Modul 7 · 7.2
Vurdere leverandører og skytjenester
Modul 7: Tilgang, leverandører og sky · Lesetid: 11 minutter
Læringsmål: Etter denne leksjonen kan du vurdere en leverandør eller skytjeneste på sikkerhet, personvern og exit, forklare hva en databehandleravtale etter GDPR skal regulere, og føre en leverandørinventar.
Nøkkelbegreper: delt ansvar, databehandler, databehandleravtale, underleverandør, lagringssted for data, sertifisering (for eksempel ISO 27001), exitstrategi, leverandørinventar
Sikkerheten din er like sterk som leverandørene dine
Et lite firma har sjelden egne servere. E-posten kjører hos en leverandør, regnskapet i en nettbasert pakke, nettbutikken på en plattform, bærbarene driftes av et IT-firma, og lønnsadministrasjonen går via et regnskapskontor. Det er fornuftig: disse partene kan ofte ordne sikkerhet bedre enn du selv kunne. Men det betyr også at en stor del av sikkerheten din ligger i andres hender.
Tegn det opp for deg selv. Sett firmaet ditt i midten og trekk en linje til hver part som lagrer data om deg eller har tilgang til systemene dine. Still to spørsmål ved hver linje:
- Hva skjer hvis den parten faller bort? En driftsstans, en konkurs, en prisøkning som gjør at du vil bytte.
- Hva skjer hvis den parten lekker? Et innbrudd hos leverandøren, en ansatt som kan se for mye, en konto hos IT-firmaet som blir overtatt.
Delt ansvar
I leksjon 6.1 så du allerede modellen for delt ansvar: leverandøren av en skytjeneste sørger for datasenteret, serverne og at programvaren fungerer; du er fortsatt ansvarlig for dataene dine, kontoene dine og innstillingene dine. Microsoft sier i dokumentasjonen sin bokstavelig at det er slik for alle typer skytjenester, også ferdig programvare.
Hva det betyr i praksis:
| Leverandøren ordner som regel | Du ordner alltid selv |
|---|---|
| Fysisk sikkerhet i datasenteret | Hvem som har en konto og med hvilke rettigheter (leksjon 7.1) |
| Oppdateringer av serverne og programvaren | Skru på og bruke tofaktorautentisering (2FA) |
| Tilgjengelighet i tråd med avtalen | Hva du deler og med hvem (leksjon 7.3) |
| Sikkerhetskopier for kriser (hvis det er avtalt) | En egen sikkerhetskopi eller eksport av det du virkelig ikke kan miste (modul 6) |
En vanlig feil er å anta at leverandøren ordner noe du aldri har spurt om. Så spør.
Databehandler og databehandleravtale
Så snart en leverandør behandler personopplysninger for deg, gjelder reglene i GDPR. Tenk på kundedata i nettbutikken din, e-post med navn og adresser, lønnsdata, eller skylagring med CV-er fra jobbsøkere.
- Du er behandlingsansvarlig: du bestemmer hva dataene brukes til og hvordan.
- Leverandøren er databehandler: han behandler dataene på oppdrag fra deg, for dine formål.
Artikkel 28 i GDPR sier at du bare kan bruke databehandlere som gir tilstrekkelige garantier for egnede tekniske og organisatoriske tiltak. Avtalene nedfeller du i en databehandleravtale, skriftlig (elektronisk er greit). Ifølge artikkel 28 nr. 3 skal avtalen i alle fall regulere formålet, varigheten, arten og hensikten med behandlingen, hvilke typer personopplysninger og registrerte det gjelder, og at databehandleren:
- bare arbeider etter dine skriftlige instrukser;
- sørger for at sine folk overholder taushetsplikt;
- iverksetter sikkerhetstiltakene i artikkel 32;
- bare med din tillatelse bruker en underleverandør, under de samme forpliktelsene;
- hjelper deg når folk utøver personvernrettighetene sine (innsyn, retting, sletting);
- hjelper deg med sikkerhet, avvik (datalekkasjer) og en eventuell DPIA (artikkel 32 til og med 36);
- etter avtalens slutt sletter eller returnerer dataene og fjerner kopier, etter ditt valg;
- gir deg informasjonen for å kontrollere at han overholder avtalen, og gjør revisjoner (audits) mulig.
