Datová suverenita v EU: ptejte se, kdo má přístup k důkazům

Důkazy pro compliance mohou odhalit architekturu, nevyřešené slabiny, informace o zaměstnancích, závislosti na dodavatelích i historii incidentů. Volba místa, kde budou tyto důkazy uloženy, si zaslouží stejnou péči jako volba místa pro data zákazníků. V některých případech poskytuje úložiště důkazů koncentrovanější obraz firmy než kterýkoli jednotlivý produkční systém.

Pro vedení je proto datová suverenita v EU otázkou nákupu a odpovědnosti: kdo má k těmto informacím přístup, z čí pravomoci a co se stane, když budeme potřebovat odejít?

Evropský region hostingu je užitečná informace. Není to však úplná odpověď. Rozhodnutí musí pokrýt řetězec služeb, právní expozici, technický přístup a schopnost uchovat použitelné záznamy mimo platformu.

Začněte informacemi, které svěřujete

Platforma pro compliance může obsahovat schémata sítí, přezkumy přístupů, zprávy o zranitelnostech, inventáře zpracování, posouzení rizik a vyšetřování incidentů. Dohromady tyto záznamy popisují, jak organizace funguje i kde je třeba zlepšit její obranu.

Obsahují také různé druhy citlivosti. Přezkum přístupů zaměstnanců zahrnuje osobní údaje. Zpráva z penetračního testu může odhalit zneužitelné slabiny. Rozhodnutí vedení může zaznamenávat obchodní závislost nebo akceptované riziko. Tyto kategorie vyžadují odlišné zacházení, i když jsou ve stejném pracovním prostoru.

Před porovnáním dodavatelů vytvořte malý inventář důkazů. U každé kategorie zaznamenejte její účel, citlivost, vlastníka, zamýšlené čtenáře, požadavek na uchovávání a to, zda je vůbec nutné nahrávat původní dokument.

Přezkum opatření může například potřebovat doklad o dokončení nápravy, nikoli úplnou technickou zprávu popisující každou zranitelnost. Začerněný výňatek může někdy požadovanou skutečnost doložit a zároveň snížit expozici. Začernění však nesmí odstranit kontext potřebný k vyhodnocení důkazu.

Jde o praktické doporučení, nikoli o univerzální požadavek nahrazovat originály shrnutími. Cílem je, aby zacházení s důkazy bylo promyšlené, místo aby každý požadavek auditu úložiště neomezeně rozšiřoval.

Oddělte rezidenci dat, kontrolu a soulad s právem

Rezidence dat se týká umístění. Suverenita se týká také kontroly, přístupu, právní expozice a schopnosti informace přesunout nebo je dál používat. Žádný z těchto pojmů by se neměl považovat za osvědčení o souladu.

Tyto rozměry se navzájem ovlivňují, nejsou však zaměnitelné. Služba hostovaná v EU může zahrnovat pracovníky podpory nebo zpracování mimo EU. Dodavatel vlastněný v EU může záviset na infrastruktuře, monitorování nebo službách AI provozovaných jinými subjekty. Samotné vlastnictví neprokazuje, že je každá přístupová cesta přijatelná.

Podobně expozice vůči jiné jurisdikci neznamená, že zpřístupnění je nevyhnutelné nebo že je služba automaticky nezákonná. Posuďte relevantní subjekty, použitelné právo, praktický přístup a záruky. Pokud je povinné zpřístupnění pro rozhodnutí podstatné, vyžádejte si právní radu, místo abyste se spoléhali na označení státní příslušnosti nebo na ujištění obchodníka.

Pochopte, která pravidla se skutečně uplatní

GDPR neukládá obecné pravidlo, že všechny osobní údaje musí zůstat v EU. Vyžaduje odpovídající právní základ a zpracování v souladu s nařízením, včetně zabezpečení, ujednání se zpracovateli a případně požadavků na mezinárodní předávání.

U úložiště pro compliance obsahujícího osobní údaje určete role stran a tam, kde existuje vztah se zpracovatelem, prověřte podmínky zpracování podle článku 28. Samostatně posuďte ujednání o předávání podle kapitoly V. Podpis smlouvy o zpracování otázku předávání neřeší a volba úložiště v EU neodstraňuje potřebu prověřit přístup ze zámoří nebo další zpracování.

