάντα μόνοι σας |
|---|---|
| Φυσική ασφάλεια του data center | Ποιος έχει λογαριασμό και με ποια δικαιώματα (μάθημα 7.1) |
| Ενημερώσεις των servers και του λογισμικού | Ενεργοποίηση και χρήση ελέγχου ταυτότητας δύο παραγόντων |
| Διαθεσιμότητα σύμφωνα με τις συμφωνίες | Τι μοιράζεστε και με ποιον (μάθημα 7.3) |
| Αντίγραφα ασφαλείας για έκτακτες καταστάσεις (εφόσον έχει συμφωνηθεί) | Δικό σας αντίγραφο ασφαλείας ή εξαγωγή όσων πραγματικά δεν πρέπει να χάσετε (ενότητα 6) |
Ένα συνηθισμένο λάθος είναι να θεωρείτε δεδομένο ότι ο πάροχος ρυθμίζει κάτι που ποτέ δεν έχετε ρωτήσει. Ρωτήστε λοιπόν.
Εκτελών την επεξεργασία και σύμβαση εκτέλεσης επεξεργασίας
Μόλις ένας προμηθευτής επεξεργάζεται δεδομένα προσωπικού χαρακτήρα για λογαριασμό σας, ισχύουν οι κανόνες του GDPR. Σκεφτείτε στοιχεία πελατών στο ηλεκτρονικό σας κατάστημα, email με ονόματα και διευθύνσεις, στοιχεία μισθοδοσίας ή αποθήκευση στο cloud με βιογραφικά υποψηφίων.
- Εσείς είστε ο υπεύθυνος επεξεργασίας: εσείς καθορίζετε για ποιο σκοπό και με ποιον τρόπο χρησιμοποιούνται τα δεδομένα.
- Ο προμηθευτής είναι εκτελών την επεξεργασία: επεξεργάζεται τα δεδομένα κατ' εντολή σας, για τους δικούς σας σκοπούς.
Το άρθρο 28 του GDPR ορίζει ότι μπορείτε να χρησιμοποιείτε μόνο εκτελούντες την επεξεργασία που παρέχουν επαρκείς διαβεβαιώσεις για κατάλληλα τεχνικά και οργανωτικά μέτρα. Οι συμφωνίες καταγράφονται σε μια σύμβαση εκτέλεσης επεξεργασίας, γραπτώς (επιτρέπεται και ηλεκτρονικά). Σύμφωνα με το άρθρο 28 παράγραφος 3, η σύμβαση αυτή ρυθμίζει τουλάχιστον το αντικείμενο, τη διάρκεια, τη φύση και τον σκοπό της επεξεργασίας, ποια είδη δεδομένων προσωπικού χαρακτήρα και υποκειμένων αφορά, καθώς και ότι ο εκτελών την επεξεργασία:
- ενεργεί μόνο βάσει γραπτών εντολών σας·
- φροντίζει ώστε το προσωπικό του να τηρεί εμπιστευτικότητα·
- λαμβάνει τα μέτρα ασφάλειας του άρθρου 32·
- αναθέτει εργασίες σε υποεκτελούντα μόνο με τη συγκατάθεσή σας, υπό τις ίδιες υποχρεώσεις·
- σας βοηθά όταν άτομα ασκούν τα δικαιώματά τους σχετικά με το απόρρητο (πρόσβαση, διόρθωση, διαγραφή)·
- σας βοηθά σε θέματα ασφάλειας, παραβιάσεις δεδομένων και ενδεχόμενη εκτίμηση αντικτύπου (άρθρα 32 έως 36)·
- μετά το πέρας διαγράφει ή επιστρέφει τα δεδομένα και διαγράφει αντίγραφα, κατ' επιλογή σας·
- σας παρέχει τις πληροφορίες που χρειάζεστε για να ελέγξετε ότι τηρεί τις συμφωνίες, και καθιστά δυνατούς τους ελέγχους (audits).
Ένας υποεκτελών την επεξεργασία είναι ένας φορέας που ο δικός σας εκτελών την επεξεργασία αναθέτει με τη σειρά του, για παράδειγμα το data center του πάροχου φιλοξενίας σας ή η υπηρεσία email του λογιστικού σας πακέτου. Ο GDPR ορίζει ότι ο εκτελών την επεξεργασία παραμένει πλήρως υπεύθυνος απέναντί σας αν ένας υποεκτελών δεν τηρεί τις υποχρεώσεις του. Ζητήστε τη λίστα με τους υποεκτελούντες.
Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (ΑΠΔΠΧ) συνιστά να κάνετε τις συμφωνίες συγκεκριμένες, αντί απλώς να επαναλαμβάνετε το κείμενο του νόμου, και να ορίζετε πόσο γρήγορα και με ποιες πληροφορίες ο προμηθευτής θα σας ενημερώνει για μια παραβίαση δεδομένων. Αυτό το τελευταίο είναι σημαντικό: στο μάθημα 8.2 θα δείτε ότι εσείς πρέπει να γνωστοποιήσετε εντός 72 ωρών, και αυτό το χρονικό διάστημα αρχίζει να μετρά μόνο από τη στιγμή που εσείς το μάθετε.
Πολλοί πάροχοι διαθέτουν τυποποιημένη σύμβαση εκτέλεσης επεξεργασίας. Διαβάστε την και προσέξτε αν πρέπει πράγματι να υπογραφεί ή να γίνει αποδεκτή: σε ορισμένους παρόχους δεν ισχύει αυτόματα.
Αυτό το μάθημα παρέχει γενική εξήγηση και δεν αποτελεί νομική συμβουλή. Το πλήρες κείμενο βρίσκεται στον GDPR, στο eur-lex.europa.eu.
Ερωτήσεις προς έναν προμηθευτή
Μια αξιολόγηση δεν χρειάζεται να είναι αναφορά ελέγχου σαράντα σελίδων. Για μια μικρή επιχείρηση λειτουργεί καλά ένας σταθερός κατάλογος ερωτήσεων. Οι απαντήσεις βρίσκονται συχνά ήδη στον ιστότοπο του προμηθευτή, σε μια σελίδα ασφάλειας ή σε μια λίστα συχνών ερωτήσεων.
| Θέμα | Ερώτηση |
|---|---|
| Τοποθεσία | Πού βρίσκονται τα δεδομένα μου, συμπεριλαμβανομένων των αντιγράφων ασφαλείας; Μεταφέρονται σε χώρες εκτός του Ευρωπαϊκού Οικονομικού Χώρου; |
| Πρόσβαση | Μπορώ να επιβάλω έλεγχο ταυτότητας δύο παραγόντων για όλους τους χρήστες μου; Μπορώ να δίνω στους χρήστες δικά τους δικαιώματα; |
| Αντίγραφο ασφαλείας | Κάνει ο προμηθευτής αντίγραφα ασφαλείας, πόσο συχνά, για πόσο χρόνο τα φυλάσσει, και μπορώ να κάνω μόνος/μόνη μου επαναφορά; |
| Κρυπτογράφηση | Είναι τα δεδομένα κρυπτογραφημένα κατά τη μεταφορά και στον δίσκο; |
| Παραβίαση δεδομένων | Πόσο γρήγορα και πώς με ενημερώνει ο προμηθευτής σε περίπτωση περιστατικού; |
| Υποεκτελούντες | Ποιους φορείς αναθέτει, και πώς ενημερώνομαι για αλλαγές; |
| Πιστοποίηση | Υπάρχει πιστοποιητικό, για παράδειγμα ISO 27001, και για τι ισχύει; |
| Αποχώρηση | Μπορώ να εξάγω όλα τα δεδομένα μου σε χρησιμοποιήσιμη μορφή; Τι συμβαίνει με τα δεδομένα μου μετά τη λύση της σύμβασης; |
Σχετικά με την πιστοποίηση: το ISO/IEC 27001 είναι ένα διεθνές πρότυπο με απαιτήσεις για ένα σύστημα διαχείρισης ασφάλειας πληροφοριών. Ο ISO δεν πιστοποιεί ο ίδιος: αυτό το κάνει ένας ανεξάρτητος φορέας πιστοποίησης. Ένα πιστοποιητικό δείχνει ότι ένας οργανισμός ρυθμίζει την ασφάλειά του με οργανωμένο τρόπο, αλλά δεν εγγυάται ότι ποτέ δεν θα συμβεί κάτι. Προσέξτε ιδίως το πεδίο εφαρμογής στο πιστοποιητικό: ισχύει για την υπηρεσία που χρησιμοποιείτε εσείς, ή μόνο για ένα γραφείο ή τμήμα;
Αποχώρηση: η δυνατότητα να φύγετε είναι κι αυτή ασφάλεια
Μια στρατηγική αποχώρησης είναι το σχέδιό σας για να αποχωρήσετε από έναν προμηθευτή, αναγκαστικά ή οικειοθελώς. Ακούγεται σαν κάτι για αργότερα, όμως πρέπει να το σκεφτείτε ήδη κατά την επιλογή: αν ανακαλύψετε μόνο σε μια πτώχευση ότι δεν μπορείτε να εξάγετε τη λίστα πελατών σας, είναι πλέον αργά.
