Суверенитет на данните в ЕС: попитайте кой има достъп до доказателствата

Доказателствата за съответствие могат да разкрият архитектурата, неотстранените слабости, информация за служителите, зависимостите от доставчици и историята на инцидентите. Изборът на място, където да се съхраняват тези доказателства, заслужава същото внимание като избора на място за клиентските данни. В някои случаи хранилището за доказателства дава по-концентрирана картина на бизнеса от която и да е отделна производствена система.

Затова за ръководството суверенитетът на данните в ЕС е въпрос на снабдяване и отговорност: кой може да има достъп до тази информация, по чие правомощие и какво се случва, ако трябва да напуснем?

Европейският регион за хостинг е полезна информация. Той не е пълен отговор. Решението трябва да обхваща веригата от услуги, правната експозиция, техническия достъп и способността да се запазят използваеми записи извън платформата.

Започнете с информацията, която поверявате

Платформата за съответствие може да съдържа мрежови диаграми, прегледи на достъпа, доклади за уязвимости, регистри на дейностите по обработване, оценки на риска и разследвания на инциденти. Взети заедно, тези записи описват както начина, по който организацията работи, така и къде защитите ѝ се нуждаят от подобрение.

Те съдържат и различни видове чувствителност. Прегледът на достъпа на служителите включва лични данни. Докладът от тест за проникване може да разкрие експлоатируеми слабости. Решение на ръководството може да записва търговска зависимост или приет риск. Тези категории изискват различно боравене, дори когато се намират в едно и също работно пространство.

Преди да сравнявате доставчици, създайте малък инвентар на доказателствата. За всяка категория запишете нейната цел, чувствителност, собственик, предвидени читатели, изискване за съхранение и дали изобщо е необходимо да се качва оригиналният документ.

Например прегледът на контрол може да изисква доказателство, че отстраняването е завършено, а не пълния технически доклад, описващ всяка уязвимост. Понякога заличено извлечение може да установи необходимия факт, като същевременно намали експозицията. Заличаването не бива да премахва контекста, необходим за оценка на доказателството.

Това е практическа препоръка, а не универсално изискване оригиналите да се заменят с обобщения. Целта е боравенето с доказателствата да бъде обмислено, вместо всяко искане при одит да разширява хранилището безкрайно.

Разграничете местоположението, контрола и правното съответствие

Местоположението на данните се отнася до мястото. Суверенитетът засяга също контрола, достъпа, правната експозиция и способността информацията да бъде преместена или да продължи да се използва. Нито едното понятие не бива да се третира като сертификат за съответствие.

Тези измерения си взаимодействат, но не са взаимозаменяеми. Услуга, хоствана в ЕС, може да включва персонал за поддръжка или обработване извън ЕС. Доставчик със собственост в ЕС може да зависи от инфраструктура, наблюдение или услуги с ИИ, експлоатирани от други юридически лица. Само собствеността не доказва, че всеки път за достъп е приемлив.

По същия начин експозицията към друга юрисдикция не означава, че разкриването е неизбежно или че услугата автоматично е незаконосъобразна. Оценете съответните юридически лица, приложимото право, практическия достъп и защитните мерки. Когато принудителното разкриване е съществено за решението, потърсете правен съвет, вместо да разчитате на етикет за националност или на уверения от търговци.

Разберете кои правила действително се прилагат

ОРЗД не налага общо правило, че всички лични данни трябва да остават в ЕС. Той изисква подходящо правно основание и съответстващо обработване, включително сигурност, договорености с обработващи и изисквания за международно предаване, когато е приложимо.

За хранилище за съответствие, съдържащо лични данни, определете ролите на страните и проучете условията за обработване по член 28, когато съществува отношение с обработващ. Отделно оценете договореностите за предаване по глава V. Подписването на споразумение за обработване не решава въпроса с предаването, а изборът на регион за съхранение в ЕС не премахва необходимостта да се проучи достъпът от чужбина или последващото обработване.

Член 32 изисква сигурност, съответстваща на риска. Криптирането може да бъде важна мярка, но ОРЗД не предписва един общ дизайн на криптиране за всяко хранилище. Член 48 се отнася и до решения на съдилища или административни органи на трети държави, изискващи предаване или разкриване; той не бива да се тълкува като универсален щит срещу достъп от чужбина.

Други задължения зависят от организацията. NIS2, прилагана чрез националното право, включва надзор от ръководството и мерки за сигурност на веригата на доставки за субектите в обхвата. DORA установява задължения по отношение на риска от трети страни доставчици на ИКТ услуги за обхванатите финансови субекти. Нито едната не бива да се свежда до общо указание за закупуване на европейски софтуер.

Дискусиите за европейска политика за суверенитет и обществени поръчки също изискват внимателно тълкуване. Разграничавайте приетите задължения от предложенията, политическите декларации, критериите за обществени поръчки и схемите за сертифициране. Изискванията на Франция и Германия не бива да се третират като взаимозаменяеми или като автоматично приложими за всяко частно предприятие в Европа.