En underleverandør er en part som databehandleren din selv bruker videre, for eksempel datasenteret til webhotellet ditt eller e-posttjenesten til regnskapspakken din. GDPR sier at databehandleren forblir fullt ansvarlig overfor deg hvis en underleverandør ikke oppfyller sine forpliktelser. Spør om listen over underleverandører.
Datatilsynet anbefaler å gjøre avtalene konkrete, i stedet for bare å gjenta lovteksten, og å nedfelle hvor raskt og med hvilken informasjon leverandøren informerer deg om et avvik. Det siste er viktig: i leksjon 8.2 ser du at du må melde innen 72 timer, og den klokken begynner først å gå når du selv vet om det.
Mange leverandører har en standard databehandleravtale. Les den, og sjekk om den faktisk må signeres eller godtas: hos enkelte leverandører gjelder den ikke automatisk.
Denne leksjonen gir generell informasjon og er ikke juridisk rådgivning. Den fullstendige teksten i GDPR finner du på eur-lex.europa.eu.
Spørsmål å stille en leverandør
En vurdering trenger ikke å være en revisjonsrapport på førti sider. For et lite firma fungerer en fast sjekkliste godt. Svarene står ofte allerede på nettsiden til leverandøren, på en sikkerhetsside eller i en liste med ofte stilte spørsmål.
| Tema | Spørsmål |
|---|---|
| Lagringssted | Hvor lagres dataene mine, også sikkerhetskopiene? Går de til land utenfor Det europeiske økonomiske samarbeidsområdet? |
| Tilgang | Kan jeg kreve tofaktorautentisering for alle brukerne mine? Kan jeg gi brukere egne rettigheter? |
| Sikkerhetskopi | Tar leverandøren sikkerhetskopier, hvor ofte, hvor lenge lagres de, og kan jeg selv gjenopprette? |
| Kryptering | Er dataene kryptert underveis og på disken? |
| Avvik (datalekkasje) | Hvor raskt og hvordan informerer leverandøren meg ved en hendelse? |
| Underleverandører | Hvilke parter bruker han, og hvordan får jeg vite om endringer? |
| Sertifisering | Finnes det et sertifikat, for eksempel ISO 27001, og hva gjelder det for? |
| Exit | Kan jeg eksportere alle dataene mine i et brukbart format? Hva skjer med dataene mine etter oppsigelse? |
Om sertifisering: ISO/IEC 27001 er en internasjonal standard med krav til et styringssystem for informasjonssikkerhet. ISO sertifiserer ikke selv; det gjør et uavhengig sertifiseringsorgan. Et sertifikat viser at en organisasjon styrer sikkerheten sin planmessig, men det garanterer ikke at det aldri skjer noe. Se spesielt på virkeområdet på sertifikatet: gjelder det for tjenesten du bruker, eller bare for ett kontor eller en avdeling?
Exit: å kunne forlate er også sikkerhet
En exitstrategi er planen din for å forlate en leverandør, tvunget eller frivillig. Det høres ut som noe for senere, men det må på plass ved valget: hvis du først oppdager ved en konkurs at du ikke kan eksportere kunderegisteret ditt, er det for sent.
Kontroller derfor på forhånd:
- om du kan eksportere alle dataene, og i hvilket format (et åpent format som CSV, vanlig e-post eller vanlige filer er bedre enn et eget format);
- hvor lenge dataene dine er tilgjengelige etter oppsigelse;
- om domenenavnet ditt står i ditt eget navn og du selv kan endre navnetjenerne (leksjon 4.3);
- om du selv oppbevarer en fersk eksport, som del av sikkerhetskopien din (leksjon 6.1).
Leverandørinventaren
Nedfell alt i en leverandørinventar: én tabell med for hver leverandør tjenesten, hvilke data som finnes der, om det er personopplysninger blant dem, om det finnes en databehandleravtale, hvem som er eier hos deg, de viktigste svarene fra sjekklisten og exit-muligheten. Gå gjennom den en gang i året, og når det kommer en ny tjeneste til.
Hvis en av kundene dine omfattes av digitalsikkerhetsloven (leksjon 9.1), kan du forvente at den kunden kommer til å stille deg som leverandør denne typen spørsmål. Med en egen inventar har du svarene klare.
