Modulo 7 · 7.2
Valutare fornitori e servizi cloud
Modulo 7: Accesso, fornitori e cloud · Tempo di lettura: 11 minuti
Obiettivo di apprendimento: Dopo questa lezione sarà in grado di valutare un fornitore o un servizio cloud su sicurezza, privacy ed exit, di spiegare cosa deve disciplinare un accordo di trattamento dati secondo il GDPR, e di tenere aggiornato un inventario dei fornitori.
Concetti chiave: responsabilità condivisa, responsabile del trattamento (terzo), accordo di trattamento dati (DPA), subresponsabile del trattamento, ubicazione dei dati, certificazione (ad esempio ISO 27001), strategia di uscita (exit), inventario dei fornitori
La Sua sicurezza è forte quanto i Suoi fornitori
Una piccola impresa raramente possiede server propri. La posta funziona presso un fornitore, la contabilità gira su un pacchetto online, il negozio online è su una piattaforma, i computer portatili vengono gestiti da un'azienda IT e le buste paga passano tramite uno studio di consulenza del lavoro. È una scelta sensata: questi soggetti spesso possono gestire la sicurezza meglio di quanto potrebbe fare Lei stesso. Ma significa anche che una grande parte della Sua sicurezza è nelle mani di altri.
Provi a disegnarlo. Metta la Sua azienda al centro e tracci una linea verso ogni soggetto che conserva i Suoi dati o ha accesso ai Suoi sistemi. Per ogni linea, si ponga due domande:
- Cosa succede se quel soggetto viene meno? Un guasto, un fallimento, un aumento di prezzo che La spinge ad andarsene.
- Cosa succede se quel soggetto subisce una fuga di dati? Un'intrusione presso il fornitore, un dipendente che può vedere troppo, un account dell'azienda IT che viene compromesso.
Responsabilità condivisa
Nella lezione 6.1 ha già visto il modello della responsabilità condivisa: il fornitore di un servizio cloud si occupa del data center, dei server e del funzionamento del software; Lei resta responsabile dei Suoi dati, dei Suoi account e delle Sue impostazioni. Microsoft afferma letteralmente, nella propria documentazione, che questo vale per ogni tipo di servizio cloud, anche per il software pronto all'uso.
Cosa significa questo in pratica:
| Il fornitore di solito gestisce | Lei gestisce sempre personalmente |
|---|---|
| La sicurezza fisica del data center | Chi ha un account e con quali permessi (lezione 7.1) |
| Gli aggiornamenti dei server e del software | Attivare e usare l'autenticazione a due fattori (2FA) |
| La disponibilità secondo gli accordi | Cosa condivide e con chi (lezione 7.3) |
| I backup per le emergenze (se concordato) | Un backup o un'esportazione proprii di ciò che non può proprio permettersi di perdere (modulo 6) |
Un errore comune è dare per scontato che il fornitore gestisca qualcosa che non ha mai verificato. Quindi, lo chieda.
Responsabile del trattamento (terzo) e accordo di trattamento dati
Non appena un fornitore tratta dati personali per Suo conto, si applicano le regole del GDPR. Pensi ai dati dei clienti nel Suo negozio online, a e-mail con nomi e indirizzi, ai dati sulle buste paga o a uno spazio di archiviazione cloud con i curriculum dei candidati.
- Lei è il titolare del trattamento: Lei stabilisce per quale scopo e in che modo i dati vengono utilizzati.
- Il fornitore è un responsabile del trattamento: tratta i dati per Suo incarico, per i Suoi scopi.
L'articolo 28 del GDPR stabilisce che può avvalersi solo di responsabili del trattamento che presentino garanzie sufficienti in termini di misure tecniche e organizzative adeguate. Gli accordi si fissano in un accordo di trattamento dati (DPA), per iscritto (è ammessa la forma elettronica). Secondo l'articolo 28, paragrafo 3, tale accordo disciplina in ogni caso l'oggetto, la durata, la natura e la finalità del trattamento, quali tipi di dati personali e interessati riguardi, e stabilisce che il responsabile del trattamento:
- opera soltanto su Sue istruzioni scritte;
- garantisce che il proprio personale rispetti la riservatezza;
- adotta le misure di sicurezza previste dall'articolo 32;
- ricorre a un subresponsabile del trattamento solo con la Sua autorizzazione, soggetto agli stessi obblighi;
- La assiste quando le persone esercitano i loro diritti in materia di privacy (accesso, rettifica, cancellazione);
- La assiste in materia di sicurezza, violazioni di dati ed eventuale DPIA (articoli da 32 a 36);
- al termine del rapporto, cancella o restituisce i dati ed elimina le copie, a Sua scelta;
- Le fornisce le informazioni per verificare che rispetti gli accordi, e rende possibili gli audit.
