Trumpai: jei IT paslaugų teikėjas prieina prie serverių, kuriuose yra asmens duomenų, paprastai reikalinga užsakomojo duomenų tvarkymo sutartis (AVV) pagal BDAR 28 straipsnį. Ji nustato, kad paslaugų teikėjas veikia tik pagal nurodymus, saugo konfidencialumą, taiko tinkamas saugumo priemones, kitus partnerius įtraukia tik su leidimu ir apie duomenų pažeidimus praneša nepagrįstai nedelsdamas. AVV sudarykite prieš ištinkant avarijai. Šis puslapis yra bendra informacija ir nėra teisinė konsultacija.
Kai reikia greitai, sutarties dažnai trūksta
Savaitę po PHP2Shell daugelis įmonių skubiai kreipėsi išorinės pagalbos. Administratorius turėjo atnaujinti PHP, agentūra iš naujo paleisti procesus, forenzikos komanda patikrinti žurnalus. Tam išorės žmonės gavo prieigą prie serverių, kuriuose yra klientų paskyros, užsakymai ir formų duomenys. Klausimas, kokiu duomenų apsaugos pagrindu tai vyko, dažnai iškilo tik po to.
Tai suprantama, nes avarijos atveju svarbus greitis. Tačiau to galima išvengti. Su keliais pasiruošimais galima suderinti abu: greitą pagalbą ir tvarkingą pagrindą.
Kada su IT paslaugų teikėju reikalinga AVV
Užsakomasis duomenų tvarkymas yra tada, kai paslaugų teikėjas asmens duomenis tvarko užsakymu ir pagal duomenų valdytojo nurodymus. Žiniatinklio serveriuose tam dažnai pakanka jau prieigos galimybės: kas dirba serveryje su root teisėmis, gali perskaityti duomenų bazę su klientų duomenimis, net jei to neketina.
Tipinės situacijos su serverio prieiga:
- nuolatinė priežiūra ir atnaujinimai, atliekami agentūros ar sistemų namų,
- serverio eksploatavimas talpinimo teikėjo su valdomomis (managed) paslaugomis,
- avarinė pagalba, valymas ir atkūrimas po atakos,
- forenzikos tyrimas su duomenų nešiklių ir žurnalų kopijomis,
- stebėsena, kai žurnalų duomenys teka paslaugų teikėjui.
Skaičiuojami ir trumpi įsikišimai. Nuotolinė sesija su ekrano bendrinimu, kurioje technikas tik „trumpam pažiūri“, gali parodyti jam klientų duomenis. Duomenų bazės eksportas, išsiųstas el. paštu klaidų paieškai, yra perdavimas. Būtent tokios progos dažnai vyksta be pagrindo, nes nėra suvokiamos kaip projektas.
Ar konkrečiu atveju yra užsakomasis duomenų tvarkymas, ar kita konstelacija, vertina jūsų duomenų apsaugos pareigūnas. Svarbu apskritai užduoti klausimą dar prieš suteikiant prieigas.
Ko BDAR 28 straipsnis reikalauja sutartyje
BDAR 28 straipsnio 3 dalis nurodo privalomą turinį. Be dalyko, trukmės, tvarkymo pobūdžio ir tikslo, duomenų rūšių ir duomenų subjektų kategorijų duomenų tvarkytojas, be kita ko, turi įsipareigoti dėl šių punktų. Dešinysis stulpelis rodo, ką tai praktiškai reiškia serverio prieigos atveju.
| Pareiga pagal 28 str. 3 d. | Praktinė reikšmė serverio prieigos atveju |
|---|---|
| a) tvarkymas tik pagal dokumentuotus nurodymus | užsakymas raštu, pavyzdžiui, per bilietą: ką tiksliai daryti |
| b) naudojamų asmenų konfidencialumas | prieigą gauna tik įpareigoti, vardais žinomi asmenys |
| c) priemonės pagal 32 str. | asmeninės paskyros, dviejų veiksnių autentifikavimas, šifruoti ryšiai |
| d) sąlygos kitiems duomenų tvarkytojams | forenzikos ar talpinimo partneriai tik su leidimu |
| e) pagalba dėl duomenų subjektų teisių | pagalba, kai prieiga ar ištrynimas liečia serverį |
| f) pagalba pagal 32–36 str. | dalyvavimas saugume, pranešime ir poveikio vertinime |
| g) ištrynimas ar grąžinimas pabaigus | kopijos, atvaizdai ir eksportai ištrinami arba grąžinami |
| h) įrodymai ir patikrinimai | prieigų žurnalai, informacija apie priemones |
Papildomai BDAR 33 straipsnio 2 dalis reikalauja, kad duomenų tvarkytojas apie duomenų pažeidimą, apie kurį sužino, pranešimą duomenų valdytojui pateiktų nepagrįstai nedelsdamas. Paslaugų teikėjui, ką tik tiriančiam pažeistą serverį, tai nėra formalumas: jis dažnai pirmas pamato užuominų apie duomenų nutekėjimą. Terminą ir tolesnę pranešimo priežiūros institucijai eigą aiškina BDAR pranešimo pareiga: 72 valandos po incidento.