Помолете юристите и снабдяването да документират конкретните национални, секторни и клиентски изисквания, които засягат вашата покупка. Доклад за увереност в облака може да допринесе с доказателства, но не решава въпроса за суверенитета. Например каталогът C5 на BSI се отнася до облачни контроли и атестация; той не е общ сертификат за суверенитет.

Картографирайте цялата верига от услуги

Най-полезният документ при снабдяването е карта на боравенето с доказателствата. Тя показва как информацията влиза в услугата, кои системи я обработват, кой може да има достъп до нея и как тя излиза.

Поискайте отговори за производственото хранилище, репликите, архивите, възстановяването след бедствие, журналите на приложенията, наблюдението, заявките за поддръжка и временните копия за отстраняване на проблеми. Включете експортите и известията по имейл: чувствителна констатация може да излезе извън предвидената граница чрез известие, дори когато прикаченият ѝ файл остава в платформата.

За всеки компонент запишете:

• Експлоатиращото юридическо лице и неговата роля.
• Категориите данни, които получава, и целта на обработването.
• Местата на съхранение и обработване, включително местата на дистанционен достъп.
• Оторизираните групи с достъп и всички други участващи доставчици.
• Съхранението, изтриването и третирането в архивите.
• Договорните условия, уреждащи дейността.

Разграничавайте доставчика на инфраструктура на даден доставчик от изпълнител по поддръжката или обработващ услуги с ИИ. Техните функции и достъп могат да се различават съществено. Списък с логота на доставчици не замества тази карта.

Проучете и управлението на промените. Как ще научите за нов подизпълнител, променено място на обработване или преработена договореност за поддръжка? Какви права на преглед или възражение съществуват и какво се случва, ако предложената промяна противоречи на вашите изисквания? Задоволителната оценка днес се нуждае от механизъм за откриване на промените утре.

Третирайте обработването с ИИ като отделен път за разкриване

Прегледът на доказателства с помощта на ИИ може да въведе още един доставчик и политика за съхранение. Функция, която обобщава доклад за инцидент, може да предава доклада, извлечения текст, подканите, метаданните или диагностичната информация извън основното приложение.

Попитайте какво достига до доставчика на ИИ, с каква цел и при какви договорни условия. Потвърдете в текущото споразумение използването за обучение на модели, съхранението, човешкия достъп, местата на обработване и последващото обработване. Не приемайте, че корпоративен акаунт или изявление „без обучение“ означава също и липса на съхранение или на достъп при поддръжка.

Изяснете дали функциите с ИИ са незадължителни и дали за чувствителните материали могат да се прилагат ограничения. Ако платформата не може да наложи необходимата граница, вътрешно указание да не се качват документи с ограничен достъп може да е твърде крехко за рутинна употреба.

Практичният преглед трябва да проследи един представителен документ през функцията. Определете източника, предаденото съдържание, резултата, съхранените записи и проверяващите. Генерираните обобщения сами могат да съдържат чувствителна информация, затова принадлежат към картата на боравенето.

Човешкият преглед остава необходим за заключенията относно доказателствата. Той е защитна мярка, отделна от ограниченията на обработването: одобрението на генерирано от ИИ обобщение не разрешава със задна дата неприемливото разкриване на неговия източник.

Попитайте кой действително може да декриптира и администрира

Криптирането защитава информацията само в границите на своя дизайн и функциониране. Криптирането при пренос защитава връзките; криптирането в покой защитава съхраняваните данни при определени допускания за заплахите. Нито едното автоматично не пречи на оторизирано приложение или привилегирован оператор да чете съдържанието.

Попитайте кой контролира ключовете, кой може да извършва декриптиране и дали администраторите могат да променят правата, които уреждат този достъп. Договореност с управлявани от клиента ключове може да подобри контрола, но ефектът ѝ зависи от архитектурата. Ако услугата рутинно получава данни в явен вид, само собствеността върху ключовете не премахва достъпа на доставчика.

Нека техническият екип проучи разделянето на ключовете, ротацията, отмяната, възстановяването и последиците от загуба на ключ. Ръководството трябва да разбере всеки компромис с наличността, преди да го одобри. По-строга граница на достъпа, която същевременно прави съществени доказателства невъзстановими, не е пълно решение за непрекъснатост.

Достъпът при поддръжка заслужава особено внимание. Търсете поименни самоличности, ограничени привилегии, ограничено във времето разрешение, одобрение от клиента, когато е подходящо, и действия, подлежащи на одит. Попитайте как работи аварийният достъп и как се преглежда впоследствие.

Въпросът при снабдяването не е просто дали достъпът се журналира. Въпросът е дали организацията може да получи достатъчно информация, за да разследва събитие: кой е имал достъп до кои записи, кога, по каква причина и с какво разрешение. Договорете какви доказателства ще бъдат налични, преди инцидент да направи въпроса спешен.

Направете преносимостта тествано изискване

Преносимостта е част от суверенитета, защото контролът е отслабен, когато напускането означава загуба на смисъла на доказателствата.

