EU:n datasuvereniteetti: kysy, kuka pääsee käsiksi näyttöön

Vaatimustenmukaisuuden näyttö voi paljastaa arkkitehtuurin, ratkaisemattomat heikkoudet, henkilöstötietoja, toimittajariippuvuudet ja poikkeamahistorian. Sen valitseminen, missä tätä näyttöä säilytetään, ansaitsee saman huolellisuuden kuin asiakastietojen säilytyspaikan valinta. Joissakin tapauksissa näyttövarasto antaa liiketoiminnasta tiiviimmän kuvan kuin mikään yksittäinen tuotantojärjestelmä.

Johdolle EU:n datasuvereniteetti on siksi hankinta- ja vastuukysymys: kuka pääsee käsiksi näihin tietoihin, kenen valtuutuksella ja mitä tapahtuu, jos meidän on lähdettävä?

Eurooppalainen hosting-alue on hyödyllinen tieto. Se ei ole täydellinen vastaus. Päätöksen on katettava palveluketju, oikeudellinen altistuminen, tekninen pääsy ja kyky säilyttää käyttökelpoiset tallenteet alustan ulkopuolella.

Aloita tiedoista, jotka uskot palvelun haltuun

Vaatimustenmukaisuusalusta voi sisältää verkkokaavioita, käyttöoikeuskatselmointeja, haavoittuvuusraportteja, käsittelyluetteloita, riskiarvioita ja poikkeamatutkintoja. Yhdessä nämä tallenteet kuvaavat sekä sitä, miten organisaatio toimii, että sitä, missä sen puolustusta on parannettava.

Ne sisältävät myös erilaista arkaluonteisuutta. Työntekijöiden käyttöoikeuskatselmointi sisältää henkilötietoja. Tunkeutumistestauksen raportti voi paljastaa hyödynnettäviä heikkouksia. Johdon päätös voi kirjata kaupallisen riippuvuuden tai hyväksytyn riskin. Nämä ryhmät edellyttävät erilaista käsittelyä, vaikka ne olisivat samassa työtilassa.

Laadi pieni näyttöluettelo ennen toimittajien vertailua. Kirjaa kustakin ryhmästä sen tarkoitus, arkaluonteisuus, omistaja, aiotut lukijat, säilytysvaatimus ja se, tarvitseeko alkuperäistä asiakirjaa ladata lainkaan.

Esimerkiksi kontrollikatselmointi voi edellyttää todistetta korjauksen valmistumisesta, ei koko teknistä raporttia, jossa kuvataan jokainen haavoittuvuus. Peitetty ote voi joskus osoittaa vaaditun tosiseikan ja samalla vähentää altistumista. Peittäminen ei saa poistaa näytön arvioinnin edellyttämää asiayhteyttä.

Tämä on käytännön suositus, ei yleinen vaatimus korvata alkuperäiset asiakirjat tiivistelmillä. Tavoitteena on tehdä näytön käsittelystä harkittua sen sijaan, että jokainen auditointipyyntö kasvattaisi varastoa loputtomasti.

Erota sijainti, hallinta ja lainmukaisuus

Tietojen sijainti koskee paikkaa. Suvereniteetti koskee myös hallintaa, pääsyä, oikeudellista altistumista ja kykyä siirtää tai jatkaa tietojen käyttöä. Kumpaakaan termiä ei pidä pitää vaatimustenmukaisuuden todistuksena.

Nämä ulottuvuudet vaikuttavat toisiinsa, mutta ne eivät ole keskenään vaihdettavia. EU:ssa isännöityyn palveluun voi liittyä tukihenkilöstöä tai käsittelyä EU:n ulkopuolella. EU:ssa omistettu toimittaja voi riippua muiden yhteisöjen ylläpitämästä infrastruktuurista, valvonnasta tai tekoälypalveluista. Pelkkä omistus ei osoita, että jokainen pääsypolku on hyväksyttävä.