Prieigų organizavimas laikantis duomenų apsaugos
Pasirašyta AVV yra pagrindas. Ar pažadai laikomi, sprendžiama kasdienėje praktikoje. Šie žingsniai pasiteisino:
- Savos, asmeninės prieigos kiekvienam paslaugų teikėjo asmeniui, niekada bendros administratoriaus paskyros. Kaip jas apsaugoti, rašoma Dviejų veiksnių autentifikavimas administratoriaus prieigoms.
- Apriboti laiku: prieigas įsikišimui pabaigus išjungti, nuolatines paskyras reguliariai tikrinti.
- Žurnaluoti: paslaugų teikėjo paskyrų prisijungimus ir komandas fiksuoti, kad liktų atsekama, kas ką padarė.
- Dirbti taupant duomenis: analizei kopijuoti tik būtinus duomenis, kopijas laikyti šifruotas, užfiksuoti saugojimo vietą ir ištrynimo datą.
- Dokumentuoti pabaigą: prieigos panaikintos, kopijos ištrintos ar perduotos, patvirtinimas raštu.
Forenzikos tyrimas dažnai sukuria pilnus serverių atvaizdus, įskaitant visus klientų duomenis. Iš anksto nustatykite, kur tokie atvaizdai laikomi, kas prie jų prieina ir kada jie ištrinami, nepakenkiant įrodymų išsaugojimui.
AVV sudaryti prieš avariją
Geriausias laikas AVV yra rami diena. Įvardykite paslaugų teikėjus, kurie avarijos atveju turėtų veikti, t. y. talpinimo teikėją, agentūrą ir prireikus incidentų valdymo ir forenzikos komandą, ir sutartis su jais sudarykite iš anksto. Tuo pat metu užfiksuokite, kokius kitus partnerius paslaugų teikėjas gali naudoti.
Pasirašytas sutartis laikykite ten, kur yra avarinių veiksmų planas, ir kontaktų sąraše pažymėkite, su kuo yra AVV. Kitos saugumo pareigos, pavyzdžiui, atnaujinimų terminai ir įrodymai, priklauso paslaugų sutarčiai; daugiau apie tai IT paslaugų teikėjų sutartys: aiškiai nustatyti saugumo pareigas. Visais teisiniais klausimais tinkami pašnekovai yra jūsų duomenų apsaugos pareigūnas ir advokatas.
Kaip PHP SOS padeda konkrečiai?
- Prieš pirmą prieigą išsiaiškiname, kokie duomenys yra paveiktose sistemose, ir rėmus suderiname su jūsų duomenų apsaugos pareigūnu.
- Dirbame su asmeninėmis, žurnaluojamomis prieigomis ir kiekvieną įsikišimą dokumentuojame atsekamai.
- Įvardijame specializuotus partnerius, kuriuos įtrauktume, pavyzdžiui, IT forenzikai, kad iš anksto galėtumėte nuspręsti.
- Pabaigus incidentų valdymą (Incident Response) raštu patvirtiname prieigų panaikinimą ir visų kopijų ištrynimą ar perdavimą.
Išvada: duomenų apsauga ir greita pagalba vienas kito neatmeta, jei pagrindas sukurtas iš anksto. AVV su paslaugų teikėjais ištikus nelaimei priklauso kiekvienam avariniam pasirengimui. Šis puslapis yra bendra informacija ir nėra teisinė konsultacija.
Dažni klausimai
Ar kiekviena nuotolinė priežiūra yra užsakomasis duomenų tvarkymas?
Ne automatiškai. Lemia, ar paslaugų teikėjas asmens duomenis tvarko užsakymu, ar gali prie jų prieiti. Žiniatinklio serveriuose su klientų paskyromis, užsakymais ar formomis dažniausiai taip ir yra. Vertinimą konkrečiu atveju atlieka jūsų duomenų apsaugos pareigūnas.
Ar duomenų tvarkymo sutartį (AVV) galiu sudaryti ir incidento metu?
Tai įmanoma, bet spaudžiant laikui dažnai trūksta ramybės patikrai. Geriau su paslaugų teikėjais, kurie avarijos atveju turėtų veikti, AVV sudaryti iš anksto. Tada darbas gali prasidėti nedelsiant.
Ar paslaugų teikėjas privalo mane informuoti, jei pastebi duomenų pažeidimą?
Taip. Pagal BDAR 33 straipsnio 2 dalį duomenų tvarkytojas apie asmens duomenų saugumo pažeidimą pranešimą duomenų valdytojui pateikia nepagrįstai nedelsdamas, jam apie tai sužinojus. Pranešimas priežiūros institucijai lieka valdytojo reikalas.
Ar paslaugų teikėjas gali pasitelkti kitus partnerius, pavyzdžiui, forenzikai?
Pagal BDAR 28 straipsnio 2 dalį tik su išankstiniu raštišku valdytojo leidimu, kuris gali būti suteiktas atskirai arba bendrai. Esant bendram leidimui paslaugų teikėjas turi informuoti apie pakeitimus, kad galėtumėte prieštarauti.