Īsi sakot: Ja IT pakalpojumu sniedzējs piekļūst serveriem, kuros atrodas personas dati, parasti nepieciešams datu apstrādes līgums (AVV) pēc VDAR 28. panta. Tas nosaka, ka pakalpojumu sniedzējs darbojas tikai pēc norādījumiem, glabā konfidencialitāti, veic atbilstošus drošības pasākumus, citus partnerus iesaista tikai ar atļauju un par datu pārkāpumiem ziņo bez nepamatotas kavēšanās. Noslēdziet AVV, pirms iestājas ārkārtas gadījums. Šī lapa ir vispārīga informācija un nav juridiska konsultācija.
Kad jāsteidzas, līguma bieži trūkst
Nedēļā pēc PHP2Shell daudzi uzņēmumi īsā laikā piesaistīja ārēju palīdzību. Administratoram bija jāatjaunina PHP, aģentūrai jāpārstartē procesi, forensikas komandai jāpārbauda žurnāli. Tam ārējie saņēma piekļuvi serveriem, kuros atrodas klientu konti, pasūtījumi un veidlapu dati. Jautājums, uz kāda datu aizsardzības tiesiskā pamata tas notika, bieži radās tikai pēc tam.
Tas ir saprotams, jo ārkārtas gadījumā svarīgs ir temps. Tomēr tas ir novēršams. Ar dažiem sagatavošanās soļiem abus var savienot: ātru palīdzību un sakārtotu pamatu.
Kad nepieciešams AVV ar IT pakalpojumu sniedzēju
Datu apstrāde uzdevumā pastāv, kad pakalpojumu sniedzējs personas datus apstrādā pārziņa uzdevumā un pēc tā norādījumiem. Tīmekļa serveriem tam bieži pietiek jau ar piekļuves iespēju: kas serverī strādā ar root tiesībām, var nolasīt datubāzi ar klientu datiem, arī ja tas nav viņa nodoms.
Tipiskas situācijas ar servera piekļuvi ir:
- pastāvīga apkope un atjauninājumi ar aģentūras vai sistēmu nama starpniecību,
- servera darbināšana hostinga sniedzēja pārvaldītos pakalpojumos,
- ārkārtas palīdzība, sakopšana un atjaunošana pēc uzbrukuma,
- forensiska izmeklēšana ar datu nesēju un žurnālu kopijām,
- monitorings, kurā žurnālu dati plūst pie pakalpojumu sniedzēja.
Arī īsi izsaukumi skaitās. Attālā sesija ar ekrāna kopīgošanu, kurā tehniķis tikai „īsi pārskata", var viņam parādīt klientu datus. Datubāzes eksports, kas kļūdu meklēšanai tiek nosūtīts pa e-pastu, ir nodošana. Tieši šādi gadījumi bieži notiek bez pamata, jo netiek uztverti kā projekts.
Vai konkrētā gadījumā pastāv datu apstrāde uzdevumā vai cita konstelācija, novērtē jūsu datu aizsardzības speciālists. Svarīgi ir šo jautājumu vispār uzdot, pirms tiek izsniegtas piekļuves.
Ko VDAR 28. pants prasa līgumā
VDAR 28. panta 3. punkts nosauc obligāto saturu. Līdzās apstrādes priekšmetam, ilgumam, veidam un mērķim, datu veidiem un skarto personu kategorijām apstrādātājam cita starpā jāuzņemas saistības par šādiem punktiem. Labā kolonna rāda, ko tas praktiski nozīmē servera piekļuvēs.
| Pienākums pēc 28. panta 3. punkta | Praktiska nozīme servera piekļuvē |
|---|---|
| a) Apstrāde tikai pēc dokumentētiem norādījumiem | uzdevums rakstveidā, piemēram, ar biļeti: kas tieši jādara |
| b) Iesaistīto personu konfidencialitāte | piekļuvi saņem tikai saistītas, pēc vārda zināmas personas |
| c) Pasākumi pēc 32. panta | personiski konti, divu faktoru pieteikšanās, šifrēti savienojumi |
| d) Nosacījumi citiem apstrādātājiem | forensikas vai hostinga partneri tikai ar atļauju |
| e) Atbalsts datu subjektu tiesību jomā | palīdzība, ja piekļuve vai dzēšana skar serveri |
| f) Atbalsts 32. līdz 36. panta jomā | līdzdalība drošībā, ziņošanā un ietekmes novērtējumā |
| g) Dzēšana vai atdošana pēc pabeigšanas | kopijas, attēli un eksporti tiek dzēsti vai atdoti |
| h) Pierādījumi un pārbaudes | piekļuvju protokoli, informācija par pasākumiem |
Papildus VDAR 33. panta 2. punkts prasa, lai apstrādātājs datu pārkāpumu, par ko uzzina, bez nepamatotas kavēšanās ziņotu pārzinim. Pakalpojumu sniedzējam, kas tieši izmeklē kompromitētu serveri, tā nav formalitāte: viņš bieži ir pirmais, kas redz norādes uz datu aizplūšanu. Termiņu un tālāko ziņošanas gaitu uzraudzības iestādei skaidro VDAR ziņošanas pienākums: 72 stundas pēc incidenta.