Samoin altistuminen toiselle lainkäyttöalueelle ei tarkoita, että luovutus olisi väistämätön tai että palvelu olisi automaattisesti lainvastainen. Arvioi asianomaiset yhteisöt, sovellettava lainsäädäntö, käytännön pääsy ja suojatoimet. Jos pakollinen luovutus on päätöksen kannalta olennainen, hanki oikeudellista neuvontaa sen sijaan, että luottaisit kansallisuusmerkintään tai myynnin vakuutteluun.

Ymmärrä, mitkä säännöt todella soveltuvat

Yleinen tietosuoja-asetus (GDPR) ei aseta yleistä sääntöä, jonka mukaan kaikkien henkilötietojen on pysyttävä EU:ssa. Se edellyttää asianmukaista oikeusperustetta ja vaatimustenmukaista käsittelyä, mukaan lukien tietoturva, käsittelijäjärjestelyt ja tarvittaessa kansainvälisiä siirtoja koskevat vaatimukset.

Jos vaatimustenmukaisuuden varasto sisältää henkilötietoja, määritä osapuolten roolit ja tarkastele 28 artiklan mukaisia käsittelyehtoja, jos kyseessä on käsittelijäsuhde. Arvioi V luvun mukaiset siirtojärjestelyt erikseen. Käsittelysopimuksen allekirjoittaminen ei ratkaise siirtokysymystä, eikä EU:ssa sijaitsevan tallennusalueen valitseminen poista tarvetta tarkastella pääsyä ulkomailta tai edelleenkäsittelyä.

32 artikla edellyttää riskiin nähden asianmukaista tietoturvaa. Salaus voi olla tärkeä toimenpide, mutta GDPR ei määrää yhtä yleistä salausratkaisua jokaiselle varastolle. 48 artikla koskee myös kolmannen maan tuomioistuinten tai hallintoviranomaisten vaatimuksia siirtää tai luovuttaa tietoja; sitä ei pidä tulkita yleiseksi suojaksi ulkomaista pääsyä vastaan.

Muut velvoitteet riippuvat organisaatiosta. Kansallisella lainsäädännöllä täytäntöön pantu NIS2-direktiivi sisältää johdon valvontaa ja toimitusketjun tietoturvaa koskevia toimenpiteitä soveltamisalaan kuuluville yhteisöille. DORA asettaa kolmansien osapuolten ICT-riskejä koskevia velvoitteita katetuille rahoitusalan yhteisöille. Kumpaakaan ei pidä supistaa yleiseksi ohjeeksi ostaa eurooppalaisia ohjelmistoja.

Myös eurooppalaista suvereniteettipolitiikkaa ja hankintakeskusteluja on tulkittava huolellisesti. Erota voimaan tulleet velvoitteet ehdotuksista, poliittisista julistuksista, hankintakriteereistä ja sertifiointijärjestelmistä. Ranskan ja Saksan vaatimuksia ei pidä pitää keskenään vaihdettavina tai automaattisesti sovellettavina jokaiseen yksityiseen yritykseen kaikkialla Euroopassa.

Pyydä lakimiehiä ja hankintoja dokumentoimaan ne kansalliset, toimialakohtaiset ja asiakasvaatimukset, jotka vaikuttavat hankintaanne. Pilvipalvelun varmistusraportti voi tuoda näyttöä, mutta se ei ratkaise suvereniteettikysymystä. Esimerkiksi BSI:n C5-kriteeristö koskee pilvikontrolleja ja varmennusta; se ei ole yleinen suvereniteettisertifiointi.

Kartoita koko palveluketju

Hyödyllisin hankinta-asiakirja on näytön käsittelykartta. Se näyttää, miten tiedot tulevat palveluun, mitkä järjestelmät käsittelevät niitä, kuka voi päästä niihin ja miten ne poistuvat.

Pyydä vastaukset tuotantotallennuksesta, replikoista, varmuuskopioista, katastrofipalautuksesta, sovelluslokeista, valvonnasta, tukipyynnöistä ja väliaikaisista vianmäärityskopioista. Ota mukaan viennit ja sähköposti-ilmoitukset: arkaluonteinen havainto voi päätyä aiotun rajan ulkopuolelle ilmoituksen kautta, vaikka sen liite pysyisi alustalla.

