Modul 7 · 7.2
Beszállítók és felhőalapú szolgáltatások értékelése
Modul 7: Hozzáférés, beszállítók és felhő · Olvasási idő: 11 perc
Tanulási cél: E lecke után Ön képes lesz értékelni egy beszállítót vagy felhőalapú szolgáltatást biztonság, adatvédelem és kilépési lehetőség szempontjából, el tudja magyarázni, mit kell szabályoznia a GDPR szerinti adatfeldolgozási megállapodásnak, és képes lesz beszállítói nyilvántartást vezetni.
Kulcsfogalmak: megosztott felelősség, adatfeldolgozó, adatfeldolgozási megállapodás, alvállalkozó adatfeldolgozó, adatok tárolási helye, tanúsítás (például ISO 27001), kilépési stratégia, beszállítói nyilvántartás
A biztonsága annyira erős, amennyire a beszállítói azok
Egy kisvállalkozásnak ritkán vannak saját szerverei. A levelezés egy szolgáltatónál fut, a könyvelés egy online rendszerben történik, a webáruház egy platformon üzemel, a laptopokat egy informatikai cég kezeli, a bérszámfejtés pedig egy könyvelőirodán keresztül zajlik. Ez ésszerű: ezek a partnerek gyakran jobban tudják megoldani a biztonságot, mint Ön saját maga tudná. Ez azonban azt is jelenti, hogy a biztonságának jelentős része mások kezében van.
Rajzolja le magának. Helyezze a vállalkozását középre, és húzzon egy vonalat minden olyan félhez, amely adatokat tárol Önről, vagy hozzáférhet a rendszereihez. Minden vonalnál tegyen fel két kérdést:
- Mi történik, ha az adott fél kiesik? Egy üzemzavar, egy csőd, egy áremelés, amely miatt el szeretne menni.
- Mi történik, ha az adott félnél adatszivárgás történik? Egy betörés a beszállítónál, egy alkalmazott, aki túl sok mindent lát, az informatikai cég egy fiókjának átvétele.
Megosztott felelősség
A 6.1 leckében már láthatta a megosztott felelősség modelljét: a felhőalapú szolgáltatás nyújtója gondoskodik az adatközpontról, a szerverekről és a szoftver működéséről; Ön marad felelős az adataiért, a fiókjaiért és a beállításaiért. A Microsoft a dokumentációjában szó szerint leírja, hogy ez minden felhőalapú szolgáltatástípusnál így marad, még a kész szoftvereknél is.
Ez a gyakorlatban a következőt jelenti:
| A szolgáltató általában ezt intézi | Ön mindig saját maga intézi |
|---|---|
| Az adatközpont fizikai biztonsága | Hogy kinek van fiókja és milyen jogosultságokkal (7.1. lecke) |
| A szerverek és a szoftver frissítései | A kétlépcsős azonosítás bekapcsolása és használata |
| Rendelkezésre állás a megállapodás szerint | Hogy mit oszt meg és kivel (7.3. lecke) |
| Biztonsági mentések katasztrófák esetére (ha ez meg van állapodva) | Saját biztonsági mentés vagy exportálás arról, amit semmiképp nem veszíthet el (6. modul) |
Gyakori hiba azt feltételezni, hogy a szolgáltató intéz valamit, amit soha nem kérdezett meg tőle. Kérdezze meg tehát.
Adatfeldolgozó és adatfeldolgozási megállapodás
Amint egy beszállító személyes adatokat dolgoz fel Ön számára, a GDPR szabályai érvényesek. Gondoljon az ügyféladatokra a webáruházában, a nevekkel és címekkel ellátott levelezésre, a bérezési adatokra, vagy egy olyan felhőtárhelyre, amely jelentkezők önéletrajzait tartalmazza.
- Ön az adatkezelő: Ön határozza meg, hogy mire és hogyan használják fel az adatokat.
- A beszállító az adatfeldolgozó: az Ön megbízásából, az Ön céljaira dolgozza fel az adatokat.
