zgodność z ISO 27018

Zgodność z ISO 27018 dotyczy ochrony danych osobowych przetwarzanych w chmurze publicznej.

Zgodność z ISO 27018 – czym jest ten standard

Zgodność z ISO 27018 oznacza stosowanie uporządkowanych zasad ochrony danych osobowych przetwarzanych w publicznych usługach chmurowych. Norma koncentruje się na sytuacji, w której dostawca udostępnia zasoby obliczeniowe, przestrzeń na pliki, aplikacje albo środowisko do przechowywania informacji, a użytkownik przekazuje do nich dane dotyczące osób fizycznych. Chodzi między innymi o dane klientów, pracowników, kontrahentów, użytkowników serwisu internetowego oraz osób kontaktujących się z organizacją.

ISO 27018 jest powiązana z zarządzaniem bezpieczeństwem informacji, lecz skupia uwagę na prywatności w chmurze publicznej. W praktyce pomaga uporządkować odpowiedzialność między organizacją korzystającą z usługi a podmiotem, który zapewnia infrastrukturę i obsługę techniczną. Sama zgodność nie oznacza, że każda informacja przechowywana w chmurze jest automatycznie bezpieczna. Oznacza natomiast, że przyjęto określone reguły dotyczące przetwarzania danych, kontroli dostępu, przejrzystości działań oraz reagowania na zdarzenia.

Warto odróżnić zgodność z normą od potocznego stwierdzenia, że dostawca „dba o prywatność”. Norma wymaga bardziej konkretnego podejścia: określenia celu przetwarzania, ograniczenia wykorzystywania danych, dokumentowania ról oraz zapewnienia mechanizmów pozwalających wykazać, jak dane są chronione. Znaczenie ma również sposób informowania klienta o operacjach wykonywanych na danych i o sytuacjach, które mogą wpływać na ich poufność.

Zgodność z ISO 27018 a bezpieczeństwo danych w chmurze

W kontekście technicznym należy rozpatrywać kilka warstw ochrony. Pierwszą stanowi kontrola tożsamości, czyli ustalenie, kto może uzyskać dostęp do konkretnego zbioru danych i w jakim zakresie. Drugą jest ochrona transmisji oraz przechowywania informacji, tak aby przejęcie samego nośnika albo podsłuchanie połączenia nie prowadziło łatwo do odczytania treści. Trzecią warstwą są dzienniki zdarzeń, procedury zmian i możliwość odtworzenia historii operacji.

Zgodność z ISO 27018 nie zastępuje zasad wynikających z przepisów o ochronie danych osobowych. Pomaga jednak przełożyć ogólne wymagania na praktykę współpracy z dostawcą usługi. Należy sprawdzić, czy opisano zakres przetwarzania, lokalizację danych, zasady korzystania z podwykonawców, okres przechowywania oraz sposób usuwania informacji po zakończeniu umowy. Istotne jest także ustalenie, czy dostawca wykorzystuje dane wyłącznie w uzgodnionym celu, czy może używać ich do własnych analiz, rozwoju usług albo celów reklamowych.

W porównaniu z ogólną polityką bezpieczeństwa norma dotycząca prywatności w chmurze kładzie większy nacisk na dane osobowe i relację przetwarzający–klient. W porównaniu z samą procedurą tworzenia kopii zapasowych obejmuje szerszy obszar: przejrzystość, uprawnienia, rozliczalność, obsługę żądań osób, których dane dotyczą, oraz postępowanie w przypadku naruszenia. Dlatego przy ocenie dostawcy nie wystarczy zapytać o szyfrowanie. Trzeba też przeanalizować procesy organizacyjne i zapisy umowne.

Zgodność z ISO 27018 – typowe problemy i błędne założenia

Częstym problemem jest utożsamianie certyfikatu albo deklaracji zgodności z gwarancją pełnej ochrony każdego pliku. Zakres oceny może dotyczyć określonej usługi, lokalizacji lub procesu, dlatego zawsze należy przeczytać dokument potwierdzający, czego faktycznie dotyczy. Warto zweryfikować datę wydania, zakres audytu, jednostkę oceniającą oraz ewentualne wyłączenia. Samo logo normy na stronie internetowej nie daje wystarczającej wiedzy o poziomie ochrony konkretnej usługi.

Innym błędem jest pozostawianie zbyt szerokich uprawnień użytkownikom. Nawet dobrze przygotowana usługa nie ograniczy ryzyka, jeżeli jedno konto ma dostęp do wszystkich folderów, nie jest chronione dodatkowym składnikiem uwierzytelniania, a hasło pozostaje niezmieniane przez długi czas. Problemem bywają także konta byłych pracowników, współdzielone loginy, brak przeglądu uprawnień oraz nieuwzględnianie aplikacji pomocniczych połączonych z główną usługą.

