ELi andmesuveräänsus: küsige, kes pääseb tõenditele ligi

Vastavustõendid võivad paljastada arhitektuuri, lahendamata nõrkusi, töötajate andmeid, tarnijasõltuvusi ja intsidentide ajalugu. Selle valimine, kus need tõendid asuvad, väärib sama hoolikust kui selle valimine, kus asuvad kliendiandmed. Mõnel juhul annab tõendihoidla ettevõttest koondatuma pildi kui ükski üksik tootmissüsteem.

Juhtkonna jaoks on ELi andmesuveräänsus seega hanke- ja vastutusküsimus: kes pääseb sellele teabele ligi, kelle volitusel ja mis juhtub, kui peame lahkuma?

Euroopa majutusregioon on kasulik teave. See ei ole täielik vastus. Otsus peab hõlmama teenuseahelat, õiguslikku riski, tehnilist juurdepääsu ja võimet säilitada kasutatavad kirjed väljaspool platvormi.

Alustage teabest, mida usaldate

Vastavusplatvorm võib sisaldada võrguskeeme, juurdepääsuülevaatusi, haavatavusaruandeid, töötlemise inventare, riskihinnanguid ja intsidentide uurimisi. Kokku kirjeldavad need kirjed nii seda, kuidas organisatsioon toimib, kui ka seda, kus tema kaitse vajab parandamist.

Need sisaldavad ka eri liiki tundlikkust. Töötajate juurdepääsuülevaatus hõlmab isikuandmeid. Läbistustesti aruanne võib paljastada ärakasutatavaid nõrkusi. Juhtkonna otsus võib kajastada ärilist sõltuvust või aktsepteeritud riski. Need kategooriad nõuavad erinevat käsitlemist ka siis, kui need asuvad samas tööruumis.

Enne tarnijate võrdlemist koostage väike tõendite inventar. Märkige iga kategooria kohta selle eesmärk, tundlikkus, omanik, ettenähtud lugejad, säilitamisnõue ja see, kas originaaldokumenti on üldse vaja üles laadida.

Näiteks võib meetme ülevaatus vajada tõendit parandustöö lõpetamise kohta, mitte täielikku tehnilist aruannet, mis kirjeldab iga haavatavust. Varjatud väljavõte võib mõnikord nõutava fakti tõendada, vähendades samal ajal avatust. Varjamine ei tohi eemaldada konteksti, mis on vajalik tõendi hindamiseks.

See on praktiline soovitus, mitte universaalne nõue asendada originaalid kokkuvõtetega. Eesmärk on muuta tõendite käsitlemine teadlikuks, selle asemel et lasta igal auditipäringul hoidlat lõputult laiendada.

Eristage asukoht, kontroll ja õigusnõuetele vastavus

Andmete asukoht puudutab paiknemist. Suveräänsus puudutab ka kontrolli, juurdepääsu, õiguslikku riski ning võimet teavet teisaldada või selle kasutamist jätkata. Kumbagi mõistet ei tohiks käsitleda vastavussertifikaadina.

Need mõõtmed mõjutavad üksteist, kuid ei ole omavahel asendatavad. ELis majutatud teenus võib hõlmata tugitöötajaid või töötlemist väljaspool ELi. ELi omanduses olev tarnija võib sõltuda teiste üksuste käitatavast taristust, seirest või tehisintellekti teenustest. Ainuüksi omandisuhe ei tõenda, et iga juurdepääsutee on aktsepteeritav.

Samamoodi ei tähenda teise jurisdiktsiooni mõjusfääri kuulumine, et avalikustamine on vältimatu või et teenus on automaatselt ebaseaduslik. Hinnake asjakohaseid üksusi, kohaldatavat õigust, praktilist juurdepääsu ja kaitsemeetmeid. Kui sunniviisiline avalikustamine on otsuse jaoks oluline, hankige õigusnõu, selle asemel et toetuda rahvuse sildile või müügi lubadusele.

Mõistke, millised reeglid tegelikult kohalduvad

GDPR ei kehtesta üldreeglit, et kõik isikuandmed peavad jääma ELi. See nõuab asjakohast õiguslikku alust ja nõuetekohast töötlemist, sealhulgas turvalisust, volitatud töötlemise korraldust ja vajaduse korral rahvusvahelise edastamise nõudeid.

Isikuandmeid sisaldava vastavushoidla puhul tehke kindlaks poolte rollid ja uurige artikli 28 kohaseid töötlemistingimusi, kui on olemas volitatud töötleja suhe. Hinnake eraldi V peatüki kohast edastamiskorraldust. Isikuandmete töötlemise lepingu allkirjastamine ei lahenda edastamise küsimust ning ELi salvestusregiooni valimine ei kaota vajadust uurida välismaist juurdepääsu või edasist töötlemist.