Тествайте представителен експорт, преди да се обвържете. Самите файлове може да не запазват връзките между контроли, доказателства, констатации, отговорни лица, одобрения и решения. Папка с PDF файлове може да запази документите, като загуби записа за това какво са доказали и кой е приел заключението.

Изберете извадка, съдържаща прикачен файл, свързания с него контрол, коментар от преглед, одобрение, отворена констатация и съответните времеви отметки. Помолете човек извън екипа по внедряването да възстанови решението от експорта. Това тества използваемостта, а не само наличието на бутон за експорт.

OSCAL предоставя полезни модели за преносима информация за сигурността. Неговите публикувани спецификации могат да подпомогнат структурирания обмен, но използването на отворен формат не доказва автоматично пълнота или съвместимост. Проверете версиите на моделите, идентификаторите, прикачените файлове, разширенията и дали приемащата система може да интерпретира експортираната структура.

Договорните условия за излизане имат значение наред с форматите. Установете кога са налични експортите, каква помощ се предоставя, дали се дължат такси и колко дълго продължава достъпът след прекратяване. Уредете отделно изтриването на активните записи и третирането на архивните копия.

Практически пример: решение какво може да влезе в хранилището

Да разгледаме илюстративна софтуерна компания със седалище в ЕС, която избира платформа за доказателства. Да приемем, че първоначалният ѝ обхват включва прегледи на достъпа на служителите, заличени констатации от тестове за сигурност и записи за решения при инциденти. Вътрешната ѝ политика изисква съхранение в ЕС за този обхват и изрична оценка на всеки достъп извън ЕС. Това са примерни допускания, а не универсални правни изисквания.

Доставчикът потвърждава производствено съхранение в ЕС. По-нататъшният преглед установява отделна услуга за заявки за поддръжка и незадължителен доставчик на обобщения с ИИ. Екипът не обявява платформата за приемлива или неприемлива само въз основа на отговора за хостинга.

Вместо това той документира три решения:

След това екипът тества дали чувствителни прикачени файлове попадат в заявките за поддръжка, проверява предложените ограничения на достъпа и експортира един пълен запис от преглед.

Да предположим, че условията за обработване с ИИ остават неясни. Ръководството може да одобри по-тясно внедряване само ако изключването от това обработване е надеждно. Ако то не може да бъде наложено, засегнатите материали остават извън внедряването. Неизясненият въпрос получава отговорно лице и срок за решение, вместо да изчезне в обща оценка на риска от доставчика.

Резултатът е ограничено одобрение: определени категории доказателства, разрешено обработване, ограничения, неизяснени въпроси и събития за преглед. То е по-полезно от безусловна декларация, че доставчикът е „суверенен“.

Поставете решението под отговорността на ръководството

Снабдяването може да събира документи, сигурността може да оценява контролите на достъпа, а правният екип може да оценява задълженията. Ръководството отговаря за бизнес решението относно приемливата експозиция и зависимост. Когато участва ДЛЗД, запазете независимите консултативни и наблюдателни отговорности на ролята, вместо да правите ДЛЗД собственик на решенията за обработването.

Използвайте изрични критерии за приемане. Неясен привилегирован достъп, необясними места на обработване или неизползваем път за излизане може да са дисквалифициращи за чувствителен обхват. Други пропуски може да позволяват ограничено внедряване с документирани условия. Запишете кой може да приеме всеки остатъчен риск и какво би наложило повторна оценка.

Честите грешки са приемането на „хостинг в ЕС“ без карта на веригата от услуги, третирането на криптирането като доказателство, че никой друг не може да чете данните, и отлагането на тестването на експорта до прекратяването. Друга грешка е да се приеме, че сертификат или одитен доклад обхваща точно закупуваната услуга, пътя на обработване и категориите доказателства. Проверете обхвата и ограниченията.

Превърнете оценката в повторяем работен процес

Secani свързва доказателствата с изисквания, контроли, целеви обекти и прегледани решения, като използва отворени модели за контроли за сигурност като основа на продукта. Фокусиран работен процес може да започне с една услуга, посочени отговорни лица, нейните зависимости от външни доставчици и документите, подкрепящи решението за покупка. Липсващите отговори стават задачи; предложенията с помощта на ИИ остават чернова, подлежаща на човешки преглед и проследимост до източника.

Пазете договореностите за хостинга, обработването, достъпа и експорта на избраната услуга заедно с решението за покупка. Преглеждайте този запис, когато се променят конфигурациите, подизпълнителите или договорните условия. Това дава на следващия проверяващ ясна основа да провери дали договореността все още отговаря на изискванията на организацията.

Практичната следваща стъпка е да изберете една чувствителна категория доказателства и да проследите целия ѝ път. Представете получената карта, тестван експорт и неизяснените въпроси за достъпа при вземането на решението за покупка. Това дава на ръководството подлежаща на преглед основа да реши кой може да съхранява доказателствата и при какви условия.