spørgeskemaet spørger, hvor og hvordan vi gemmer kundens data

Lagerplacering og -metode: del af artikel 21, ikke kun GDPR

Spørgsmålet om, hvor og hvordan du gemmer dine kunders data, kommer ofte som et privatspørsmål, men i en NIS2-spørgeskema hører det til under de ti foranstaltninger i artikel 21, stk. 2 i Direktiv (EU) 2022/2555. Især punkt h (sikkerhed ved erhvervelse, udvikling og vedligeholdelse af systemer) og punkt i (personale- og adgangspolitik) vedrører direkte lagring: hvor står dataene fysisk eller virtuelt, hvem kan få adgang til dem, og er den lagring krypteret. Et fuldstændigt svar nævner således tre ting: lokaliteten (eget datacenter, cloud-udbyder, hvilken region), adskillelsen mellem kundemiljøer, hvis du arbejder multi-tenant, og kryptering af data i ro og under transport.

Hvis du ikke har det sidstnævnte parat, er svaret ikke at udfylde "ja", men først at undersøge hvad politikken for kryptografi og kryptering der faktisk er registreret i virksomheden. Mange virksomheder krypterer data under transport (TLS), men ikke altid i ro, og den forskel spørger kunden ofte særskilt om. Arbejder du med en ekstern cloud-udbyder, gælder det også for spørgsmålet om sikkerhedskrav stilles til egne leverandører — lagerplaceringen er så faktisk en kædeaftale med denne udbyder, og dit svar kan referere til kontrakten eller SLA'en med denne part i stedet for egen infrastruktur.

Hvor dette bliver testet i ISO 27001

Hvis du er ISO/IEC 27001-certificeret, har du allerede fastlagt lagerplacering og kryptering i Bilag A-foranstaltningerne om kryptografi og aktivstyring; svaret på dette spørgsmål kan så blot henvise til certificatet og den tilhørende Statement of Applicability. Uden det ISO 27001-certificat skal svaret komme fra egen dokumentation: en arkitektur oversigt, en databehandleraftale med cloud-udbyderen, eller en intern note om dataopholdssted.