Računalništvo v oblaku in varstvo osebnih podatkov Z zaupanjem do povrnitve ravnotežja

Transcription

1 mag. Andrej Tomšič Namestnik informacijske pooblaščenke Informacijski pooblaščenec RS Računalništvo v oblaku in varstvo osebnih podatkov Z zaupanjem do povrnitve ravnotežja XIX. Dnevi javnega prava, 5. junij 2013

2

3 Oblačna vprašanja Veliki pogodbeni izvajalci in mali upravljavci Kdo jih (dejansko) lahko nadzira? Ali se upravljavci osebnih podatkov zavedajo tveganj /specifičnih tveganj? Kje so podatki resnično bolj varni pri malem upravljavcu ali pri velikem ponudniku računalništva v oblaku? Različni oblaki, različna tveganja. Kako izkoristiti prednosti oblaka, a obenem ne znižati ravni varstva OP? javni sektor zasebni sektor Kako vzpostaviti zaupanje? Kako povrniti ravnotežje?

4 Na poti k zaupanju Za pravno nespornost in praktično sprejemljivost računalništva v oblaku je bistveno zaupanje. Zaupanje mora biti celovito in podobno zaupanju samemu sebi. varnost, vendar tudi zanesljivost, stanovitnost, dostopnost, poštenost. Odkrita resna ranljivost v *** *** spremenil pogoje uporabe, opozoril na izročanje podatkov FBI po odredbi Za nekaj ur dostopni vsi podatki v *** Predstavljene tri ranljivosti v *** *** preiskuje potencialno krajo e-poštnih naslovov *** priznal izgubo e-poštnih naslovov, zanimive implikacije Kako izkoristiti prednosti oblaka, a obenem ne znižati ravni varstva OP? Transparentnost je potrebni, ni pa zadostni pogoj za zaupanje. Standardizacija, certifikacija ( privacy seal ), neodvisne zunanje revizije

5 Komu zaupati?

6 Smernice pooblaščenca IPRSv sodelovanju s Cloud Security Alliance Slovenia Chapter, Slovenski odsek ISACA, Zavod e-oblak - Eurocloud Slovenia dvigniti stopnjo ozaveščenosti o tveganjih, ponuditi kontrolni seznam za lažje ugotavljanje skladnosti z obstoječimi zahtevami ZVOP-1-> 15. junij 2012 Vsebina: koncept in glavne značilnosti računalništva v oblaku računalništvo v oblaku skozi temeljna načela varstva osebnih podatkov (pogodbena obdelava, zavarovanje, iznos) kontrolni seznam za preverjanje skladnosti praktični primeri Kontrolni seznam za naročnika in ponudnika vsebuje le specifične in minimalne zahteve smernice za izpolnitev kontrol če ni izpolnjen, se odsvetuje uporabo oblačnih storitev

7 Kontrolni seznam OBDELAVA OSEBNIH PODATKOV - splošno 1. Naročnik razpolaga s pravno podlago za obdelavo osebnih podatkov. 2. Naročnik ve, katere kategorije osebnih podatkov bo iznašal v oblak. 3. Ponudnik ustreza vsem pogojem uporabe storitve, ki jih je postavil naročnik - tipske pogodbe le če ustrezajo (naročnik je tisti, ki se odloči).

8 Kontrolni seznam POGODBENA OBDELAVA OSEBNIH PODATKOV 4. S ponudnikom smo sklenili pisno pogodbo. 5. Pogodba vključuje dogovor glede zavarovanja osebnih podatkov. 6. V pogodbi je opredeljeno, katere obdelave osebnih podatkov izvaja ponudnik in kakšna so njegova pooblastila. 7. Naročnik mora biti v vsakem trenutku seznanjen z vsemi podizvajalci ter z obdelavami, ki jih izvajajo. Prenos osebnih podatkov podizvajalcu, s katerim se naročnik ne strinja, ni dopusten. 8. Po preteku pogodbe ali na zahtevo naročnika bo ponudnik storitev računalništva v oblaku uničil vse osebne podatke, vključno z morebitnimi kopijami.

9 Kontrolni seznam ZAVAROVANJE OSEBNIH PODATKOV (zaupnost, celovitost, razpoložljivost) 9. Naročnik je samali s pomočjo zaupanja vredne tretje stranke izvedel analizo tveganja. 10. Fizična lokacija podatkov je znana vseh fazah obdelave osebnih podatkov. 11. Naročnik ima pogodbeno pravico do revizije (neodvisni zunanji revizorji) oziroma ponudnik redno izvaja zunanje neodvisne revizije celotnega informacijskega sistema. 12. Šifriranje podatkov po nezaščitenih komunikacijskih omrežjih. 13. Naročnik je obveščen o postopkih upravljanja incidentov pri ponudniku. 14. Naročnik je seznanjen s pristopom glede varnostnih vidikov večstanovalskosti(multi-tenency). 15. Varovanje večstanovalske infrastrukture.

10 Kontrolni seznam PRAVICE POSAMEZNIKA 16. Infrastruktura in postopki ponudnika omogočajo enostaven dostop do podatkov v primeru zahteve s strani posameznika. IZNOS PODATKOV V TRETJE DRŽAVE 17. Naročnik je seznanjen s podatkom, v katere (vse) tretje države se bodo iznašali osebni podatki(podzvajalci!). 18. Za iznose podatkov v tretje države ima naročnik pravno podlago (možne podlage in opozorila glede odločbe IPRS).

11 Praktični primeri 1. Malo podjetje in pisarniški programski paket v oblaku (ni podatkov o lokacijah, iznos, tipska pogodba) 2. Upravljavec iz javnega sektorja (posebej previdno pri pravni podlagi, uporaba za lastne namene) 3. Dva primera večjih podjetij (zelo pozorno glede zavarovanja) 4. Malo podjetje in uporaba rešitve za upravljanje odnosov s strankami (pogajanje glede pogojev) 5. Lokalni ponudnik računalništva v oblaku (ki najema podatkovne centre v tretjih državah)

12 Uporabne povezave Smernice Informacijskega pooblaščenca Povzetek za mala podjetja Mnenje Article 29 Working Party Mnenje IWGDPT (Sopot Memorandum) Hvala za pozornost!