Artikkel 32 nõuab riskile vastavat turvalisust. Krüpteerimine võib olla oluline meede, kuid GDPR ei näe igale hoidlale ette üht üldist krüpteerimislahendust. Artikkel 48 käsitleb ka kolmanda riigi kohtu või haldusasutuse nõudeid edastamise või avalikustamise kohta; seda ei tohiks lugeda universaalseks kilbiks välismaise juurdepääsu vastu.

Muud kohustused sõltuvad organisatsioonist. Riigisisese õiguse kaudu rakendatav NIS2 hõlmab kohaldamisalasse kuuluvate üksuste puhul juhtkonna järelevalvet ja tarneahela turvameetmeid. DORA kehtestab hõlmatud finantsüksustele IKT-kolmandate osapoolte riskiga seotud kohustused. Kumbagi ei tohiks taandada üldiseks juhiseks osta Euroopa tarkvara.

Euroopa suveräänsuspoliitika ja hankearutelud vajavad samuti hoolikat tõlgendamist. Eristage kehtestatud kohustusi ettepanekutest, poliitilistest deklaratsioonidest, hankekriteeriumidest ja sertifitseerimisskeemidest. Prantsusmaa ja Saksamaa nõudeid ei tohiks käsitleda omavahel asendatavatena ega automaatselt kohaldatavana igale eraettevõttele kogu Euroopas.

Paluge juristidel ja hankespetsialistidel dokumenteerida konkreetsed riiklikud, valdkondlikud ja kliendinõuded, mis teie ostu mõjutavad. Pilveteenuse kindlustandev aruanne võib anda tõendeid, kuid see ei lahenda suveräänsuse küsimust. Näiteks BSI C5 kataloog käsitleb pilvemeetmeid ja atesteerimist; see ei ole üldine suveräänsussertifikaat.

Kaardistage kogu teenuseahel

Kõige kasulikum hankedokument on tõendite käsitlemise kaart. See näitab, kuidas teave teenusesse jõuab, millised süsteemid seda töötlevad, kes sellele ligi pääseb ja kuidas see teenusest lahkub.

Küsige vastuseid tootmissalvestuse, koopiate, varukoopiate, avariitaaste, rakenduslogide, seire, tugipiletite ja ajutiste tõrkeotsingu koopiate kohta. Kaasake eksportfailid ja e-posti teavitused: tundlik leid võib teavituse kaudu ettenähtud piirist välja pääseda ka siis, kui selle manus jääb platvormi sisse.

Märkige iga komponendi kohta:

• Käitav üksus ja selle roll.
• Andmekategooriad, mida see saab, ja töötlemise eesmärk.
• Salvestus- ja töötlemiskohad, sealhulgas kaugjuurdepääsu asukohad.
• Volitatud juurdepääsurühmad ja kõik kaasatud täiendavad pakkujad.
• Säilitamine, kustutamine ja varukoopiate käsitlemine.
• Tegevust reguleerivad lepingutingimused.

Eristage pakkuja taristutarnijat tugiteenuse lepingupartnerist või tehisintellekti töötlejast. Nende funktsioonid ja juurdepääs võivad oluliselt erineda. Tarnija logode loend ei asenda seda kaarti.

Uurige ka muudatuste haldust. Kuidas saate teada uuest alamtöötlejast, muutunud töötlemiskohast või muudetud tugikorraldusest? Millised on ülevaatamise või vastuväite esitamise õigused ja mis juhtub, kui kavandatud muudatus on teie nõuetega vastuolus? Täna rahuldav hinnang vajab mehhanismi homsete muudatuste tuvastamiseks.

Käsitlege tehisintellekti töötlemist eraldi avalikustamisteena

Tehisintellekti abil tehtav tõendite ülevaatus võib tuua kaasa veel ühe pakkuja ja säilitamispoliitika. Funktsioon, mis teeb intsidendiaruandest kokkuvõtte, võib edastada aruande, väljavõetud teksti, viipasid, metaandmeid või diagnostikateavet väljapoole põhirakendust.

Küsige, mis jõuab tehisintellekti pakkujani, mis eesmärgil ja milliste lepingutingimuste alusel. Kinnitage kehtivas lepingus mudelite treenimiseks kasutamine, säilitamine, inimeste juurdepääs, töötlemiskohad ja edasine töötlemine. Ärge eeldage, et ettevõtte konto või väide „treenimiseks ei kasutata“ tähendab ka, et säilitamist ega tugijuurdepääsu ei ole.