Un subresponsabile del trattamento è un soggetto a cui il Suo responsabile del trattamento si rivolge a sua volta, ad esempio il data center del Suo fornitore di hosting o il servizio di posta del Suo pacchetto contabile. Il GDPR stabilisce che il responsabile del trattamento resta pienamente responsabile nei Suoi confronti se un subresponsabile non adempie ai propri obblighi. Chieda l'elenco dei subresponsabili.
Il Garante per la protezione dei dati personali consiglia di rendere concreti gli accordi, anziché limitarsi a ripetere il testo di legge, e di stabilire con quale rapidità e con quali informazioni il fornitore La avviserà in caso di violazione di dati. Quest'ultimo punto è importante: nella lezione 8.2 vedrà che Lei deve notificare entro 72 ore, e quel termine inizia a decorrere solo da quando Lei ne viene a conoscenza.
Molti fornitori dispongono di un accordo di trattamento dati standard. Lo legga, e verifichi se debba essere effettivamente firmato o accettato: presso alcuni fornitori non è automaticamente in vigore.
Questa lezione fornisce una spiegazione generale e non costituisce consulenza legale. Il testo completo si trova nel GDPR su eur-lex.europa.eu.
Domande da porre a un fornitore
Una valutazione non deve necessariamente essere un rapporto di audit di quaranta pagine. Per una piccola impresa funziona bene un questionario fisso. Le risposte spesso si trovano già sul sito del fornitore, in una pagina sulla sicurezza o in un elenco di domande frequenti.
| Argomento | Domanda |
|---|---|
| Ubicazione | Dove si trovano i miei dati, inclusi i backup? Vengono trasferiti verso paesi al di fuori dello Spazio economico europeo? |
| Accesso | Posso imporre l'autenticazione a due fattori per tutti i miei utenti? Posso assegnare permessi personalizzati agli utenti? |
| Backup | Il fornitore esegue backup, con quale frequenza, per quanto tempo vengono conservati, e posso ripristinarli io stesso? |
| Cifratura | I dati sono cifrati durante il trasferimento e su disco? |
| Violazione di dati | Con quale rapidità e in che modo il fornitore mi informa in caso di incidente? |
| Subresponsabili | Quali soggetti coinvolge, e come vengo informato di eventuali modifiche? |
| Certificazione | Esiste un certificato, ad esempio ISO 27001, e per cosa vale? |
| Exit | Posso esportare tutti i miei dati in un formato utilizzabile? Cosa succede ai miei dati dopo la disdetta? |
Riguardo alla certificazione: ISO/IEC 27001 è una norma internazionale con requisiti per un sistema di gestione della sicurezza delle informazioni. ISO non rilascia certificazioni direttamente; lo fa un ente di certificazione indipendente. Un certificato dimostra che un'organizzazione gestisce la propria sicurezza in modo pianificato, ma non garantisce che non accada mai nulla. Osservi soprattutto il campo di applicazione riportato sul certificato: vale per il servizio che Lei utilizza, o solo per un singolo ufficio o reparto?
Exit: potersene andare è anch'esso sicurezza
Una strategia di uscita (exit) è il Suo piano per lasciare un fornitore, in modo forzato o volontario. Può sembrare qualcosa da pensare più avanti, ma va stabilita al momento della scelta: se scopre solo in caso di fallimento che non può esportare il Suo archivio clienti, è troppo tardi.
Verifichi quindi in anticipo:
- se può esportare tutti i dati, e in quale formato (un formato aperto come CSV, posta standard o file comuni è meglio di un formato proprietario);
- per quanto tempo i Suoi dati restano disponibili dopo la disdetta;
- se il Suo nome di dominio è intestato a Lei e può modificare personalmente i nameserver (lezione 4.3);
- se conserva Lei stesso un'esportazione recente, come parte del Suo backup (lezione 6.1).
L'inventario dei fornitori
Registri tutto in un inventario dei fornitori: un'unica tabella con, per ogni fornitore, il servizio, quali dati vi sono conservati, se vi sono dati personali, se esiste un accordo di trattamento dati, chi è il referente interno, le risposte principali del questionario e la possibilità di exit. La riveda una volta all'anno, e ogni volta che si aggiunge un nuovo servizio.
