upitnik pita gdje i kako pohranjujemo podatke klijenta

Lokacija i metoda pohrane: dio članka 21, ne samo GDPR-a

Pitanje gdje i kako pohranjuješ podatke svojega kupca često se javlja kao pitanje privatnosti, ali na NIS2 listi pitanja nalazi se kod deset mjera članka 21 stavka 2 Direktive (EU) 2022/2555. Posebno dio h (sigurnost pri nabavi, razvoju i održavanju sustava) i dio i (politika osoblja i politika pristupa) izravno se dotičу pohrane: gdje se podaci fizički ili virtualno nalaze, tko im može pristupiti, i je li ta pohrana šifrirana. Potpun odgovor således navodi tri stvari: lokaciju (vlastiti podatkovni centar, pružatelj usluge u oblaku, koja regija), odvajanje između okruženja kupaca ako radiš kao multi-tenant, i šifriranje podataka u mirovanju i u tranzitu.

Ako zadnje navedeno nemaš na raspolaganju, tada odgovor nije samo popuniti "da" već prvo provjeriti što politiku o kriptografiji i enkripciji unutar poduzeća faktički navodis. Mnoga poduzeća šifriraju podatke u tranzitu (TLS) ali ne uvijek u mirovanju, i ta razlika kupac često posebno ispituje. postoje li zahtjevi za sigurnost prema vlastitim dobavljačima — lokacija pohrane je tada faktički sporazum u lancu s tim pružateljem, i tvoj odgovor može se odnositi na ugovor ili SLA s tom stranom umjesto na vlastitu infrastrukturu.

Gdje se to provjerava prema ISO 27001

Tko je certificiran prema ISO/IEC 27001, već ima lokaciju pohrane i šifriranje definirane u Annex A mjerama o kriptografiji i upravljanju sredstvima; odgovor na ovo pitanje može tada jednostavno upućivati na certifikat i pripadajuću Izjavu primjenjivosti. Bez tog ISO 27001 certifikata odgovor mora doći iz vlastite dokumentacije: pregled arhitekture, ugovor o obradi podataka s pružateljem usluge u oblaku, ili interna bilješka o rezidenciji podataka.