Doze perguntas sobre as medidas RGPD do seu fornecedor de hosting

Quando coloca dados pessoais na infraestrutura de um fornecedor de hosting, o fornecedor torna-se o seu subcontratante ao abrigo do RGPD (GDPR). O artigo 28.º diz que só pode recorrer a subcontratantes que apresentem garantias suficientes, e o artigo 32.º diz sobre o que são essas garantias: medidas técnicas e organizativas adequadas, habitualmente chamadas TOM. Muitos fornecedores conseguem enviar-lhe um documento TOM. Menos conseguem responder a perguntas precisas sobre ele. Aqui ficam as perguntas que separam os dois, e porque é que cada uma importa.

Onde vivem os dados

1. Onde estão as cópias primárias, as réplicas e os backups? «Os nossos servidores estão na UE» descreve muitas vezes apenas a cópia primária. As réplicas para resiliência e os backups para recuperação são também cópias de dados pessoais. Peça a localização de cada uma, explicitamente.

2. A partir de onde é administrada a infraestrutura? O acesso administrativo remoto a partir de fora da UE pode por si só constituir uma transferência, porque os dados pessoais passam a estar acessíveis a partir daí. Pergunte onde estão as pessoas e os sistemas que gerem os seus servidores.

3. Há uma public cloud por baixo? Alguns fornecedores revendem capacidade de um hyperscaler sob o seu próprio nome. Isso acrescenta um subcontratante ulterior e uma jurisdição com os quais pode não ter concordado. Pergunte em que hardware estão realmente os seus dados.

Quem lhes pode tocar

4. Quem são os subcontratantes ulteriores, e como ficará a saber de alterações? O artigo 28.º exige a sua autorização para subcontratantes ulteriores. Deve ter uma lista atual e uma forma definida de ser informado antes de ela mudar.

5. Como se autentica o pessoal nos sistemas de gestão? Procure autenticação multifator na VPN do fornecedor e nas interfaces web de gestão, acesso administrativo por chave aos servidores, e uma rede de gestão a que o tráfego dos clientes não consegue chegar.

6. Como são os clientes separados uns dos outros? A resposta deve cobrir as camadas de rede, storage e virtualização, não apenas «cada cliente tem o seu próprio login».

7. Que obrigações de confidencialidade vinculam as pessoas com acesso? O artigo 28.º, n.º 3, alínea b), exige que as pessoas autorizadas a tratar os dados estejam vinculadas à confidencialidade. Pergunte como isso é feito para o pessoal do próprio fornecedor e para o do operador do datacenter. A nossa resposta: todos os colaboradores da EuroVPS e todos os engenheiros contratados estão vinculados por obrigações de confidencialidade escritas que se mantêm depois de terminada a colaboração, e o operador do datacenter vincula o seu próprio pessoal da mesma forma, sob os seus controlos auditados.

Como são protegidos e recuperados

8. Os dados estão encriptados em trânsito e em repouso? Em trânsito entre sites e para locais de gestão, e em repouso no storage e nos backups. Pergunte se a encriptação em repouso é a predefinição ou uma opção que tem de pedir.

9. Um servidor comprometido consegue chegar aos seus próprios backups? Esta é a pergunta que mais importa para o ransomware. Se os servidores de produção conseguem escrever no sistema de backup, ou sequer vê-lo, um atacante que tome um servidor pode destruir os seus backups. O desenho mais seguro é pull-only: o lado do backup puxa da produção, e a produção não tem nenhum caminho de rede para o plano de backup.

10. Com que frequência são os restores realmente testados? Pergunte com que frequência correm testes de restore e que evidências são guardadas.

11. O que acontece aos discos que saem de serviço? Pergunte como são os discos sanitizados e se existe um registo por disco. Uma boa resposta nomeia o método ou a ferramenta de apagamento e afirma que é guardado um certificado por cada disco apagado.

Quando algo corre mal

12. Como e quando nos notificarão de uma violação de dados pessoais? O artigo 33.º, n.º 2, exige que o subcontratante notifique o responsável pelo tratamento sem demora injustificada após ter conhecimento de uma violação. Pergunte o que significa «sem demora injustificada» na prática, por que canal, e que informação conterá a primeira notificação.

Peça evidências, não adjetivos

Palavras como «robusto», «padrão da indústria» e «estado da arte» aparecem em muitos documentos TOM e não provam nada. Para cada resposta, pergunte o que a mostraria a um auditor: um certificado e o seu âmbito, uma política de configuração, um exemplo de certificado de apagamento, a data e o resultado do último teste de restore. Um fornecedor que aplica estas medidas tem as evidências à mão. Um fornecedor que apenas as descreve vai precisar de tempo para as encontrar.

Sinais de alerta nas respostas

• Localizações indicadas apenas para a cópia primária.
• «Estamos a trabalhar no MFA.»
• Backups numa partilha que os servidores de produção montam.
• Nenhum teste de restore de que alguém se lembre.
• Abate de discos descrito como «tratado pelo datacenter», sem registos.
• Um documento TOM que se lê como um modelo genérico, sem nomes de sistemas, métodos ou ferramentas.

Como lhes respondemos

Publicamos as nossas TOM atrás de um formulário de pedido, e estas são as suas respostas curtas. Os dados alojados nos nossos datacenters europeus (Atenas, no Digital Realty, e Amesterdão) ficam lá, e as réplicas e os backups de dados alojados na UE ficam dentro da nossa própria infraestrutura na UE. A nossa sede corporativa é no Chipre, também na UE. Os servidores, o storage, as redes e os sistemas de backup são nossos, não public cloud revendida. O acesso administrativo é por chave através dos nossos próprios gateways, atrás de MFA, numa rede de gestão a que o tráfego dos clientes não consegue chegar. O tráfego entre os nossos sites atravessa o nosso próprio backbone encriptado, e os dados no storage e nos backups estão encriptados em repouso por predefinição. Os backups são pull-only, imposto nas firewall appliances. Os restores são testados regularmente, até semanalmente. Os discos retirados são sanitizados com Blancco, e guardamos o certificado de apagamento de cada disco. Trabalhamos ao abrigo do nosso próprio Acordo de Tratamento de Dados, o mesmo para todos os clientes, e as TOM são assinadas por um Administrador.

Certificamos também os sistemas de gestão por trás dessas respostas: ISO/IEC 27001 com ISO/IEC 27017 e ISO/IEC 27018, o código de práticas para dados pessoais em serviços cloud.

Se está a rever os seus subcontratantes e quer as nossas TOM, ou quer ajuda para ler as de outra pessoa, pergunte-nos. Fale com um engenheiro

Related

• /what-we-do/operations/gdpr/
• /what-we-do/operations/certifications/
• /what-we-do/operations/hardening-baseline/