Skytjenester 1, Andre regler for skytjenester enn personvernreglene 2, Eksempel: Narvik

Transkript

1 Skytjenester 1, Andre regler for skytjenester enn personvernreglene 2, Eksempel: Narvik edocs brukerkonferanse 7. mars 2013 Anne MeEe Dørum, KS

2 Men ærre så nøye a? Det ER nødvendig å vite 1. Hvor står serveren (det er det dataene faknsk befinner seg) 2. Hvem eier selskapet som eier serveren (det er nemlig ikke selvsagt at det er die innhold i skyen )

3 Hvor står serveren? ng t Nlga e t s i m m, o s e aeier le lagret t a d rske ataene b o n å er p et der d l p m ekse ordi land s e n n f Det fi ene sine lover s ta Nl da te landet nd anve

4 Hvem eier selskapet som eier serveren? Noen land har krav i forhold Nl selskaper i sie land mht ree Nl å få Nlgang Nl data i selskapets systemer, også data fra selskap som bare er leietakere - f. eks. patriot act i USA eeer 9/11 DeEe gjelder selv om serveren IKKE står i USA. Hvilken Nlgang vil leiekjørerne komme Nl å gi Nl dine data både Nlgang for deg og andres Nlgang Nl dine data?

5 Overordede sjekkpunkter i[. lovlighet Er det overhodet snakk om å overføre data? Hva slags data ønsker man å overføre? Hvilke regler gjelder for overføring av disse? Klarer virksomheten å oppfylle reglene, eller må virksomheten endre strategi?

6 Eva har snakket om personvernet og internasjonale regler Nå skal jeg snakke om de andre reglene

7 Arkivloven Arkivloven 9 offentlige arkiv: Utan i samsvar med føresegner gjevne i medhald av 12 i denne lova eller eeer særskilt samtykke frå Riksarkivaren, kan ikkje arkivmateriale b. førast ut or landet, dersom deee ikkje representerer ein naudsynt del av den forvaltningsmessige eller reeslege bruken av dokumenta. Arkivloven 15, 17 og 19 private arkiv Arkiveigar pliktar å gi melding Nl Riksarkivaren når arkivet ski[ar eigar, heilt eller delvis vert planlagt ført ut or landet eller står i fare for å gå tapt. Dersom særskilt verneverdig arkiv skal førast ut or landet eller står i fare for å gå tapt, kan Riksarkivaren krevja å få kopiera arkivdokumenta. Arkiv som er registrert som særskilt verneverdig, jf. 13 andre leden, kan ikkje delast opp, førast ut or landet, skadast eller øydeleggjast utan samtykke frå Riksarkivaren.

8 Bokføringsloven med forskri[er Gjelder for alle som er regnskapspliknge Hovedregel: Regnskapsmateriale skal oppbevares i Norge Unntak: Elektronisk lagring i Danmark, Finland, Island og Sverige (lite praknsk for offshoring og cloud compunng) deee er ok uten videre Snever mulighet for dispensasjon fra SkaEedirektoratet for lagring i andre land

9 Forskri[ om IKT- systemer i banker mv (IKT- forskri[en) 1 Gjelder for mange bransjer, bl.a. banker, forsikringsselskaper, inkassoforetak, eiendomsmeglere m.v. IKT- forskri[en åpner for utsedng av IKT oppgaver ( 2 og 12) Ingen spesialregler om eksport ut av Norge, men utkontrakteringen skal inngå i foretakets risikoanalyse Vurdering av landrisiko sentral for FinansNlsynet polinsk og/ eller økonomisk stabilitet er sentralt

