Jak sprawdzić, czy narzędzie jest bezpieczne, zanim je kupimy?

Dlaczego to się liczy zanim podpiszesz

Kiedy wdrażasz narzędzie, oddajesz stronie trzeciej część swoich danych i ufasz, że je ochroni. Jeśli ten dostawca zostanie zaatakowany, albo po cichu wykorzysta wasze dane w sposób, którego nie oczekiwaliście, konsekwencje spadają na was: informacje waszych klientów, wasza ekspozycja regulacyjna, wasza reputacja. Krótkie sprawdzenie przed podpisaniem jest dużo tańsze niż odkrycie problemu, kiedy narzędzie jest już wplecione w codzienną pracę i trudne do usunięcia.

Poniższe sprawdzenia nie służą wyłapaniu nieuczciwego dostawcy. Większość dostawców jest uczciwa i kompetentna. Chodzi o to, żeby to potwierdzić, oddzielić dostawców, którzy odrobili lekcje, od tych, którzy improwizują, i upewnić się, że poziom staranności pasuje do tego, co powierzacie narzędziu.

Sprawdzenie pierwsze: czy ma rozpoznawalną certyfikację bezpieczeństwa

Certyfikacja bezpieczeństwa to raport albo certyfikat pokazujący, że niezależna strona trzecia zbadała, jak dostawca chroni dane, i potwierdziła, że spełnia znany standard. To pojedynczy najbardziej użyteczny sygnał, jakiego może szukać nietechniczny kupujący, bo ktoś wykwalifikowany już wykonał dogłębną inspekcję, której wy nie możecie zrobić sami.

Dwie nazwy pokrywają większość rynku.

SOC 2 to raport przygotowany przez niezależnego audytora, powszechny wśród dostawców amerykańskich i skierowanych na rynek amerykański. Występuje w dwóch formach. Raport Type I opisuje kontrole bezpieczeństwa dostawcy w jednym momencie w czasie. Raport Type II idzie dalej i sprawdza, czy te kontrole faktycznie działały przez okres, zwykle od sześciu miesięcy do roku. Type II to mocniejszy sygnał, bo pokazuje, że praktyki są przeżywane, a nie tylko spisane. Raport SOC 2 zwykle udostępnia się dopiero po podpisaniu umowy o poufności, więc spodziewajcie się, że trzeba o niego poprosić, a nie znaleźć go na stronie internetowej.

ISO/IEC 27001 to międzynarodowo uznana certyfikacja, częstsza wśród dostawców europejskich i globalnych. Akredytowana jednostka sprawdza, czy dostawca prowadzi właściwy, ciągły system zarządzania bezpieczeństwem informacji, i wydaje certyfikat zaliczenia albo niezaliczenia. W przeciwieństwie do raportu SOC 2, sam certyfikat jest publiczny, więc dostawca zwykle może go wam pokazać bezpośrednio.

To, co te certyfikacje dają, to rozsądna pewność, że dostawca traktuje bezpieczeństwo poważnie i poddaje się zewnętrznej kontroli. To, czego nie dają, to gwarancja doskonałości. Dwaj dostawcy mogą mieć ważny certyfikat przy zupełnie różnym realnym poziomie bezpieczeństwa, zależnie od tego, co certyfikat faktycznie obejmuje. Więc użyteczne pytania to nie tylko czy go mają, ale który dokładnie, kiedy był ostatnio odnawiany, i czy produkt, który kupujecie, mieści się w jego zakresie.

Dla firmy mid-market aktualna certyfikacja dostawcy obsługującego cokolwiek wrażliwego jest bliska oczekiwaniu bazowemu. Brak certyfikacji nie jest automatycznym „nie", zwłaszcza przy małym albo wczesnym dostawcy, ale podnosi poprzeczkę na wszystko inne, co musi wam pokazać.

