küsimustik küsib, kus ja kuidas me klendi andmeid talletame

Salvestuskoht ja -meetod: artikli 21 osa, mitte ainult AVG osa

Küsimus, kuhu ja kuidas sa oma kliendi andmeid salvestad, jõuab sageli privaatsusküsimusena, kuid NIS2 küsimustikus kuulub ta Direktiivi (EL) 2022/2555 artikli 21 lõike 2 kümnele meetmele. Eriti alamosa h (süsteemide omandamise, arendamise ja hooldamise turvalisus) ja alamosa i (personalipolitika ja juurdepääsupolitika) puudutavad otseselt salvestust: kus andmed füüsiliselt või virtuaalselt asetsevad, kes neid kätte pääsevad, ja kas see salvestus on krüpteeritud. Täielik vastus nimetab seega kolme asja: asukohta (oma andmekeskus, pilveettevõtja, milline piirkond), klientide keskkondade lahusust, kui te multi-tenant'i mudelis töötate, ja andmete krüpteerimist puhkeolekus ja ülekande ajal.

Kui sul seda viimast käepärast pole, siis vastus pole "jah" sisestamine, vaid esmalt kontroll, mis krüpteerimise ja kodeerimise poliitika ettevõtte piires faktiliselt registreeritud on. Paljud ettevõtted krüpteerivad küll andmeid ülekandel (TLS), kuid mitte alati puhkeolekus, ja see erinevus küsitakse kliendilt sageli eraldi. Kui sa töötad välise pilveteenuse pakkujaga, siis see kuulub ka küsimuse alla, kas omale tarnijatele turvanõudeid seatakse — salvestuskoht on siis faktiliselt ahellepe selle pakkujaga, ja sinu vastus võib viidata lepingule või SLA-le selle osapoolega asemel enda infrastruktuurile.

Kuhu see ISO 27001-is kontrollitakse

Kes on ISO/IEC 27001 sertifitseeritud, on salvestuskoha ja krüpteerimise juba määratlenud Annex A meetmetes krüptograafia ja vara haldustuse kohta; vastus sellele küsimusele võib siis lihtsalt viidata sertifikaadile ja sellele kaasasoleva Statement of Applicability'le. Ilma ISO 27001 sertifikaadita peab vastus tulema enda dokumentatsioonist: arhitektuuriülevaade, teenuse osutaja leping pilvepakkujaga, või sisemine märkus andmete asukohast.