10 Forskri[ om IKT- systemer i banker mv (IKT- forskri[en) 2 2 Ved utkontraktering av deler eller hele IKT- virksomheten skal foretaket ha egne retningslinjer som skal sikre leveransen. 12 IKT- virksomheten skal oppfyller alle krav som snlles i forskri[en. DeEe gjelder også utkontrakterte deler. En skri[lig avtale skal sikre deee. Avtalen må sikre: at Nlsyn kan gjennomføres samt håndtering av taushetsbelagt informasjon. at FinansNlsynet gis Nlgang Nl opplysninger fra og Nlsyn hos IKT- leverandøren. Foretaket skal sikre at de har kompetanse Nl å forvalte utkontrakteringsavtalen

11 For ikke å snakke om sikkerhetsloven med forskri[er! Roar Thon, seniorrådgiver i Nasjonal sikkerhetsmyndighet, skriver på sikkerhetsbloggen (hep://blogg.nsm.stat.no - Se også: heps:// «Det kan hende at skyen for enkelte virksomheter kan føre Nl bedre beskyeelse av informasjon. Men et kjapt blikk over dagens sikkerhetslov gir mange showstoppere i forhold Nl å benyee skyen som oppholdssted for sikkerhetsgradert informasjon. DeEe handler ikke bare om at noen kan bryte seg inn i hos en skytjeneste for å hente ut informasjon. Men også den situasjonen at andre med loven i hånd kan få utlevert din, kommunens, bedri[ens og statens informasjon fordi informasjonen ikke befant seg i skyen, men på en server plassert på en annen stats territorium. DeEe er noe som vi bør ha et bevisst forhold Nl fremover. Over skyen skinner allnd solen påstås det, men hvem befinner seg inne i tåka?»

12 Er det farlig å bruke neejenester? DataNlsynets utgangspunkt er at det er mulig å oppnå godt personvern også i neeskyen DeEe er et syn DataNlsynet i Norge deler med øvrige personvernmyndigheter i Europa MEN man må vite hva man gjør!

13 Side 13 Narvik- saken

14 Hva var problemet her egentlig? [ ] Narvik får mer 1d [ ] - Ikke gi opp, Narvik [ ] Vi skal finne en løsning [ ] Her er brevet som forbyr Google Apps [ ] - Skyinteressen enorm i norsk skole [ ] Advarer mot Google- skyen [ ] - DeFe vil ikke Data1lsynet «rushe» [ ] Vit hvor dataene dine er [ ] Kjemper mot Data1lsynets «klebrige klør» [ ] Forsvarer spranget ut i nef- skyen [ ] Eksperter advarer norske kommuner mot nefskyen [ ] Narvik må svare for Google Apps [ ] - EUs dataregler holder ikke mål [ ] Danske myndigheter fraråder nefskyen [ ] Dine nefskydata kan bli utlevert 1l USA [ ] Narvik velger Google Apps

15 NeEskyen Narvik- saken Google Apps - Narvik kommune valgte Google Apps ble en prøvesak for DataNlsynet, Google og kommunesektoren og Riksarkivet var også inne i bildet - DataNlsynets spørsmål: - Hvilke personopplysninger behandles i Google Apps? - Hvilken risikovurdering har kommunen gjennomført? - Mulig å få kopi av avtalen + ev databehandleravtale? - Segmentering av data - Lagringssted - Hvem har Nlgang hos Google? - see i lys av bl.a. forskri[ om informasjonssikkerhets krav Nl risikovurdering og sikkerhetsrevisjon

16 hfp:// 2011/Bruk- av- Google- Aps- i- Narvik- kommune/

17 I Data1lsynets brev av 30. juni 2011 ble det bedt om svar fra kommunen på: 1. Hvilke personopplysninger kommunen skal behandle i Google Apps. 2. Risikovurderingen som kommunen har foretae i anledning behandling av personopplysninger i Google Apps, jf personopplysningsloven 2 og Avtalen kommunen eventuelt har inngåe med Google, samt oversikt over hvilke sikkerhetsnltak Google har i løsningen kommunen har valgt å benyee 4. Eventuelt inngåe databehandleravtale mellom kommunen og Google, samt en beskrivelse av informasjonssystemets uqorming og fysiske plassering. 5. En beskrivelse av: Sikkerhetskopiering Hvem hos Google som har Nlgang Nl kommunens personopplysninger På hvilken måte kommunen skal gjennomføre sikkerhetsrevisjon hos Google, jf personopplysningsforskri[en