Selgitage, kas tehisintellekti funktsioonid on valikulised ja kas tundlikule materjalile saab rakendada piiranguid. Kui platvorm ei suuda nõutavat piiri jõustada, võib sisemine juhis piiratud dokumente mitte üles laadida olla igapäevaseks kasutuseks liiga habras.

Praktiline ülevaatus peaks järgima üht esinduslikku dokumenti läbi funktsiooni. Tehke kindlaks allikas, edastatud sisu, väljund, säilitatud kirjed ja ülevaatajad. Loodud kokkuvõtted võivad ise sisaldada tundlikku teavet, seega kuuluvad need käsitlemiskaardile.

Tõendite järelduste puhul jääb inimlik ülevaatus vajalikuks. See on töötlemispiirangutest eraldi kaitsemeede: tehisintellekti loodud kokkuvõtte kinnitamine ei anna tagasiulatuvalt luba selle allika vastuvõetamatuks avalikustamiseks.

Küsige, kes saab tegelikult dekrüpteerida ja hallata

Krüpteerimine kaitseb teavet ainult oma ülesehituse ja toimimise piires. Edastamisel krüpteerimine kaitseb ühendusi; salvestatud andmete krüpteerimine kaitseb salvestatud andmeid teatud ohueelduste korral. Kumbki ei takista automaatselt volitatud rakendusel või privilegeeritud operaatoril sisu lugemast.

Küsige, kes kontrollib võtmeid, kes saab dekrüpteerimist käivitada ja kas administraatorid saavad muuta seda juurdepääsu reguleerivaid õigusi. Kliendi hallatavate võtmete korraldus võib kontrolli parandada, kuid selle mõju sõltub arhitektuurist. Kui teenus saab rutiinselt avateksti, ei kõrvalda ainuüksi võtme omamine pakkuja juurdepääsu.

Laske tehnilisel meeskonnal uurida võtmete eraldamist, vahetamist, tühistamist, taastamist ja võtme kaotamise tagajärgi. Juhtkond peaks mõistma iga käideldavusega seotud kompromissi enne selle kinnitamist. Rangem juurdepääsupiir, mis muudab olulised tõendid ka taastamatuks, ei ole täielik jätkuvuslahendus.

Tugijuurdepääs väärib erilist tähelepanu. Otsige nimelisi identiteete, piiratud õigusi, ajaliselt piiratud volitusi, vajaduse korral kliendi kinnitust ja auditeeritavaid toiminguid. Küsige, kuidas toimib hädaolukorra juurdepääs ja kuidas see hiljem üle vaadatakse.

Hankeküsimus ei ole lihtsalt see, kas juurdepääs logitakse. Küsimus on selles, kas organisatsioon saab sündmuse uurimiseks piisavalt teavet: kes millistele kirjetele ligi pääses, millal, mis põhjusel ja millise volituse alusel. Leppige kokku, millised tõendid on saadaval, enne kui intsident muudab küsimuse pakiliseks.

Muutke teisaldatavus testitud nõudeks

Teisaldatavus on osa suveräänsusest, sest kontroll nõrgeneb, kui lahkumine tähendab tõendite tähenduse kaotamist.

Testige esinduslikku eksporti enne kohustuse võtmist. Ainult failid ei pruugi säilitada seoseid meetmete, tõendite, leidude, omanike, kinnituste ja otsuste vahel. PDF-ide kaust võib dokumendid säilitada, kaotades samal ajal kirje sellest, mida need tõendasid ja kes järelduse aktsepteeris.

Valige valim, mis sisaldab manust, sellega seotud meedet, ülevaatuse kommentaari, kinnitust, avatud leidu ja asjakohaseid ajatempleid. Paluge kellelgi väljaspool juurutusmeeskonda otsus eksportfaili põhjal rekonstrueerida. See testib kasutatavust, mitte lihtsalt ekspordinupu olemasolu.

OSCAL pakub kasulikke mudeleid teisaldatava turbeteabe jaoks. Selle avaldatud spetsifikatsioonid võivad toetada struktureeritud vahetust, kuid avatud vormingu kasutamine ei tõenda automaatselt täielikkust ega ühilduvust. Kontrollige mudeliversioone, tunnuseid, manuseid, laiendusi ja seda, kas vastuvõttev süsteem suudab eksporditud struktuuri tõlgendada.

Vormingute kõrval on olulised lepingulised väljumistingimused. Tehke kindlaks, millal eksportfailid on saadaval, millist abi pakutakse, kas kehtivad tasud ja kui kaua juurdepääs pärast lõpetamist jätkub. Käsitlege aktiivsete kirjete kustutamist ja varukoopiate kohtlemist eraldi.