Kirjaa kustakin komponentista:

• Ylläpitävä yhteisö ja sen rooli.
• Sen vastaanottamat tietoryhmät ja käsittelyn tarkoitus.
• Tallennus- ja käsittelysijainnit, mukaan lukien etäpääsyn sijainnit.
• Valtuutetut käyttäjäryhmät ja mahdolliset muut osalliset palveluntarjoajat.
• Säilytys, poistaminen ja varmuuskopioiden käsittely.
• Toimintaa koskevat sopimusehdot.

Erota palveluntarjoajan infrastruktuuritoimittaja tukipalvelujen alihankkijasta tai tekoälyä käyttävästä käsittelijästä. Niiden tehtävät ja pääsy voivat erota huomattavasti. Toimittajan logoluettelo ei korvaa tätä karttaa.

Tarkastele myös muutosten hallintaa. Miten saatte tiedon uudesta alihankkijasta, muuttuneesta käsittelysijainnista tai uudistetusta tukijärjestelystä? Millaiset tarkastelu- tai vastustamisoikeudet ovat olemassa, ja mitä tapahtuu, jos ehdotettu muutos on ristiriidassa vaatimustenne kanssa? Tänään tyydyttävä arviointi tarvitsee mekanismin huomisten muutosten havaitsemiseksi.

Käsittele tekoälyn käyttämä käsittely erillisenä luovutuspolkuna

Tekoälyavusteinen näytön katselmointi voi tuoda mukaan uuden palveluntarjoajan ja säilytyskäytännön. Toiminto, joka tiivistää poikkeamaraportin, voi välittää raportin, poimitun tekstin, kehotteet, metatiedot tai vianmääritystiedot pääsovelluksen ulkopuolelle.

Kysy, mitä tekoälypalveluntarjoajalle päätyy, mihin tarkoitukseen ja millä sopimusehdoilla. Varmista nykyisestä sopimuksesta mallien koulutuskäyttö, säilytys, ihmisten pääsy, käsittelysijainnit ja edelleenkäsittely. Älä oleta, että yritystili tai ”ei koulutusta” -lausuma tarkoittaa myös, ettei tietoja säilytetä tai ettei tukipääsyä ole.

Selvitä, ovatko tekoälytoiminnot valinnaisia ja voidaanko arkaluonteiseen aineistoon soveltaa rajoituksia. Jos alusta ei pysty valvomaan vaadittua rajaa, sisäinen ohje olla lataamatta rajoitettuja asiakirjoja voi olla liian hauras rutiinikäyttöön.

Käytännöllisessä katselmoinnissa yksi edustava asiakirja tulisi seurata toiminnon läpi. Tunnista lähde, välitetty sisältö, tuotos, säilytetyt tallenteet ja tarkastajat. Tuotetut tiivistelmät voivat itsessään sisältää arkaluonteisia tietoja, joten ne kuuluvat käsittelykarttaan.

Ihmisen tekemä tarkastus on edelleen tarpeen näytöstä tehtävissä johtopäätöksissä. Se on eri suojatoimi kuin käsittelyrajoitukset: tekoälyn tuottaman tiivistelmän hyväksyminen ei jälkikäteen oikeuta sen lähteen hyväksymätöntä luovutusta.

Kysy, kuka todella voi purkaa salauksen ja ylläpitää palvelua

Salaus suojaa tietoja vain suunnittelunsa ja toimintansa rajoissa. Siirronaikainen salaus suojaa yhteyksiä; tallennetun tiedon salaus suojaa tallennettuja tietoja tiettyjen uhkaoletusten puitteissa. Kumpikaan ei automaattisesti estä valtuutettua sovellusta tai pääkäyttäjäoikeuksin toimivaa operaattoria lukemasta sisältöä.

Kysy, kuka hallitsee avaimia, kuka voi käynnistää salauksen purkamisen ja voivatko ylläpitäjät muuttaa tätä pääsyä ohjaavia oikeuksia. Asiakkaan hallinnoima avainjärjestely voi parantaa hallintaa, mutta sen vaikutus riippuu arkkitehtuurista. Jos palvelu vastaanottaa rutiininomaisesti selväkielistä tietoa, pelkkä avainten omistus ei poista palveluntarjoajan pääsyä.

