chestionarul întreabă unde și cum stocăm datele clientului

Locația și metoda de stocare: parte a articolului 21, nu doar din GDPR

Întrebarea unde și cum stochezi datele clientului tău apare adesea ca o problemă de confidențialitate, dar într-o chestionară NIS2 face parte din cele zece măsuri ale articolului 21 alineatul 2 din Directiva (UE) 2022/2555. În special, litera h (securitatea la achiziționare, dezvoltare și mentenanță a sistemelor) și litera i (politica de personal și politica de acces) se referă direct la stocare: unde se află datele fizic sau virtual, cine poate accesa, și este stocarea criptată. Un răspuns complet menționează deci trei lucruri: locația (datacenter propriu, furnizor cloud, ce regiune), separarea între mediile de clienți dacă lucrezi multi-tenant, și criptarea datelor în repaus și în tranzit.

Dacă nu ai asta la îndemână, atunci răspunsul nu este să completezi "da" ci mai întâi să verific ce politica privind criptografia și criptarea stabilește efectiv compania. Multe firme criptează datele în tranzit (TLS) dar nu întotdeauna în repaus, și clientul adesea solicită separat această diferență. Dacă lucrezi cu un furnizor cloud extern, atunci aceasta se încadrează și în întrebarea dacă se impun cerințe de securitate furnizorilor proprii — locația de stocare este atunci de fapt un acord în lanț cu acel furnizor, și răspunsul tău poate face referire la contractul sau SLA cu acea parte în loc să faci referire la infrastructura proprie.

Unde se evaluează acest lucru în ISO 27001

Cine este certificat ISO/IEC 27001 a deja consemnat locația de stocare și criptarea în măsurile Annex A privind criptografia și managementul activelor; răspunsul la această întrebare poate simplu să facă referire la certificat și la Declarația de aplicabilitate anexată. Fără certificatul ISO 27001 răspunsul trebuie să provină din documentația proprie: o prezentare de ansamblu a arhitecturii, un acord cu furnizorul cloud, sau o notă internă privind reședința datelor.