Podatkovna suverenost EU: vprašajte, kdo lahko dostopa do dokazov

Dokazi o skladnosti lahko razkrijejo arhitekturo, nerazrešene slabosti, podatke o zaposlenih, odvisnosti od dobaviteljev in zgodovino incidentov. Izbira, kje bodo ti dokazi shranjeni, si zasluži enako skrbnost kot izbira, kje bodo shranjeni podatki strank. V nekaterih primerih repozitorij dokazov ponuja bolj zgoščeno sliko podjetja kot kateri koli posamezen produkcijski sistem.

Za vodstvo je podatkovna suverenost EU zato vprašanje nabave in odgovornosti: kdo lahko dostopa do teh informacij, na podlagi čigave pristojnosti in kaj se zgodi, če moramo oditi?

Evropska regija gostovanja je koristna informacija. Ni pa popoln odgovor. Odločitev mora zajeti verigo storitev, pravno izpostavljenost, tehnični dostop in zmožnost ohranitve uporabnih zapisov zunaj platforme.

Začnite z informacijami, ki jih zaupate

Platforma za skladnost lahko vsebuje omrežne diagrame, preglede dostopov, poročila o ranljivostih, popise obdelav, ocene tveganja in preiskave incidentov. Skupaj ti zapisi opisujejo, kako organizacija deluje in kje je treba izboljšati njeno obrambo.

Vsebujejo tudi različne vrste občutljivosti. Pregled dostopov zaposlenih vključuje osebne podatke. Poročilo o penetracijskem testu lahko razkrije izkoristljive slabosti. Odločitev vodstva lahko beleži poslovno odvisnost ali sprejeto tveganje. Te kategorije zahtevajo različno ravnanje, tudi kadar so v istem delovnem prostoru.

Preden primerjate ponudnike, pripravite majhen popis dokazov. Za vsako kategorijo zabeležite njen namen, občutljivost, lastnika, predvidene bralce, zahtevo glede hrambe in ali je izvirni dokument sploh treba naložiti.

Pregled kontrole na primer morda potrebuje dokaz, da je bila odprava dokončana, ne pa celotnega tehničnega poročila, ki opisuje vsako ranljivost. Prikrit izvleček lahko včasih dokaže zahtevano dejstvo in hkrati zmanjša izpostavljenost. Prikrivanje ne sme odstraniti konteksta, potrebnega za vrednotenje dokaza.

To je praktično priporočilo, ne splošna zahteva, da je treba izvirnike nadomestiti s povzetki. Cilj je, da je ravnanje z dokazi premišljeno, namesto da bi vsaka revizijska zahteva repozitorij neomejeno širila.

Ločite lokacijo podatkov, nadzor in skladnost s predpisi

Lokacija podatkov (data residency) se nanaša na kraj. Suverenost se nanaša tudi na nadzor, dostop, pravno izpostavljenost ter zmožnost premestitve ali nadaljnje uporabe informacij. Nobenega od teh izrazov ne bi smeli obravnavati kot potrdila o skladnosti.

Te dimenzije medsebojno vplivajo, vendar niso zamenljive. Storitev, gostovana v EU, lahko vključuje podporno osebje ali obdelavo zunaj EU. Ponudnik v evropski lasti je lahko odvisen od infrastrukture, spremljanja ali storitev umetne inteligence, ki jih upravljajo drugi subjekti. Lastništvo samo po sebi ne dokazuje, da je vsaka pot dostopa sprejemljiva.

Prav tako izpostavljenost drugi jurisdikciji ne pomeni, da je razkritje neizogibno ali da je storitev samodejno nezakonita. Ocenite zadevne subjekte, veljavno pravo, dejanski dostop in zaščitne ukrepe. Kadar je obvezno razkritje bistveno za odločitev, pridobite pravni nasvet, namesto da se zanašate na oznako državljanstva ali prodajno zagotovilo.

Razumite, katera pravila se dejansko uporabljajo

Splošna uredba o varstvu podatkov (GDPR) ne nalaga splošnega pravila, da morajo vsi osebni podatki ostati v EU. Zahteva ustrezno pravno podlago in skladno obdelavo, vključno z varnostjo, ureditvami z obdelovalci in, kjer je ustrezno, zahtevami za mednarodne prenose.

Za repozitorij skladnosti, ki vsebuje osebne podatke, določite vloge strank in preučite pogoje obdelave po 28. členu, kadar obstaja razmerje z obdelovalcem. Ločeno ocenite ureditve prenosov po poglavju V. Podpis pogodbe o obdelavi ne razreši vprašanja prenosa, izbira regije shranjevanja v EU pa ne odpravi potrebe po preučitvi dostopa iz tujine ali nadaljnje obdelave.