Ryzyko może wynikać również z niejasnych zasad usuwania danych. Skasowanie pliku z widocznego panelu nie zawsze oznacza natychmiastowe usunięcie wszystkich kopii technicznych, wersji historycznych i danych znajdujących się w kopiach zapasowych. Należy ustalić, jak długo informacje pozostają dostępne, kiedy są trwale usuwane i jakie dowody można otrzymać po wykonaniu takiej operacji. Znaczenie ma także procedura obsługi incydentów: kto otrzymuje powiadomienie, jakie informacje jest w nim zawarte i w jakim czasie można oczekiwać aktualizacji.

Zgodność z ISO 27018 – praktyczne wskazówki do weryfikacji

Przed wyborem lub zmianą usługi warto przygotować krótką listę kontrolną. Najpierw należy opisać, jakie dane osobowe będą przechowywane, do czego są potrzebne i które osoby powinny mieć do nich dostęp. Następnie trzeba porównać te założenia z warunkami dostawcy. Pomocne pytania dotyczą szyfrowania, uwierzytelniania wieloskładnikowego, rejestrowania dostępu, kopii zapasowych, procedur awaryjnych i zasad przywracania danych.

• Sprawdzenie aktualnego zakresu deklarowanej zgodności oraz dokumentów potwierdzających ocenę.
• Ustalenie, czy dostawca opisuje role stron i nie wykorzystuje danych poza uzgodnionym celem.
• Zweryfikowanie listy podmiotów pomocniczych oraz procedury informowania o jej zmianach.
• Określenie sposobu realizacji żądań dotyczących dostępu, poprawienia, ograniczenia lub usunięcia danych.
• Przetestowanie odzyskiwania danych i sprawdzenie, czy kopia zapasowa nie jest traktowana jako jedyne zabezpieczenie.
• Regularny przegląd kont, uprawnień, urządzeń zalogowanych do usługi i dzienników zdarzeń.

Warto również rozdzielić odpowiedzialność. Dostawca może zabezpieczać centrum danych, platformę i mechanizmy usługi, ale użytkownik nadal odpowiada za konfigurację kont, nadawanie uprawnień, wybór danych przekazywanych do chmury oraz reakcję na podejrzane logowanie. Przydatne jest prowadzenie prostego rejestru zmian i odnotowywanie przeglądów. Taka dokumentacja ułatwia wykazanie, że ochrona nie opiera się wyłącznie na jednorazowym wyborze dostawcy.

Kiedy zgłosić się w sprawie zgodności z ISO 27018

Do serwisu warto zgłosić się wtedy, gdy komputer lub laptop utrudnia bezpieczne korzystanie z usług przechowujących dane osobowe. Dotyczy to między innymi problemów z logowaniem, podejrzanych komunikatów, samoczynnych zmian ustawień, złośliwego oprogramowania, utraty dostępu do plików, niedziałających aktualizacji zabezpieczeń albo powtarzających się awarii urządzenia. W takich sytuacjach potrzebne jest uporządkowanie stanu technicznego przed dalszym korzystaniem z kont i dokumentów.

Pomoc może być także potrzebna przy przygotowaniu urządzenia do pracy z usługą chmurową: przy konfiguracji kont użytkowników, włączeniu dodatkowego uwierzytelniania, uporządkowaniu przeglądarek, usunięciu niepotrzebnych programów, sprawdzeniu ochrony systemu oraz wykonaniu kopii ważnych danych. Należy pamiętać, że naprawa sprzętu nie jest równoznaczna z audytem zgodności organizacji z ISO 27018. Może jednak ograniczyć ryzyka po stronie urządzenia, z którego następuje dostęp do danych.

Warszawskie Pogotowie Komputerowe 24/7 zajmuje się pomocą przy problemach ze sprzętem komputerowym i przygotowaniem urządzeń do bezpiecznej codziennej pracy. Przed przekazaniem urządzenia warto wskazać, czy znajdują się na nim dane osobowe, jakie konta były używane oraz czy wymagane jest zachowanie określonych plików. Nie należy przekazywać haseł w treści wiadomości ani pozostawiać aktywnej sesji bez ustalenia zakresu czynności. W przypadku podejrzenia naruszenia pierwszeństwo ma odłączenie zagrożonego urządzenia od sieci, zabezpieczenie dostępnych informacji i skonsultowanie dalszych działań z osobą odpowiedzialną za ochronę danych.