A GDPR 28. cikke szerint csak olyan adatfeldolgozókat vehet igénybe, amelyek megfelelő garanciákat nyújtanak a megfelelő technikai és szervezési intézkedésekre. A megállapodásokat adatfeldolgozási megállapodásban rögzíti, írásban (elektronikus forma is megengedett). A 28. cikk (3) bekezdése szerint ennek a megállapodásnak minden esetben szabályoznia kell a tárgyat, az időtartamot, a feldolgozás jellegét és célját, az érintett személyes adatok és érintettek típusait, valamint azt, hogy az adatfeldolgozó:
- kizárólag az Ön írásbeli utasításai alapján jár el;
- gondoskodik arról, hogy munkatársai titoktartási kötelezettséget vállaljanak;
- megteszi a 32. cikk szerinti biztonsági intézkedéseket;
- csak az Ön hozzájárulásával vesz igénybe alvállalkozó adatfeldolgozót, ugyanazon kötelezettségek mellett;
- segít Önnek, ha az érintettek gyakorolják adatvédelmi jogaikat (betekintés, helyesbítés, törlés);
- segít a biztonság, az adatvédelmi incidensek és egy esetleges hatásvizsgálat (DPIA) kezelésében (32-36. cikk);
- a feldolgozás befejezése után az Ön választása szerint törli vagy visszaadja az adatokat, és törli a másolatokat;
- megadja az Önnek szükséges információkat annak ellenőrzéséhez, hogy betartja a megállapodásokat, és lehetővé teszi az auditokat.
Az alvállalkozó adatfeldolgozó olyan fél, amelyet az Ön adatfeldolgozója maga von be, például a tárhelyszolgáltatója adatközpontja vagy a könyvelőprogramja levelezőszolgáltatása. A GDPR szerint az adatfeldolgozó teljes mértékben felelős Ön felé akkor is, ha egy alvállalkozó adatfeldolgozó nem teljesíti kötelezettségeit. Kérje el az alvállalkozó adatfeldolgozók listáját.
A Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH, https://naih.hu/) javasolja, hogy a megállapodásokat konkrétan fogalmazzák meg, ahelyett hogy csak a jogszabály szövegét ismételnék, és hogy rögzítsék, a beszállító milyen gyorsan és milyen információkkal tájékoztatja Önt egy adatvédelmi incidensről. Ez utóbbi fontos: a 8.2. leckében látni fogja, hogy Önnek 72 órán belül kell bejelentést tennie, és ez az óra csak akkor kezd el ketyegni, amikor Ön tudomást szerez róla.
Sok szolgáltatónak van saját, előre elkészített adatfeldolgozási megállapodása. Olvassa el, és figyeljen arra, hogy valóban alá kell-e írni vagy el kell-e fogadni: egyes szolgáltatóknál ez nem lép automatikusan hatályba.
Ez a lecke általános tájékoztatást nyújt, és nem minősül jogi tanácsadásnak. A teljes szöveg a GDPR-ban található az eur-lex.europa.eu oldalon.
Kérdések, amelyeket érdemes feltenni egy beszállítónak
Az értékeléshez nem kell negyvenoldalas auditjelentés. Egy kisvállalkozás számára egy állandó kérdéslista jól működik. A válaszok gyakran már megtalálhatók a beszállító weboldalán, egy biztonsági oldalon vagy egy gyakran ismételt kérdések listáján.
