Valutare fornitori e servizi cloud
Modulo 7: Accesso, fornitori e cloud · Tempo di lettura: 11 minuti
Obiettivo della lezione: dopo questa lezione sarà in grado di valutare un fornitore o un servizio cloud su sicurezza, privacy ed exit, di spiegare che cosa deve regolare un accordo di trattamento dati secondo il GDPR e di tenere aggiornato un inventario dei fornitori.
Concetti chiave: responsabilità condivisa, responsabile del trattamento (fornitore), accordo di trattamento dati, subfornitore, luogo di conservazione dei dati, certificazione (ad esempio ISO 27001), strategia di uscita (exit), inventario dei fornitori
La Sua sicurezza è forte quanto i Suoi fornitori
Una piccola impresa raramente possiede server propri. La posta gira presso un fornitore, la contabilità in un pacchetto online, il negozio online su una piattaforma, i computer portatili sono gestiti da un'azienda IT e le buste paga passano attraverso uno studio di consulenza. È una scelta sensata: questi soggetti spesso possono gestire la sicurezza meglio di quanto potrebbe fare Lei stesso. Ma significa anche che gran parte della Sua sicurezza è nelle mani di altri.
Provi a disegnarlo. Metta la Sua azienda al centro e tracci una linea verso ogni soggetto che conserva Suoi dati o ha accesso ai Suoi sistemi. Per ogni linea, si ponga due domande:
- Che cosa succede se quel soggetto viene meno? Un disservizio, un fallimento, un aumento di prezzo che La spinge ad andarsene.
- Che cosa succede se quel soggetto subisce una fuga di dati? Un'intrusione presso il fornitore, un dipendente che può vedere troppo, un account dell'azienda IT che viene compromesso.
Responsabilità condivisa
Nella lezione 6.1 ha già visto il modello della responsabilità condivisa: il fornitore di un servizio cloud si occupa del data center, dei server e del funzionamento del software; Lei resta responsabile dei Suoi dati, dei Suoi account e delle Sue impostazioni. Microsoft afferma letteralmente nella propria documentazione che questo vale per ogni tipo di servizio cloud, anche per il software pronto all'uso.
Che cosa significa in pratica:
| Di solito se ne occupa il fornitore | Se ne occupa sempre Lei |
|---|---|
| Sicurezza fisica del data center | Chi ha un account e con quali diritti (lezione 7.1) |
| Aggiornamenti dei server e del software | Attivare e utilizzare l'autenticazione a due fattori (2FA) |
| Disponibilità secondo gli accordi | Che cosa condivide e con chi (lezione 7.3) |
| Backup per le emergenze (se concordato) | Un backup o un'esportazione propri di ciò che Lei non può assolutamente perdere (modulo 6) |
Un errore frequente è dare per scontato che il fornitore gestisca qualcosa che non Le ha mai chiesto esplicitamente. Lo chieda, dunque.
Responsabile del trattamento e accordo di trattamento dati
Non appena un fornitore tratta dati personali per Suo conto, si applicano le regole del GDPR. Pensi ai dati dei clienti nel Suo negozio online, a e-mail con nomi e indirizzi, a dati retributivi o a uno spazio di archiviazione cloud con curriculum di candidati.
- Lei è il titolare del trattamento: è Lei a stabilire per quali finalità e in che modo i dati vengono utilizzati.
- Il fornitore è un responsabile del trattamento: tratta i dati per Suo incarico, per i Suoi scopi.
L'articolo 28 del GDPR stabilisce che può avvalersi unicamente di responsabili del trattamento che presentino garanzie sufficienti in relazione a misure tecniche e organizzative adeguate. Gli accordi vanno messi per iscritto in un accordo di trattamento dati (va bene anche in forma elettronica). Secondo l'articolo 28, paragrafo 3, tale accordo deve disciplinare almeno l'oggetto, la durata, la natura e la finalità del trattamento, le categorie di dati personali e di interessati coinvolti, e deve prevedere che il responsabile del trattamento:
- operi solo sulla base delle Sue istruzioni scritte;
- garantisca che il proprio personale rispetti la riservatezza;
- adotti le misure di sicurezza previste dall'articolo 32;
- coinvolga un subfornitore solo con il Suo consenso, soggetto agli stessi obblighi;
- La assista quando le persone esercitano i loro diritti in materia di privacy (accesso, rettifica, cancellazione);
- La assista in materia di sicurezza, violazioni di dati ed eventuale DPIA (articoli da 32 a 36);
- al termine del rapporto, cancelli o restituisca i dati e rimuova le copie, a Sua scelta;
- Le fornisca le informazioni necessarie per verificare il rispetto degli accordi, e consenta lo svolgimento di audit.
