ankieta pyta, gdzie i jak przechowujemy dane klienta

Lokalizacja i metoda przechowywania: część artykułu 21, nie tylko RODO

Pytanie, gdzie i jak przechowujesz dane swojego klienta, często pojawia się jako kwestia związana z prywatnością, ale na liście pytań NIS2 należy do dziesięciu środków z artykułu 21 ust. 2 Dyrektywy (UE) 2022/2555. W szczególności punkt h (bezpieczeństwo przy pozyskiwaniu, opracowywaniu i utrzymywaniu systemów) i punkt i (polityka zatrudnienia i polityka dostępu) bezpośrednio dotyczą przechowywania: gdzie dane znajdują się fizycznie lub wirtualnie, kto ma do nich dostęp i czy przechowywanie jest zaszyfrowane. Kompletna odpowiedź obejmuje zatem trzy elementy: lokalizację (własne centrum danych, dostawca chmury, który region), separację między środowiskami klientów, jeśli pracujesz w modelu wielodostępnym, oraz szyfrowanie danych w spoczynku i w transmisji.

Jeśli tego ostatniego nie masz przygotowanego, odpowiedź nie polegają na zaznaczeniu "tak", ale najpierw sprawdzić, co polityka dotycząca kryptografii i szyfrowania w przedsiębiorstwie faktycznie jest udokumentowane. Wiele firm szyfruje dane w transmisji (TLS), ale nie zawsze w spoczynku, a ta różnica jest często pytana osobno przez klienta. Jeśli pracujesz z zewnętrznym dostawcą chmury, wówczas wchodzi to również w zakres pytania, czy wymogi bezpieczeństwa są nakładane na własnych dostawców — lokalizacja przechowywania jest wówczas faktycznie umową łańcuchową z tym dostawcą, a twoja odpowiedź może odwoływać się do umowy lub SLA z tą stroną zamiast do własnej infrastruktury.

Gdzie jest to badane w ISO 27001

Jeśli posiadasz certyfikat ISO/IEC 27001, lokalizację przechowywania i szyfrowanie są już ustalone w środkach Załącznika A dotyczących kryptografii i zarządzania zasobami; odpowiedź na to pytanie może wówczas po prostu odwoływać się do certyfikatu i towarzyszącej mu Deklaracji Zastosowania. Bez certyfikatu ISO 27001 odpowiedź musi pochodzić z dokumentacji własnej: przeglądu architektury, umowy z przetwarzającym zawartej z dostawcą chmury lub wewnętrznej notatki na temat rezydencji danych.