Списъкът с въпроси пита където и как съхраняваме данните на клиента

Място и метод на съхранение: част от член 21, не само от GDPR

Въпросът къде и как съхранявате данните на вашия клиент, често се получава като въпрос за поверителност, но в списък на въпроси по NIS2 е включен в десетте мерки на член 21, параграф 2 от Директива (EU) 2022/2555. По-специално подточка h (защита при придобиване, разработка и поддържане на системи) и подточка i (кадрова политика и политика на достъп) пряко засягат съхранението: къде се намират данните физически или виртуално, кой може да им достъпи, и е ли това съхранение криптирано. Пълен отговор посочва следователно три неща: местоположението (собствено хранилище на данни, облачен доставчик, кой регион), разделението между средите на клиентите, ако работите с множество наеми, и криптирането на данни в покой и при предаване.

Ако нямаш това последното наготово, тогава отговорът не е да попълниш "да", а първо да проверишь какво политиката за криптография и криптиране в рамките на предприятието действително се установява. Много компании шифроват данните при предаване (TLS), но не винаги в покой, и тази разлика клиентът често поставя като отделен въпрос. Ако работиш с външен доставчик на облачни услуги, това също попада под въпроса дали има изисквания за безопасност към собствените доставчици да бъдат зададени — тогава хранилището е фактически верижно споразумение с този доставчик, и вашият отговор може да се позовава на договора или SLA с тази страна вместо на собствена инфраструктура.

Където това се проверява в ISO 27001

Който е сертифициран по ISO/IEC 27001, вече е определил местоположението на съхранение и криптирането в мерките на Приложение A относно криптографията и управлението на активите; отговорът на този въпрос може просто да се позовава на сертификата и свързаното с него Изявление за приложимост. Без този ISO 27001-сертификат отговорът трябва да дойде от собствена документация: архитектурен преглед, договор с обработател с доставчика на облачни услуги или вътрешна бележка относно местоположението на данните.