vprašalnik sprašuje, kje in kako shranjujemo podatke naročnika

Lokacija in način shranjevanja: del člena 21, ne le GDPR

Vprašanje, kje in kako shranjuješ podatke svojega odjemalca, pogosto pride kot vprašanje o zasebnosti, a v vprašalniku NIS2 spada med deset ukrepov člena 21(2) Direktive (EU) 2022/2555. Zlasti točka h (varnost pri pridobitvi, razvoju in vzdrževanju sistemov) in točka i (politika v zvezi s kadrom in politika dostopa) neposredno vplivata na shranjevanje: kje so podatki fizično ali virtualno, kdo jih lahko dostopa, in je to shranjevanje šifrirano. Celoten odgovor torej navaja tri stvari: lokacijo (lastni podatkovni center, ponudnik облачних storitev, katera regija), ločitev med odjemalčevimi okolji, če deluje kot več-najemnik, in šifriranje podatkov v mirovanju in med prenosom.

Če tega zadnjega nimate na voljo, odgovor ni »da« temveč najprej preveriti, kaj politiko glede kriptografije in šifriranja je v podjetju dejansko dokumentirano. Številna podjetja šifrirajo podatke med prenosom (TLS), a ne vedno v mirovanju, in ta razlika se odjemalcu pogosto zastavlja posebej. Če delate z zunanjim ponudnikom облачnih storitev, to spada tudi pod vprašanje, ali se varnostne zahteve postavljajo lastnim dobaviteljem — lokacija shranjevanja je torej dejansko dogovor v oskrbovalni verigi s tem ponudnikom, in vaš odgovor se lahko sklicuje na pogodbo ali SLA s to stranjo namesto na lastno infrastrukturo.

Kje se to preverja pri ISO 27001

Kdor je certificiran po ISO/IEC 27001, je lokacijo shranjevanja in šifriranje že dokumentiral v Annex A-ukrepih o kriptografiji in upravljanju sredstev; odgovor na to vprašanje se lahko torej preprosto sklicuje na potrdilo in pripadajočo Izjavo o uporabnosti. Brez tega ISO 27001-potrdila mora odgovor izhajati iz lastne dokumentacije: pregled arhitekture, pogodba z dobaviteljem облачних storitev ali notranja beležka o rezidenci podatkov.