32. člen zahteva varnost, ustrezno tveganju. Šifriranje je lahko pomemben ukrep, vendar GDPR ne predpisuje ene splošne zasnove šifriranja za vsak repozitorij. 48. člen obravnava tudi zahteve sodišč ali upravnih organov tretjih držav za prenos ali razkritje; ne bi ga smeli razumeti kot splošnega ščita pred tujim dostopom.

Druge obveznosti so odvisne od organizacije. Direktiva NIS 2, ki se izvaja prek nacionalnega prava, za subjekte v obsegu vključuje nadzor vodstva in ukrepe za varnost dobavne verige. Uredba DORA za zajete finančne subjekte vzpostavlja obveznosti glede tveganj tretjih oseb na področju IKT. Nobene ne bi smeli zožiti na splošno navodilo za nakup evropske programske opreme.

Tudi razprave o evropski suverenosti in javnih naročilih zahtevajo previdno razlago. Sprejete obveznosti ločite od predlogov, političnih izjav, meril javnih naročil in certifikacijskih shem. Zahtev Francije in Nemčije ne bi smeli obravnavati kot zamenljivih ali kot samodejno veljavnih za vsako zasebno podjetje v Evropi.

Prosite pravne svetovalce in nabavo, naj dokumentirajo specifične nacionalne, sektorske zahteve in zahteve strank, ki vplivajo na vaš nakup. Poročilo o zagotovilih za oblak lahko prispeva dokaze, vendar vprašanja suverenosti ne razreši. Katalog BSI C5 se na primer nanaša na kontrole v oblaku in atestacijo; ni splošni certifikat suverenosti.

Popišite celotno verigo storitev

Najuporabnejši nabavni dokument je zemljevid ravnanja z dokazi. Prikazuje, kako informacije vstopijo v storitev, kateri sistemi jih obdelujejo, kdo lahko dostopa do njih in kako jo zapustijo.

Zahtevajte odgovore za produkcijsko shrambo, replike, varnostne kopije, obnovitev po katastrofi, dnevnike aplikacij, spremljanje, zahtevke za podporo in začasne kopije za odpravljanje težav. Vključite izvoze in e-poštna obvestila: občutljiva ugotovitev lahko uide iz predvidene meje prek obvestila, tudi če njena priloga ostane v platformi.

Za vsako komponento zabeležite:

• Subjekt, ki jo upravlja, in njegovo vlogo.
• Kategorije podatkov, ki jih prejema, in namen obdelave.
• Lokacije shranjevanja in obdelave, vključno z lokacijami oddaljenega dostopa.
• Pooblaščene skupine za dostop in morebitne nadaljnje vključene ponudnike.
• Hrambo, izbris in ravnanje z varnostnimi kopijami.
• Pogodbene pogoje, ki urejajo dejavnost.

Razlikujte infrastrukturnega dobavitelja ponudnika od podpornega pogodbenika ali obdelovalca umetne inteligence. Njihove funkcije in dostop se lahko bistveno razlikujejo. Seznam logotipov ponudnikov ne nadomesti tega zemljevida.

Preučite tudi upravljanje sprememb. Kako boste izvedeli za novega podobdelovalca, spremenjeno lokacijo obdelave ali revidirano ureditev podpore? Katere pravice do pregleda ali ugovora obstajajo in kaj se zgodi, če je predlagana sprememba v nasprotju z vašimi zahtevami? Zadovoljiva ocena danes potrebuje mehanizem za zaznavanje sprememb jutri.

Obdelavo z umetno inteligenco obravnavajte kot ločeno pot razkritja

Pregled dokazov s pomočjo umetne inteligence lahko uvede dodatnega ponudnika in politiko hrambe. Funkcija, ki povzema poročilo o incidentu, lahko poročilo, izvlečeno besedilo, pozive, metapodatke ali diagnostične informacije posreduje zunaj glavne aplikacije.

Vprašajte, kaj doseže ponudnika umetne inteligence, za kakšen namen in pod katerimi pogodbenimi pogoji. V veljavni pogodbi potrdite uporabo za učenje modelov, hrambo, človeški dostop, lokacije obdelave in nadaljnjo obdelavo. Ne domnevajte, da poslovni račun ali izjava »brez učenja« pomeni tudi, da ni hrambe ali podpornega dostopa.

