Файл: Правовая основа облачных сервисов.pdf

В случае нарушений прав контроллером, любое лицо, потерпевшее ущерб в результате незаконной обработки, имеет право на получение компенсации от контроллера за нанесенный ущерб. Если процессоры используют данные для других целей или сообщают о них или используют их таким образом, что нарушают контракт, они также должны рассматриваться как контроллеры, и нести ответственность за нарушения, в которых они лично участвовали.

Следует отметить, что во многих случаях, провайдеры облачных сервисов предлагают стандартные услуги, и контракты для обработки персональных данных, которые клиенты должны подписать, излагаются в стандартной форме. Дисбаланс в условии договора между небольшим контроллером в отношении крупных поставщиков услуг не должен рассматриваться в качестве оправдания для контроллера при принятии положений и условий договора, которые не являются пунктами закона о защите данных

В Директиве 95/46/ЕС описана полная ответственность клиента облака (выступающегов качестве контроллеров данных)по выбору облачных услуг, реализующих адекватные технические и организационные меры безопасности для защиты персональных данных с возможностью демонстрации подотчетности.

В дополнение к основной цели безопасности - доступности, конфиденциальности и целостности, также должно уделено внимание по защите данных в целях прозрачности, изоляции, способности вмешательства, подотчетности и портативности. Далее будут представлены более конкретно перечисленные выше главные цели^[15].

Обеспечение доступности означает предоставление своевременного и надежного доступа к персональным данным.

Однаиз серьезных угроз доступности в облаке - случайная потеря подключения к сетимежду клиентом и поставщиком или производительным сервером, вызванная вредоносными действиями таких, как (распределенный) отказ в обслуживании, (DoS)атак. Другие риски включают в себя наличие случайногоаппаратногосбоя как в сети, так и в обработке данных в облаке и систем хранения данных. Так же риски связаны со сбоями питания и другими проблемами инфраструктуры.

Контроллеры данных должны убедиться, что провайдер облака принял разумные меры, чтобы справиться с риском нарушения, такие как резервное хранениессылок в сети Интернет, избыточное хранение и эффективное резервное копирования данных механизмов.

Целостность может быть определена как свойство, которое удостоверяет подлинность данных,и отвечает за то, что с ними не происходило злонамеренных или случайных изменений во время обработки, хранения или передачи. Понятие целостности может быть распространено и на ИТ-систем, и требует, чтобы обработка персональных данных в этих системах оставалась неизменной.

Определение изменений в персональных данных может быть достигнуто путем криптографических механизмов аутентификации, таких как коды аутентификации сообщений или подписей.

Вмешательство в целостности ИТ-систем в облаке может быть предотвращено или обнаружено с помощью системы /предотвращения вторжений (IPS / IDS). Это особенно важно в открытых типах сетях, в которых облака обычно работают.

В облачной среде, шифрование может внести значительный вклад в конфиденциальностьличных данных, если все сделано правильно, хотя оно не делает персональные данные необратимо анонимными^[16]. Шифрование личных данных следует использовать во всех случаях, когда статус данных можно описать как «в пути» и "в покое"^[17]. В некоторых случаях (например, службы хранения IaaS) клиент не может полагатьсяна шифрование, предлагаемое облаком услуг, но может выбрать тип шифрования личных данных перед отправкой их в облако. Шифрование данных в состоянии покоя требует особого внимания к управлению криптографическим ключом, так как безопасность данных, в конечном счете, зависит от конфиденциальности ключей шифрования.

Связь между поставщиком облака и клиентом, а также между центрами обработки данных должна быть зашифрована. Удаленное управление облачной платформой должнопротекать только по защищенному каналу связи. Если клиент планирует не только хранение, но и дальнейшую обработку персональных данных в облаке (например, поиск баз данных для записи), он должен иметь в виду, что шифрование не может быть обеспечено при обработке данных (за исключением очень специфических вычислений).

