a kérdőív arra kérdez, hol és hogyan tároljuk az ügyfél adatait

Tárolási hely és módszer: az 21. cikk része, nem csak az GDPR

Az a kérdés, hogy hol és hogyan tárolod az ügyfeled adatait, gyakran érkezik meg adatvédelmi kérdésként, de egy NIS2 kérdőívben a 2022/2555 (EU) irányelv 21. cikk 2. bekezdésének tíz intézkedménye közé tartozik. Különösen a h) pont (biztonság a rendszerek beszerzésénél, fejlesztésénél és karbantartásánál) és az i) pont (személyzeti politika és hozzáférési politika) közvetlenül érinti a tárolást: hol helyezkedik el az adat fizikailag vagy virtuálisan, ki férhet hozzá, és az a tárhelyet titkosított-e. A teljes válasz tehát három dolgot nevez meg: a helyet (saját adatközpont, felhőszolgáltató, melyik régió), az ügyféli környezetek elkülönítése, ha több bérlős modellben dolgozol, és az adatok titkosítása statikus és átvitel közben.

Ha az utóbbit nem tartod kéznél, akkor a válasz nem az "igen" bejelölése, hanem először meg kell vizsgálni, hogy a titkosítás és enciphering szabályzatát a vállalaton belül valójában mit tartanak nyilván. Sok vállalat titkosít az adatokat átvitel közben (TLS), de nem mindig statikus formában, és ezt a különbséget az ügyfél gyakran külön kérdezi meg. Ha külső felhőszolgáltatóval dolgozol, az szintén az alá tartozik, hogy biztonsági követelményeket állítanak-e saját szállítóiknak — a tárolási hely akkor valójában egy lánc-megállapodás azzal a szolgáltatóval, és a válaszod hivatkozhat arra a féllel kötött szerződésre vagy SLA-ra ahelyett, hogy saját infrastruktúrára utalná.

Hol vizsgálják ezt az ISO 27001-ben

Aki ISO/IEC 27001 tanúsított, már rögzítette a tárolási helyet és a titkosítást az A melléklet intézkedéseiben a kriptográfiáról és az eszközkezelésről; a kérdésre adott válasz ekkor egyszerűen a tanúsítványra és a kapcsolódó Alkalmazhatósági Nyilatkozatra hivatkozhat. A tanúsítvány nélkül az ISO 27001 tanúsítvány a válasznak saját dokumentációból kell származnia: egy architektúra-áttekintésből, a felhőszolgáltatóval kötött feldolgozási megállapodásból, vagy egy adathelyzetre vonatkozó belső jegyzetből.