dotazník se ptá, kde a jak ukládáme data zákazníka

Umístění a metoda úložiště: součást článku 21, ne jen GDPR

Otázka, kde a jak ukládáte data svého zákazníka, často přichází jako dotaz týkající se soukromí, ale v seznamu otázek NIS2 patří mezi deset opatření článku 21 odst. 2 Směrnice (EU) 2022/2555. Konkrétně bod h (bezpečnost při pořizování, vývoji a údržbě systémů) a bod i (personální politika a zásady přístupu) přímo souvisejí s úložištěm: kde jsou data fyzicky nebo virtuálně umístěna, kdo k nim má přístup a je toto úložiště šifrováno. Úplná odpověď tedy obsahuje tři věci: umístění (vlastní datové centrum, poskytovatel cloudových služeb, která oblast), oddělení prostředí zákazníků, pokud pracujete v multi-tenant režimu, a šifrování dat v klidu a při přenosu.

Pokud to poslední nemáte připraveno, odpověď není zadat "ano", ale nejdříve zjistit, co politika o kryptografii a šifrování v podniku skutečně zaznamenáno. Mnoho podniků šifruje data při přenosu (TLS), ale ne vždy v klidu, a na tento rozdíl se zákazník často ptá samostatně. Pokud pracujete s externím poskytovatelem cloudových služeb, padá to také pod otázku, zda existují požadavky na bezpečnost vlastních dodavatelů jsou kladeny — umístění úložiště je pak fakticky dohodou v dodavatelském řetězci s tímto poskytovatelem, a vaše odpověď může odkazovat na smlouvu nebo SLA s touto stranou místo na vlastní infrastrukturu.

Kde se to hodnotí v ISO 27001

Kdo je certifikován podle ISO/IEC 27001, již má umístění úložiště a šifrování stanoveny v opatřeních Přílohy A týkajících se kryptografie a správy majetku; odpověď na tuto otázku pak může jednoduše odkazovat na certifikát a příslušné Prohlášení o použitelnosti. Bez tohoto certifikátu ISO 27001 musí odpověď vycházet z vlastní dokumentace: přehled architektury, smlouva se zpracovatelem s poskytovatelem cloudu nebo interní zápis o místě uložení dat.