Pyydä teknistä tiimiä tarkastelemaan avainten eriyttämistä, vaihtoa, mitätöintiä, palautusta ja avaimen menettämisen seurauksia. Johdon tulisi ymmärtää mahdollinen saatavuuteen liittyvä kompromissi ennen sen hyväksymistä. Vahvempi pääsyraja, joka samalla tekee olennaisesta näytöstä palauttamattoman, ei ole täydellinen jatkuvuusratkaisu.

Tukipääsy ansaitsee erityistä huomiota. Etsi nimettyjä identiteettejä, rajattuja oikeuksia, aikarajattua valtuutusta, tarvittaessa asiakkaan hyväksyntää ja auditoitavissa olevia toimia. Kysy, miten hätäpääsy toimii ja miten se tarkastetaan jälkikäteen.

Hankintakysymys ei ole pelkästään se, kirjataanko pääsy lokiin. Kysymys on siitä, saako organisaatio riittävästi tietoa tapahtuman tutkimiseksi: kuka käytti mitäkin tietueita, milloin, mistä syystä ja millä valtuutuksella. Sopikaa saatavilla olevasta näytöstä ennen kuin poikkeama tekee kysymyksestä kiireellisen.

Tee siirrettävyydestä testattu vaatimus

Siirrettävyys on osa suvereniteettia, koska hallinta heikkenee, jos lähteminen tarkoittaa näytön merkityksen menettämistä.

Testaa edustava vienti ennen sitoutumista. Pelkät tiedostot eivät välttämättä säilytä kontrollien, näytön, havaintojen, omistajien, hyväksyntöjen ja päätösten välisiä suhteita. PDF-kansio voi säilyttää asiakirjat mutta menettää tiedon siitä, mitä ne todistivat ja kuka hyväksyi johtopäätöksen.

Valitse otos, joka sisältää liitteen, siihen kytketyn kontrollin, katselmointikommentin, hyväksynnän, avoimen havainnon ja asiaankuuluvat aikaleimat. Pyydä käyttöönottotiimin ulkopuolista henkilöä rekonstruoimaan päätös viennin perusteella. Tämä testaa käyttökelpoisuutta eikä pelkästään vientipainikkeen olemassaoloa.

OSCAL tarjoaa hyödyllisiä malleja siirrettävälle tietoturvatiedolle. Sen julkaistut spesifikaatiot voivat tukea jäsenneltyä tiedonvaihtoa, mutta avoimen muodon käyttäminen ei automaattisesti takaa täydellisyyttä tai yhteensopivuutta. Tarkista malliversiot, tunnisteet, liitteet, laajennukset ja se, pystyykö vastaanottava järjestelmä tulkitsemaan viedyn rakenteen.

Sopimukselliset irtautumisehdot ovat tärkeitä muotojen ohella. Selvitä, milloin viennit ovat saatavilla, mitä apua tarjotaan, peritäänkö maksuja ja kuinka kauan pääsy jatkuu sopimuksen päättymisen jälkeen. Käsittele aktiivisten tietueiden poistaminen ja varmuuskopioiden käsittely erikseen.

Esimerkki: mitä varastoon saa tuoda

Tarkastellaan havainnollistavaa EU:ssa toimivaa ohjelmistoyritystä, joka valitsee näyttöalustaa. Oletetaan, että sen alkuvaiheen soveltamisala kattaa työntekijöiden käyttöoikeuskatselmoinnit, peitetyt tietoturvatestien havainnot ja poikkeamapäätösten tallenteet. Sen sisäinen politiikka edellyttää tämän soveltamisalan tietojen säilyttämistä EU:ssa ja kaiken EU:n ulkopuolisen pääsyn nimenomaista arviointia. Nämä ovat esimerkkioletuksia, eivät yleisiä oikeudellisia vaatimuksia.

Toimittaja vahvistaa tuotantotallennuksen sijaitsevan EU:ssa. Tarkempi katselmointi tunnistaa erillisen tukipyyntöpalvelun ja valinnaisen tekoälyä käyttävän tiivistyspalvelun tarjoajan. Tiimi ei julista alustaa hyväksyttäväksi tai hylättäväksi pelkän hosting-vastauksen perusteella.