Sprawdzenie drugie: czy podpisze umowę powierzenia danych

Jeśli narzędzie będzie trzymać dane osobowe, czyli informacje o możliwych do zidentyfikowania osobach, takich jak wasi pracownicy, klienci albo potencjalni klienci, to zgodnie z unijnym Ogólnym Rozporządzeniem o Ochronie Danych jesteście zobowiązani mieć pisemną umowę z tym dostawcą regulującą sposób, w jaki je obsługuje. Tą umową jest umowa powierzenia danych, w skrócie DPA.

To nie jest opcjonalne i to nie jest papierologia dla samej papierologii. Zgodnie z RODO firma, która decyduje, dlaczego i jak dane osobowe są przetwarzane (czyli wy, administrator), musi mieć pisemną umowę z każdym dostawcą przetwarzającym te dane w jej imieniu (podmiot przetwarzający). Europejskie organy ochrony danych jasno wskazały, że brak umowy sam w sobie stanowi naruszenie. Dobra umowa robi więcej niż powtarza przepisy. Ustala konkretnie, że dostawca będzie używać waszych danych wyłącznie zgodnie z waszymi instrukcjami, zachowa poufność, ochroni je, poinformuje was, zanim wprowadzi własnych podwykonawców, i pomoże wam odpowiedzieć, jeśli regulator albo osoba fizyczna zada pytania.

Dla was jako kupującego test jest prosty. Zapytajcie, czy mają standardową umowę powierzenia i czy ją podpiszą. Poważny dostawca będzie ją miał gotową i nie wzdrygnie się na tę prośbę. Dostawca, który nie wie, o co pytacie, albo się opiera, mówi wam coś użytecznego o tym, jak obchodzi się z danymi.

Sprawdzenie trzecie: gdzie żyją nasze dane i czy trenują AI

Pod tym kryją się dwa powiązane pytania, oba rozsądne do zadania na piśmie.

Gdzie przechowywane są dane. Dostawcy prowadzą swoje systemy w centrach danych w konkretnych krajach albo regionach. Jeśli wasze dane obejmują informacje osobowe, a dostawca przechowuje je albo ma do nich dostęp poza Europejskim Obszarem Gospodarczym, RODO wymaga uznanej podstawy prawnej dla takiego transferu. Powszechne mechanizmy to decyzja o adekwatności (Komisja Europejska uznała, że dany kraj oferuje porównywalną ochronę), Standardowe Klauzule Umowne (wcześniej zatwierdzone warunki umowne wiążące zagranicznego dostawcę europejskim poziomem ochrony) albo, dla transferów do samocertyfikowanych firm amerykańskich, EU-US Data Privacy Framework. Nie musicie opanować tych mechanizmów. Musicie zapytać, gdzie żyją dane, i jeśli opuszczają Europę, który mechanizm to pokrywa. Sprawny dostawca odpowie bez wahania.

Czy nasze dane są używane do trenowania ich AI. To pytanie stało się istotne, odkąd funkcje AI rozprzestrzeniły się w zwykłym oprogramowaniu. Kiedy wpisujesz coś do narzędzia, ta treść w niektórych przypadkach może zostać użyta do ulepszenia modeli dostawcy, co oznacza, że wasze informacje mogłyby wpłynąć na wyniki pokazywane innym klientom. Dla większości kupujących biznesowych pożądana odpowiedź brzmi, że wasze dane nie są używane do trenowania wspólnych modeli bez waszej wyraźnej zgody, i że jest to zapisane w umowie, a nie ukryte w ustawieniach, które mogą się zmienić. Zapytajcie wprost: czy cokolwiek, co wkładamy do tego narzędzia, jest używane do trenowania waszego albo czyjegoś AI, i czy możemy to wyłączyć na piśmie. Dostawcy, którzy traktują to poważnie, będą mieć jasną, udokumentowaną odpowiedź.

