ES duomenų suverenumas: klauskite, kas gali pasiekti įrodymus

Atitikties įrodymai gali atskleisti architektūrą, neišspręstus trūkumus, informaciją apie darbuotojus, priklausomybes nuo tiekėjų ir incidentų istoriją. Sprendimas, kur šie įrodymai bus laikomi, nusipelno tokio pat kruopštumo kaip sprendimas, kur bus laikomi klientų duomenys. Kai kuriais atvejais įrodymų saugykla pateikia labiau sutelktą verslo vaizdą nei bet kuri atskira gamybinė sistema.

Todėl vadovybei ES duomenų suverenumas yra pirkimų ir atskaitomybės klausimas: kas gali pasiekti šią informaciją, kieno įgaliojimu ir kas nutiks, jei reikės pasitraukti?

Europinis duomenų laikymo regionas yra naudinga informacija. Tačiau tai nėra išsamus atsakymas. Sprendimas turi apimti paslaugų grandinę, teisinę riziką, techninę prieigą ir gebėjimą išsaugoti tinkamus naudoti įrašus už platformos ribų.

Pradėkite nuo informacijos, kurią patikite

Atitikties platformoje gali būti tinklo schemos, prieigos peržiūros, pažeidžiamumų ataskaitos, duomenų tvarkymo inventoriai, rizikos vertinimai ir incidentų tyrimai. Kartu šie įrašai apibūdina ir tai, kaip organizacija veikia, ir tai, kur jos apsaugą reikia stiprinti.

Juose taip pat yra skirtingo jautrumo informacijos. Darbuotojų prieigos peržiūra apima asmens duomenis. Įsiskverbimo testo ataskaita gali atskleisti išnaudojamus trūkumus. Vadovybės sprendime gali būti užfiksuota komercinė priklausomybė ar priimta rizika. Šioms kategorijoms reikia skirtingo tvarkymo, net jei jos yra toje pačioje darbo erdvėje.

Prieš lygindami tiekėjus, sudarykite nedidelį įrodymų inventorių. Kiekvienai kategorijai užfiksuokite jos paskirtį, jautrumą, savininką, numatytus skaitytojus, saugojimo reikalavimą ir tai, ar apskritai reikia įkelti originalų dokumentą.

Pavyzdžiui, kontrolės peržiūrai gali reikėti įrodymo, kad ištaisymas užbaigtas, o ne visos techninės ataskaitos, aprašančios kiekvieną pažeidžiamumą. Redaguota ištrauka kartais gali patvirtinti reikiamą faktą ir kartu sumažinti atskleidimo riziką. Redagavimas neturi pašalinti konteksto, reikalingo įrodymams įvertinti.

Tai praktinė rekomendacija, o ne visuotinis reikalavimas originalus pakeisti santraukomis. Tikslas – įrodymų tvarkymą padaryti apgalvotą, o ne leisti kiekvienam audito prašymui neribotai plėsti saugyklą.

Atskirkite duomenų buvimo vietą, kontrolę ir teisinę atitiktį

Duomenų buvimo vieta susijusi su lokacija. Suverenumas taip pat susijęs su kontrole, prieiga, teisine rizika ir gebėjimu perkelti informaciją ar toliau ja naudotis. Nė viena iš šių sąvokų neturėtų būti laikoma atitikties sertifikatu.

Šie aspektai sąveikauja, tačiau nėra tarpusavyje pakeičiami. ES laikoma paslauga gali apimti pagalbos personalą ar duomenų tvarkymą už ES ribų. ES priklausantis tiekėjas gali priklausyti nuo infrastruktūros, stebėsenos ar DI paslaugų, kurias valdo kiti subjektai. Vien nuosavybė neįrodo, kad kiekvienas prieigos kelias yra priimtinas.

