Дванадцять запитань про заходи GDPR вашого хостера

Коли ви розміщуєте персональні дані на інфраструктурі хостинг-провайдера, провайдер стає вашим розпорядником (processor) за GDPR. Стаття 28 каже, що ви можете користуватися лише розпорядниками, які дають достатні гарантії, а стаття 32 каже, чого ці гарантії стосуються: належних технічних та організаційних заходів, які зазвичай називають TOM. Багато провайдерів можуть надіслати вам документ TOM. Менше з них можуть відповісти на точні запитання про нього. Ось запитання, які відрізняють одних від інших, і чому кожне з них важливе.

Де живуть дані

1. Де розташовані первинні копії, репліки та резервні копії?

«Наші сервери в ЄС» часто описує лише первинну копію. Репліки для стійкості та резервні копії для відновлення теж є копіями персональних даних. Запитайте про розташування кожної з них, прямо.

1. Звідки адмініструється інфраструктура?

Віддалений адміністративний доступ з-поза меж ЄС сам по собі може становити передачу, бо персональні дані стають доступними звідти. Запитайте, де розташовані люди та системи, що керують вашими серверами.

1. Чи є під сподом публічна хмара?

Деякі провайдери перепродають потужності hyperscaler під власним іменем. Це додає субпроцесора та юрисдикцію, на які ви могли не погоджуватися. Запитайте, на чиєму обладнанні насправді лежать ваші дані.

Хто може їх торкатися

1. Хто є субпроцесорами, і як ви дізнаєтеся про зміни?

Стаття 28 вимагає вашого дозволу на субпроцесорів. У вас має бути актуальний список і визначений спосіб отримати повідомлення до того, як він зміниться.

1. Як персонал автентифікується в системах керування?

Шукайте багатофакторну автентифікацію на VPN провайдера і на вебінтерфейсах керування, адміністративний доступ до серверів за ключами і мережу керування, до якої клієнтський трафік не має доступу.

1. Як клієнти відокремлені один від одного?

Відповідь має охоплювати рівні мережі, сховища та віртуалізації, а не лише «у кожного клієнта власний логін».

1. Які зобов’язання щодо конфіденційності пов’язують людей з доступом?

Стаття 28(3)(b) вимагає, щоб особи, уповноважені обробляти дані, були зобов’язані дотримуватися конфіденційності. Запитайте, як це зроблено для власного персоналу провайдера і для персоналу оператора дата-центру.

Наша відповідь: кожен працівник EuroVPS і кожен залучений за договором інженер пов’язаний письмовими зобов’язаннями щодо конфіденційності, які діють і після завершення співпраці, а оператор дата-центру так само зобов’язує власний персонал у межах своїх аудитованих заходів контролю.

Як вони захищені та відновлюються

1. Чи шифруються дані під час передачі та у стані спокою?

Під час передачі між майданчиками та до локацій керування, і у стані спокою на сховищі та в резервних копіях. Запитайте, чи шифрування у стані спокою є типовим, чи опцією, яку треба просити.

1. Чи може скомпрометований сервер дістатися до власних резервних копій?

Це запитання, яке важить найбільше для програм-вимагачів. Якщо продуктивні сервери можуть писати в систему резервного копіювання або хоча б бачити її, зловмисник, що захопив сервер, може знищити його резервні копії. Безпечніша схема: лише pull, тобто сторона резервного копіювання забирає дані з продуктивної, а продуктивна не має жодного мережевого шляху до площини резервного копіювання.

1. Як часто насправді тестуються відновлення?

Запитайте, як часто проводяться тести відновлення і які докази зберігаються.

1. Що відбувається з дисками, які виводяться з експлуатації?

Запитайте, як очищаються накопичувачі і чи ведеться запис на кожен диск. Добра відповідь називає метод або інструмент стирання і стверджує, що сертифікат зберігається для кожного стертого диска.

Коли щось іде не так

1. Як і коли ви повідомите нас про порушення захисту персональних даних?

Стаття 33(2) вимагає від розпорядника повідомити володільця без невиправданої затримки після того, як він дізнався про порушення. Запитайте, що означає «без невиправданої затримки» на практиці, яким каналом, і яку інформацію міститиме перше повідомлення.

Просіть докази, а не прикметники

Слова на кшталт «надійний», «галузевий стандарт» і «найсучасніший» зустрічаються в багатьох документах TOM і нічого не доводять. На кожну відповідь запитайте, що показало б її аудитору: сертифікат і його сфера дії, політика конфігурації, зразок сертифіката стирання, дата і результат останнього тесту відновлення. Провайдер, який справді виконує ці заходи, має докази під рукою. Провайдеру, який їх лише описує, знадобиться час, щоб їх знайти.

Тривожні сигнали у відповідях

• Розташування вказане лише для первинної копії.
• «Ми працюємо над MFA».
• Резервні копії на спільному ресурсі, який монтують продуктивні сервери.
• Жодного тесту відновлення на людській пам’яті.
• Утилізація дисків описана як «цим займається дата-центр» без жодних записів.
• Документ TOM, що читається як загальний шаблон, без назв систем, методів чи інструментів.

Як відповідаємо ми

Ми публікуємо наш TOM за формою запиту, і ось його короткі відповіді. Дані, розміщені в наших європейських дата-центрах (Афіни в Digital Realty та Амстердам), залишаються там, а репліки та резервні копії даних, розміщених у ЄС, залишаються всередині нашої власної інфраструктури в ЄС. Наша корпоративна штаб-квартира на Кіпрі, також у ЄС. Сервери, сховища, мережі та системи резервного копіювання є нашими власними, а не перепроданою публічною хмарою. Адміністративний доступ здійснюється за ключами через наші власні шлюзи, за MFA, у мережі керування, до якої клієнтський трафік не має доступу. Трафік між нашими майданчиками іде нашим власним шифрованим backbone, а дані на сховищі та в резервних копіях типово зашифровані у стані спокою. Резервне копіювання працює лише в режимі pull, і це забезпечують firewall-пристрої. Відновлення тестуються регулярно, аж до щотижня. Виведені з експлуатації накопичувачі очищаються за допомогою Blancco, і ми зберігаємо сертифікат стирання для кожного диска. Ми працюємо за власною Угодою про обробку даних, однаковою для кожного клієнта, а TOM підписаний директором.

Ми також сертифікуємо системи управління, що стоять за цими відповідями: ISO/IEC 27001 разом з ISO/IEC 27017 та ISO/IEC 27018, кодексом практики щодо персональних даних у хмарних послугах.

Якщо ви переглядаєте своїх розпорядників і хочете отримати наш TOM або потребуєте допомоги з читанням чужого, звертайтеся. Поговоріть з інженером

Related

• /what-we-do/operations/gdpr/
• /what-we-do/operations/certifications/
• /what-we-do/operations/hardening-baseline/