Sen sijaan se dokumentoi kolme päätöstä:

Tiimi testaa sitten, päätyvätkö arkaluonteiset liitteet tukipyyntöihin, varmentaa ehdotetut pääsyrajoitukset ja vie yhden kokonaisen katselmointitallenteen.

Oletetaan, että tekoälykäsittelyn ehdot jäävät epäselviksi. Johto voi hyväksyä suppeamman käyttöönoton vain, jos aineiston sulkeminen tämän käsittelyn ulkopuolelle on luotettavaa. Jos sitä ei voida valvoa, kyseinen aineisto jää käyttöönoton ulkopuolelle. Ratkaisematon kysymys saa omistajan ja päätöksen määräajan sen sijaan, että se katoaisi yleiseen toimittajariskin pistemäärään.

Tuotos on rajattu hyväksyntä: määritellyt näyttöryhmät, sallittu käsittely, rajoitukset, avoimet kysymykset ja uudelleenarvioinnin laukaisijat. Se on hyödyllisempi kuin varaukseton julistus siitä, että toimittaja on ”suvereeni”.

Aseta päätös johdon omistukseen

Hankinta voi kerätä asiakirjat, tietoturva voi arvioida pääsynhallinnan ja lakiasiat voivat arvioida velvoitteet. Johto omistaa liiketoimintapäätöksen hyväksyttävästä altistumisesta ja riippuvuudesta. Jos tietosuojavastaava on mukana, säilytä roolin riippumattomat neuvonta- ja valvontatehtävät sen sijaan, että tietosuojavastaavasta tehtäisiin käsittelypäätösten omistaja.

Käytä nimenomaisia hyväksymiskriteerejä. Epäselvä pääkäyttäjäpääsy, selittämättömät käsittelysijainnit tai käyttökelvoton irtautumispolku voivat olla hylkäysperusteita arkaluonteiselle soveltamisalalle. Muut puutteet voivat sallia rajoitetun käyttöönoton dokumentoiduin ehdoin. Kirjaa, kuka voi hyväksyä kunkin jäännösriskin ja mikä pakottaisi uudelleenarviointiin.

Yleisiä virheitä ovat ”EU:ssa isännöity” -lupauksen hyväksyminen ilman palveluketjun karttaa, salauksen pitäminen todisteena siitä, ettei kukaan muu voi lukea tietoja, ja viennin testaamisen lykkääminen sopimuksen päättymiseen asti. Toinen virhe on olettaa, että sertifiointi tai auditointiraportti kattaa juuri hankittavan palvelun, käsittelypolun ja näyttöryhmät. Tarkista soveltamisala ja rajoitukset.

Muunna arviointi toistettavaksi työnkuluksi

Secani kytkee näytön vaatimuksiin, kontrolleihin, kohdeobjekteihin ja tarkastettuihin päätöksiin ja käyttää tuotteen perustana avoimia tietoturvakontrollien malleja. Rajattu työnkulku voi alkaa yhdestä palvelusta, nimetyistä vastuuhenkilöistä, sen ulkoisten palveluntarjoajien riippuvuuksista ja hankintapäätöstä tukevista asiakirjoista. Puuttuvista vastauksista tulee tehtäviä; tekoälyavusteiset ehdotukset pysyvät luonnoksina, jotka edellyttävät ihmisen tarkastusta ja lähteiden jäljitettävyyttä.

Säilytä valitun palvelun hosting-, käsittely-, pääsy- ja vientijärjestelyt hankintapäätöksen yhteydessä. Tarkastele tallennetta, kun konfiguraatiot, alihankkijat tai sopimusehdot muuttuvat. Näin seuraavalla tarkastajalla on selkeä perusta tarkistaa, täyttääkö järjestely edelleen organisaation vaatimukset.

Käytännön seuraava askel on valita yksi arkaluonteinen näyttöryhmä ja jäljittää sen koko kulku. Tuo tuloksena syntyvä kartta, testattu vienti ja avoimet pääsykysymykset hankintapäätökseen. Näin johdolla on tarkastettava perusta päättää, kuka saa säilyttää näyttöä – ja millä ehdoilla.