Taip pat ir kitos jurisdikcijos poveikis nereiškia, kad atskleidimas neišvengiamas ar kad paslauga automatiškai neteisėta. Įvertinkite atitinkamus subjektus, taikomą teisę, praktinę prieigą ir apsaugos priemones. Kai privalomas atskleidimas yra reikšmingas sprendimui, kreipkitės teisinės konsultacijos, o ne remkitės nacionalinės priklausomybės etikete ar pardavėjo užtikrinimu.

Supraskite, kurios taisyklės iš tikrųjų taikomos

BDAR nenustato bendros taisyklės, kad visi asmens duomenys turi likti ES. Jis reikalauja tinkamo teisinio pagrindo ir reikalavimus atitinkančio duomenų tvarkymo, įskaitant saugumą, duomenų tvarkytojų susitarimus ir, kai taikoma, tarptautinių perdavimų reikalavimus.

Atitikties saugyklai, kurioje yra asmens duomenų, nustatykite šalių vaidmenis ir, kai egzistuoja duomenų tvarkytojo santykis, išnagrinėkite 28 straipsnio duomenų tvarkymo sąlygas. Atskirai įvertinkite V skyriaus perdavimo tvarką. Duomenų tvarkymo sutarties pasirašymas neišsprendžia perdavimo klausimo, o ES saugojimo regiono pasirinkimas nepanaikina poreikio išnagrinėti prieigą iš užsienio ar tolesnį tvarkymą.

32 straipsnis reikalauja rizikai tinkamo saugumo. Šifravimas gali būti svarbi priemonė, tačiau BDAR nenustato vieno visuotinio šifravimo sprendimo kiekvienai saugyklai. 48 straipsnis taip pat reglamentuoja trečiųjų šalių teismų ar administracinių institucijų reikalavimus perduoti ar atskleisti duomenis; jo nereikėtų aiškinti kaip universalaus skydo nuo prieigos iš užsienio.

Kitos pareigos priklauso nuo organizacijos. NIS2, įgyvendinama per nacionalinę teisę, apima vadovybės priežiūros ir tiekimo grandinės saugumo priemones taikymo sričiai priklausantiems subjektams. DORA nustato IRT trečiųjų šalių rizikos pareigas aprėpiamoms finansų įmonėms. Nė vienos iš jų nereikėtų supaprastinti iki bendro nurodymo pirkti europietišką programinę įrangą.

Europos suverenumo politiką ir pirkimų diskusijas taip pat reikia aiškinti atsargiai. Atskirkite priimtas pareigas nuo pasiūlymų, politinių deklaracijų, pirkimų kriterijų ir sertifikavimo schemų. Prancūzijos ir Vokietijos reikalavimų nereikėtų laikyti tarpusavyje pakeičiamais ar automatiškai taikomais kiekvienai privačiai įmonei visoje Europoje.

Paprašykite teisininkų ir pirkimų specialistų dokumentuoti konkrečius nacionalinius, sektorinius ir klientų reikalavimus, darančius įtaką jūsų pirkimui. Debesijos užtikrinimo ataskaita gali prisidėti prie įrodymų, tačiau suverenumo klausimo neišsprendžia. Pavyzdžiui, BSI C5 katalogas susijęs su debesijos kontrolės priemonėmis ir atestavimu; tai nėra visuotinis suverenumo sertifikatas.

Sudarykite visos paslaugų grandinės žemėlapį

Naudingiausias pirkimų dokumentas yra įrodymų tvarkymo žemėlapis. Jis parodo, kaip informacija patenka į paslaugą, kurios sistemos ją tvarko, kas gali ją pasiekti ir kaip ji išeina.

Paprašykite atsakymų apie gamybinę saugyklą, kopijas, atsargines kopijas, nelaimių atkūrimą, programų žurnalus, stebėseną, pagalbos užklausas ir laikinas trikčių šalinimo kopijas. Įtraukite eksportus ir el. pašto pranešimus: jautrus radinys gali ištrūkti už numatytos ribos per pranešimą, net jei jo priedas lieka platformoje.