I praksis: slik ser det ut
Mange leverandører legger svarene på disse spørsmålene på en sikkerhetsside. I eksempelmiljøet WebOké beskriver for eksempel Nextcloud-veiledningen hva leverandøren ordner og hva brukeren gjør selv: hvor dataene lagres, kryptering underveis og på diskene, obligatorisk tofaktorautentisering, oppdateringer og sikkerhetskopier, og at du ved forretningsmessig bruk med personopplysninger inngår en databehandleravtale. Den inndelingen (hva ordner leverandøren, hva gjør jeg selv) er akkurat det du bør lete etter hos enhver leverandør. Hos andre leverandører står det ofte i et trust center, på en sikkerhetsside eller i vilkårene; står det ikke der, så spør.
Oppsummering
- Tegn opp leverandørene dine og spør ved hver linje: hva skjer hvis den faller bort, hva skjer hvis den lekker?
- Delt ansvar: leverandøren ordner infrastrukturen, du ordner dataene, kontoene og innstillingene dine.
- Behandler en leverandør personopplysninger for deg, er han databehandler og du inngår en databehandleravtale etter GDPR artikkel 28.
- Bruk en fast sjekkliste: lagringssted, tilgang, sikkerhetskopi, kryptering, avvik, underleverandører, sertifisering, exit.
- Et sertifikat sier noe, men sjekk virkeområdet; ordne exiten din før du trenger den.
Quiz
Oppgave
Oppgave D7.2: Din leverandørinventar. Lag en tabell over dine fem viktigste leverandører og skytjenester. Fyll ut for hver leverandør hvilke data som finnes der, om det er personopplysninger blant dem, om det finnes en databehandleravtale, og finn svarene på sjekklisten fra denne leksjonen (lagringssted, tofaktorautentisering, sikkerhetskopi, avvik, underleverandører, sertifisering, exit). Prøv å faktisk gjennomføre en eksport hos minst én tjeneste.
Oppgave D7.2: Din leverandørinventar
Slik gjør du det: (1) Tegn bedriften din i midten med linjer til hver part som oppbevarer data om deg eller har tilgang til systemene dine. (2) Velg de fem viktigste og lag en tabell med: tjeneste, hvilke data, personopplysninger (ja/nei), databehandleravtale (ja/nei/ikke nødvendig), eier hos deg, og svarene på spørsmålslisten fra leksjon 7.2: sted for data og sikkerhetskopier, kan tofaktorautentisering (2FA) tvinges, sikkerhetskopi og egen gjenoppretting, kryptering, hvor raskt ved et avvik, underleverandører, sertifisering med omfang, eksport og hva som skjer etter oppsigelse. (3) Finn svarene først i dokumentasjonen, sikkerhetssiden eller vilkårene til leverandøren. Noter kilden. Står det ikke der, still spørsmålet til leverandøren og noter svaret. (4) Kontroller hos hver leverandør som behandler personopplysninger for deg om det finnes en databehandleravtale, og om den må aksepteres eller signeres. (5) Lag hos minst én tjeneste en reell eksport av dataene dine og sjekk om du kan åpne den. (6) Skriv ned i tre setninger hos den viktigste tjenesten exitplanen din: hvor går du, hvordan får du med deg dataene, hvor lang tid trenger du til det.
Avkrysningene og notatene dine blir kun i denne nettleseren; vi sender dem ikke noe sted. Er du logget inn, lagrer vi kun i Mine kurs at du har gjort oppgaven.
Les mer
Trinnene i WebOké-artiklene gjelder for miljøet til WebOké; hos andre leverandører fungerer det på lignende eller annen måte.
- Nextcloud-veiledning 3.1: Hvordan sikrer WebOké din Nextcloud?
- Nextcloud-veiledning 15.13: Ofte stilte spørsmål om sikkerhet og personvern
- GDPR (forordning (EU) 2016/679), artikkel 28: https://eur-lex.europa.eu/eli/reg/2016/679/oj
- Microsoft, Shared responsibility in the cloud (engelsk): https://learn.microsoft.com/en-us/azure/security/fundamentals/shared-responsibility