Posuzování dodavatelů a cloudových služeb
Modul 7: Přístupy, dodavatelé a cloud · Doba čtení: 11 minut
Cíl lekce: Po této lekci dokážete posoudit dodavatele nebo cloudovou službu z hlediska bezpečnosti, ochrany osobních údajů a možnosti odchodu, vysvětlit, co musí podle GDPR upravovat smlouva o zpracování osobních údajů, a vést přehled dodavatelů.
Klíčové pojmy: sdílená odpovědnost, zpracovatel, smlouva o zpracování osobních údajů, subzpracovatel, umístění dat, certifikace (například ISO 27001), strategie odchodu (exit), přehled dodavatelů
Vaše zabezpečení je jen tak silné, jak silní jsou Vaši dodavatelé
Malá firma zřídka provozuje vlastní servery. Pošta běží u poskytovatele, účetnictví v online programu, e-shop na platformě, notebooky spravuje IT firma a mzdovou agendu zajišťuje účetní kancelář. To je rozumné: tyto subjekty často dokážou zabezpečení vyřešit lépe, než byste to zvládli sami. Znamená to ale také, že velká část Vašeho zabezpečení je v rukou druhých.
Zkuste si to jednou nakreslit. Umístěte svou firmu doprostřed a nakreslete čáru ke každému subjektu, který u sebe uchovává Vaše data nebo má přístup k Vašim systémům. U každé čáry si položte dvě otázky:
- Co se stane, když tento subjekt vypadne? Výpadek, úpadek, zvýšení ceny, kvůli kterému chcete odejít.
- Co se stane, když tomuto subjektu unikne data? Vloupání u dodavatele, zaměstnanec, který vidí příliš mnoho, účet IT firmy, který je převzat útočníkem.
Sdílená odpovědnost
V lekci 6.1 jste se již seznámili s modelem sdílené odpovědnosti: poskytovatel cloudové služby se stará o datacentrum, servery a fungování softwaru; Vy zůstáváte odpovědní za svá data, své účty a svá nastavení. Microsoft ve své dokumentaci doslova uvádí, že toto platí u každého typu cloudové služby, i u hotového softwaru.
Co to v praxi znamená:
| Poskytovatel obvykle zajišťuje | Vy si vždy zajišťujete sami |
|---|---|
| Fyzické zabezpečení datacentra | Kdo má účet a s jakými oprávněními (lekce 7.1) |
| Aktualizace serverů a softwaru | Zapnutí a používání dvoufázového ověření |
| Dostupnost podle dohodnutých podmínek | Co a s kým sdílíte (lekce 7.3) |
| Zálohy pro havarijní situace (je-li to dohodnuto) | Vlastní zálohu nebo export toho, co si opravdu nemůžete dovolit ztratit (modul 6) |
Častou chybou je předpokládat, že poskytovatel zajišťuje něco, co jste si nikdy neověřili. Zeptejte se tedy.
Zpracovatel a smlouva o zpracování osobních údajů
Jakmile dodavatel pro Vás zpracovává osobní údaje, platí pravidla GDPR. Myslete například na údaje zákazníků ve Vašem e-shopu, poštu se jmény a adresami, mzdové údaje nebo cloudové úložiště se životopisy uchazečů o zaměstnání.
- Vy jste správce osobních údajů: Vy určujete, za jakým účelem a jak se údaje používají.
- Dodavatel je zpracovatel: zpracovává údaje z Vašeho pověření, pro Vaše účely.
Článek 28 GDPR stanoví, že smíte využívat pouze zpracovatele, kteří poskytují dostatečné záruky vhodných technických a organizačních opatření. Dohody zaznamenáte do smlouvy o zpracování osobních údajů, písemně (elektronická forma je přípustná). Podle čl. 28 odst. 3 tato smlouva v každém případě upravuje předmět, dobu trvání, povahu a účel zpracování, druhy osobních údajů a kategorie subjektů údajů, a že zpracovatel:
- pracuje pouze na základě Vašich písemných pokynů;
- zajišťuje, aby jeho pracovníci dodržovali mlčenlivost;
- přijímá bezpečnostní opatření podle článku 32;
- zapojuje subzpracovatele pouze s Vaším souhlasem, za stejných povinností;
- pomáhá Vám, když lidé uplatňují svá práva na ochranu osobních údajů (přístup, oprava, výmaz);
- pomáhá Vám se zabezpečením, porušeními zabezpečení a případnou DPIA (články 32 až 36);
- po skončení zpracování údaje vymaže nebo vrátí a odstraní kopie, podle Vaší volby;
- poskytuje Vám informace nutné k ověření dodržování dohod a umožňuje audity.