Ελέγξτε λοιπόν εκ των προτέρων:
- αν μπορείτε να εξάγετε όλα τα δεδομένα, και σε ποια μορφή (μια ανοιχτή μορφή όπως CSV, τυπικό email ή συνηθισμένα αρχεία είναι καλύτερα από ιδιόκτητη μορφή)·
- για πόσο χρόνο παραμένουν διαθέσιμα τα δεδομένα σας μετά τη λύση της σύμβασης·
- αν το domain σας είναι στο δικό σας όνομα και μπορείτε να αλλάξετε μόνοι σας τους nameservers (μάθημα 4.3)·
- αν φυλάσσετε εσείς οι ίδιοι μια πρόσφατη εξαγωγή, ως μέρος του αντιγράφου ασφαλείας σας (μάθημα 6.1).
Η απογραφή προμηθευτών
Καταγράψτε τα πάντα σε μια απογραφή προμηθευτών: έναν πίνακα με, για κάθε προμηθευτή, την υπηρεσία, ποια δεδομένα φυλάσσει, αν περιλαμβάνονται δεδομένα προσωπικού χαρακτήρα, αν υπάρχει σύμβαση εκτέλεσης επεξεργασίας, ποιος είναι ο υπεύθυνος στην επιχείρησή σας, τις βασικές απαντήσεις στον κατάλογο ερωτήσεων και τη δυνατότητα αποχώρησης. Ελέγξτε την μία φορά τον χρόνο, και όποτε προστίθεται νέα υπηρεσία.
Αν κάποιος από τους πελάτες σας εμπίπτει στον ν. 5160/2024 (ενσωμάτωση της NIS2) (μάθημα 9.1), μπορείτε να περιμένετε ότι αυτός ο πελάτης θα σας θέσει, ως προμηθευτή, παρόμοιες ερωτήσεις. Με δική σας απογραφή θα έχετε τις απαντήσεις έτοιμες.
Στην πράξη: έτσι μοιάζει
Πολλοί πάροχοι τοποθετούν τις απαντήσεις σε αυτές τις ερωτήσεις σε μια σελίδα ασφάλειας. Στο περιβάλλον παραδείγματος του WebOké, ο οδηγός του Nextcloud περιγράφει για παράδειγμα τι ρυθμίζει ο πάροχος και τι κάνει μόνος του ο χρήστης: πού βρίσκονται τα δεδομένα, κρυπτογράφηση κατά τη μεταφορά και στους δίσκους, υποχρεωτικός έλεγχος ταυτότητας δύο παραγόντων, ενημερώσεις και αντίγραφα ασφαλείας, και ότι για επαγγελματική χρήση με δεδομένα προσωπικού χαρακτήρα συνάπτετε σύμβαση εκτέλεσης επεξεργασίας. Αυτή η διάρθρωση (τι ρυθμίζει ο προμηθευτής, τι κάνω εγώ ο ίδιος) είναι ακριβώς αυτό που αναζητάτε σε κάθε προμηθευτή. Σε άλλους παρόχους βρίσκεται συχνά σε ένα trust center, μια σελίδα ασφάλειας ή τους όρους χρήσης· αν δεν αναφέρεται, ρωτήστε.
Σύνοψη
- Σχεδιάστε τους προμηθευτές σας και ρωτήστε για κάθε γραμμή: τι θα γινόταν αν αυτός έπαυε να λειτουργεί, τι θα γινόταν αν είχε διαρροή;
- Κοινή ευθύνη: ο πάροχος ρυθμίζει την υποδομή, εσείς τα δεδομένα, τους λογαριασμούς και τις ρυθμίσεις σας.
- Αν ένας προμηθευτής επεξεργάζεται δεδομένα προσωπικού χαρακτήρα για λογαριασμό σας, τότε είναι εκτελών την επεξεργασία και συνάπτετε σύμβαση εκτέλεσης επεξεργασίας σύμφωνα με το άρθρο 28 του GDPR.
- Χρησιμοποιήστε έναν σταθερό κατάλογο ερωτήσεων: τοποθεσία, πρόσβαση, αντίγραφο ασφαλείας, κρυπτογράφηση, παραβίαση δεδομένων, υποεκτελούντες, πιστοποίηση, αποχώρηση.
- Ένα πιστοποιητικό λέει κάτι, αλλά ελέγξτε το πεδίο εφαρμογής του· ρυθμίστε την αποχώρησή σας προτού τη χρειαστείτε.