Un subfornitore è un soggetto che il Suo responsabile del trattamento a sua volta incarica, ad esempio il data center del Suo fornitore di hosting o il servizio di posta del Suo pacchetto contabile. Il GDPR stabilisce che il responsabile del trattamento resta pienamente responsabile nei Suoi confronti se un subfornitore non rispetta i propri obblighi. Chieda l'elenco dei subfornitori.
Il Garante per la protezione dei dati personali, https://www.garanteprivacy.it/ raccomanda di rendere concreti gli accordi, invece di limitarsi a ripetere il testo di legge, e di stabilire con quale rapidità e con quali informazioni il fornitore La avviserà in caso di violazione di dati. Quest'ultimo punto è importante: nella lezione 8.2 vedrà che Lei deve notificare entro 72 ore, e quel termine inizia a decorrere solo da quando Lei ne viene a conoscenza.
Molti fornitori dispongono di un accordo di trattamento dati standard. Lo legga, e verifichi se debba essere effettivamente firmato o accettato: presso alcuni fornitori non è automaticamente in vigore.
Questa lezione fornisce spiegazioni generali e non costituisce consulenza legale. Il testo completo è disponibile nel GDPR su eur-lex.europa.eu.
Domande da porre a un fornitore
Una valutazione non deve essere un rapporto di audit di quaranta pagine. Per una piccola impresa funziona bene un elenco fisso di domande. Le risposte si trovano spesso già sul sito del fornitore, in una pagina sulla sicurezza o in un elenco di domande frequenti.
| Argomento | Domanda |
|---|---|
| Ubicazione | Dove si trovano i miei dati, inclusi i backup? Vengono trasferiti verso paesi fuori dallo Spazio economico europeo? |
| Accesso | Posso imporre l'autenticazione a due fattori per tutti i miei utenti? Posso assegnare diritti specifici agli utenti? |
| Backup | Il fornitore esegue backup, con quale frequenza, per quanto tempo vengono conservati, e posso ripristinarli io stesso? |
| Crittografia | I dati sono crittografati durante la trasmissione e su disco? |
| Violazione di dati | Con quale rapidità e in che modo il fornitore mi informa in caso di incidente? |
| Subfornitori | Quali soggetti coinvolge, e come vengo informato di eventuali cambiamenti? |
| Certificazione | Esiste un certificato, ad esempio ISO 27001, e per quale ambito è valido? |
| Exit | Posso esportare tutti i miei dati in un formato utilizzabile? Che cosa succede ai miei dati dopo la disdetta? |
A proposito di certificazione: la norma ISO/IEC 27001 è uno standard internazionale che stabilisce requisiti per un sistema di gestione della sicurezza delle informazioni. ISO non rilascia essa stessa i certificati; lo fa un ente di certificazione indipendente. Un certificato dimostra che un'organizzazione gestisce la propria sicurezza in modo strutturato, ma non garantisce che non accada mai nulla. Presti particolare attenzione al campo di applicazione indicato sul certificato: vale per il servizio che Lei utilizza, o solo per un singolo ufficio o reparto?
Exit: potersi allontanare è anch'esso sicurezza
Una strategia di uscita (exit) è il Suo piano per lasciare un fornitore, in modo forzato o volontario. Sembra qualcosa da considerare più avanti, ma va pianificato già al momento della scelta: se scopre solo in caso di fallimento di non poter esportare l'anagrafica clienti, sarà troppo tardi.
Verifichi quindi in anticipo:
- se può esportare tutti i dati, e in quale formato (un formato aperto come CSV, posta standard o file comuni è preferibile a un formato proprietario);
- per quanto tempo i dati restano disponibili dopo la disdetta;
- se il Suo nome a dominio è intestato a Lei e se può modificare autonomamente i nameserver (lezione 4.3);
- se conserva Lei stesso un'esportazione recente, come parte del Suo backup (lezione 6.1).
L'inventario dei fornitori
Metta tutto per iscritto in un inventario dei fornitori: un'unica tabella che riporti, per ciascun fornitore, il servizio, quali dati vi sono conservati, se vi sono dati personali, se esiste un accordo di trattamento dati, chi è il referente interno, le risposte principali all'elenco di domande e la possibilità di exit. La riveda una volta all'anno, e ogni volta che si aggiunge un nuovo servizio.
