dotazník sa pýta, kde a ako uchovávame údaje klienta

Umiestnenie a metóda ukladania: súčasť článku 21, nie len GDPR

Otázka, kde a ako ukladáte údaje svojho klienta, často prichádza ako otázka týkajúca sa ochrany osobných údajov, ale v zozname otázok NIS2 patrí medzi desať opatrení článku 21 odsek 2 Smernice (EÚ) 2022/2555. Najmä bod h (bezpečnosť pri nadobúdaní, vývoji a údržbe systémov) a bod i (personálna politika a politika prístupu) priamo súvisia s ukladaním: kde sú údaje fyzicky alebo virtuálne umiestnené, kto k nim má prístup, a je toto ukladanie šifrované. Úplná odpoveď musí teda obsahovať tri veci: umiestnenie (vlastné dátové centrum, poskytovateľ cloudových služieb, ktorý región), oddelenie medzi prostrediami klientov, ak pracujete s viacerými nájomcami, a šifrovanie údajov v pokoji a pri prenose.

Ak nemáte posledné uvedené na dosah, odpoveď nie je vyplnenie "áno", ale najskôr overenie, čo politiku o kryptografii a šifrovaní v podniku fakticky zaznamenáva. Mnoho spoločností šifruje údaje pri prenose (TLS), ale nie vždy v pokoji, a klient často tento rozdiel pýta zvlášť. Ak pracujete s externým poskytovateľom cloudových služieb, patrí to aj do otázky, či sú bezpečnostné požiadavky kladené na vlastných dodávateľov — umiestnenie ukladania je potom fakticky dohodou v reťazci s týmto poskytovateľom, a vaša odpoveď môže odkazovať na zmluvu alebo SLA s touto stranou namiesto vlastnej infraštruktúry.

Kde sa to testuje v ISO 27001

Kto má certifikáciu ISO/IEC 27001, už má umiestnenie ukladania a šifrovanie zaznamenané v opatreniach Prílohy A týkajúcich sa kryptografie a riadenia majetku; odpoveď na túto otázku môže potom jednoducho odkazovať na certifikát a priložené Vyhlásenie o použiteľnosti. Bez certifikátu ISO 27001 musí odpoveď pochádzať z vlastnej dokumentácie: prehľad architektúry, zmluva s poskytovateľom cloudových služieb o spracúvaní údajov, alebo interná poznámka o siedmisidencii údajov.