Kiekvienam komponentui užfiksuokite:

• Jį valdantį subjektą ir jo vaidmenį.
• Gaunamas duomenų kategorijas ir tvarkymo tikslą.
• Saugojimo ir tvarkymo vietas, įskaitant nuotolinės prieigos vietas.
• Įgaliotas prieigos grupes ir bet kokius kitus dalyvaujančius paslaugų teikėjus.
• Saugojimą, ištrynimą ir atsarginių kopijų tvarkymą.
• Veiklą reglamentuojančias sutarties sąlygas.

Atskirkite paslaugų teikėjo infrastruktūros tiekėją nuo pagalbos rangovo ar DI duomenų tvarkytojo. Jų funkcijos ir prieiga gali labai skirtis. Tiekėjų logotipų sąrašas šio žemėlapio nepakeičia.

Taip pat išnagrinėkite pakeitimų valdymą. Kaip sužinosite apie naują subtvarkytoją, pakeistą duomenų tvarkymo vietą ar peržiūrėtą pagalbos tvarką? Kokios peržiūros ar prieštaravimo teisės egzistuoja ir kas nutinka, jei siūlomas pakeitimas prieštarauja jūsų reikalavimams? Šiandien patenkinamam vertinimui reikia mechanizmo, kuris rytoj aptiktų pokyčius.

DI tvarkymą laikykite atskiru atskleidimo keliu

DI padedama įrodymų peržiūra gali įtraukti dar vieną paslaugų teikėją ir saugojimo politiką. Funkcija, apibendrinanti incidento ataskaitą, gali perduoti ataskaitą, išgautą tekstą, užklausas, metaduomenis ar diagnostinę informaciją už pagrindinės programos ribų.

Paklauskite, kas pasiekia DI paslaugų teikėją, kokiu tikslu ir kokiomis sutarties sąlygomis. Dabartiniame susitarime patvirtinkite naudojimą modeliams mokyti, saugojimą, žmonių prieigą, tvarkymo vietas ir tolesnį tvarkymą. Nemanykite, kad įmonės paskyra ar teiginys „nenaudojama mokymui“ taip pat reiškia, kad duomenys nesaugomi ar kad nėra pagalbos prieigos.

Išsiaiškinkite, ar DI funkcijos yra neprivalomos ir ar jautriai medžiagai galima taikyti apribojimus. Jei platforma negali užtikrinti reikiamos ribos, vidinis nurodymas neįkelti riboto naudojimo dokumentų gali būti per trapus kasdieniam naudojimui.

Praktinė peržiūra turėtų atsekti vieną reprezentatyvų dokumentą per visą funkciją. Nustatykite šaltinį, perduodamą turinį, rezultatą, saugomus įrašus ir peržiūrinčius asmenis. Sugeneruotose santraukose pačiose gali būti jautrios informacijos, todėl jos priklauso tvarkymo žemėlapiui.

Įrodymų išvadoms žmogaus peržiūra tebėra būtina. Tai atskira apsaugos priemonė nuo tvarkymo apribojimų: DI sugeneruotos santraukos patvirtinimas atgaline data nesuteikia leidimo nepriimtinam jos šaltinio atskleidimui.

Klauskite, kas iš tikrųjų gali iššifruoti ir administruoti

Šifravimas apsaugo informaciją tik savo projekto ir veikimo ribose. Šifravimas perdavimo metu apsaugo ryšius; šifravimas ramybės būsenoje apsaugo saugomus duomenis esant tam tikroms grėsmių prielaidoms. Nė vienas iš jų automatiškai neužkerta kelio įgaliotai programai ar privilegijuotam operatoriui skaityti turinį.

Paklauskite, kas kontroliuoja raktus, kas gali inicijuoti iššifravimą ir ar administratoriai gali keisti leidimus, reglamentuojančius šią prieigą. Kliento valdomų raktų tvarka gali pagerinti kontrolę, tačiau jos poveikis priklauso nuo architektūros. Jei paslauga įprastai gauna atvirąjį tekstą, vien raktų nuosavybė nepanaikina paslaugų teikėjo prieigos.