| Téma | Kérdés |
|---|---|
| Helyszín | Hol tárolják az adataimat, a biztonsági mentéseket is beleértve? Kerülnek-e adatok az Európai Gazdasági Térségen kívüli országokba? |
| Hozzáférés | Kikényszeríthetem-e a kétlépcsős azonosítást minden felhasználómnál? Adhatok-e a felhasználóknak saját jogosultságokat? |
| Biztonsági mentés | Készít a szolgáltató biztonsági mentést, milyen gyakran, meddig tárolják, és visszaállíthatom-e magam? |
| Titkosítás | Titkosítva vannak-e az adatok továbbítás közben és a lemezen is? |
| Adatvédelmi incidens | Milyen gyorsan és hogyan tájékoztatja Önt a szolgáltató egy incidens esetén? |
| Alvállalkozó adatfeldolgozók | Milyen feleket von be, és hogyan értesül Ön a változásokról? |
| Tanúsítás | Van-e tanúsítvány, például ISO 27001, és mire vonatkozik? |
| Kilépés | Exportálhatja-e az összes adatát használható formátumban? Mi történik az adataival a szerződés felmondása után? |
A tanúsításról: az ISO/IEC 27001 egy nemzetközi szabvány, amely követelményeket fogalmaz meg az információbiztonsági irányítási rendszerekre. Maga az ISO nem tanúsít; ezt egy független tanúsító szervezet végzi. A tanúsítvány azt mutatja, hogy egy szervezet tervszerűen kezeli a biztonságát, de nem garantálja, hogy soha nem történik probléma. Mindenképpen nézze meg a tanúsítványon a hatókört: az Ön által használt szolgáltatásra vonatkozik, vagy csak egy irodára vagy osztályra?
Kilépés: a távozás lehetősége is biztonság
A kilépési stratégia az Ön terve arra az esetre, ha el szeretne, vagy el kell hagynia egy beszállítót, kényszerből vagy önként. Úgy hangzik, mintha ez később is ráérne, de már a kiválasztásnál számolni kell vele: ha csak egy csőd esetén derül ki, hogy nem tudja exportálni az ügyféladatait, már késő.
Ellenőrizze tehát előre:
- hogy exportálhatja-e az összes adatát, és milyen formátumban (egy nyílt formátum, mint a CSV, a szokásos levelezés vagy a hagyományos fájlok jobb, mint egy egyedi formátum);
- meddig érhetők el az adatai a felmondás után;
- hogy a domainneve az Ön saját nevén van-e nyilvántartva, és maga tudja-e módosítani a névszervereket (4.3. lecke);
- hogy tart-e saját maga egy friss exportot, a biztonsági mentése részeként (6.1. lecke).
A beszállítói nyilvántartás
Rögzítsen mindent egy beszállítói nyilvántartásban: egyetlen táblázatban, amely beszállítónként tartalmazza a szolgáltatást, hogy milyen adatok vannak ott, hogy van-e köztük személyes adat, hogy van-e adatfeldolgozási megállapodás, hogy ki a felelős az Ön szervezetén belül, a kérdéslista legfontosabb válaszait és a kilépési lehetőséget. Tekintse át évente egyszer, és akkor is, ha egy új szolgáltatás kerül bevezetésre.
Ha az egyik ügyfele a kiberbiztonsági törvény hatálya alá tartozik (9.1. lecke), számíthat rá, hogy az az ügyfél, mint beszállítójától, ilyen típusú kérdéseket fog Öntől kérdezni. Egy saját nyilvántartással kéznél lesznek a válaszok.
A gyakorlatban: így néz ki
Sok szolgáltató egy biztonsági oldalon adja meg a válaszokat ezekre a kérdésekre. A WebOké mintakörnyezetben például a Nextcloud-útmutató leírja, hogy mit intéz a szolgáltató, és mit tesz a felhasználó saját maga: hol tárolják az adatokat, a titkosítás a továbbítás közben és a lemezeken, a kötelező kétlépcsős azonosítás, a frissítések és a biztonsági mentések, valamint azt, hogy üzleti célú, személyes adatokat érintő használat esetén adatfeldolgozási megállapodást kell kötni. Ez a felosztás (mit intéz a szolgáltató, mit teszek én magam) pontosan az, amit minden beszállítónál érdemes megkeresni. Más szolgáltatóknál ez gyakran egy trust centerben, egy biztonsági oldalon vagy a feltételekben található; ha nincs ott, kérdezze meg.
Összefoglalás
- Rajzolja le a beszállítóit, és minden vonalnál kérdezze meg: mi történik, ha kiesik, mi történik, ha adatszivárgás éri?