Pojasnite, ali so funkcije umetne inteligence neobvezne in ali je mogoče za občutljivo gradivo uporabiti omejitve. Če platforma zahtevane meje ne more uveljaviti, je notranje navodilo, da se omejeni dokumenti ne nalagajo, za rutinsko uporabo morda preveč krhko.

Praktičen pregled naj skozi funkcijo spremlja en reprezentativen dokument. Opredelite vir, posredovano vsebino, izid, hranjene zapise in pregledovalce. Ustvarjeni povzetki lahko sami vsebujejo občutljive informacije, zato sodijo v zemljevid ravnanja.

Človeški pregled ostaja potreben za sklepe o dokazih. Je ločen zaščitni ukrep od omejitev obdelave: odobritev povzetka, ki ga je ustvarila umetna inteligenca, ne odobri za nazaj nesprejemljivega razkritja njegovega vira.

Vprašajte, kdo lahko dejansko dešifrira in upravlja

Šifriranje informacije ščiti le v mejah svoje zasnove in delovanja. Šifriranje med prenosom ščiti povezave; šifriranje v mirovanju ščiti shranjene podatke ob določenih predpostavkah o grožnjah. Nobeno od njiju samodejno ne preprečuje, da bi pooblaščena aplikacija ali privilegirani upravljavec prebral vsebino.

Vprašajte, kdo nadzoruje ključe, kdo lahko sproži dešifriranje in ali lahko skrbniki spremenijo dovoljenja, ki urejajo ta dostop. Ureditev s ključi, ki jih upravlja stranka, lahko izboljša nadzor, vendar je njen učinek odvisen od arhitekture. Če storitev redno prejema nešifrirano besedilo, samo lastništvo ključev ne odpravi dostopa ponudnika.

Tehnična ekipa naj preuči ločevanje ključev, menjavo, preklic, obnovitev in posledice izgube ključa. Vodstvo naj razume morebiten kompromis glede razpoložljivosti, preden ga odobri. Močnejša meja dostopa, zaradi katere bistveni dokazi postanejo neobnovljivi, ni popolna rešitev za neprekinjenost.

Podporni dostop si zasluži posebno pozornost. Iščite poimenske identitete, omejena pooblastila, časovno omejeno avtorizacijo, odobritev stranke, kjer je primerno, in dejanja, ki jih je mogoče revidirati. Vprašajte, kako deluje dostop v sili in kako se naknadno pregleda.

Nabavno vprašanje ni zgolj, ali se dostop beleži. Gre za to, ali lahko organizacija pridobi dovolj informacij za preiskavo dogodka: kdo je dostopal do katerih zapisov, kdaj, s kakšnim razlogom in na podlagi kakšnega pooblastila. O razpoložljivih dokazih se dogovorite, preden incident naredi vprašanje nujno.

Prenosljivost naj bo preizkušena zahteva

Prenosljivost je del suverenosti, ker je nadzor oslabljen, če odhod pomeni izgubo pomena dokazov.

Pred zavezo preizkusite reprezentativen izvoz. Same datoteke morda ne ohranijo razmerij med kontrolami, dokazi, ugotovitvami, lastniki, odobritvami in odločitvami. Mapa datotek PDF lahko ohrani dokumente, izgubi pa zapis o tem, kaj so dokazovali in kdo je sprejel sklep.

Izberite vzorec, ki vsebuje prilogo, z njo povezano kontrolo, komentar pregleda, odobritev, odprto ugotovitev in ustrezne časovne žige. Prosite nekoga zunaj ekipe za uvedbo, naj odločitev rekonstruira iz izvoza. To preizkusi uporabnost, ne zgolj obstoja gumba za izvoz.

OSCAL zagotavlja uporabne modele za prenosljive varnostne informacije. Njegove objavljene specifikacije lahko podpirajo strukturirano izmenjavo, vendar uporaba odprtega formata samodejno ne zagotavlja popolnosti ali združljivosti. Preverite različice modelov, identifikatorje, priloge, razširitve in ali lahko prejemni sistem izvoženo strukturo razloži.

Poleg formatov so pomembni tudi pogodbeni pogoji izstopa. Ugotovite, kdaj so izvozi na voljo, kakšna pomoč je zagotovljena, ali se zaračunavajo stroški in kako dolgo dostop traja po prenehanju. Izbris aktivnih zapisov in ravnanje z varnostnimi kopijami obravnavajte ločeno.