18 NeEskyen Narvik- saken Google Apps - DataNlsynet hadde møte med Google - Fikk svar fra Narvik kommune - Varslet om vedtak mot kommunen - Usikkerhet rundt risikovurderinger - Ingen databehandleravtale (avtalens hensikt, formål, plikter, forhold Nl underleverandør, sikkerhet, revisjon mv) - Vet ikke i hvilket land dataene er lagret - Kan ikke gjennomføre sikkerhetsrevisjoner - Hvem har Nlgang hos Google? - Uklarhet rundt segmentering Side 18

19 hfp:// ar1cle ece Side 19

20 hfp:// «Kommunen har heller ingen mulighet 1l selv å uyøre sikkerhetsrevisjoner. Vedtaket har utløst flere reaksjoner, og et hovedbudskap har vært at loven nå må endres. DeFe er å begynne i feil ende Side 20

21 Det overordnede problemet ubalanserte avtaler - Saken mot Narvik kommune er egentlig ikke en sak mot Narvik kommune - En sak mot store aktører som dikterer benngelser - Diskusjon: er det noe feil med regelverket? - DeEe er å begynne i feil ende Side 21

22 hep:// av- neeskytjenester/

23 Noen forutsetninger for bruk av nefskytjenester 1. Det må gjennomføres grundige risiko- og sårbarhetsanalyser i forkant. Virksomheten må spørre seg selv om hva som kan gå galt, og hvilke følger det i så fall kan få. 2. Selskapene må ha en NlfredssNllende databehandleravtale som er i tråd med norsk regelverk. Det er kommunen som har ansvar for at lovens krav følges. 3. Bruken av neeskytjenester må jevnlig revideres. Det vil si at en tredjepart gjennomfører en sikkerhetsrevisjon på vegne av kommunen og sikrer at databehandleravtalen følges. 4. Databehandleravtalen må være det som gjelder og leverandørens generelle personvernerklæring må ikke gå utover denne

24 hep:// computerworld/ arncle ece

25 Finnmark dagblad Alta entrer nefskyen Alta kommune er først ute i Finnmark med å flyee digitale tjenester over Nl neeskyen. Alta kommune skal ta i bruk skytjenesten «Office 365» fra Microso[ som verktøy Nl samhandling og produknvitet. «Nå kan vi som kommune operere tryggere og smartere enn før,» sier Aleksander Øines, IT- sjef i Alta kommune Nl Finnmark Dagblad Kommunen skal være i neeskyen i juni

26 NeEverk & kommunikasjon nr Om Office 365 «For norske kunder vil det være et datasenter i Irland som er produksjonsstedet for skytjenesten og lagring av data med en geografisk redundans». «En Nng som er vesentlig i forhold Nl at kundedata ikke lagres lokalt, er hvilken lovgivning Microso[ er underlagt. Microso[ har selv kommet med uealelser om at de ma forholde seg Nl amerikansk lovgivning fordi de har hovedkontor i USA. DeEe betyr at de kan bli tvunget Nl å utlevere kundedata i henhold Nl den amerikanske loven Patriot Act. DeEe gjelder ogsa for data som er lagret innen EU».

