Modul 7 · 7.2
Vurder leverandører og clouddienster
Modul 7: Adgang, leverandører og cloud · Læsetid: 11 minutter
Læringsmål: Efter denne lektion kan du vurdere en leverandør eller clouddienst på sikkerhed, privatliv og exit, forklare hvad en databehandleraftale ifølge GDPR skal regulere, og føre en leverandørinventarliste.
Nøglebegreber: delt ansvar, databehandler, databehandleraftale, underdatabehandler, placering af data, certificering (for eksempel ISO 27001), exitstrategi, leverandørinventarliste
Din sikkerhed er kun så stærk som dine leverandører
En lille virksomhed har sjældent egne servere. Mailen kører hos en udbyder, bogføringen i en online pakke, webshoppen på en platform, de bærbare computere administreres af et IT-firma, og lønadministrationen går gennem et regnskabskontor. Det er klogt: de parter kan ofte håndtere sikkerhed bedre, end du selv kunne. Men det betyder også, at en stor del af din sikkerhed ligger i andres hænder.
Tegn det engang for dig selv. Sæt din virksomhed i midten, og tegn en linje til hver part, der opbevarer data om dig eller har adgang til dine systemer. Stil ved hver linje to spørgsmål:
- Hvad hvis den part falder bort? En driftsforstyrrelse, en konkurs, en prisforhøjelse der får dig til at ville væk.
- Hvad hvis den part lækker? Et indbrud hos leverandøren, en medarbejder der kan se for meget, en konto hos IT-firmaet der bliver overtaget.
Delt ansvar
I lektion 6.1 så du allerede modellen med delt ansvar: udbyderen af en clouddienst sørger for datacenteret, serverne og softwarens funktion; du forbliver selv ansvarlig for dine data, dine konti og dine indstillinger. Microsoft skriver direkte i sin dokumentation, at det gælder sådan for enhver type clouddienst, også ved færdig software.
Hvad det betyder i praksis:
| Udbyderen ordner som regel | Du ordner altid selv |
|---|---|
| Fysisk sikring af datacenteret | Hvem der har en konto, og med hvilke rettigheder (lektion 7.1) |
| Opdateringer af serverne og softwaren | At slå totrinsbekræftelse til og bruge den |
| Tilgængelighed ifølge aftalerne | Hvad du deler, og med hvem (lektion 7.3) |
| Backup ved katastrofer (hvis det er aftalt) | Din egen backup eller eksport af det, du virkelig ikke må miste (modul 6) |
En almindelig fejl er at antage, at udbyderen ordner noget, du aldrig har spurgt om. Spørg altså.
Databehandler og databehandleraftale
Så snart en leverandør behandler personoplysninger for dig, gælder GDPR's regler. Tænk på kundeoplysninger i din webshop, mails med navne og adresser, lønoplysninger, eller cloudlagring med cv'er fra jobansøgere.
- Du er dataansvarlig: du bestemmer, hvad og hvordan oplysningerne bruges til.
- Leverandøren er databehandler: han behandler oplysningerne på din foranledning, til dine formål.
Artikel 28 i GDPR siger, at du kun må bruge databehandlere, der giver tilstrækkelige garantier for passende tekniske og organisatoriske foranstaltninger. Aftalerne skal nedfældes i en databehandleraftale, skriftligt (elektronisk er tilladt). Ifølge artikel 28, stk. 3, skal aftalen som minimum regulere genstanden, varigheden, arten og formålet med behandlingen, hvilke typer personoplysninger og registrerede det drejer sig om, og at databehandleren:
- kun arbejder efter din skriftlige instruks;
- sikrer, at hans folk overholder tavshedspligt;
- træffer de sikkerhedsforanstaltninger, der følger af artikel 32;
- kun bruger en underdatabehandler med dit samtykke, under samme forpligtelser;
- hjælper dig, når folk udøver deres privatlivsrettigheder (indsigt, berigtigelse, sletning);
- hjælper med sikkerhed, brud på persondatasikkerheden og en eventuel konsekvensanalyse (artikel 32 til og med 36);
- efter afslutning sletter eller returnerer oplysningerne og fjerner kopier, efter dit valg;
- giver dig den information, du behøver for at kontrollere, at han overholder aftalerne, og gør audits mulige.