Paprašykite techninės komandos išnagrinėti raktų atskyrimą, keitimą, atšaukimą, atkūrimą ir rakto praradimo pasekmes. Vadovybė turėtų suprasti bet kokį prieinamumo kompromisą prieš jį patvirtindama. Griežtesnė prieigos riba, dėl kurios esminiai įrodymai taip pat tampa neatkuriami, nėra išsamus tęstinumo sprendimas.

Pagalbos prieigai reikia ypatingo dėmesio. Ieškokite vardinių tapatybių, ribotų privilegijų, laiko apribotų leidimų, kai tinkama – kliento patvirtinimo, ir audituojamų veiksmų. Paklauskite, kaip veikia avarinė prieiga ir kaip ji vėliau peržiūrima.

Pirkimų klausimas nėra vien tai, ar prieiga registruojama žurnaluose. Svarbu, ar organizacija gali gauti pakankamai informacijos įvykiui ištirti: kas pasiekė kuriuos įrašus, kada, kokiu tikslu ir kokiu įgaliojimu. Susitarkite, kokie įrodymai bus prieinami, dar prieš incidentui padarant šį klausimą skubų.

Perkeliamumą paverskite išbandytu reikalavimu

Perkeliamumas yra suverenumo dalis, nes kontrolė susilpnėja, kai pasitraukimas reiškia įrodymų prasmės praradimą.

Prieš įsipareigodami išbandykite reprezentatyvų eksportą. Vien failai gali neišsaugoti ryšių tarp kontrolės priemonių, įrodymų, radinių, savininkų, patvirtinimų ir sprendimų. PDF failų aplankas gali išsaugoti dokumentus, bet prarasti įrašą apie tai, ką jie įrodė ir kas priėmė išvadą.

Pasirinkite pavyzdį, kuriame yra priedas, su juo susieta kontrolės priemonė, peržiūros komentaras, patvirtinimas, atviras radinys ir atitinkamos laiko žymos. Paprašykite asmens, nedalyvaujančio diegimo komandoje, atkurti sprendimą iš eksporto. Taip tikrinamas tinkamumas naudoti, o ne vien eksporto mygtuko buvimas.

OSCAL pateikia naudingų modelių perkeliamai saugumo informacijai. Jo paskelbtos specifikacijos gali padėti struktūrizuotai keistis duomenimis, tačiau atviro formato naudojimas automatiškai neįrodo išsamumo ar suderinamumo. Patikrinkite modelių versijas, identifikatorius, priedus, plėtinius ir tai, ar gaunanti sistema gali interpretuoti eksportuotą struktūrą.

Greta formatų svarbios ir sutartinės pasitraukimo sąlygos. Nustatykite, kada prieinami eksportai, kokia pagalba teikiama, ar taikomi mokesčiai ir kiek laiko prieiga tęsiasi po nutraukimo. Aktyvių įrašų ištrynimą ir atsarginių kopijų tvarkymą aptarkite atskirai.

Išnagrinėtas pavyzdys: sprendimas, kas gali patekti į saugyklą

Panagrinėkime iliustracinę ES programinės įrangos įmonę, besirenkančią įrodymų platformą. Tarkime, jos pradinė taikymo sritis apima darbuotojų prieigos peržiūras, redaguotus saugumo testų radinius ir incidentų sprendimų įrašus. Jos vidaus politika reikalauja šios taikymo srities duomenis saugoti ES ir aiškiai įvertinti bet kokią prieigą iš ne ES šalių. Tai pavyzdinės prielaidos, o ne universalūs teisiniai reikalavimai.

Tiekėjas patvirtina gamybinę saugyklą ES. Tolesnė peržiūra nustato atskirą pagalbos užklausų paslaugą ir neprivalomą DI apibendrinimo paslaugų teikėją. Komanda neskelbia platformos priimtina ar nepriimtina remdamasi vien atsakymu apie duomenų laikymą.

