Douze questions à poser sur les mesures RGPD de votre hébergeur

Quand vous placez des données personnelles sur l'infrastructure d'un hébergeur, cet hébergeur devient votre sous-traitant au sens du RGPD. L'article 28 dit que vous ne pouvez faire appel qu'à des sous-traitants qui présentent des garanties suffisantes, et l'article 32 dit sur quoi portent ces garanties : des mesures techniques et organisationnelles appropriées, qu'on appelle généralement le TOM. Beaucoup d'hébergeurs peuvent vous envoyer un document TOM. Moins nombreux sont ceux qui peuvent répondre à des questions précises à son sujet. Voici les questions qui séparent les deux, et pourquoi chacune compte.

Où vivent les données

1. Où se trouvent les copies primaires, les réplicas et les backups ? « Nos serveurs sont dans l'UE » ne décrit souvent que la copie primaire. Les réplicas pour la résilience et les backups pour la reprise sont aussi des copies de données personnelles. Demandez la localisation de chacun, explicitement.

2. D'où l'infrastructure est-elle administrée ? Un accès administratif distant depuis l'extérieur de l'UE peut constituer en soi un transfert, parce que les données personnelles deviennent accessibles depuis là. Demandez où se trouvent les personnes et les systèmes qui gèrent vos serveurs.

3. Y a-t-il un cloud public en dessous ? Certains hébergeurs revendent sous leur propre nom de la capacité d'un hyperscaler. Cela ajoute un sous-traitant ultérieur et une juridiction que vous n'avez peut-être pas acceptés. Demandez sur le matériel de qui vos données se trouvent réellement.

Qui peut y toucher

4. Qui sont les sous-traitants ultérieurs, et comment serez-vous informé des changements ? L'article 28 exige votre autorisation pour les sous-traitants ultérieurs. Vous devez disposer d'une liste à jour et d'un moyen défini d'être prévenu avant qu'elle change.

5. Comment le personnel s'authentifie-t-il sur les systèmes d'administration ? Cherchez une authentification multifacteur sur le VPN de l'hébergeur et sur les interfaces web d'administration, un accès administratif par clés aux serveurs, et un réseau d'administration que le trafic des clients ne peut pas atteindre.

6. Comment les clients sont-ils séparés les uns des autres ? La réponse doit couvrir les couches réseau, stockage et virtualisation, pas seulement « chaque client a son propre identifiant ».

7. Quelles obligations de confidentialité lient les personnes qui ont accès ? L'article 28(3)(b) exige que les personnes autorisées à traiter les données soient tenues à la confidentialité. Demandez comment cela est fait pour le personnel de l'hébergeur et pour celui de l'opérateur du datacenter. Notre réponse : chaque employé d'EuroVPS et chaque ingénieur contractuel est lié par des obligations écrites de confidentialité qui se prolongent après la fin de la collaboration, et l'opérateur du datacenter lie son propre personnel de la même manière, sous ses contrôles audités.

Comment elles sont protégées et récupérées

8. Les données sont-elles chiffrées en transit et au repos ? En transit entre les sites et vers les lieux d'administration, et au repos sur le stockage et dans les backups. Demandez si le chiffrement au repos est le réglage par défaut ou une option à demander.

9. Un serveur compromis peut-il atteindre ses propres backups ? C'est la question qui compte le plus face au ransomware. Si les serveurs de production peuvent écrire sur le système de backup, ou même seulement le voir, un attaquant qui prend un serveur peut détruire ses backups. La conception la plus sûre est le pull-only : le côté backup tire depuis la production, et la production n'a aucun chemin réseau vers le plan de backup.

10. À quelle fréquence les restaurations sont-elles réellement testées ? Demandez à quelle fréquence les tests de restauration tournent et quelles preuves sont conservées.

11. Qu'advient-il des disques qui sortent du service ? Demandez comment les disques sont effacés et s'il existe une trace par disque. Une bonne réponse nomme la méthode ou l'outil d'effacement et indique qu'un certificat est conservé pour chaque disque effacé.

Quand quelque chose tourne mal

12. Comment et quand nous notifierez-vous une violation de données personnelles ? L'article 33(2) exige que le sous-traitant notifie le responsable du traitement dans les meilleurs délais après en avoir pris connaissance. Demandez ce que « dans les meilleurs délais » signifie en pratique, par quel canal, et quelles informations contiendra le premier avis.

Demandez des preuves, pas des adjectifs

Des mots comme « robuste », « standard du secteur » et « état de l'art » apparaissent dans beaucoup de documents TOM et ne prouvent rien. Pour chaque réponse, demandez ce qui le montrerait à un auditeur : un certificat et son périmètre, une politique de configuration, un exemple de certificat d'effacement, la date et le résultat du dernier test de restauration. Un hébergeur qui applique ces mesures a les preuves sous la main. Un hébergeur qui se contente de les décrire aura besoin de temps pour les trouver.

Les signaux d'alerte dans les réponses

• Des localisations données seulement pour la copie primaire.
• « Nous travaillons sur le MFA. »
• Des backups sur un partage que les serveurs de production montent.
• Aucun test de restauration de mémoire d'homme.
• Une mise au rebut des disques décrite comme « gérée par le datacenter » sans trace.
• Un document TOM qui se lit comme un modèle générique, sans nom de système, de méthode ni d'outil.

Comment nous y répondons

Nous publions notre TOM derrière un formulaire de demande, et en voici les réponses courtes. Les données hébergées dans nos datacenters européens (Athènes chez Digital Realty, et Amsterdam) y restent, et les réplicas et backups des données hébergées dans l'UE restent au sein de notre propre infrastructure dans l'UE. Notre siège social est à Chypre, également dans l'UE. Les serveurs, le stockage, les réseaux et les systèmes de backup sont les nôtres, pas du cloud public revendu. L'accès administratif se fait par clé via nos propres passerelles, derrière un MFA, sur un réseau d'administration que le trafic des clients ne peut pas atteindre. Le trafic entre nos sites traverse notre propre backbone chiffré, et les données sur le stockage et dans les backups sont chiffrées au repos par défaut. Les backups sont pull-only, imposé sur les équipements firewall. Les restaurations sont testées régulièrement, jusqu'à chaque semaine. Les disques retirés sont effacés avec Blancco, et nous conservons le certificat d'effacement de chaque disque. Nous travaillons sous notre propre accord de traitement des données, le même pour chaque client, et le TOM est signé par un administrateur de la société.

Nous certifions aussi les systèmes de gestion qui portent ces réponses : ISO/IEC 27001 avec ISO/IEC 27017 et ISO/IEC 27018, le code de bonnes pratiques pour les données personnelles dans les services cloud.

Si vous passez vos sous-traitants en revue et voulez notre TOM, ou si vous voulez de l'aide pour lire celui de quelqu'un d'autre, demandez-nous. Parler à un ingénieur

Related

• /what-we-do/operations/gdpr/
• /what-we-do/operations/certifications/
• /what-we-do/operations/hardening-baseline/