En underdatabehandler er en part, som din databehandler selv gør brug af, for eksempel datacenteret hos din hostingudbyder eller mailtjenesten i dit bogføringsprogram. GDPR siger, at databehandleren forbliver fuldt ansvarlig over for dig, hvis en underdatabehandler ikke overholder sine forpligtelser. Spørg efter listen over underdatabehandlere.
Datatilsynet anbefaler at gøre aftalerne konkrete i stedet for blot at gentage lovteksten, og at fastlægge hvor hurtigt og med hvilke oplysninger leverandøren informerer dig om et brud på persondatasikkerheden. Det sidste er vigtigt: i lektion 8.2 ser du, at du skal anmelde inden for 72 timer, og det ur begynder først at løbe, når du ved det.
Mange udbydere har en standard databehandleraftale. Læs den, og vær opmærksom på, om den reelt skal underskrives eller accepteres: hos nogle udbydere er den ikke automatisk gældende.
Denne lektion giver en generel forklaring og er ikke juridisk rådgivning. Den fulde tekst findes i GDPR på eur-lex.europa.eu.
Spørgsmål til din leverandør
En vurdering behøver ikke være en auditrapport på fyrre sider. For en lille virksomhed fungerer en fast spørgeliste fint. Svarene står ofte allerede på leverandørens hjemmeside, på en sikkerhedsside eller i en liste med ofte stillede spørgsmål.
| Emne | Spørgsmål |
|---|---|
| Placering | Hvor opbevares mine data, også backuppen? Går de til lande uden for Det Europæiske Økonomiske Samarbejdsområde? |
| Adgang | Kan jeg kræve totrinsbekræftelse for alle mine brugere? Kan jeg give brugere egne rettigheder? |
| Backup | Tager leverandøren backup, hvor ofte, hvor længe opbevares den, og kan jeg selv gendanne? |
| Kryptering | Er data krypteret under transport og på disken? |
| Brud på persondatasikkerheden | Hvor hurtigt og hvordan informerer leverandøren mig ved en hændelse? |
| Underdatabehandlere | Hvilke parter bruger han, og hvordan hører jeg om ændringer? |
| Certificering | Er der et certifikat, for eksempel ISO 27001, og hvad dækker det? |
| Exit | Kan jeg eksportere alle mine data i et brugbart format? Hvad sker der med mine data efter opsigelse? |
Om certificering: ISO/IEC 27001 er en international standard med krav til et ledelsessystem for informationssikkerhed. ISO certificerer ikke selv; det gør et uafhængigt certificeringsorgan. Et certifikat viser, at en organisation håndterer sin sikkerhed planmæssigt, men det garanterer ikke, at der aldrig sker noget. Se især på anvendelsesområdet på certifikatet: gælder det for den tjeneste, du bruger, eller kun for ét kontor eller én afdeling?
Exit: at kunne komme væk er også sikkerhed
En exitstrategi er din plan for at forlade en leverandør, tvunget eller frivilligt. Det lyder som noget til senere, men det skal med i valget: opdager du først ved en konkurs, at du ikke kan eksportere din kunderegister, er det for sent.
Kontrollér derfor på forhånd:
- om du kan eksportere alle data, og i hvilket format (et åbent format som CSV, standard mail eller almindelige filer er bedre end et eget format);
- hvor længe dine data er tilgængelige efter opsigelse;
- om dit domænenavn står i dit eget navn, og om du selv kan ændre nameserverne (lektion 4.3);
- om du selv opbevarer en nylig eksport, som en del af din backup (lektion 6.1).
Leverandørinventarlisten
Skriv alt ned i en leverandørinventarliste: én tabel med for hver leverandør tjenesten, hvilke data der ligger der, om der er personoplysninger involveret, om der er en databehandleraftale, hvem der er ejer hos dig, de vigtigste svar fra spørgelisten og exitmuligheden. Gennemgå den en gang om året, og når der kommer en ny tjeneste til.