Se uno dei Suoi clienti rientra nel decreto NIS (lezione 9.1), può aspettarsi che quel cliente, in quanto Suo fornitore, Le ponga questo tipo di domande. Con un inventario proprio ha già le risposte pronte.
Nella pratica: ecco come si presenta
Molti fornitori pubblicano le risposte a queste domande in una pagina sulla sicurezza. Nell'ambiente di esempio WebOké, la guida di Nextcloud descrive ad esempio cosa gestisce il fornitore e cosa fa l'utente stesso: dove si trovano i dati, la cifratura durante il trasferimento e sui dischi, l'autenticazione a due fattori obbligatoria, gli aggiornamenti e i backup, e che per un uso aziendale con dati personali si stipula un accordo di trattamento dati. Questa suddivisione (cosa gestisce il fornitore, cosa faccio io) è esattamente ciò che deve cercare presso ogni fornitore. Presso altri fornitori spesso si trova in un trust center, in una pagina sulla sicurezza o nei termini e condizioni; se non è presente, lo chieda.
Riepilogo
- Disegni i Suoi fornitori e, per ogni linea, si chieda: cosa succede se vengono meno, cosa succede se subiscono una fuga di dati?
- Responsabilità condivisa: il fornitore gestisce l'infrastruttura, Lei gestisce i Suoi dati, account e impostazioni.
- Se un fornitore tratta dati personali per Suo conto, è un responsabile del trattamento e stipula un accordo di trattamento dati secondo l'articolo 28 del GDPR.
- Usi un questionario fisso: ubicazione, accesso, backup, cifratura, violazione di dati, subresponsabili, certificazione, exit.
- Un certificato dice qualcosa, ma verifichi il campo di applicazione; organizzi l'exit prima di averne bisogno.
Quiz
Esercizio
Esercizio D7.2: Il Suo inventario fornitori. Crei una tabella dei Suoi cinque fornitori e servizi cloud più importanti. Per ogni fornitore indichi quali dati vi sono conservati, se vi sono dati personali, se esiste un accordo di trattamento dati, e cerchi le risposte al questionario di questa lezione (ubicazione, autenticazione a due fattori, backup, violazione di dati, subresponsabili, certificazione, exit). Provi, per almeno un servizio, a effettuare davvero un'esportazione.
Esercizio D7.2: Il Suo inventario fornitori
Come procedere: (1) Disegni la Sua azienda al centro con linee verso ogni soggetto che conserva Suoi dati o ha accesso ai Suoi sistemi. (2) Scelga i cinque più importanti e crei una tabella con: servizio, quali dati, dati personali (sì/no), accordo sul trattamento dei dati (sì/no/non necessario), referente interno, e le risposte al questionario della lezione 7.2: ubicazione dei dati e dei backup, possibilità di imporre l'autenticazione a due fattori (2FA), backup e ripristino autonomo, cifratura, tempi di notifica in caso di data breach, subfornitori, certificazioni con relativo ambito di applicazione, esportazione dei dati e cosa succede dopo la disdetta. (3) Cerchi prima le risposte nella documentazione, nella pagina sulla sicurezza o nelle condizioni del fornitore. Annoti la fonte. Se non trova la risposta, la chieda al fornitore e la annoti. (4) Verifichi per ogni fornitore che tratta dati personali per Lei se esiste un accordo sul trattamento dei dati, e se deve essere accettato o firmato. (5) Effettui davvero un'esportazione dei dati presso almeno un servizio e verifichi di poterla aprire. (6) Scriva per il servizio più importante, in tre frasi, il Suo piano di uscita: dove andrebbe, come recupererebbe i dati, quanto tempo Le servirebbe.
Le Sue spunte e note restano solo in questo browser; non le inviamo da nessuna parte. Se ha effettuato l'accesso, conserviamo in I miei corsi solo il fatto che ha svolto l'esercizio.
Per saperne di più
I passaggi descritti negli articoli di WebOké valgono per l'ambiente di WebOké; presso altri fornitori il funzionamento può essere simile o diverso.
- Guida a Nextcloud 3.1: In che modo WebOké protegge il Suo Nextcloud?
- Guida a Nextcloud 15.13: Domande frequenti su sicurezza e privacy
- GDPR (Regolamento (UE) 2016/679), articolo 28: https://eur-lex.europa.eu/eli/reg/2016/679/oj
- Microsoft, Shared responsibility in the cloud (in inglese): https://learn.microsoft.com/en-us/azure/security/fundamentals/shared-responsibility