Näide: otsustamine, mis võib hoidlasse jõuda

Vaadelgem illustratiivset ELis asuvat tarkvaraettevõtet, kes valib tõendiplatvormi. Oletame, et selle esialgne ulatus hõlmab töötajate juurdepääsuülevaatusi, varjatud turvatestide leide ja intsidendiotsuste kirjeid. Selle sisepoliitika nõuab selle ulatuse puhul ELis salvestamist ja iga ELi-välise juurdepääsu selgesõnalist hindamist. Need on näitlikud eeldused, mitte universaalsed õigusnõuded.

Tarnija kinnitab tootmisandmete salvestamist ELis. Edasine ülevaatus tuvastab eraldi tugipiletite teenuse ja valikulise tehisintellekti kokkuvõtete pakkuja. Meeskond ei kuuluta platvormi ainuüksi majutusvastuse põhjal aktsepteeritavaks ega vastuvõetamatuks.

Selle asemel dokumenteerib ta kolm otsust:

Seejärel testib meeskond, kas tundlikud manused jõuavad tugipiletitesse, kontrollib kavandatud juurdepääsupiiranguid ja ekspordib ühe täieliku ülevaatuskirje.

Oletame, et tehisintellekti töötlemise tingimused jäävad ebaselgeks. Juhtkond võib kinnitada kitsama juurutuse ainult siis, kui sellest töötlemisest väljajätmine on usaldusväärne. Kui seda ei saa jõustada, jääb mõjutatud materjal juurutusest välja. Lahendamata küsimus saab omaniku ja otsuse tähtaja, selle asemel et kaduda üldisesse tarnijariski skoori.

Tulemus on piiritletud kinnitus: määratletud tõendikategooriad, lubatud töötlemine, piirangud, lahendamata küsimused ja läbivaatuse käivitajad. See on kasulikum kui tingimusteta deklaratsioon, et tarnija on „suveräänne“.

Andke otsus juhtkonna vastutusele

Hange saab koguda dokumente, turvalisus saab hinnata juurdepääsukontrolle ja õigusosakond saab hinnata kohustusi. Juhtkond vastutab äriotsuse eest aktsepteeritava avatuse ja sõltuvuse kohta. Kui kaasatud on andmekaitseametnik, säilitage selle rolli sõltumatud nõustamis- ja järelevalveülesanded, selle asemel et teha andmekaitseametnikust töötlemisotsuste omanik.

Kasutage selgesõnalisi aktsepteerimiskriteeriume. Ebaselge privilegeeritud juurdepääs, selgitamata töötlemiskohad või kasutuskõlbmatu väljumistee võivad tundliku ulatuse puhul olla välistavad. Muud puudujäägid võivad lubada piiratud juurutust dokumenteeritud tingimustega. Dokumenteerige, kes saab iga jääkriski aktsepteerida ja mis sunniks uuesti hindama.

Levinud vead on „ELis majutatud“ aktsepteerimine ilma teenuseahela kaardita, krüpteerimise käsitlemine tõendina, et keegi teine andmeid lugeda ei saa, ja ekspordi testimise edasilükkamine kuni lepingu lõpetamiseni. Teine viga on eeldada, et sertifikaat või auditiaruanne hõlmab täpselt ostetavat teenust, töötlemisteed ja tõendikategooriaid. Kontrollige ulatust ja piiranguid.

Muutke hindamine korratavaks töövooks

Secani seob tõendid nõuete, meetmete, sihtobjektide ja läbivaadatud otsustega, kasutades toote alusena avatud turvameetmete mudeleid. Keskendunud töövoog võib alata ühest teenusest, nimetatud omanikest, selle sõltuvustest välistest pakkujatest ja hankeotsust toetavatest dokumentidest. Puuduvad vastused muutuvad ülesanneteks; tehisintellekti abil tehtud soovitused jäävad mustandiks, mis allub inimlikule ülevaatusele ja allikate jälgitavusele.

Hoidke valitud teenuse majutus-, töötlemis-, juurdepääsu- ja ekspordikorraldus koos hankeotsusega. Vaadake see kirje üle, kui seadistused, alamtöötlejad või lepingutingimused muutuvad. See annab järgmisele ülevaatajale selge aluse kontrollida, kas korraldus vastab endiselt organisatsiooni nõuetele.

Praktiline järgmine samm on valida üks tundlik tõendikategooria ja jälgida selle kogu teekonda. Tooge saadud kaart, testitud eksportfail ja lahendamata juurdepääsuküsimused hankeotsuse juurde. See annab juhtkonnale läbivaadatava aluse otsustamaks, kes võib tõendeid hoida – ja millistel tingimustel.