Дополнительные технические меры, направленные на обеспечение конфиденциальности, включают механизмы авторизации и строгой аутентификации (например, двухфакторная аутентификация). Договорные положения должны также налагать обязательства по соблюдению конфиденциальности на клиентов, поставщиков облачных услуг и субподрядчиков.

Прозрачность

Технические и организационные меры должны поддерживать прозрачность, чтобы позволить обзор процесса. Данное свойство уже было рассмотрено выше.

Изоляция (цель ограничения)

В облачных инфраструктурах ресурсы, такие как хранение, память и сеть - являются общими для многих арендаторов. Это создает новые риски для данных, подвергая их к раскрытию и обработке в незаконных целях.Защита цели «изоляции» предназначена для решения этой проблемы и способствует гарантии, что данные не будут использоваться за пределами своего первоначального назначения, а также для поддержки конфиденциальности и целостности

Во-первых, достижение изоляциитребует адекватного управления правами и ролями для доступа к личным данным, которые рассматриваются на регулярной основе. Реализации роли с чрезмерными привилегиями следует избегать (например, ни один пользователь или администратор не должны иметь право доступа ко всему облаку). В более общем плане, администраторы и пользователи должны только получить доступ к информации, необходимой для их законных целей (принцип наименьших привилегий).

Во-вторых, изоляция также зависит от технических мер, таких как упрочнение гипервизоров и надлежащее управление общими ресурсами, если виртуальные машины применяются для совместного использования физических ресурсов между различными клиентами.

Способность вмешательства

Директива 95/46/ЕС дает субъекту данных права доступа, исправления, удаления, блокировки и возражения^[18]. Клиент облака должен убедиться, что провайдер облака не накладывает технических и организационных препятствий к этим требованиям, в том числе в случаях, когда данные обрабатываются в дальнейшем субподрядчиками.

Договор между клиентом и поставщиком должен предусматривать, что поставщик облака обязан оказать поддержку клиенту в содействии реализации прав субъекта данных и гарантировать, что тоже самое будет в отношенииего к любым субподрядчикам

Портативность

В настоящее время большинство облачных провайдеров не используют стандартных форматов данных и интерфейсов служб для содействия совместимости и переносимости между различными провайдерами облака. Если клиент решает мигрировать из одного облака провайдера к другому, отсутствие этого взаимодействия может привести к невозможности или, по крайней мере, к трудности передать личные данные клиента на облако нового провайдера (так называемого вендора). Тоже самое справедливо и для услуг, на платформе которых развернулся клиент, и которое ему предложил первоначально поставщик облака (PaaS). Клиент должен проверять, как поставщик гарантирует мобильность данных и услуг перед заказомоказания услуг облачных сервисов.

Подотчетность

В информационных технологиях подотчетность может быть определена как возможность установить, какие лица сделали в определенный шаг в определенный момент времени в прошлом и как. В области защиты данных часто требуется более широкое значение и характеризуется способностью стороны продемонстрировать, что они приняли соответствующие меры для обеспечения того, чтобы принципы защиты данных были выполнены.

Подотчетность в ИТособенно важна для того, чтобы расследовать нарушения прав личных данных, где клиенты, поставщики и суб-подрядчики могут иметь некую степень эксплуатационной ответственности. Способность платформы облака кобеспечения надежного и всеобъемлющего механизма мониторинга ведения журналов имеет первостепенное значение в этом отношении.

Кроме того, облачные провайдеры должны документально подтверждать надлежащие и эффективные меры, которые обеспечивают результаты защиты принципов данных, изложенных выше. Процедуры, обеспечивают идентификацию всех операций обработки данных, отвечают на запросы доступа, распределение ресурсов, в том числе назначение для защиты данных лиц, которые несут ответственность за организацию защиты данных соответствия, или независимые процедуры сертификации, которые являются примерами таких мер. Кроме того, данные контроллеры должны гарантировать, что они готовы продемонстрировать создание необходимых мер для компетентного надзорного органа по запросу^[19].