Subzpracovatel je subjekt, který si Váš zpracovatel sám najímá, například datacentrum Vašeho poskytovatele hostingu nebo poštovní službu Vašeho účetního programu. GDPR stanoví, že zpracovatel zůstává vůči Vám plně odpovědný, pokud subzpracovatel neplní své povinnosti. Vyžádejte si seznam subzpracovatelů.
Úřad pro ochranu osobních údajů (ÚOOÚ) doporučuje dohody konkretizovat, místo pouhého opakování textu zákona, a stanovit, jak rychle a s jakými informacemi Vás dodavatel bude informovat o porušení zabezpečení údajů. To poslední je důležité: v lekci 8.2 uvidíte, že Vy musíte nahlásit do 72 hodin, a tato lhůta začíná běžet až ve chvíli, kdy se o tom dozvíte.
Mnoho poskytovatelů má standardní smlouvu o zpracování osobních údajů. Přečtěte si ji a všimněte si, zda musí být skutečně podepsána nebo odsouhlasena: u některých poskytovatelů neplatí automaticky.
Tato lekce poskytuje obecné vysvětlení a nejedná se o právní poradenství. Úplné znění najdete v textu GDPR na eur-lex.europa.eu.
Otázky, které položit dodavateli
Posouzení nemusí být čtyřicetistránková auditní zpráva. Pro malou firmu funguje dobře pevný seznam otázek. Odpovědi už často najdete na webu dodavatele, na stránce o zabezpečení nebo v seznamu často kladených otázek.
| Téma | Otázka |
|---|---|
| Umístění | Kde jsou uložena moje data, včetně záloh? Odcházejí do zemí mimo Evropský hospodářský prostor? |
| Přístup | Mohu vynutit dvoufázové ověření pro všechny své uživatele? Mohu uživatelům přidělovat vlastní oprávnění? |
| Záloha | Vytváří dodavatel zálohy, jak často, jak dlouho je uchovává, a mohu si sám obnovit data? |
| Šifrování | Jsou data šifrována při přenosu i na disku? |
| Porušení zabezpečení | Jak rychle a jakým způsobem mě dodavatel informuje o incidentu? |
| Subzpracovatelé | Jaké subjekty dodavatel zapojuje, a jak se dozvím o změnách? |
| Certifikace | Existuje certifikát, například ISO 27001, a na co se vztahuje? |
| Odchod (exit) | Mohu exportovat všechna svá data v použitelném formátu? Co se stane s mými daty po ukončení smlouvy? |
K certifikaci: ISO/IEC 27001 je mezinárodní norma s požadavky na systém řízení bezpečnosti informací. ISO samo necertifikuje; dělá to nezávislý certifikační orgán. Certifikát ukazuje, že organizace řeší své zabezpečení systematicky, ale nezaručuje, že se nikdy nic nestane. Všímejte si zejména rozsahu platnosti na certifikátu: platí pro službu, kterou používáte, nebo jen pro jednu kancelář či oddělení?
Odchod (exit): umět odejít je také zabezpečení
Strategie odchodu je Váš plán, jak od dodavatele odejít, ať už vynuceně nebo dobrovolně. Zní to jako něco na později, ale musí se vyřešit už při výběru: pokud zjistíte, že nemůžete exportovat svou databázi zákazníků až při úpadku dodavatele, je pozdě.
Proto si předem ověřte:
- zda můžete exportovat všechna data, a v jakém formátu (otevřený formát jako CSV, standardní pošta nebo běžné soubory jsou lepší než vlastní formát);
- jak dlouho jsou Vaše data po ukončení smlouvy ještě dostupná;
- zda je Vaše doménové jméno vedeno na Vaše jméno a zda si sami můžete změnit nameservery (lekce 4.3);
- zda si sami uchováváte nedávný export jako součást své zálohy (lekce 6.1).
Přehled dodavatelů
Vše si zaznamenejte do přehledu dodavatelů: jedna tabulka s informacemi o každém dodavateli, jaká data uchovává, zda se jedná o osobní údaje, zda existuje smlouva o zpracování osobních údajů, kdo je u Vás vlastníkem, hlavní odpovědi z dotazníku a možnost odchodu. Projděte ji jednou ročně a při přidání nové služby.
Pokud některý z Vašich zákazníků spadá pod zákon o kybernetické bezpečnosti (lekce 9.1), můžete očekávat, že Vám tento zákazník jako dodavateli bude klást podobné otázky. S vlastním přehledem budete mít odpovědi připravené.
