jautājumkopa jautā, kur un kā mēs glabājam klients datus

Glabāšanas vieta un metode: 21. panta sastāvdaļa, nevis tikai VDAR

Jautājums, kur un kā tu glabā sava klienta datus, bieži vien tiek saņemts kā privātuma jautājums, taču NIS2 anketas jautājumos tas ietilpst desmit 2022/2555 direktīvas (ES) 21. panta 2. punkta pasākumos. Jo īpaši f punkts (drošība sistēmu iegūšanā, izstrādē un uzturēšanā) un g punkts (personāla politika un piekļuves politika) tieši skar glabāšanu: kur dati fiziskajos vai virtuālajos risinājumos atrodas, kas var pie tiem piekļūt, un vai šī glabāšana ir šifrēta. Pilnīgs atbildes variants tāpēc nosaucina trīs lietas: vietu (pašas datu centrs, mākoņa pakalpojuma sniedzējs, kura reģions), atdalīšanu starp klientu vidēm, ja strādā ar vairāku nomnieku sistēmu, un datu šifrēšanu miera stāvoklī un pārsūtīšanas laikā.

Ja jums tas nav pagatavots, tad atbilde nav "jā" aizpildīšana, bet vispirms jāpārbauda, ko politiku par kriptogrāfiju un šifrēšanu uzņēmumā faktiski reģistrē. Daudzas kompānijas šifrē datus pārsūtīšanas laikā (TLS), taču ne vienmēr miera stāvoklī, un šī atšķirība klientu bieži vien tiek jautāta atsevišķi. Ja strādāt ar ārēju mākoņa pakalpojuma sniedzēju, tad tas ir arī daļa no jautājuma, vai drošības prasības tiek izvirzītas saviem piegādātājiem — glabāšanas vieta faktiski ir pēc tam ķēdes nolīgums ar šo sniedzēju, un jūsu atbilde var atsaukties uz līgumu vai SLA ar šo partneri, nevis uz pašu infrastruktūru.

Kur tas tiek pārbaudīts ISO 27001

Tas, kurš ir sertificēts saskaņā ar ISO/IEC 27001, jau ir noteicis glabāšanas vietu un šifrēšanu Annex A pasākumos par kriptogrāfiju un aktīvu pārvaldību; atbilde uz šo jautājumu var vienkārši atsaukties uz sertifikātu un tam pievienoto Piemērojamības paziņojumu. Bez ISO 27001 sertifikata atbildei jāizriet no pašas dokumentācijas: arhitektūras pārskata, datu pārvaldītāja nolīguma ar mākoņa pakalpojuma sniedzēju vai iekšējās piezīmes par datu reģionalitāti.