Článek 32 vyžaduje zabezpečení odpovídající riziku. Šifrování může být důležitým opatřením, GDPR však nepředepisuje jeden plošný návrh šifrování pro každé úložiště. Článek 48 se také zabývá požadavky soudů nebo správních orgánů třetích zemí na předání nebo zpřístupnění; neměl by se vykládat jako univerzální štít proti zahraničnímu přístupu.

Další povinnosti závisejí na organizaci. NIS2, prováděná vnitrostátním právem, zahrnuje dohled vedení a opatření pro bezpečnost dodavatelského řetězce u subjektů v působnosti. DORA stanoví povinnosti týkající se rizik třetích stran v oblasti IKT pro dotčené finanční subjekty. Žádnou z nich nelze zúžit na obecný pokyn nakupovat evropský software.

Také diskuse o evropské politice suverenity a o veřejných zakázkách vyžadují pečlivý výklad. Oddělujte přijaté povinnosti od návrhů, politických prohlášení, zadávacích kritérií a certifikačních schémat. Požadavky Francie a Německa by se neměly považovat za zaměnitelné ani za automaticky použitelné na každý soukromý podnik v Evropě.

Požádejte právníky a nákup, aby zdokumentovali konkrétní vnitrostátní, odvětvové a zákaznické požadavky, které váš nákup ovlivňují. Zpráva o zárukách cloudu může přispět důkazy, suverenitu však neřeší. Například katalog BSI C5 se týká opatření v cloudu a atestace; nejde o plošnou certifikaci suverenity.

Zmapujte celý řetězec služeb

Nejužitečnějším nákupním dokumentem je mapa zacházení s důkazy. Ukazuje, jak informace vstupují do služby, které systémy je zpracovávají, kdo k nim může přistupovat a jak službu opouštějí.

Vyžádejte si odpovědi pro produkční úložiště, repliky, zálohy, obnovu po havárii, aplikační logy, monitorování, tikety podpory a dočasné kopie pro řešení problémů. Zahrňte exporty a e-mailová oznámení: citlivé zjištění může opustit zamýšlenou hranici prostřednictvím oznámení, i když jeho příloha zůstává uvnitř platformy.

U každé komponenty zaznamenejte:

• Provozující subjekt a jeho roli.
• Kategorie údajů, které přijímá, a účel zpracování.
• Místa uložení a zpracování, včetně míst vzdáleného přístupu.
• Oprávněné přístupové skupiny a případné další zapojené poskytovatele.
• Uchovávání, výmaz a zacházení se zálohami.
• Smluvní podmínky, které činnost upravují.

Odlišujte dodavatele infrastruktury poskytovatele od dodavatele podpory nebo zpracovatele AI. Jejich funkce a přístup se mohou podstatně lišit. Seznam log dodavatelů tuto mapu nenahrazuje.

Prověřte také řízení změn. Jak se dozvíte o novém dalším zpracovateli, změněném místě zpracování nebo upraveném ujednání o podpoře? Jaká práva na přezkum nebo námitku existují a co se stane, když navrhovaná změna odporuje vašim požadavkům? Uspokojivé posouzení dnes potřebuje mechanismus pro zjištění změn zítra.

Zpracování pomocí AI berte jako samostatnou cestu zpřístupnění

Přezkum důkazů s podporou AI může přinést dalšího poskytovatele a další politiku uchovávání. Funkce, která shrnuje zprávu o incidentu, může mimo hlavní aplikaci přenášet samotnou zprávu, extrahovaný text, prompty, metadata nebo diagnostické informace.

Ptejte se, co se k poskytovateli AI dostane, za jakým účelem a za jakých smluvních podmínek. Ověřte v aktuální smlouvě použití pro trénink modelů, uchovávání, lidský přístup, místa zpracování a další zpracování. Nepředpokládejte, že podnikový účet nebo prohlášení „bez tréninku“ znamená také žádné uchovávání nebo žádný přístup podpory.

Vyjasněte, zda jsou funkce AI volitelné a zda lze na citlivé materiály uplatnit omezení. Pokud platforma nedokáže požadovanou hranici vynutit, může být interní pokyn nenahrávat dokumenty s omezeným přístupem pro běžné používání příliš křehký.