V praxi: takto to vypadá
Mnoho poskytovatelů umisťuje odpovědi na tyto otázky na stránku o zabezpečení. V ukázkovém prostředí WebOké například návod k Nextcloud popisuje, co zajišťuje poskytovatel a co dělá uživatel sám: kde jsou data uložena, šifrování při přenosu a na discích, povinné dvoufázové ověření, aktualizace a zálohy, a že pro firemní využití s osobními údaji uzavíráte smlouvu o zpracování osobních údajů. Toto rozdělení (co zajišťuje dodavatel, co dělám já sám) je přesně to, co hledáte u každého dodavatele. U jiných poskytovatelů to bývá uvedeno v trust centru, na stránce o zabezpečení nebo v podmínkách; pokud to tam není, zeptejte se.
Shrnutí
- Zmapujte si své dodavatele a u každého si položte otázku: co se stane, když vypadne, co se stane, když mu unikne data?
- Sdílená odpovědnost: poskytovatel zajišťuje infrastrukturu, Vy svá data, účty a nastavení.
- Zpracovává-li dodavatel pro Vás osobní údaje, je zpracovatelem a uzavřete s ním smlouvu o zpracování osobních údajů podle článku 28 GDPR.
- Používejte pevný seznam otázek: umístění, přístup, záloha, šifrování, porušení zabezpečení, subzpracovatelé, certifikace, odchod.
- Certifikát něco vypovídá, ale ověřte si rozsah jeho platnosti; svou strategii odchodu si vyřešte dříve, než ji budete potřebovat.
Kvíz
Úkol
Úkol D7.2: Váš inventář dodavatelů. Vytvořte tabulku svých pěti nejdůležitějších dodavatelů a cloudových služeb. U každého dodavatele uveďte, jaká data uchovává, zda se jedná o osobní údaje, zda existuje smlouva o zpracování osobních údajů, a vyhledejte odpovědi na otázky z dotazníku v této lekci (umístění, dvoufázové ověření, záloha, porušení zabezpečení, subzpracovatelé, certifikace, odchod). Zkuste u alespoň jedné služby skutečně provést export.
Úkol D7.2: Váš inventář dodavatelů
Postupujte takto: (1) Nakreslete svou firmu uprostřed a čarami ji propojte s každou stranou, která u sebe uchovává Vaše údaje nebo má přístup k Vašim systémům. (2) Vyberte pět nejdůležitějších a vytvořte tabulku s: službou, jakými údaji, osobní údaje (ano/ne), smlouva o zpracování osobních údajů (ano/ne/není potřeba), kdo je u Vás vlastníkem, a odpověďmi na dotazník z lekce 7.2: umístění údajů a záloh, vynucení dvoufázového ověření, záloha a možnost svépomocného obnovení, šifrování, jak rychle informují při úniku dat, subzpracovatelé, certifikace s rozsahem platnosti, export a co se stane po ukončení spolupráce. (3) Odpovědi nejprve vyhledejte v dokumentaci, na stránce o zabezpečení nebo v podmínkách dodavatele. Zapište si zdroj. Pokud tam není, položte otázku dodavateli a zapište odpověď. (4) U každého dodavatele, který pro Vás zpracovává osobní údaje, ověřte, zda existuje smlouva o zpracování osobních údajů a zda je třeba ji přijmout nebo podepsat. (5) U alespoň jedné služby skutečně vytvořte export svých údajů a ověřte, že ho lze otevřít. (6) U nejdůležitější služby napište ve třech větách svůj plán odchodu: kam přejdete, jak si odnesete své údaje, kolik na to máte času.
Vaše zaškrtnutí a poznámky zůstávají pouze v tomto prohlížeči; nikam je neposíláme. Pokud jste přihlášeni, ukládáme v sekci Moje kurzy pouze to, že jste úkol splnili.
Další čtení
Kroky v článcích WebOké platí pro prostředí WebOké; u jiných poskytovatelů to funguje podobně nebo jinak.
- Příručka k Nextcloud 3.1: Jak WebOké zabezpečuje Váš Nextcloud?
- Příručka k Nextcloud 15.13: Často kladené otázky o zabezpečení a soukromí
- GDPR (Nařízení (EU) 2016/679), článek 28: https://eur-lex.europa.eu/eli/reg/2016/679/oj
- Microsoft, Shared responsibility in the cloud (anglicky): https://learn.microsoft.com/en-us/azure/security/fundamentals/shared-responsibility