kyselylomakkeessa kysytään, missä ja kuinka säilytämme asiakkaan tietoja

Tallennussijainti ja -menetelmä: osa artiklaa 21, eivät pelkästään GDPR:ää

Kysymys siitä, missä ja miten säilytät asiakkaan tietoja, tulee usein yksityisyyskysymyksenä, mutta NIS2-kyselylomaakkeessa se kuuluu Direktiivin (EU) 2022/2555 21 artiklan 2 kohdan kymmenen toimenpiteeseen. Erityisesti kohta h (järjestelmien hankintaan, kehittämiseen ja ylläpitoon liittyvä turvallisuus) ja kohta i (henkilöstöpolitiikka ja pääsykontrolli) liittyvät suoraan tallennukseen: missä tiedot sijaitsevat fyysisesti tai virtuaalisesti, kuka niihin pääsee, ja onko tallennukset salattu. Täydellinen vastaus sisältää siis kolme asiaa: sijainnin (oma datakeskus, pilvipalveluntarjoaja, mikä alue), asiakasympäristöjen erottamisen, jos toimit multi-tenant-mallissa, ja tietojen salauksen levossa ja siirron aikana.

Jos et ole perillä jälkimmäisestä, vastaus ei ole merkitä "kyllä" vaan ensin tarkistaa, mitä käytäntö kryptografiasta ja salauksesta yrityksessä faktisesti on dokumentoitu. Monet yritykset salaavat tiedot siirron aikana (TLS), mutta eivät aina levossa, ja asiakas usein kysyy tämän eron erikseen. Jos käytät ulkoista pilvipalveluntarjoajaa, se kuuluu myös kysymykseen siitä, asetetaanko omille toimittajille turvallisuusvaatimuksia — tallennussijainti on tällöin faktisesti ketjusopimus kyseisen toimittajan kanssa, ja vastauksesi voi viitata sopimukseen tai SLA:han sen sijaan, että viitaisit omaan infrastruktuuriin.

Missä tämä arvioidaan ISO 27001:ssä

Joka on ISO/IEC 27001 -sertifioitu, on jo dokumentoinut tallennussijainnin ja salauksen Annex A -toimenpiteissään kryptografiasta ja omaisuuden hallinnasta; vastaus tähän kysymykseen voi tällöin yksinkertaisesti viitata sertifikaattiin ja siihen liittyvään Applicable Statement of Applicability. Ilman ISO 27001 -sertifikaattia vastaus on koottava omasta dokumentaatiosta: arkkitehtuurikatsauksesta, käsittelysopimuksesta pilvipalveluntarjoajan kanssa tai sisäisestä merkinnästä tietojen sijainnista.