GDPR in računalništvo v oblaku: kako zagotoviti skladnost?

Glavni izzivi oblaka v smislu GDPR

• Lokalizacija podatkov

Kje so shranjeni vaši podatki? V Evropi? V Združenih državah Amerike? V Indiji? GDPR zahteva, da podatki ostanejo znotraj ustreznega pravnega okvira. To hitro postane težava, če vaš ponudnik oblaka replicira podatke v več državah.

• Nadzor in lastništvo podatkov

V oblaku vaši podatki fizično niso več pri vas doma. Zato morate imeti jasna jamstva o tem, kaj ponudnik lahko ali ne sme storiti s temi podatki.

• Prenosi podatkov zunaj EU

Prenos podatkov zunaj EU ni prepovedan, je pa strogo reguliran. Ciljna država mora nuditi ustrezno raven zaščite ali pa morajo biti vzpostavljene standardne pogodbene klavzule.

• Varnost podatkov, shranjenih v oblaku

Vdor, puščanje podatkov, hrošč ... In to je katastrofa. GDPR zahteva "ustrezni" varnostni ukrepi, ki lahko vključuje šifriranje, redundanca, spremljanje…

Pravne obveznosti GDPR za storitve v oblaku

• Vloga upravljavca in obdelovalca podatkov

Če uporabljate storitev v oblaku, ste upravljavec podatkov, ponudnik pa je podizvajalecOdvisno je od tebe. zagotoviti, da izpolnjuje obveznosti iz GDPR.

• DPO (pooblaščena oseba za varstvo podatkov)

Nekatera podjetja morajo imenovati Pooblaščena oseba za varstvo podatkovBo ključna kontaktna oseba pri upravljanju odnosov s ponudniki storitev v oblaku in vrevizija zdravljenja.

• Register zdravljenja

Opredeliti morate vse obdelave podatkov, vključno s tistimi, ki so zaupane ponudnikom storitev v oblaku.

• Načelo minimizacije podatkov

Shranjujte le tisto, kar je nujno potrebno. Več podatkov pomeni večje tveganje. 

Izbira ponudnika storitev v oblaku, ki je skladen z GDPR

Merila za izbiro ponudnika storitev

• Lokacije strežnikov v Evropi

• Pogodbene klavzule, skladne z GDPR

• Jasna politika zasebnosti

Podizvajalska pogodba GDPR

Določiti mora:

• Namen in trajanje obdelave

• Vrste podatkov

• Varnostne obveznosti

• Pravica do revizije

Najboljše prakse za zagotavljanje skladnosti z GDPR

• Izvajanje internih postopkov

Formalizirajte svoje prakse: postopki soglasja, dostopa, popravka, brisanja itd. Bolj kot si kvadraten, tem bolje.

• Usposabljanje zaposlenih

Izobražujte svoje ekipe! En slabo obveščen zaposleni je zagotovljena kršitev.

• Upravljanje kršitev podatkov

Če pride do puščanja, imate 72 ur za obveščanje CNILImej načrt za odzivanje na incidente je ključnega pomena.

• Analiza učinka (PIA/DPIA)

Za nekatere občutljive tretmaje je potrebno izvesti analiza vpliva na zasebnostOblak ni izjema.

Orodja za zagotavljanje skladnosti

• Šifriranje podatkov

TA šifriranje je bistvenega pomena. Ščiti vaše podatke, tudi če pridejo v napačne roke.

• Orodja za revizijo in sledljivost

Pazite na kdo kaj počne, kdaj in kakoTo je ključ do hitrega odziva v primeru težave.

• Močna avtentikacija in upravljanje dostopa

Izhod z geslom "123456". Naredite prostor za dvojna avtentikacija, do uporabniške vlogein do redni pregled pravic dostopa.

GDPR ni le dokument, ki ga podpišete in pozabite. Gre za stalno zavezo, zlasti v tako dinamičnem okolju, kot je računalništvo v oblaku. Toda z dobra orodja, dobre prakse in dobri partnerji, lahko to omejitev spremenite v konkurenčno prednost.