Praktický přezkum by měl funkcí provést jeden reprezentativní dokument. Určete zdroj, přenesený obsah, výstup, uchovávané záznamy a posuzovatele. Vygenerovaná shrnutí mohou sama obsahovat citlivé informace, proto patří do mapy zacházení.

Pro závěry o důkazech zůstává lidský přezkum nezbytný. Jde o samostatné ochranné opatření vedle omezení zpracování: schválení shrnutí vygenerovaného AI zpětně neautorizuje nepřijatelné zpřístupnění jeho zdroje.

Zjistěte, kdo může skutečně dešifrovat a spravovat

Šifrování chrání informace jen v mezích svého návrhu a provozu. Šifrování při přenosu chrání spojení; šifrování v klidu chrání uložená data za určitých předpokladů o hrozbách. Ani jedno automaticky nebrání oprávněné aplikaci nebo privilegovanému operátorovi obsah číst.

Ptejte se, kdo spravuje klíče, kdo může vyvolat dešifrování a zda administrátoři mohou měnit oprávnění, která tento přístup řídí. Uspořádání s klíči spravovanými zákazníkem může zlepšit kontrolu, jeho účinek však závisí na architektuře. Pokud služba běžně přijímá data v otevřené podobě, samotné vlastnictví klíčů přístup poskytovatele neodstraňuje.

Nechte technický tým prověřit oddělení klíčů, rotaci, odvolání, obnovu a důsledky ztráty klíče. Vedení by mělo případnému kompromisu v oblasti dostupnosti rozumět dříve, než jej schválí. Silnější hranice přístupu, která zároveň znemožní obnovit nezbytné důkazy, není úplným řešením kontinuity.

Zvláštní pozornost si zaslouží přístup podpory. Hledejte jmenovité identity, omezená oprávnění, časově omezenou autorizaci, případně schválení zákazníkem a auditovatelné akce. Zeptejte se, jak funguje nouzový přístup a jak se následně přezkoumává.

Otázkou při nákupu není jen to, zda je přístup logován. Jde o to, zda organizace dokáže získat dost informací k vyšetření události: kdo přistupoval ke kterým záznamům, kdy, z jakého důvodu a na základě jaké autorizace. Dohodněte se, jaké důkazy budou k dispozici, dříve než incident tuto otázku učiní naléhavou.

Z přenositelnosti udělejte testovaný požadavek

Přenositelnost je součástí suverenity, protože kontrola je oslabena, když odchod znamená ztrátu smyslu důkazů.

Před závazkem otestujte reprezentativní export. Samotné soubory nemusí zachovat vztahy mezi opatřeními, důkazy, zjištěními, vlastníky, schváleními a rozhodnutími. Složka PDF může zachovat dokumenty a přitom ztratit záznam o tom, co prokazovaly a kdo závěr přijal.

Zvolte vzorek obsahující přílohu, s ní propojené opatření, komentář z přezkumu, schválení, otevřené zjištění a relevantní časová razítka. Požádejte někoho mimo implementační tým, aby z exportu rekonstruoval rozhodnutí. Tím otestujete použitelnost, nikoli pouhou existenci tlačítka pro export.

OSCAL poskytuje užitečné modely pro přenositelné bezpečnostní informace. Jeho zveřejněné specifikace mohou podporovat strukturovanou výměnu, použití otevřeného formátu však automaticky nezaručuje úplnost ani kompatibilitu. Ověřte verze modelů, identifikátory, přílohy, rozšíření a to, zda přijímající systém dokáže exportovanou strukturu interpretovat.

Vedle formátů jsou důležité i smluvní podmínky odchodu. Zjistěte, kdy jsou exporty k dispozici, jaká pomoc je poskytována, zda se účtují poplatky a jak dlouho přístup trvá po ukončení. Výmaz aktivních záznamů a zacházení se záložními kopiemi řešte samostatně.

