Nye regler nye muligheter skytjenester i kjølvannet av Narvik og Moss. Bjørn Erik Thon

Transkript

1 Nye regler nye muligheter skytjenester i kjølvannet av Narvik og Moss Bjørn Erik Thon

2 God informasjonssikkerhet er viktigere enn noen gang Side 2

3 Side 3

4 Side 4

5 Side 5

6 Side 6

7 Narvik-saken, og bruk av Google Apps - Saken har vært behandlet som en tradisjonell forvaltningssak - Hvilke personopplysninger behandles i Google Apps? - Den risikovurdering kommunen har fortatt - Kopi av avtalen + ev databehandleravtale - Segmentering av data - Lagringssted - Hvem har tilgang hos Google? - sett i lys av bl.a. sikkerhetsforskriftens krav til risikovurdering og sikkerhetsrevisjon Side 7

8 Nettskyen Narvik-saken Google Apps - Varsel om vedtak mot kommunen i januar Usikkerhet rundt risikovurderinger - Ingen databehandleravtale (avtalen hensikt, formål, plikter, forhold til underleverandør, sikkerhet, revisjon mv) - Vet ikke i hvilket land dataene er lagret - Kan ikke gjennomføre sikkerhetsrevisjoner - Hvem har tilgang hos Google? - Uklarhet rundt segmentering Side 8

9 Hva er endret i tjenesten siden januar? - Risikovurderinger - Databehandleravtale - Revisjon av tredjeparter - Databehandleravtalen må trumfe Googles generelle vilkår - Klarhet om overføring til utlandet Side 9

10 Risikovurderinger Personopplysningsforskriftens 2-4 Den behandlingsansvarlige skal gjennomføre risikovurdering for å klarlegge sannsynligheten for og konsekvenser av sikkerhetsbrudd. Ny risikovurdering skal gjennomføres ved endringer som har betydning for informasjonssikkerheten Side 10

11 Risikovurderinger Narvik kommune: En flytting av e-postløsning til Google Apps vil på enkelte aspekter gi likt risikobilde som for gammel, men på mange områder innebærer ny løsning redusert risiko. Lagring av e- post data utenfor kommunens datasenter vil gi en lavere risiko med hensyn til konfidensialitet, integritet og tilgjengelighet Side 11

12 Risikovurderinger Datatilsynet anser risikovurderingen som tilfredsstillende men ønsker å påpeke viktigheten av at kommunen gjennomfører ny risikovurdering ved endringer som har betydning for informasjonssikkerheten I tillegg: Viktig hvilken type opplysninger som behandles i tjenesten Side 12

13 Revisjon fra tredjeparter - Loven stiller krav om at det skal gjennomføres sikkerhetsrevisjoner og at resultatet av sikkerhetsrevisjonen skal offentliggjøres - Berlin gruppen og WP29 har åpnet for at sikkerhetsrevisjoner kan gjennomføres av tredjeparter - Tredjepartsrevisjonen må tilfredsstille en del vilkår - Uavhengig, regelmessig, kommunen må motta rapporter som er relevant for de data som behandles pva kommunen osv Side 13

14 Databehandleravtaler - Rettslig grunnlag: POL 15 - Grunnkrav til databehandleravtaler: Avtalens hensikt, formål, databehandlers plikter, bruk av underleverandør, sikkerhet, sikkerhetsrevisjoner, avtalens varighet, ved opphør, meddelelser, samt lovvalg og verneting. - Særlig viktig: Formålsavgrensninger, forbud mot å utlevere data til andre, informasjonssikkerhetstiltak - Datatilsynet fant at databehandleravtalen oppflyte lovens krav Side 14

15 Databehandleravtalen må trumfe Google/Microsofts generelle vilkår Side 15

16 Side 16

17 Side 17

18 Nye personvernvilkår Side 18

19 Klarhet om overføring til utlandet - Lovens krav: Data kan bare overføres til stater som sikrer en forsvarlig behandling av opplysningene. - I praksis vil dette si at overføring av persondata til andre land enn medlemsstatene i EU og EØS-landene, som hovedregel er utelukket. - Unntak: For eksempel kan dataeksportøren gi individuelle garantier, eller EU-kommisjonen kan ha besluttet at visse enkeltstater er trygge mottakerstater. - Safe Harbour Side 19

20 Hva nå? Side 20

21

22 Er det fritt fram? - Nei - Gode risikovurderinger er helt sentralt - I sammenheng med dette; særlig viktig hvilke type data som skal lagres i skyen - Det er stor forskjell på leverandørenes seriøsitet - Det er stor forskjell på skytjenestene - Dette er fortsatt et nytt marked

23 Datatilsynets informasjonsmateriale om skytjenester Side 23