27 16. august 2012: Odense dropper å be DataNlsynet om lov Nl å bruke Google Apps Nl personfølsomme data. I alt fire ganger siden 2010 har Odense Kommune bedt om DataNlsynets velsignelse Nl å flyee personfølsomme data opp i Googles sky. Og i alt fire ganger har DataNlsynet vendt tommelen ned Nl Odense, som gjerne ville hav grønt lys Nl at lagre elevopplysninger i Googles cloud- baserte tjeneste, Google Apps. Men nå legger Odense Kommune Google Apps- planene på hylla. Kilde: hep:// dropper- google- apps- planer- i- denne- omgang

28 Side 28

29 Fra Googles vilkår: «Google vil bruke denne informasjonen for det formål å vurdere din bruk av neesiden, lage rapporter Nl innehaveren av neestedet om aknviteten på neestedet, samt for å yte andre tjenester i 1lknytning 1l ak1viteten på nefstedet og bruken av internef. Google kan også overføre denne informasjonen Nl tredjeparter dersom det foreligger en reeslig plikt Nl deee, eller dersom slike tredjeparter behandler informasjonen på vegne av Google» Side 29

30 Jeg har sammen en advokat vurderet, at vi ikke vil kunne dokumentere, hvor data befinder sig, præcist nok i forhold Nl DataNlsynets krav. Google har ikke kunnet give en Ndsplan for overholdelse af kravene fra DataNlsynets myndigheder i Danmark. Og vi vil ikke søge en gang Nl, så længe Google ikke har e[erkommet kravene Sier it- sikkerhedsleder John Bonnerup Nl Version2. Side 30

31 Internasjonalt arbeid Berlingruppen (the InternaNonal Working Group on Data ProtecNon in TelecommunicaNons (IWGDPT)), Sopot Memorandum April 2012 Anbefalinger: - Skytjenester må ikke gi dårligere personvernbeskyeelse - Gjennomsiktlig, balanserte avtaler - Det må gjennomføres risikoanalyser og analyseres risiko for personvern ved ulike typer tjenester - Det må gis en oversikt over hvor data har vært lagret - Det må gjennomføres kontroll med dataene enten av behandlingsansvarlige eller av sernfiserte revisjonsfirma Side 31

32 Hva skal Nl for at det skal bli lovlig? 1. Behandlingsansvarlig har ansvaret Skal gjøre selvstendige vurderinger Skal ha kontroll med underleverandører Skal ha NlfredssNllende informasjonssikkerhet Kan ikke overføre ansvar Nl «skyen»!!! 2. Foreta grundige risiko- og sårbarhetsanalyser (POL 13, POF 2-4) 3. Inngå databehandleravtale som er i tråd med norsk regelverk (POL 15 og 13, jf POL 2-15) 4. Gjennomfør sikkerhetsrevisjoner (POL 13 jf. POF 2-5, samt POL 14) 5. HUSK: Databehandleravtalen gjelder! Ikke standardvilkårene L

33 MEN er det lov da, da? Med lov skal landet byggjast og ikkje med ulov øydast (Frosta1ngsloven) JA kanskje: Vit hva du gjør Spør først Gjør det ree med en gang Inngå avtaler som gagner die formål Styr unna ustabile regimer (polinkk/økonomi/naturforhold) Hold deg Nl de trygge landene

34 Veileder for offshoring, outsourcing og skytjenester IKT- Norge har fåe utarbeidet en sjekkliste over momenter å ta snlling Nl ved kontraknnngåelse, som et kart over mulige skjær i sjøen underveis Nl leveranse, eller som en innføring i norske og internasjonale personvernsregler og best pracnces rundt deee. Guiden er spesielt Nlpasset norske forhold. Guiden er frie Nlgjengelig for IKT- Norges medlemmer, og koster kr 5000,- for ikke- medlemmer. Lenke: hep://ikt- norge.no/guider/veileder- for- offshoring- outsourcing- og- skytjenester/

35 TAKK FOR MEG! Takk Nl DataNlsynet ved Bjørn Erik Thon, Ove Skåra og Helge Veum for Nlgang Nl deres foredrag om deee temaet Lenker Nl mine andre kilder: Dataforeningens konferanse Offshoring eller skytjenester? hep:// Cloud compunng en veileder i bruk av neeskytjenester hep:// Cloud CompuNng - bruk av neeskytjenester hep:// CompuNng/