Κουίζ
Άσκηση
Άσκηση D7.2: Η απογραφή των προμηθευτών σας. Φτιάξτε έναν πίνακα με τους πέντε σημαντικότερους προμηθευτές και υπηρεσίες cloud σας. Συμπληρώστε για κάθε προμηθευτή ποια δεδομένα φυλάσσει, αν περιλαμβάνονται δεδομένα προσωπικού χαρακτήρα, αν υπάρχει σύμβαση εκτέλεσης επεξεργασίας, και αναζητήστε τις απαντήσεις στον κατάλογο ερωτήσεων αυτού του μαθήματος (τοποθεσία, έλεγχος ταυτότητας δύο παραγόντων, αντίγραφο ασφαλείας, παραβίαση δεδομένων, υποεκτελούντες, πιστοποίηση, αποχώρηση). Προσπαθήστε να κάνετε πραγματική εξαγωγή σε τουλάχιστον μία υπηρεσία.
Άσκηση D7.2: Η απογραφή των προμηθευτών σας
Ακολουθήστε αυτά τα βήματα: (1) Σχεδιάστε την επιχείρησή σας στο κέντρο με γραμμές προς κάθε μέρος που φυλάσσει δεδομένα σας ή έχει πρόσβαση στα συστήματά σας. (2) Επιλέξτε τους πέντε σημαντικότερους και φτιάξτε έναν πίνακα με: υπηρεσία, ποια δεδομένα, προσωπικά δεδομένα (ναι/όχι), συμφωνία επεξεργασίας δεδομένων (ναι/όχι/δεν χρειάζεται), υπεύθυνος από την πλευρά σας, και τις απαντήσεις στον κατάλογο ερωτήσεων από το μάθημα 7.2: τοποθεσία των δεδομένων και των αντιγράφων ασφαλείας, δυνατότητα επιβολής ελέγχου ταυτότητας δύο παραγόντων (2FA), αντίγραφο ασφαλείας και δυνατότητα επαναφοράς από εσάς, κρυπτογράφηση, πόσο γρήγορα ενημερώνουν σε περίπτωση παραβίασης δεδομένων, υποεπεξεργαστές, πιστοποίηση με πεδίο εφαρμογής, εξαγωγή δεδομένων και τι συμβαίνει μετά τη λήξη της συνεργασίας. (3) Αναζητήστε πρώτα τις απαντήσεις στην τεκμηρίωση, στη σελίδα ασφάλειας ή στους όρους του προμηθευτή. Σημειώστε την πηγή. Αν δεν αναφέρεται, θέστε την ερώτηση στον προμηθευτή και σημειώστε την απάντηση. (4) Ελέγξτε για κάθε προμηθευτή που επεξεργάζεται προσωπικά δεδομένα για λογαριασμό σας αν υπάρχει συμφωνία επεξεργασίας δεδομένων, και αν αυτή πρέπει να γίνει αποδεκτή ή να υπογραφεί. (5) Κάντε πράγματι μια εξαγωγή δεδομένων σε τουλάχιστον μία υπηρεσία και ελέγξτε αν μπορείτε να την ανοίξετε. (6) Γράψτε για τη σημαντικότερη υπηρεσία, σε τρεις προτάσεις, το σχέδιο εξόδου σας: πού θα πάτε, πώς θα πάρετε μαζί σας τα δεδομένα σας, πόσο χρόνο χρειάζεστε γι' αυτό.
Τα τικ και οι σημειώσεις σας παραμένουν μόνο σε αυτό το πρόγραμμα περιήγησης· δεν τα στέλνουμε πουθενά. Αν έχετε εγγραφεί, αποθηκεύουμε στο Τα μαθήματά μου μόνο ότι έχετε ολοκληρώσει την άσκηση.
Περαιτέρω ανάγνωση
Τα βήματα στα άρθρα του WebOké ισχύουν για το περιβάλλον του WebOké· σε άλλους παρόχους η διαδικασία είναι παρόμοια ή διαφορετική.
- Οδηγός Nextcloud 3.1: Πώς προστατεύει το WebOké το Nextcloud σας;
- Οδηγός Nextcloud 15.13: Συχνές ερωτήσεις σχετικά με την ασφάλεια και το απόρρητο
- GDPR (Κανονισμός (ΕΕ) 2016/679), άρθρο 28: https://eur-lex.europa.eu/eli/reg/2016/679/oj
- Microsoft, Shared responsibility in the cloud (στα αγγλικά): https://learn.microsoft.com/en-us/azure/security/fundamentals/shared-responsibility