- Megosztott felelősség: a szolgáltató intézi az infrastruktúrát, Ön az adatait, fiókjait és beállításait.
- Ha egy beszállító személyes adatokat dolgoz fel az Ön számára, akkor adatfeldolgozó, és adatfeldolgozási megállapodást kell kötnie vele a GDPR 28. cikke szerint.
- Használjon állandó kérdéslistát: helyszín, hozzáférés, biztonsági mentés, titkosítás, adatvédelmi incidens, alvállalkozó adatfeldolgozók, tanúsítás, kilépés.
- Egy tanúsítvány mond valamit, de ellenőrizze a hatókörét; rendezze a kilépési lehetőségét, mielőtt szüksége lenne rá.
Kvíz
Feladat
D7.2 feladat: A beszállítói nyilvántartása. Készítsen táblázatot az öt legfontosabb beszállítójáról és felhőalapú szolgáltatásáról. Töltse ki beszállítónként, hogy milyen adatok vannak ott, hogy van-e köztük személyes adat, hogy van-e adatfeldolgozási megállapodás, és keresse meg a válaszokat az e leckében szereplő kérdéslistára (helyszín, kétlépcsős azonosítás, biztonsági mentés, adatvédelmi incidens, alvállalkozó adatfeldolgozók, tanúsítás, kilépés). Próbáljon meg legalább egy szolgáltatásnál valóban exportot készíteni.
D7.2. feladat: A beszállítói leltára
Így álljon neki: (1) Rajzolja le a vállalkozását középre, vonalakkal minden olyan félhez, aki adatokat tárol Önről vagy hozzáfér a rendszereihez. (2) Válassza ki az öt legfontosabbat, és készítsen táblázatot: szolgáltatás, milyen adatok, személyes adatok (igen/nem), adatfeldolgozási szerződés (igen/nem/nem szükséges), nálam lévő tulajdonos, és a 7.2. leckéből vett kérdőív válaszai: az adatok és a biztonsági mentések helye, kétlépcsős azonosítás kikényszerítése, biztonsági mentés és saját visszaállítás, titkosítás, mennyire gyors reagálás adatvédelmi incidens esetén, alvállalkozók, tanúsítás alkalmazási körrel, exportálhatóság és mi történik felmondás után. (3) Először keresse meg a válaszokat a dokumentációban, a szolgáltató biztonsági oldalán vagy feltételeiben. Jegyezze fel a forrást. Ha nem találja, tegye fel a kérdést a szolgáltatónak, és jegyezze fel a választ. (4) Minden olyan szolgáltatónál, aki személyes adatokat dolgoz fel Önnek, ellenőrizze, van e adatfeldolgozási szerződés, és azt el kell e fogadni vagy alá kell e írni. (5) Legalább egy szolgáltatásnál valóban készítsen exportot az adatairól, és nézze meg, meg tudja e nyitni. (6) A legfontosabb szolgáltatásnál írja le három mondatban a kilépési tervét: hová megy, hogyan viszi magával az adatait, mennyi ideje van erre.
A pipái és jegyzetei csak ebben a böngészőben maradnak meg, sehova nem küldjük el őket. Ha bejelentkezett, a Fiókomban csak azt tároljuk, hogy elvégezte a feladatot.
További olvasnivaló
A WebOké cikkeiben szereplő lépések a WebOké környezetére vonatkoznak; más szolgáltatóknál ez hasonlóan vagy eltérően működhet.
- Nextcloud kézikönyv 3.1: Hogyan védi a WebOké az Ön Nextcloud fiókját?
- Nextcloud kézikönyv 15.13: Gyakori kérdések a biztonságról és az adatvédelemről
- GDPR (az (EU) 2016/679 rendelet), 28. cikk: https://eur-lex.europa.eu/eli/reg/2016/679/oj
- Microsoft, Shared responsibility in the cloud (angol nyelven): https://learn.microsoft.com/en-us/azure/security/fundamentals/shared-responsibility