Strona głównaUsługiAudyty chmur obliczeniowych
Audyt chmury według Cloud Controls Matrix i wymagań DORA
Badamy przetwarzanie w chmurze publicznej i hybrydowej pod kątem rozporządzenia DORA oraz obowiązków z RODO. Ramą oceny jest Cloud Controls Matrix, uzupełniona o ISO 27001, CIS Controls i NIST CSF.
Na czym polega problem
Odpowiedzialność zostaje po Państwa stronie, nawet gdy dane są u dostawcy
Przeniesienie systemu do chmury nie przenosi obowiązków administratora. Podmioty finansowe rozliczane są dziś z rozporządzenia DORA, które od 17 stycznia 2025 r. reguluje korzystanie z zewnętrznych dostawców usług teleinformatycznych: wymaga rejestru zawartych umów, oceny ryzyka koncentracji, określonych postanowień w samych umowach oraz strategii wyjścia.
Tego samego dnia Urząd Komisji Nadzoru Finansowego odwołał komunikat chmurowy ze stycznia 2020 r. i uchylił rekomendację D wraz z jej odpowiednikami dla pozostałych segmentów rynku – ich zakres pokrył się z rozporządzeniem. Kto przygotowywał się według komunikatu, ma dobrą podstawę, ale nie komplet: DORA idzie dalej w kwestii rejestru umów, testowania odporności i nadzoru nad dostawcami uznanymi za kluczowych.
Osobno stoi wymóg z art. 28 RODO. Dostawca chmury jest podmiotem przetwarzającym, więc trzeba wykazać, że jego gwarancje zweryfikowano. Deklaracja zgodności na stronie producenta tego nie zastępuje.
Podział odpowiedzialności
Kto za co odpowiada, gdy dane leżą u dostawcy
Model współdzielonej odpowiedzialności bywa rozumiany opacznie: skoro płacimy dostawcy, to dostawca odpowiada. Poniżej rzeczywisty podział. Widać z niego, że pole po Państwa stronie jest większe i to właśnie w nim znajdujemy podczas audytów niemal wszystkie uchybienia.
Podział bywa przesunięty w zależności od modelu usługi. Przy infrastrukturze jako usłudze po stronie klienta zostaje także system operacyjny, przy oprogramowaniu jako usłudze przechodzi on do dostawcy. Ustalenie, gdzie w konkretnym przypadku przebiega granica, jest pierwszym krokiem audytu.
Ramy odniesienia
Z czego się Państwo rozliczają, a według czego badamy
Rozdzielamy dwie rzeczy, które łatwo pomylić. Przepisy wyznaczają obowiązek i to z nich rozlicza organ. Katalogi kontrolne są narzędziem badania: pozwalają sprawdzić stan punkt po punkcie i pokazać, czego brakuje. Audyt prowadzimy według katalogu, ale wnioski formułujemy wobec przepisu.
Cloud Controls Matrix
Podstawowy katalog badania. Macierz Cloud Security Alliance, siedemnaście domen kontrolnych: od zarządzania tożsamością po przenoszalność danych. Według niej idzie audyt punkt po punkcie.
Rozporządzenie DORA
Źródło obowiązku dla podmiotów finansowych. Rejestr umów z dostawcami, obowiązkowe postanowienia umowne, ocena ryzyka koncentracji i strategia wyjścia. Do tego reżim zgłaszania incydentów oraz testowania odporności.
ISO/IEC 27001
Uzupełnienie organizacyjne. Sprawdzamy, czy korzystanie z chmury jest osadzone w systemie zarządzania, a nie prowadzone obok niego. Audyt prowadzi certyfikowany audytor wiodący.
CIS Controls
Uzupełnienie techniczne. Priorytetyzowany zestaw zabezpieczeń, po który sięgamy przy ocenie samej konfiguracji środowiska – tam, gdzie katalog chmurowy zostawia swobodę.
NIST Cybersecurity Framework
Uzupełnienie dla oceny dojrzałości. Pięć funkcji – identyfikacja, ochrona, wykrywanie, reagowanie, odtwarzanie – przydatnych, gdy chcą Państwo zobaczyć nie tylko braki, ale i to, na jakim etapie jest organizacja.
Artykuł 28 RODO
Źródło obowiązku niezależne od branży. Weryfikacja gwarancji dostawcy, umowa powierzenia, podpowierzenia i przekazania poza Europejski Obszar Gospodarczy. Obowiązuje także tych, którzy pod DORA nie podlegają.
Zakres podmiotowy
Czy rozporządzenie w ogóle Państwa dotyczy
DORA wymienia adresatów w sposób zamknięty. Obejmuje między innymi instytucje kredytowe, firmy inwestycyjne, zakłady ubezpieczeń i reasekuracji, towarzystwa funduszy inwestycyjnych, dostawców usług płatniczych oraz instytucje pieniądza elektronicznego. Mikroprzedsiębiorstwa finansowe mają część obowiązków złagodzoną, ale nie są spod rozporządzenia wyłączone.
