η λίστα ερωτήσεων ρωτά πού και πώς αποθηκεύουμε τα δεδομένα του πελάτη

Τόπος και μέθοδος αποθήκευσης: μέρος του άρθρου 21, όχι μόνο του GDPR

Το ερώτημα σχετικά με το πού και πώς αποθηκεύετε τα δεδομένα του πελάτη σας συχνά υποβάλλεται ως ζήτημα προστασίας δεδομένων, αλλά σε έναν κατάλογο ερωτήσεων NIS2 ανήκει στα δέκα μέτρα του άρθρου 21 παράγραφος 2 της Οδηγίας (ΕΕ) 2022/2555. Ιδίως το σημείο h (ασφάλεια κατά την απόκτηση, ανάπτυξη και συντήρηση συστημάτων) και το σημείο i (πολιτική προσωπικού και πολιτική ελέγχου πρόσβασης) αγγίζουν άμεσα την αποθήκευση: πού βρίσκονται τα δεδομένα φυσικά ή εικονικά, ποιος μπορεί να έχει πρόσβαση, και είναι αυτή η αποθήκευση κρυπτογραφημένη. Μια πλήρης απάντηση περιλαμβάνει λοιπόν τρία πράγματα: τη θέση (δικό σας κέντρο δεδομένων, πάροχος υπηρεσιών cloud, ποια περιοχή), τη διαχωριστική γραμμή μεταξύ περιβαλλόντων πελατών αν εργάζεστε με πολλαπλούς μισθωτές, και την κρυπτογράφηση δεδομένων σε ηρεμία και κατά τη μεταφορά.

Αν δεν έχετε το τελευταίο έτοιμο, τότε η απάντηση δεν είναι να συμπληρώσετε «ναι» αλλά πρώτα να ελέγξετε τι την πολιτική σχετικά με την κρυπτογραφία και την κρυπτογράφηση εντός της επιχείρησης καταγράφεται πραγματικά. Πολλές επιχειρήσεις κρυπτογραφούν τα δεδομένα κατά τη μεταφορά (TLS) αλλά όχι πάντα σε ηρεμία, και αυτή η διαφορά συχνά το ζητά ο πελάτης χωριστά. Αν εργάζεστε με εξωτερικό πάροχο υπηρεσιών cloud, τότε αυτό εμπίπτει επίσης στο ερώτημα αν τίθενται απαιτήσεις ασφάλειας στους δικούς σας προμηθευτές — ο τόπος αποθήκευσης είναι τότε στην πραγματικότητα μια συμφωνία αλυσίδας με τον πάροχο, και η απάντησή σας μπορεί να παραπέμπει στο συμβόλαιο ή τη SLA με αυτό το μέρος αντί να παραπέμπει στη δική σας υποδομή.

Όπου αυτό αξιολογείται στο ISO 27001

Όποιος έχει πιστοποίηση ISO/IEC 27001, έχει ήδη καταγράψει τόπο αποθήκευσης και κρυπτογράφηση στα μέτρα Annex A σχετικά με την κρυπτογραφία και τη διαχείριση περιουσιακών στοιχείων· η απάντηση σε αυτό το ερώτημα μπορεί τότε απλώς να παραπέμπει στο πιστοποιητικό και στη σχετική Δήλωση Εφαρμογιμότητας. Χωρίς το πιστοποιητικό ISO 27001 η απάντηση πρέπει να προέρχεται από τη δική σας τεκμηρίωση: μια επισκόπηση της αρχιτεκτονικής, μια σύμβαση επεξεργασίας με τον πάροχο υπηρεσιών cloud, ή μια εσωτερική σημείωση σχετικά με την κατοικία δεδομένων.