Δώδεκα ερωτήσεις για τα μέτρα GDPR του παρόχου σας

Όταν βάζετε προσωπικά δεδομένα στην υποδομή ενός παρόχου hosting, ο πάροχος γίνεται ο εκτελών την επεξεργασία σας βάσει του ΓΚΠΔ (GDPR). Το άρθρο 28 λέει ότι μπορείτε να χρησιμοποιείτε μόνο εκτελούντες που παρέχουν επαρκείς διαβεβαιώσεις, και το άρθρο 32 λέει περί τίνος είναι αυτές οι διαβεβαιώσεις: κατάλληλα τεχνικά και οργανωτικά μέτρα, που συνήθως λέγονται TOM. Πολλοί πάροχοι μπορούν να σας στείλουν ένα έγγραφο TOM. Λιγότεροι μπορούν να απαντήσουν σε ακριβείς ερωτήσεις γι' αυτό. Εδώ είναι οι ερωτήσεις που ξεχωρίζουν τους δύο, και γιατί μετράει η καθεμία.

Πού ζουν τα δεδομένα

1. Πού βρίσκονται τα πρωτεύοντα αντίγραφα, τα replicas και τα backups; Το «οι servers μας είναι στην ΕΕ» συχνά περιγράφει μόνο το πρωτεύον αντίγραφο. Τα replicas για ανθεκτικότητα και τα backups για ανάκαμψη είναι κι αυτά αντίγραφα προσωπικών δεδομένων. Ζητήστε την τοποθεσία του καθενός, ρητά.

2. Από πού διαχειρίζεται η υποδομή; Απομακρυσμένη διαχειριστική πρόσβαση από εκτός ΕΕ μπορεί από μόνη της να αποτελεί διαβίβαση, γιατί τα προσωπικά δεδομένα γίνονται προσβάσιμα από εκεί. Ρωτήστε πού βρίσκονται οι άνθρωποι και τα συστήματα που διαχειρίζονται τους servers σας.

3. Υπάρχει public cloud από κάτω; Κάποιοι πάροχοι μεταπωλούν χωρητικότητα από έναν hyperscaler με το δικό τους όνομα. Αυτό προσθέτει έναν υποεκτελούντα και μια δικαιοδοσία που ίσως δεν έχετε συμφωνήσει. Ρωτήστε σε ποιανού hardware βρίσκονται πραγματικά τα δεδομένα σας.

Ποιος μπορεί να τα αγγίξει

4. Ποιοι είναι οι υποεκτελούντες, και πώς θα μαθαίνετε για αλλαγές; Το άρθρο 28 απαιτεί την εξουσιοδότησή σας για υποεκτελούντες. Πρέπει να έχετε μια τρέχουσα λίστα και έναν καθορισμένο τρόπο να ενημερώνεστε πριν αλλάξει.

5. Πώς πιστοποιείται το προσωπικό στα συστήματα διαχείρισης; Αναζητήστε έλεγχο ταυτότητας πολλών παραγόντων στο VPN του παρόχου και στα web interfaces διαχείρισης, διαχειριστική πρόσβαση με κλειδιά στους servers, και ένα δίκτυο διαχείρισης που η κίνηση των πελατών δεν μπορεί να φτάσει.

6. Πώς διαχωρίζονται οι πελάτες μεταξύ τους; Η απάντηση πρέπει να καλύπτει τα επίπεδα δικτύου, storage και virtualization, όχι απλώς «κάθε πελάτης έχει το δικό του login».

7. Ποιες υποχρεώσεις εμπιστευτικότητας δεσμεύουν τους ανθρώπους με πρόσβαση; Το άρθρο 28(3)(β) απαιτεί τα πρόσωπα που εξουσιοδοτούνται να επεξεργάζονται τα δεδομένα να δεσμεύονται από εμπιστευτικότητα. Ρωτήστε πώς γίνεται αυτό για το προσωπικό του παρόχου και για το προσωπικό του operator του datacenter. Η δική μας απάντηση: κάθε εργαζόμενος της EuroVPS και κάθε συνεργαζόμενος μηχανικός δεσμεύεται από γραπτές υποχρεώσεις εμπιστευτικότητας που συνεχίζουν μετά το τέλος της συνεργασίας, και ο operator του datacenter δεσμεύει το δικό του προσωπικό με τον ίδιο τρόπο, υπό τους ελεγμένους ελέγχους του.

Πώς προστατεύονται και ανακτώνται

8. Είναι τα δεδομένα κρυπτογραφημένα κατά τη μεταφορά και σε ηρεμία; Κατά τη μεταφορά μεταξύ sites και προς τοποθεσίες διαχείρισης, και σε ηρεμία στο storage και στα backups. Ρωτήστε αν η κρυπτογράφηση σε ηρεμία είναι η προεπιλογή ή μια επιλογή που πρέπει να ζητήσετε.

9. Μπορεί ένας παραβιασμένος server να φτάσει τα δικά του backups; Αυτή είναι η ερώτηση που μετράει περισσότερο για το ransomware. Αν οι servers παραγωγής μπορούν να γράψουν στο σύστημα backup, ή έστω να το δουν, ένας επιτιθέμενος που παίρνει έναν server μπορεί να καταστρέψει τα backups του. Ο ασφαλέστερος σχεδιασμός είναι pull-only: η πλευρά του backup τραβά από την παραγωγή, και η παραγωγή δεν έχει καμία διαδρομή δικτύου προς το επίπεδο backup.