Vietoj to ji dokumentuoja tris sprendimus:

Tada komanda patikrina, ar jautrūs priedai nepatenka į pagalbos užklausas, patikrina siūlomus prieigos apribojimus ir eksportuoja vieną išsamų peržiūros įrašą.

Tarkime, DI tvarkymo sąlygos lieka neaiškios. Vadovybė gali patvirtinti siauresnį diegimą tik tuo atveju, jei neįtraukimas į tokį tvarkymą yra patikimas. Jei to užtikrinti neįmanoma, paveikta medžiaga lieka už diegimo ribų. Neišspręstas klausimas gauna savininką ir sprendimo terminą, o ne pradingsta bendrame tiekėjo rizikos bale.

Rezultatas yra ribotas patvirtinimas: apibrėžtos įrodymų kategorijos, leidžiamas tvarkymas, apribojimai, neišspręsti klausimai ir peržiūros inicijavimo sąlygos. Tai naudingiau nei besąlygiškas pareiškimas, kad tiekėjas yra „suverenus“.

Sprendimą perduokite vadovybės atsakomybei

Pirkimų specialistai gali surinkti dokumentus, saugumo specialistai – įvertinti prieigos kontrolę, o teisininkai – įvertinti pareigas. Vadovybė atsako už verslo sprendimą dėl priimtino pažeidžiamumo ir priklausomybės. Kai dalyvauja DAP, išsaugokite šio vaidmens nepriklausomas konsultavimo ir stebėsenos atsakomybes, o ne paverskite DAP duomenų tvarkymo sprendimų savininku.

Naudokite aiškius priėmimo kriterijus. Neaiški privilegijuota prieiga, nepaaiškintos duomenų tvarkymo vietos ar netinkamas naudoti pasitraukimo kelias jautriai taikymo sričiai gali būti diskvalifikuojantys. Kitos spragos gali leisti ribotą diegimą su dokumentuotomis sąlygomis. Užfiksuokite, kas gali priimti kiekvieną likutinę riziką ir kas privers atlikti pakartotinį vertinimą.

Dažnos klaidos – priimti „laikoma ES“ be paslaugų grandinės žemėlapio, laikyti šifravimą įrodymu, kad niekas kitas negali skaityti duomenų, ir atidėti eksporto testavimą iki nutraukimo. Kita klaida – manyti, kad sertifikatas ar audito ataskaita apima būtent perkamą paslaugą, duomenų tvarkymo kelią ir įrodymų kategorijas. Patikrinkite taikymo sritį ir apribojimus.

Vertinimą paverskite pakartojama darbo eiga

Secani susieja įrodymus su reikalavimais, kontrolės priemonėmis, tiksliniais objektais ir peržiūrėtais sprendimais, o produkto pagrindas yra atviri saugumo kontrolės priemonių modeliai. Siaura darbo eiga gali prasidėti nuo vienos paslaugos, įvardytų savininkų, jos priklausomybių nuo išorinių paslaugų teikėjų ir dokumentų, pagrindžiančių pirkimo sprendimą. Trūkstami atsakymai tampa užduotimis; DI padedami pasiūlymai lieka projektu, kuriam taikoma žmogaus peržiūra ir šaltinių atsekamumas.

Pasirinktos paslaugos duomenų laikymo, tvarkymo, prieigos ir eksporto tvarką laikykite kartu su pirkimo sprendimu. Peržiūrėkite šį įrašą, kai keičiasi konfigūracijos, subtvarkytojai ar sutarties sąlygos. Taip kitas vertintojas gauna aiškų pagrindą patikrinti, ar tvarka vis dar atitinka organizacijos reikalavimus.

Praktinis kitas žingsnis – pasirinkti vieną jautrių įrodymų kategoriją ir atsekti visą jos kelią. Gautą žemėlapį, išbandytą eksportą ir neišspręstus prieigos klausimus pateikite priimant pirkimo sprendimą. Taip vadovybė gauna peržiūrimą pagrindą nuspręsti, kas gali laikyti įrodymus ir kokiomis sąlygomis.