Dodici domande da fare sulle misure GDPR del vostro host

Quando mettete dati personali sull'infrastruttura di un fornitore di hosting, il fornitore diventa il vostro responsabile del trattamento ai sensi del GDPR. L'articolo 28 dice che potete usare solo responsabili che offrano garanzie sufficienti, e l'articolo 32 dice su cosa vertono quelle garanzie: misure tecniche e organizzative adeguate, di solito chiamate TOM. Molti fornitori possono inviarvi un documento TOM. Meno sanno rispondere a domande precise su di esso. Ecco le domande che separano i due gruppi, e perché ognuna conta.

Dove vivono i dati

1. Dove sono le copie primarie, le repliche e i backup? «I nostri server sono nell'UE» descrive spesso solo la copia primaria. Le repliche per la resilienza e i backup per il ripristino sono anch'essi copie di dati personali. Chiedete esplicitamente la posizione di ciascuna.

2. Da dove viene amministrata l'infrastruttura? L'accesso amministrativo remoto da fuori dell'UE può costituire di per sé un trasferimento, perché i dati personali diventano accessibili da lì. Chiedete dove si trovano le persone e i sistemi che gestiscono i vostri server.

3. C'è un public cloud sotto? Alcuni fornitori rivendono capacità di un hyperscaler con il proprio nome. Questo aggiunge un sub-responsabile e una giurisdizione che potreste non aver accettato. Chiedete su quale hardware stanno davvero i vostri dati.

Chi può toccarli

4. Chi sono i sub-responsabili, e come verrete informati dei cambiamenti? L'articolo 28 richiede la vostra autorizzazione per i sub-responsabili. Dovreste avere un elenco aggiornato e un modo definito per essere avvisati prima che cambi.

5. Come si autentica il personale ai sistemi di gestione? Cercate l'autenticazione a più fattori sulla VPN del fornitore e sulle interfacce web di gestione, l'accesso amministrativo ai server tramite chiavi, e una rete di gestione che il traffico dei clienti non può raggiungere.

6. Come sono separati i clienti tra loro? La risposta dovrebbe coprire i livelli di rete, storage e virtualizzazione, non solo «ogni cliente ha il proprio login».

7. Quali obblighi di riservatezza vincolano le persone con accesso? L'articolo 28(3)(b) richiede che le persone autorizzate a trattare i dati siano vincolate alla riservatezza. Chiedete come viene fatto per il personale del fornitore e per quello dell'operatore del datacenter. La nostra risposta: ogni dipendente e ogni ingegnere a contratto di EuroVPS è vincolato da obblighi scritti di riservatezza che continuano dopo la fine del rapporto, e l'operatore del datacenter vincola allo stesso modo il proprio personale nell'ambito dei suoi controlli sottoposti ad audit.

Come vengono protetti e recuperati

8. I dati sono cifrati in transito e a riposo? In transito tra i siti e verso le sedi di gestione, e a riposo sullo storage e nei backup. Chiedete se la cifratura a riposo è il default o un'opzione da richiedere.

9. Un server compromesso può raggiungere i propri backup? È la domanda che conta di più per il ransomware. Se i server di produzione possono scrivere sul sistema di backup, o anche solo vederlo, un attaccante che prende un server può distruggerne i backup. Il progetto più sicuro è pull-only: il lato backup preleva dalla produzione, e la produzione non ha alcun percorso di rete verso il piano di backup.

10. Con quale frequenza vengono davvero testati i restore? Chiedete con quale frequenza girano i test di restore e quali evidenze vengono conservate.

11. Cosa succede ai dischi che escono dal servizio? Chiedete come vengono sanificati i dischi e se esiste una registrazione per disco. Una buona risposta nomina il metodo o lo strumento di cancellazione e dichiara che viene conservato un certificato per ogni disco cancellato.

Quando qualcosa va storto

12. Come e quando ci notificherete una violazione dei dati personali? L'articolo 33(2) richiede che un responsabile notifichi il titolare senza ingiustificato ritardo dopo esserne venuto a conoscenza. Chiedete cosa significhi in pratica «senza ingiustificato ritardo», attraverso quale canale, e quali informazioni conterrà il primo avviso.

Chiedete evidenze, non aggettivi

Parole come «robusto», «standard di settore» e «stato dell'arte» compaiono in molti documenti TOM e non provano nulla. Per ogni risposta, chiedete cosa la dimostrerebbe a un auditor: un certificato con il suo scopo, una policy di configurazione, un certificato di cancellazione d'esempio, la data e l'esito dell'ultimo test di restore. Un fornitore che applica queste misure ha le evidenze a portata di mano. Un fornitore che le descrive soltanto avrà bisogno di tempo per trovarle.

Segnali d'allarme nelle risposte

• Posizioni indicate solo per la copia primaria.
• «Stiamo lavorando all'MFA.»
• Backup su una condivisione che i server di produzione montano.
• Nessun test di restore a memoria d'uomo.
• Smaltimento dei dischi descritto come «gestito dal datacenter», senza registrazioni.
• Un documento TOM che si legge come un modello generico, senza nomi di sistemi, metodi o strumenti.

Come rispondiamo noi

Pubblichiamo il nostro TOM dietro un modulo di richiesta, e queste sono le sue risposte brevi. I dati ospitati nei nostri datacenter europei (Atene presso Digital Realty, e Amsterdam) restano lì, e le repliche e i backup dei dati ospitati nell'UE restano dentro la nostra infrastruttura UE. La nostra sede centrale è a Cipro, anch'essa nell'UE. I server, lo storage, le reti e i sistemi di backup sono di nostra proprietà, non public cloud rivenduto. L'accesso amministrativo avviene tramite chiavi attraverso i nostri gateway, dietro MFA, su una rete di gestione che il traffico dei clienti non può raggiungere. Il traffico tra i nostri siti attraversa il nostro backbone cifrato, e i dati sullo storage e nei backup sono cifrati a riposo per default. I backup sono pull-only, imposto sulle appliance firewall. I restore vengono testati regolarmente, anche ogni settimana. I dischi dismessi vengono sanificati con Blancco, e conserviamo il certificato di cancellazione per ogni disco. Lavoriamo con il nostro Accordo sul trattamento dei dati, lo stesso per ogni cliente, e il TOM è firmato da un Director.

Certifichiamo anche i sistemi di gestione dietro quelle risposte: ISO/IEC 27001 con ISO/IEC 27017 e ISO/IEC 27018, il codice di condotta per i dati personali nei servizi cloud.

Se state riesaminando i vostri responsabili e volete il nostro TOM, o volete aiuto per leggere quello di qualcun altro, chiedetecelo.

cta: Parla con un ingegnere

Related

• /what-we-do/operations/gdpr/
• /what-we-do/operations/certifications/
• /what-we-do/operations/hardening-baseline/