Modelový příklad: rozhodnutí, co smí do úložiště

Představme si ilustrativní softwarovou firmu se sídlem v EU, která vybírá platformu pro důkazy. Předpokládejme, že její počáteční rozsah zahrnuje přezkumy přístupů zaměstnanců, začerněná zjištění z bezpečnostních testů a záznamy o rozhodnutích k incidentům. Její interní politika vyžaduje pro tento rozsah úložiště v EU a výslovné posouzení jakéhokoli přístupu mimo EU. Jde o předpoklady příkladu, nikoli o univerzální právní požadavky.

Dodavatel potvrdí produkční úložiště v EU. Další přezkum odhalí samostatnou službu pro tikety podpory a volitelného poskytovatele shrnutí pomocí AI. Tým neprohlásí platformu za přijatelnou ani nepřijatelnou jen na základě odpovědi o hostingu.

Místo toho zdokumentuje tři rozhodnutí:

Tým poté otestuje, zda se citlivé přílohy dostávají do tiketů podpory, ověří navrhovaná omezení přístupu a vyexportuje jeden úplný záznam z přezkumu.

Předpokládejme, že podmínky zpracování pomocí AI zůstanou nejasné. Vedení může schválit užší zavedení jen tehdy, pokud je vyloučení z tohoto zpracování spolehlivé. Pokud jej nelze vynutit, dotčené materiály zůstanou mimo zavedení. Nevyřešený problém dostane vlastníka a termín rozhodnutí, místo aby zmizel v obecném skóre rizik dodavatele.

Výstupem je ohraničené schválení: definované kategorie důkazů, povolené zpracování, omezení, nevyřešené otázky a spouštěče přezkumu. Je užitečnější než bezvýhradné prohlášení, že dodavatel je „suverénní“.

Svěřte rozhodnutí do vlastnictví vedení

Nákup může shromáždit dokumenty, bezpečnost může posoudit řízení přístupu a právní oddělení může vyhodnotit povinnosti. Vedení vlastní obchodní rozhodnutí o přijatelné expozici a závislosti. Je-li zapojen pověřenec pro ochranu osobních údajů, zachovejte nezávislé poradní a monitorovací odpovědnosti této role, místo abyste z něj dělali vlastníka rozhodnutí o zpracování.

Používejte výslovná kritéria přijatelnosti. Nejasný privilegovaný přístup, nevysvětlená místa zpracování nebo nepoužitelná cesta odchodu mohou být pro citlivý rozsah vylučující. Jiné nedostatky mohou umožnit omezené nasazení se zdokumentovanými podmínkami. Zaznamenejte, kdo může které zbytkové riziko akceptovat a co by vynutilo nové posouzení.

Častými chybami jsou přijetí „hostováno v EU“ bez mapy řetězce služeb, považování šifrování za důkaz, že data nikdo jiný nemůže číst, a odkládání testu exportu až na dobu ukončení. Další chybou je předpoklad, že certifikace nebo auditní zpráva pokrývá přesně tu službu, cestu zpracování a kategorie důkazů, které nakupujete. Ověřte rozsah a omezení.

Převeďte posouzení na opakovatelný postup

Secani propojuje důkazy s požadavky, opatřeními, cílovými objekty a přezkoumanými rozhodnutími a jako produktový základ využívá otevřené modely bezpečnostních opatření. Cílený postup může začít jednou službou, jmenovitými vlastníky, jejími závislostmi na externích poskytovatelích a dokumenty podporujícími rozhodnutí o nákupu. Chybějící odpovědi se stávají úkoly; návrhy s podporou AI zůstávají konceptem podléhajícím lidskému přezkumu a sledovatelnosti zdrojů.

Ujednání o hostingu, zpracování, přístupu a exportu u vybrané služby uchovávejte spolu s rozhodnutím o nákupu. Tento záznam přezkoumejte, když se změní konfigurace, další zpracovatelé nebo smluvní podmínky. Další posuzovatel tak získá jasný základ pro ověření, zda uspořádání stále splňuje požadavky organizace.

Praktickým dalším krokem je vybrat jednu kategorii citlivých důkazů a vysledovat celou její cestu. K rozhodnutí o nákupu přineste výslednou mapu, otestovaný export a nevyřešené otázky přístupu. Vedení tak získá přezkoumatelný základ pro rozhodnutí, kdo smí důkazy držet a za jakých podmínek.