Praktični primer: odločanje, kaj sme v repozitorij

Vzemimo ponazoritveno podjetje za programsko opremo s sedežem v EU, ki izbira platformo za dokaze. Predpostavimo, da začetni obseg vključuje preglede dostopov zaposlenih, prikrite ugotovitve varnostnih testov in zapise o odločitvah ob incidentih. Njegova notranja politika za ta obseg zahteva shranjevanje v EU in izrecno oceno vsakega dostopa izven EU. To so predpostavke za primer, ne splošne zakonske zahteve.

Ponudnik potrdi produkcijsko shranjevanje v EU. Nadaljnji pregled razkrije ločeno storitev za zahtevke za podporo in neobveznega ponudnika za povzemanje z umetno inteligenco. Ekipa platforme ne razglasi za sprejemljivo ali nesprejemljivo zgolj na podlagi odgovora o gostovanju.

Namesto tega dokumentira tri odločitve:

Ekipa nato preizkusi, ali občutljive priloge vstopijo v zahtevke za podporo, preveri predlagane omejitve dostopa in izvozi en celoten zapis o pregledu.

Recimo, da pogoji obdelave z umetno inteligenco ostanejo nejasni. Vodstvo lahko odobri ožjo uvedbo le, če je izključitev iz te obdelave zanesljiva. Če je ni mogoče uveljaviti, zadevno gradivo ostane zunaj uvedbe. Nerazrešeno vprašanje dobi lastnika in rok za odločitev, namesto da bi izginilo v splošni oceni tveganja ponudnika.

Rezultat je omejena odobritev: opredeljene kategorije dokazov, dovoljena obdelava, omejitve, odprta vprašanja in sprožilci ponovnega pregleda. To je uporabnejše od brezpogojne izjave, da je ponudnik »suveren«.

Odločitev naj bo v lasti vodstva

Nabava lahko zbere dokumente, varnost lahko oceni kontrole dostopa, pravna služba pa lahko ovrednoti obveznosti. Vodstvo je lastnik poslovne odločitve o sprejemljivi izpostavljenosti in odvisnosti. Kadar je vključena pooblaščena oseba za varstvo podatkov (DPO), ohranite neodvisne svetovalne in nadzorne odgovornosti te vloge, namesto da bi DPO postala lastnica odločitev o obdelavi.

Uporabite izrecna merila sprejemljivosti. Nejasen privilegirani dostop, nepojasnjene lokacije obdelave ali neuporabna pot izstopa so lahko za občutljiv obseg izključujoči. Druge vrzeli lahko dopuščajo omejeno uvedbo z dokumentiranimi pogoji. Zabeležite, kdo lahko sprejme posamezno preostalo tveganje in kaj bi zahtevalo ponovno oceno.

Pogoste napake so sprejemanje »gostovano v EU« brez zemljevida verige storitev, obravnavanje šifriranja kot dokaza, da podatkov nihče drug ne more prebrati, in odlaganje preizkusa izvoza do prenehanja sodelovanja. Druga napaka je domneva, da certifikat ali revizijsko poročilo zajema točno tisto storitev, pot obdelave in kategorije dokazov, ki se kupujejo. Preverite obseg in omejitve.

Oceno spremenite v ponovljiv delovni tok

Secani povezuje dokaze z zahtevami, kontrolami, ciljnimi objekti in pregledanimi odločitvami, pri čemer kot temelj izdelka uporablja odprte modele varnostnih kontrol. Osredotočen delovni tok se lahko začne z eno storitvijo, imenovanimi lastniki, njenimi odvisnostmi od zunanjih ponudnikov in dokumenti, ki podpirajo nabavno odločitev. Manjkajoči odgovori postanejo naloge; predlogi s pomočjo umetne inteligence ostanejo osnutki, za katere veljata človeški pregled in sledljivost do virov.

Ureditve gostovanja, obdelave, dostopa in izvoza izbrane storitve hranite skupaj z nabavno odločitvijo. Ta zapis preglejte, ko se spremenijo konfiguracije, podobdelovalci ali pogodbeni pogoji. Tako ima naslednji pregledovalec jasno podlago za preverjanje, ali ureditev še izpolnjuje zahteve organizacije.

Praktičen naslednji korak je, da izberete eno kategorijo občutljivih dokazov in sledite njeni celotni poti. Nastali zemljevid, preizkušen izvoz in nerazrešena vprašanja o dostopu prinesite k nabavni odločitvi. Tako ima vodstvo pregledljivo podlago za odločitev, kdo sme hraniti dokaze – in pod kakšnimi pogoji.