Falder en af dine kunder ind under NIS 2-loven (lektion 9.1), kan du forvente, at den kunde vil stille dig som leverandør den slags spørgsmål. Med din egen inventarliste har du svarene klar.
I praksis: sådan ser det ud
Mange udbydere lægger svarene på disse spørgsmål på en sikkerhedsside. I eksempelmiljøet WebOké beskriver Nextcloud-vejledningen for eksempel, hvad udbyderen ordner, og hvad brugeren selv gør: hvor data opbevares, kryptering under transport og på diskene, obligatorisk totrinsbekræftelse, opdateringer og backup, og at du ved erhvervsmæssig brug med personoplysninger indgår en databehandleraftale. Den opdeling (hvad ordner leverandøren, hvad gør jeg selv) er præcis det, du skal lede efter hos enhver leverandør. Hos andre udbydere står det ofte i et trust center, på en sikkerhedsside eller i betingelserne; står det der ikke, så spørg.
Opsummering
- Tegn dine leverandører og spørg ved hver linje: hvad hvis den falder bort, hvad hvis den lækker?
- Delt ansvar: udbyderen ordner infrastrukturen, du ordner dine data, konti og indstillinger.
- Behandler en leverandør personoplysninger for dig, er han databehandler, og du indgår en databehandleraftale ifølge GDPR artikel 28.
- Brug en fast spørgeliste: placering, adgang, backup, kryptering, brud på persondatasikkerheden, underdatabehandlere, certificering, exit.
- Et certifikat siger noget, men tjek anvendelsesområdet; ordn din exit, før du får brug for den.
Quiz
Opgave
Opgave D7.2: Din leverandørinventarliste. Lav en tabel over dine fem vigtigste leverandører og clouddienster. Udfyld for hver leverandør, hvilke data der ligger der, om der er personoplysninger involveret, om der er en databehandleraftale, og find svarene på spørgelisten fra denne lektion (placering, totrinsbekræftelse, backup, brud på persondatasikkerheden, underdatabehandlere, certificering, exit). Prøv ved mindst én tjeneste reelt at tage en eksport.
Opgave D7.2: Din leverandørinventarliste
Sådan gør du: (1) Tegn din virksomhed i midten med linjer til hver part, der opbevarer dine data eller har adgang til dine systemer. (2) Vælg de fem vigtigste og lav en tabel med: tjeneste, hvilke data, personoplysninger (ja/nej), databehandleraftale (ja/nej/ikke nødvendigt), ejer hos dig, og svarene på spørgelisten fra lektion 7.2: placering af data og backup, om totrinsbekræftelse kan tvinges igennem, backup og selv gendanne, kryptering, hvor hurtigt ved et databrud, underleverandører, certificering med anvendelsesområde, eksport, og hvad der sker efter opsigelse. (3) Find svarene først i dokumentationen, sikkerhedssiden eller betingelserne hos leverandøren. Noter kilden. Står det ikke der, så spørg leverandøren og noter svaret. (4) Kontroller for hver leverandør, der behandler personoplysninger for dig, om der findes en databehandleraftale, og om den skal accepteres eller underskrives. (5) Lav for mindst én tjeneste en reel eksport af dine data, og tjek om du kan åbne den. (6) Skriv for den vigtigste tjeneste din exitplan i tre sætninger: hvor går du hen, hvordan får du dine data med, hvor lang tid tager det.
Dine afkrydsninger og noter forbliver kun i denne browser; vi sender dem ingen steder hen. Er du logget ind, gemmer vi kun i Mine kurser, at du har udført opgaven.
Læs mere
Trinene i WebOké-artiklerne gælder for WebOkés eget miljø; hos andre udbydere fungerer det tilsvarende eller anderledes.
- Nextcloud-vejledning 3.1: Hvordan beskytter WebOké din Nextcloud?
- Nextcloud-vejledning 15.13: Ofte stillede spørgsmål om sikkerhed og privatliv
- GDPR (Forordning (EU) 2016/679), artikel 28: https://eur-lex.europa.eu/eli/reg/2016/679/oj
- Microsoft, Shared responsibility in the cloud (engelsk): https://learn.microsoft.com/en-us/azure/security/fundamentals/shared-responsibility