Doce preguntas que hacer sobre las medidas RGPD de su host

Cuando pone datos personales en la infraestructura de un proveedor de hosting, el proveedor se convierte en su encargado del tratamiento conforme al RGPD. El artículo 28 dice que solo puede recurrir a encargados que ofrezcan garantías suficientes, y el artículo 32 dice de qué tratan esas garantías: medidas técnicas y organizativas apropiadas, normalmente llamadas TOM. Muchos proveedores pueden enviarle un documento TOM. Menos pueden responder preguntas precisas sobre él. Estas son las preguntas que separan a unos de otros, y por qué importa cada una.

Dónde viven los datos

1. ¿Dónde están las copias primarias, las réplicas y los backups? «Nuestros servidores están en la UE» describe muchas veces solo la copia primaria. Las réplicas para la resiliencia y los backups para la recuperación también son copias de datos personales. Pida la ubicación de cada una, explícitamente.

2. ¿Desde dónde se administra la infraestructura? El acceso administrativo remoto desde fuera de la UE puede constituir por sí mismo una transferencia, porque los datos personales pasan a ser accesibles desde allí. Pregunte dónde están las personas y los sistemas que gestionan sus servidores.

3. ¿Hay un public cloud debajo? Algunos proveedores revenden capacidad de un hiperescalador bajo su propio nombre. Eso añade un subencargado y una jurisdicción que usted quizá no haya aceptado. Pregunte en qué hardware están realmente sus datos.

Quién puede tocarlos

4. ¿Quiénes son los subencargados, y cómo se enterará de los cambios? El artículo 28 exige su autorización para los subencargados. Debería tener una lista actualizada y una forma definida de ser informado antes de que cambie.

5. ¿Cómo se autentica el personal en los sistemas de gestión? Busque autenticación multifactor en la VPN del proveedor y en las interfaces web de gestión, acceso administrativo a los servidores por clave, y una red de gestión a la que el tráfico de los clientes no pueda llegar.

6. ¿Cómo se separa a los clientes entre sí? La respuesta debería cubrir las capas de red, storage y virtualización, no solo «cada cliente tiene su propio inicio de sesión».

7. ¿Qué obligaciones de confidencialidad vinculan a las personas con acceso? El artículo 28(3)(b) exige que las personas autorizadas a tratar los datos estén sujetas a confidencialidad. Pregunte cómo se hace para el propio personal del proveedor y para el del operador del datacenter. Nuestra respuesta: cada empleado de EuroVPS y cada ingeniero contratado está sujeto a obligaciones escritas de confidencialidad que continúan después de terminar su relación, y el operador del datacenter vincula a su propio personal de la misma forma bajo sus controles auditados.

Cómo se protegen y se recuperan

8. ¿Se cifran los datos en tránsito y en reposo? En tránsito entre sedes y hacia las ubicaciones de gestión, y en reposo en el storage y en los backups. Pregunte si el cifrado en reposo es el valor por defecto o una opción que debe solicitar.

9. ¿Puede un servidor comprometido llegar a sus propios backups? Esta es la pregunta que más importa frente al ransomware. Si los servidores de producción pueden escribir en el sistema de backup, o siquiera verlo, un atacante que tome un servidor puede destruir sus backups. El diseño más seguro es pull-only: el lado del backup extrae de producción, y producción no tiene ninguna ruta de red hacia el plano de backup.

10. ¿Con qué frecuencia se prueban realmente las restauraciones? Pregunte con qué frecuencia se ejecutan pruebas de restauración y qué evidencias se conservan.

11. ¿Qué pasa con los discos que dejan de estar en servicio? Pregunte cómo se sanean las unidades y si existe un registro por disco. Una buena respuesta nombra el método o la herramienta de borrado y afirma que se conserva un certificado por cada disco borrado.

Cuando algo sale mal

12. ¿Cómo y cuándo nos notificarán una brecha de datos personales? El artículo 33(2) exige que el encargado notifique al responsable sin dilación indebida después de tener conocimiento de una brecha. Pregunte qué significa «sin dilación indebida» en la práctica, por qué canal, y qué información contendrá el primer aviso.

Pida evidencias, no adjetivos

Palabras como «robusto», «estándar del sector» y «estado del arte» aparecen en muchos documentos TOM y no demuestran nada. Para cada respuesta, pregunte qué se lo mostraría a un auditor: un certificado y su alcance, una política de configuración, un certificado de borrado de muestra, la fecha y el resultado de la última prueba de restauración. Un proveedor que opera estas medidas tiene las evidencias a mano. Un proveedor que solo las describe necesitará tiempo para encontrarlas.

Señales de alarma en las respuestas

• Ubicaciones dadas solo para la copia primaria.
• «Estamos trabajando en la MFA.»
• Backups en un recurso compartido que los servidores de producción montan.
• Ninguna prueba de restauración que nadie recuerde.
• La eliminación de discos descrita como «la gestiona el datacenter», sin registros.
• Un documento TOM que se lee como una plantilla genérica, sin nombres de sistemas, métodos ni herramientas.

Cómo las respondemos nosotros

Publicamos nuestro TOM tras un formulario de solicitud, y estas son sus respuestas cortas. Los datos alojados en nuestros datacenters europeos (Atenas en Digital Realty, y Ámsterdam) se quedan allí, y las réplicas y los backups de los datos alojados en la UE se quedan dentro de nuestra propia infraestructura en la UE. Nuestra sede central corporativa está en Chipre, también en la UE. Los servidores, el storage, las redes y los sistemas de backup son de nuestra propiedad, no public cloud revendido. El acceso administrativo es por clave a través de nuestras propias pasarelas, tras MFA, en una red de gestión a la que el tráfico de los clientes no puede llegar. El tráfico entre nuestras sedes cruza nuestro propio backbone cifrado, y los datos en el storage y en los backups se cifran en reposo por defecto. Los backups son pull-only, impuesto en los appliances de firewall. Las restauraciones se prueban con regularidad, hasta semanalmente. Las unidades retiradas se sanean con Blancco, y conservamos el certificado de borrado de cada disco. Trabajamos bajo nuestro propio Acuerdo de Encargo del Tratamiento, el mismo para todos los clientes, y el TOM está firmado por un Director.

También certificamos los sistemas de gestión que hay detrás de esas respuestas: ISO/IEC 27001 junto con ISO/IEC 27017 e ISO/IEC 27018, el código de buenas prácticas para los datos personales en servicios cloud.

Si está revisando a sus encargados y quiere nuestro TOM, o quiere ayuda para leer el de otro, pregúntenos.

cta: Hable con un ingeniero

Related

• /what-we-do/operations/gdpr/
• /what-we-do/operations/certifications/
• /what-we-do/operations/hardening-baseline/