Piekļuvju organizēšana atbilstoši datu aizsardzībai
Parakstīts AVV ir pamats. Vai apņemšanās tiek ievērotas, izšķiras ikdienas praksē. Šie soļi ir pierādījuši sevi:
- Savas, personiskas piekļuves katrai pakalpojumu sniedzēja personai, nekad ne kopīgi administratora konti. Kā tās nodrošināt, rakstīts sadaļā Divu faktoru pieteikšanās administratora piekļuvēm.
- Ierobežot laikā: piekļuves vienam izsaukumam pēc pabeigšanas deaktivizēt, pastāvīgos kontus regulāri pārskatīt.
- Protokolēt: pakalpojumu sniedzēja kontu pieteikšanās un komandas ierakstīt, lai paliktu izsekojams, kas ko darījis.
- Strādāt datu taupīgi: analīzēm kopēt tikai nepieciešamos datus, kopijas glabāt šifrētas, fiksēt glabāšanas vietu un dzēšanas datumu.
- Pabeigšanu dokumentēt: piekļuves atņemtas, kopijas dzēstas vai nodotas, apstiprinājums rakstveidā.
Forensiska izmeklēšana bieži rada pilnus serveru attēlus, ieskaitot visus klientu datus. Iepriekš nosakiet, kur šādi attēli atrodas, kas tiem piekļūst un kad tie tiek dzēsti, neapdraudot pierādījumu nodrošināšanu.
AVV noslēgt pirms ārkārtas gadījuma
Labākais laiks AVV ir mierīga diena. Nosauciet pakalpojumu sniedzējus, kam ārkārtas gadījumā jādarbojas, tātad hostinga sniedzēju, aģentūru un vajadzības gadījumā incidentu apstrādes un forensikas komandu, un iepriekš ar viņiem noslēdziet līgumus. Pie tam fiksējiet arī, kurus citus partnerus pakalpojumu sniedzējs drīkst izmantot.
Parakstītos līgumus glabājiet tur, kur atrodas ārkārtas rīcības plāns, un kontaktu sarakstā atzīmējiet, ar ko pastāv AVV. Pārējie drošības pienākumi, piemēram, atjauninājumu termiņi un pierādījumi, pieder pakalpojumu līgumam; vairāk par to rakstā IT pakalpojumu sniedzēju līgumi: skaidri noteikt drošības pienākumus. Visos juridiskajos jautājumos pareizie kontaktpersonas ir jūsu datu aizsardzības speciālists un jurists.
Kā PHP SOS palīdz konkrēti?
- Mēs pirms pirmās piekļuves noskaidrojam, kādi dati atrodas skartajās sistēmās, un saskaņojam ietvaru ar jūsu datu aizsardzības speciālistu.
- Mēs strādājam ar personiskām, protokolētām piekļuvēm un dokumentējam katru iejaukšanos izsekojami.
- Mēs nosaucam specializētos partnerus, ko piesaistītu, piemēram, IT forensikai, lai jūs varētu izlemt iepriekš.
- Pēc incidentu reaģēšanas pabeigšanas mēs rakstveidā apstiprinām piekļuvju atņemšanu un visu kopiju dzēšanu vai nodošanu.
Secinājums: Datu aizsardzība un ātra palīdzība viena otru neizslēdz, ja pamats ir sagatavots iepriekš. AVV ar pakalpojumu sniedzējiem smagam gadījumam pieder pie katras ārkārtas sagatavotības. Šī lapa ir vispārīga informācija un nav juridiska konsultācija.
Biežāk uzdotie jautājumi
Vai katra attālā apkope ir datu apstrāde uzdevumā?
Ne automātiski. Izšķiroši ir tas, vai pakalpojumu sniedzējs personas datus apstrādā uzdevumā vai var tiem piekļūt. Tīmekļa serveriem ar klientu kontiem, pasūtījumiem vai veidlapām tas parasti tā ir. Klasifikāciju atsevišķā gadījumā veic jūsu datu aizsardzības speciālists.
Vai AVV var noslēgt vēl incidenta laikā?
Tas ir iespējams, bet steigā bieži trūkst miera pārbaudei. Labāk AVV noslēgt iepriekš ar pakalpojumu sniedzējiem, kam ārkārtas gadījumā jāiesaistās. Tad darbs var sākties uzreiz.
Vai pakalpojumu sniedzējam man jāziņo, ja viņš pamana datu aizsardzības pārkāpumu?
Jā. Saskaņā ar VDAR 33. panta 2. punktu apstrādātājs pārzinim bez nepamatotas kavēšanās ziņo par personas datu aizsardzības pārkāpumu pēc tam, kad tas viņam kļuvis zināms. Ziņošana uzraudzības iestādei paliek pārziņa pienākums.
Vai pakalpojumu sniedzējs drīkst piesaistīt citus partnerus, piemēram, forensikai?
Saskaņā ar VDAR 28. panta 2. punktu tikai ar pārziņa iepriekšēju rakstveida atļauju, ko var dot atsevišķi vai vispārīgi. Vispārīgas atļaujas gadījumā pakalpojumu sniedzējam jāinformē par izmaiņām, lai jūs varētu iebilst.