Директива 95/46/ЕС предусматривает свободный поток персональных данных в страны, расположенные за пределами ЕЭП, только если эти страны или получатель обеспечивают адекватный уровень защиты данных. В противном случае конкретные гарантии должны быть введены в действие контроллера и его со-контроллеровили процессоров. Однако, облачные вычисления чаще всего основаны на полном отсутствии стабильного расположения данных в сети облачных вычислений. Данные могут быть в одном центре обработки данных в 2 часа дня, а в 4 вечера уже находиться в другом конце света. Поэтому клиент редко в состоянии имеет возможность знать, в реальном времени, где находятся, хранятся или передаются данные. В этом контексте, традиционные правовые акты, обеспечивающие базу для регулирования передачи данных за пределами ЕС третьим странам, не обеспечивает адекватную защиту, имеют ограничения.

SafeHarbor (закон), положение закона или постановление, которое уменьшает или устраняет ответственность участника в соответствии с законом, при условии, что партия выполняет свои действия в добросовестности или в соответствии с определенными стандартами.

Адекватность результатов, в том числе SafeHarbor, ограничены в отношении географического охвата, и, следовательно, не покрывают все трансферы внутри облака. Трансферы в организации США в соответствии с принципами могут происходить законно в соответствии с законодательством ЕС, так как организации получателя обеспечены адекватным уровнем защиты передаваемых данных.

Однако, единственная самостоятельная сертификация с SafeHarbor не может считаться достаточной при отсутствии надежных исполнительных принципов защиты данных в облачной среде. Кроме того, Директива ЕС требует, чтобы договор должен быть подписан контроллером в отношении процессоров целях обработки, что подтверждается в FAQ 10 (часто задаваемые вопросы) EU-US Safe Harbor Framework документах. Такой договор определяет процессы обработки, будет осуществлять любые меры, необходимые для обеспечения того, чтобы данные хранились в безопасности. Различные национальные законодательства могут иметь дополнительные требования.

Компании, экспортирующие данные, не должны просто полагаться на заявления поставщиков услуг, утверждающих, что у них есть свидетельство Safe Harbor. Напротив, компания экспортирующая данные должна получить доказательства того, что это свидетельство существует и запросить доказательства того, что их все принципы, применяемые к защите данных, соблюдаются. Особенно это важно в отношении информации, предоставляемой клиентами, пострадавших в результате обработки данных.

Также клиент должен проверять составленные стандартные контракты по предоставление облачных услуг на соответствие национальным требованиям в отношении обработки данных. Национальное законодательство может потребовать выдать запрос, который будет определен в контракте, результат которого содержит сведения и другие данные по суб-процессам, и отслеживанию данных. Обычно облачные услуги не предлагают клиенту такую информацию –собственные обязательства по Safe Harbor не могут заменить гарантиями выше, даже когда это требуется национальным законодательством. В таких случаях экспортеру рекомендуется использовать другие правовые документы, такиекак стандартные статьи договора или BCR (обязательные корпоративные правила).

Принципы Safe Harbor сами по себе также не могут гарантировать экспортеру данных, что все средства необходимые для обеспечения того, чтобы были применены соответствующие меры безопасности в облачных сервисах в США, которые в свою очередь национальное законодательство может запросить на основе Директивы 95/46/EC. С точки зрения безопасности данных вычислительного облака поднимаются несколько конкретных угроз безопасности в облаке: потеря управления, небезопасное или неполное удаление данных, недостаточность сквозной проверки или изоляция сбоев, которые не получили достаточного освещения существующими принципами Safe Harbor по безопасности данных^[20]. Таким образом, дополнительные гарантии для защиты данных могут быть развернуты, например, путем включения опыта и ресурсов третьих лиц, которые способны к оценке адекватности облачных услуг через различные инструменты аудита, стандартизации и сертификации. По этим причинам было бы целесообразно дополнить обязательство импортера данных в соответствии Safe Harbor с дополнительными гарантиями и учетом специфики облака.