enkäten frågar var och hur vi lagrar kundens data

Lagringsplats och -metod: del av artikel 21, inte endast GDPR

Frågan om var och hur du lagrar din klients data kommer ofta in som en integritetsfråga, men i en NIS2-enkät hör den till de tio åtgärderna i artikel 21 stycke 2 i direktiv (EU) 2022/2555. I synnerhet punkt h (säkerhet vid anskaffning, utveckling och underhåll av system) och punkt i (personalpolicy och åtkomstpolicy) påverkar direkt lagringen: var finns data fysiskt eller virtuellt, vem kan nå den, och är lagringen krypterad. Ett fullständigt svar nämner därför tre saker: platsen (eget datacenter, molnleverantör, vilken region), separationen mellan kundmiljöer om du arbetar multi-tenant, och kryptering av data i vila och under överföring.

Har du inte det senare klart, är svaret inte att fylla i "ja" utan först att kontrollera vad policyn om kryptering och krypteringsalgoritmer som faktiskt dokumenteras inom företaget. Många företag krypterar data under överföring (TLS) men inte alltid i vila, och denna skillnad frågar kunden ofta ut separat. Arbetar du med en extern molnleverantör, det faller också under frågan om säkerhetskrav ställs på egna leverantörer — lagringsplatsen är då faktiskt ett kedjeavtal med den leverantören, och ditt svar kan hänvisa till kontraktet eller SLA med den parten i stället för till egen infrastruktur.

Där detta granskas enligt ISO 27001

Den som är ISO/IEC 27001-certifierad har redan dokumenterat lagringsplats och kryptering i Annex A-åtgärderna om kryptografi och tillgångshantering; svaret på denna fråga kan då helt enkelt hänvisa till certifikatet och tillhörande Statement of Applicability. Utan det ISO 27001-certifikatet måste svaret komma från egen dokumentation: en arkitekturöversikt, ett databehandlaravtal med molnleverantören, eller en intern anteckning om datamässa.