klausimynas klausia, kur ir kaip laikome kliento duomenis

Saugojimo vieta ir metodas: dalinis straipsnio 21 nuostatymas, o ne tik BDAR

Klausimas, kur ir kaip saugomi jūsų kliento duomenys, dažnai pateikiamas kaip privatumo klausimas, tačiau NIS2 klausimyne jis priklauso dešimčiai priemonių, nurodytų Direktyvos (ES) 2022/2555 21 straipsnio 2 dalyje. Ypač dalis h (saugumas įsigyjant, kurant ir prižiūrint sistemas) ir dalis i (personalinė politika ir prieigos kontrolė) tiesiogiai susijusios su saugojimu: kur fiziškai arba virtualiai yra duomenys, kas prie jų gali prieiti, ir ar tas saugojimas šifruotas. Visapusiškas atsakymas turėtų nurodyti tris dalykus: vietą (savasis duomenų centras, debesų saugyklos paslaugų teikėjas, kuri sritis), atskyrimas tarp kliento aplinkų, jei naudojate daugiabėgę sistemą, ir duomenų šifravimą ramybės metu ir jų perkėlimo metu.

Jei pastarojo neturi, tuomet atsakymas nėra "taip" atžymėti, o pirmiausia patikrinti, kas politiką dėl kriptografijos ir šifravimo pačioje įmonėje faktiškai nustatyto. Daugelis įmonių šifruo duomenis jų perkėlimo metu (TLS), bet ne visada ramybės metu, ir šis skirtumas dažnai klausomas kliento atskirai. Jei dirbate su išorine debesų paslaugų teikėja, tai taip pat patenka į klausimą, ar yra saugumo reikalavimai savo tiekėjams būti pateikti — saugyklos vieta tada iš tikrųjų yra grandinės susitarimas su tuo teikėju, ir jūsų atsakymas gali nurodyti sutartį arba SLA su ta šalimi, o ne į jūsų pačių infrastruktūrą.

Kur tai tikrinama ISO 27001

Kurie yra ISO/IEC 27001 sertifikuoti, jau nustatė saugyklos vietą ir šifravimą Priedų A priemonėse apie kriptografiją ir turto valdymą; atsakymas į šį klausimą gali tiesiog nurodyti sertifikatą ir priklausantį Taikymo Pareiškimą. Be to ISO 27001 sertifikato atsakymas turi kilti iš savos dokumentacijos: architektūros apžvalgos, duomenų apdorojimo sutarties su debesų teikėju arba vidinės pastabos apie duomenų rezidenciją.