Sprawdzenie czwarte: jak działa dostęp

Codzienne ryzyko związane z oprogramowaniem to przede wszystkim cichy przyrost ludzi, którzy mogą się zalogować, choć nie powinni, zwłaszcza po odejściu z firmy, a nie tylko dramatyczne naruszenie. Dwie funkcje sprawiają, że da się tym zarządzać.

Single sign-on, zwykle w skrócie SSO, pozwala waszemu personelowi logować się do narzędzia za pomocą centralnego loginu firmy zamiast osobnej nazwy użytkownika i hasła. Praktyczną korzyścią jest kontrola: kiedy wyłączacie czyjeś centralne konto, jednocześnie odcinacie mu drogę do podłączonych narzędzi. To też oszczędza waszemu zespołowi kolejnego hasła, którym trzeba źle zarządzać.

Automatyczne usuwanie konta idzie o krok dalej. Single sign-on reguluje sposób logowania, ale samo w sobie nie zawsze usuwa konto wewnątrz narzędzia. Czystsze rozwiązanie to takie, w którym usunięcie kogoś z waszego centralnego katalogu automatycznie wyłącza też jego konto w narzędziu. Techniczna nazwa standardu, który to robi, to SCIM, ale jedyne, o co musicie zapytać, to czy usunięcie osoby z waszych systemów usuwa ją automatycznie z tego narzędzia, czy ktoś musi o tym pamiętać i zrobić to ręcznie.

To ma większe znaczenie, niż się wydaje. Badania branżowe konsekwentnie pokazują, że duży odsetek organizacji nosi pozostawione albo zduplikowane konta, których nikt nie posprzątał, a zapomniane aktywne konto byłego pracownika to klasyczna droga wejścia dla atakującego. Narzędzie, które wspiera single sign-on i automatyczne usuwanie, zamienia offboarding z obowiązku, który omija się w napiętym piątkowe popołudnie, w coś, co dzieje się niezawodnie samo.

Sprawdzenie piąte: poprzeczka wystarczająca dla waszej wielkości

Łatwo przeczytać taką listę i założyć, że każdy dostawca musi odhaczyć każdy punkt. Nie musi. Właściwy poziom rygoru zależy od tego, co narzędzie trzyma i jak dużzy jesteście.

Rozsądny sposób myślenia o tym to dopasowanie głębokości sprawdzeń do wrażliwości danych i wagi narzędzia.

• Narzędzie z niewielką ilością danych osobowych albo bez nich, niska krytyczność biznesowa · Rozsądna poprzeczka: Potwierdź umowę powierzenia, jeśli jakiekolwiek dane osobowe są zaangażowane, zapytaj o podstawy, zostaw lekko
• Narzędzie z danymi osobowymi klientów albo pracowników · Rozsądna poprzeczka: Aktualna certyfikacja bezpieczeństwa, podpisana umowa powierzenia, jasne odpowiedzi o lokalizacji danych i trenowaniu AI, dostępne single sign-on
• Narzędzie kluczowe dla działania albo z wrażliwymi lub regulowanymi danymi · Rozsądna poprzeczka: Wszystko powyższe, plus automatyczne usuwanie kont, aktualny certyfikat Type II albo ISO w zakresie, i odpowiedzi zapisane w umowie

Dla typowej europejskiej firmy mid-market praktyczna poprzeczka dla każdego narzędzia dotykającego danych osobowych albo krytycznych biznesowo to: aktualna rozpoznawalna certyfikacja, podpisana umowa powierzenia, jasne odpowiedzi o tym, gdzie żyją dane i czy trenują AI, oraz single sign-on. Ta kombinacja pokrywa zdecydowaną większość ryzyka bez zamieniania każdego zakupu w projekt zakupowy. Chodzi o proporcję. Aplikacja do notatek dla małego zespołu nie zasługuje na taką samą uwagę co system trzymający dane waszych klientów.

Krótka lista kontrolna do wysłania dostawcy

Możecie wkleić te pytania do maila i dowiedzieć się większości tego, czego potrzebujecie, z odpowiedzi oraz z szybkości i jasności reakcji.