10. Πόσο συχνά δοκιμάζονται πραγματικά τα restores; Ρωτήστε πόσο συχνά τρέχουν δοκιμές restore και τι αποδεικτικά κρατούνται.

11. Τι γίνεται με τους δίσκους που αποσύρονται; Ρωτήστε πώς καθαρίζονται οι δίσκοι και αν υπάρχει αρχείο ανά δίσκο. Μια καλή απάντηση κατονομάζει τη μέθοδο ή το εργαλείο διαγραφής και δηλώνει ότι κρατιέται πιστοποιητικό για κάθε δίσκο που διαγράφηκε.

Όταν κάτι πάει στραβά

12. Πώς και πότε θα μας ειδοποιήσετε για παραβίαση προσωπικών δεδομένων; Το άρθρο 33(2) απαιτεί ο εκτελών την επεξεργασία να ενημερώνει τον υπεύθυνο επεξεργασίας αμελλητί μόλις αντιληφθεί παραβίαση. Ρωτήστε τι σημαίνει «αμελλητί» στην πράξη, μέσω ποιου καναλιού, και τι πληροφορίες θα περιέχει η πρώτη ειδοποίηση.

Ζητήστε αποδείξεις, όχι επίθετα

Λέξεις όπως «στιβαρό», «βιομηχανικό πρότυπο» και «τελευταίας τεχνολογίας» εμφανίζονται σε πολλά έγγραφα TOM και δεν αποδεικνύουν τίποτα. Για κάθε απάντηση, ρωτήστε τι θα το έδειχνε σε έναν ελεγκτή: ένα πιστοποιητικό και το scope του, μια πολιτική διαμόρφωσης, ένα δείγμα πιστοποιητικού διαγραφής, την ημερομηνία και το αποτέλεσμα της τελευταίας δοκιμής restore. Ένας πάροχος που εφαρμόζει αυτά τα μέτρα έχει τις αποδείξεις πρόχειρες. Ένας πάροχος που απλώς τα περιγράφει θα χρειαστεί χρόνο να τις βρει.

Κόκκινες σημαίες στις απαντήσεις

• Τοποθεσίες που δίνονται μόνο για το πρωτεύον αντίγραφο.
• «Δουλεύουμε πάνω στο MFA.»
• Backups σε share που οι servers παραγωγής προσαρτούν.
• Καμία δοκιμή restore όσο θυμάται κανείς.
• Απόσυρση δίσκων που περιγράφεται ως «το αναλαμβάνει το datacenter» χωρίς αρχεία.
• Ένα έγγραφο TOM που διαβάζεται σαν γενικό πρότυπο, χωρίς ονόματα συστημάτων, μεθόδων ή εργαλείων.

Πώς τις απαντάμε εμείς

Δημοσιεύουμε το TOM μας πίσω από μια φόρμα αιτήματος, και αυτές είναι οι σύντομες απαντήσεις του. Δεδομένα που φιλοξενούνται στα ευρωπαϊκά datacenters μας (Αθήνα στο Digital Realty, και Άμστερνταμ) μένουν εκεί, και τα replicas και τα backups δεδομένων που φιλοξενούνται στην ΕΕ μένουν μέσα στη δική μας υποδομή στην ΕΕ. Η εταιρική μας έδρα είναι στην Κύπρο, επίσης στην ΕΕ. Οι servers, το storage, τα δίκτυα και τα συστήματα backup είναι δικά μας, όχι μεταπωλούμενο public cloud. Η διαχειριστική πρόσβαση γίνεται με κλειδί μέσω των δικών μας gateways, πίσω από MFA, σε δίκτυο διαχείρισης που η κίνηση των πελατών δεν μπορεί να φτάσει. Η κίνηση μεταξύ των sites μας περνά από το δικό μας κρυπτογραφημένο backbone, και τα δεδομένα στο storage και στα backups είναι κρυπτογραφημένα σε ηρεμία από προεπιλογή. Τα backups είναι pull-only, επιβεβλημένο στα firewall appliances. Τα restores δοκιμάζονται τακτικά, ακόμη και κάθε εβδομάδα. Οι δίσκοι που αποσύρονται καθαρίζονται με Blancco, και κρατάμε το πιστοποιητικό διαγραφής για κάθε δίσκο. Δουλεύουμε με τη δική μας Συμφωνία Επεξεργασίας Δεδομένων, την ίδια για κάθε πελάτη, και το TOM υπογράφεται από Διευθυντή.

Πιστοποιούμε επίσης τα συστήματα διαχείρισης πίσω από αυτές τις απαντήσεις: ISO/IEC 27001 με ISO/IEC 27017 και ISO/IEC 27018, τον κώδικα πρακτικής για προσωπικά δεδομένα σε υπηρεσίες cloud.

Αν εξετάζετε τους εκτελούντες σας και θέλετε το TOM μας, ή θέλετε βοήθεια να διαβάσετε κάποιου άλλου, ρωτήστε μας. Μιλήστε με έναν μηχανικό

Related

• /what-we-do/operations/gdpr/
• /what-we-do/operations/certifications/
• /what-we-do/operations/hardening-baseline/