Se uno dei Suoi clienti rientra nell'ambito del decreto NIS (lezione 9.1), https://www.acn.gov.it/portale/nis, può aspettarsi che quel cliente Le rivolga, in quanto fornitore, questo tipo di domande. Con un proprio inventario avrà già le risposte pronte.
Nella pratica: ecco come si presenta
Molti fornitori pubblicano le risposte a queste domande in una pagina dedicata alla sicurezza. Nell'ambiente di esempio WebOké, la guida di Nextcloud descrive ad esempio ciò di cui si occupa il fornitore e ciò che fa l'utente stesso: dove si trovano i dati, la crittografia durante la trasmissione e sui dischi, l'autenticazione a due fattori obbligatoria, gli aggiornamenti e i backup, e il fatto che per un uso aziendale con dati personali si stipula un accordo di trattamento dati. Questa suddivisione (che cosa gestisce il fornitore, che cosa faccio io stesso) è esattamente ciò che deve cercare presso ogni fornitore. Presso altri fornitori si trova spesso in un trust center, in una pagina sulla sicurezza o nelle condizioni generali; se non c'è, lo chieda.
Riepilogo
- Disegni i Suoi fornitori e, per ogni linea, si chieda: che cosa succede se viene meno, che cosa succede se subisce una fuga di dati?
- Responsabilità condivisa: il fornitore gestisce l'infrastruttura, Lei i Suoi dati, account e impostazioni.
- Se un fornitore tratta dati personali per Suo conto, è un responsabile del trattamento e Lei stipula un accordo di trattamento dati secondo l'articolo 28 del GDPR.
- Utilizzi un elenco fisso di domande: ubicazione, accesso, backup, crittografia, violazione di dati, subfornitori, certificazione, exit.
- Un certificato dice qualcosa, ma ne verifichi il campo di applicazione; organizzi il Suo exit prima di averne bisogno.
Quiz
Esercizio
Esercizio D7.2: il Suo inventario fornitori. Crei una tabella dei Suoi cinque fornitori e servizi cloud più importanti. Per ciascun fornitore, indichi quali dati vi sono conservati, se vi sono dati personali, se esiste un accordo di trattamento dati, e cerchi le risposte all'elenco di domande di questa lezione (ubicazione, autenticazione a due fattori, backup, violazione di dati, subfornitori, certificazione, exit). Provi, per almeno un servizio, a eseguire davvero un'esportazione.
Esercizio D7.2: Il Suo inventario fornitori
Come procedere: (1) Disegni la Sua azienda al centro con linee verso ogni soggetto che conserva Suoi dati o ha accesso ai Suoi sistemi. (2) Scelga i cinque più importanti e crei una tabella con: servizio, quali dati, dati personali (sì/no), accordo sul trattamento dei dati (sì/no/non necessario), referente interno, e le risposte al questionario della lezione 7.2: ubicazione dei dati e dei backup, possibilità di imporre l'autenticazione a due fattori (2FA), backup e ripristino autonomo, cifratura, tempi di notifica in caso di data breach, subfornitori, certificazioni con relativo ambito di applicazione, esportazione dei dati e cosa succede dopo la disdetta. (3) Cerchi prima le risposte nella documentazione, nella pagina sulla sicurezza o nelle condizioni del fornitore. Annoti la fonte. Se non trova la risposta, la chieda al fornitore e la annoti. (4) Verifichi per ogni fornitore che tratta dati personali per Lei se esiste un accordo sul trattamento dei dati, e se deve essere accettato o firmato. (5) Effettui davvero un'esportazione dei dati presso almeno un servizio e verifichi di poterla aprire. (6) Scriva per il servizio più importante, in tre frasi, il Suo piano di uscita: dove andrebbe, come recupererebbe i dati, quanto tempo Le servirebbe.
Le Sue spunte e note restano solo in questo browser; non le inviamo da nessuna parte. Se ha effettuato l'accesso, conserviamo in I miei corsi solo il fatto che ha svolto l'esercizio.
Per saperne di più
I passaggi descritti negli articoli di WebOké valgono per l'ambiente di WebOké; presso altri fornitori il funzionamento può essere simile o diverso.
- Guida a Nextcloud 3.1: In che modo WebOké protegge il Suo Nextcloud?
- Guida a Nextcloud 15.13: Domande frequenti su sicurezza e privacy
- GDPR (Regolamento (UE) 2016/679), articolo 28: https://eur-lex.europa.eu/eli/reg/2016/679/oj
- Microsoft, Shared responsibility in the cloud (in inglese): https://learn.microsoft.com/en-us/azure/security/fundamentals/shared-responsibility