1. Czy macie aktualną certyfikację SOC 2 albo ISO 27001, i czy możecie ją udostępnić albo pokazać certyfikat. Kiedy była ostatnio odnawiana i czy obejmuje produkt, który kupujemy.
2. Czy macie umowę powierzenia danych, którą podpiszecie z nami.
3. W jakim kraju albo regionie przechowywane są nasze dane. Jeśli którekolwiek z nich opuszcza Europejski Obszar Gospodarczy, na jakim mechanizmie prawnym transferu się opieracie.
4. Czy jakiekolwiek dane, które wkładamy do narzędzia, są używane do trenowania waszych albo czyichkolwiek modeli AI. Czy możemy to wyłączyć w umowie.
5. Czy wspieracie single sign-on. Kiedy usuwamy osobę z naszych systemów, czy jej konto tutaj jest usuwane automatycznie, czy ktoś musi to zrobić ręcznie.
6. Gdzie możemy przeczytać waszą dokumentację bezpieczeństwa i prywatności, i z kim się kontaktować, jeśli mamy pytanie dotyczące bezpieczeństwa.

Jak wygląda dobra odpowiedź

Sprawny dostawca odpowiada na te pytania szybko i konkretnie. Nazywa certyfikację, którą posiada, i oferuje, że ją udostępni. Ma gotową umowę powierzenia i podpisuje ją bez tarcia. Mówi wam dokładnie, gdzie przechowywane są dane, i jeśli to istotne, jaki mechanizm transferu ma zastosowanie. Wprost stwierdza, czy wasze dane trenują AI, i pozwala wam pisemnie z tego zrezygnować. Wspiera single sign-on, najlepiej też automatyczne usuwanie kont, i potrafi wskazać wam dokumentację zamiast improwizować.

Sygnały ostrzegawcze są lustrzanym odbiciem: niejasność tam, gdzie oczekujecie konkretów, niechęć do zapisania odpowiedzi w umowie, brak certyfikacji i żadnego jasnego planu, żeby ją zdobyć, albo przedstawiciel, który nie rozumie pytań. Żaden z tych sygnałów sam w sobie automatycznie nie dyskwalifikuje dostawcy, ale razem mówią wam, ile staranności ten dostawca wkłada w dane, które mu za chwilę przekazujecie.

Przeprowadźcie te pięć sprawdzeń, a wykonacie rozsądne due diligence, jakiego oczekuje się od lidera, w jedno popołudnie zamiast w miesiąc, bez potrzeby technicznego wykształcenia.

Źródła

• Art. 28 RODO, Podmiot przetwarzający (wymogi umowy powierzenia danych) · https://gdpr-info.eu/art-28-gdpr/ (wymóg prawny pisemnej umowy powierzenia i jej wymagana treść)
• ICO, What needs to be included in the contract (controller-processor) · https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/accountability-and-governance/contracts-and-liabilities-between-controllers-and-processors-multi/what-needs-to-be-included-in-the-contract/ (podsumowanie w prostym języku wymaganej treści umowy powierzenia)
• European Commission, Standard Contractual Clauses (SCC) · https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/standard-contractual-clauses-scc_en (zabezpieczenie transferu międzynarodowego)
• European Commission, EU-US data transfers (Data Privacy Framework) · https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/eu-us-data-transfers_en (podstawa adekwatności dla transferów do USA)
• Secureframe, SOC 2 vs ISO 27001 · https://secureframe.com/blog/soc-2-vs-iso-27001 (czym jest każda certyfikacja, Type I wobec Type II, i czym się różnią dla kupujących)
• Clerk, SCIM 2.0 explained · https://clerk.com/articles/scim-2-0-explained-a-practical-guide-for-saas-auth (jak różnią się SSO i automatyczne usuwanie kont i dlaczego oba mają znaczenie dla offboardingu)