Organizacje spoza tej listy rozliczane są z czego innego. Podmioty kluczowe i ważne w rozumieniu ustawy o krajowym systemie cyberbezpieczeństwa odpowiadają za bezpieczeństwo łańcucha dostaw na jej gruncie. Wszystkich pozostałych, którzy powierzają dane dostawcy chmury, wiąże art. 28 RODO – niezależnie od branży i wielkości.
Ustalenie, w której z tych grup znajduje się organizacja, jest pierwszą rzeczą, jaką robimy. Bywa, że w dwóch naraz, i wtedy obowiązki się sumują, a nie zastępują.
Uczciwie o granicach
Czego ten audyt nie obejmuje
Nie prowadzimy testów penetracyjnych środowiska ani testów odporności cyfrowej opartych na scenariuszach zagrożeń, których DORA wymaga od największych podmiotów. To osobna usługa, wykonywana przez zespoły techniczne z odrębnymi uprawnieniami; wskazujemy, kiedy jest wymagana, i pomagamy przygotować zakres.
Nie zastępujemy dostawcy w obowiązkach, które rozporządzenie nakłada na niego, a nie na Państwa. Nie wydajemy certyfikatów zgodności – audyt kończy się raportem i planem działań, nie dokumentem poświadczającym. Nie oceniamy też opłacalności samego wyboru dostawcy; badamy ryzyko i zgodność, nie umowę handlową.
Zakres ustalamy pisemnie przed rozpoczęciem prac, żeby nikt nie liczył na coś, czego nie zamówił.
Co Państwo otrzymują
Raport, z którym da się iść do zarządu i do organu
Ocena zgodności w podziale na domeny kontrolne, z jasnym wskazaniem, co jest spełnione, co częściowo, a czego brakuje. Braki uszeregowane według ryzyka, nie według numeracji standardu.
Do tego plan działań naprawczych z terminami oraz gotowa dokumentacja: analiza ryzyka dla przetwarzania w chmurze, ocena dostawcy i plan wyjścia. Ostatni element bywa pomijany, a jest jednym z twardych oczekiwań nadzoru.
Z bloga na ten temat
Pisaliśmy o tym szerzej
-
Standardowe klauzule umowne jako forma legalizacji transferu danych osobowych do Stanów Zjednoczonych po wyroku TSUE C-311/18 uchylającym „Tarczę Prywatności”.
Dnia 16 lipca 2020 roku w głośnym wyroku w sprawie „Schrems II” o sygn. C-311/18 Trybunał Sprawiedliwości Unii Europejskiej uchylił decyzję wykonawczą…
-
Praktyczne aspekty stosowania nowych standardowych klauzul umownych (SKU)
Standardowe klauzule umowne (SKU) zgodnie z art. 46 RODO stanowią jeden z mechanizmów umożliwiających transfer danych osobowych do państw znajdujących się poza…
-
RODO: Facebook ostatecznie ukarany rekordową karą w wysokości 1,2 miliarda euro
W wyniku decyzji Europejskiej Rady Ochrony Danych z 13 kwietnia 2023 r., spółka Meta Platforms Ireland Limited (Meta IE) została ukarana najwyższą…
Od czego zależy wycena
Od liczby usług chmurowych objętych badaniem i tego, czy potrzebna jest weryfikacja umów z dostawcami. Pojedyncze środowisko wyceniamy ryczałtem, złożone po przeglądzie architektury.
Pytania i odpowiedzi
Chmura i ochrona danych: cztery pytania
Czy dane osobowe wolno przetwarzać w chmurze?
Tak. RODO nie zakazuje żadnej technologii, wymaga natomiast doboru środków odpowiednich do ryzyka i zawarcia umowy powierzenia z dostawcą. Sama chmura nie jest ani bezpieczniejsza, ani groźniejsza niż serwerownia w piwnicy; różnica leży w tym, kto za co odpowiada i czy zostało to spisane.
Co z przekazywaniem danych do Stanów Zjednoczonych?
Od lipca 2023 działa decyzja o odpowiednim stopniu ochrony w ramach Data Privacy Framework. Dostawca musi być na liście uczestników i musi to być stan aktualny, a nie sprzed dwóch lat. Sprawdzenie tego zajmuje minutę i regularnie okazuje się, że kontrahent na liście nie figuruje.
Czy wystarczy podpisać regulamin dostawcy?
Zwykle nie. Standardowe warunki dużych dostawców bywają zgodne z art. 28 RODO, ale trzeba to sprawdzić, a nie założyć. Częściej problemem jest brak decyzji po stronie klienta: nikt nie ustalił, w którym regionie mają leżeć dane, kto ma dostęp administracyjny i co się dzieje z kopiami po rozwiązaniu umowy.
Czym w audycie pomaga Cloud Controls Matrix?
Daje wspólny język i gotowy zestaw obszarów kontrolnych, dzięki czemu ocena nie zależy od tego, o czym akurat pomyśli audytor. Macierz odwzorowuje też zabezpieczenia na wymagania innych standardów, więc jedno badanie odpowiada na pytania z kilku porządków naraz.
Korzystają Państwo z chmury i podlegają rozporządzeniu DORA?
Zaczynamy od ustalenia, które systemy wchodzą w zakres.
