Lovlig bruk av Cloud Computing. Hallstein Husand Sikkerhetskonferansen 2013 Gjøvik 15. april 2013

Transkript

1 Side 1

2 Lovlig bruk av Cloud Computing Hallstein Husand Sikkerhetskonferansen 2013 Gjøvik 15. april 2013

3 Agenda Kort om personvern Kan skyen brukes? Litt om Cloud computing generelt Narviksaken Ansvar og forutsetninger Internasjonalt Tips og råd for privat bruk av skytjenester Oppsummering Spørsmål Side 3

4 Personvern vilkår for behandling av personopplysninger Poenget med lovhjemmel som rettslig grunnlag er at lovgiver har vurdert de personvernmessige aspektene ved å registrere og behandle personopplysningene. Informasjon om håndtering Rettslig grunnlag for behandling Samtykke Kun bruk av relevante data Sikring av data Sletting av data

5 Kan skyen brukes? Selvsagt mange av oss gjøre det allerede.. Egnet for visse typer data, mindre egnet for andre! Virksomheten må ha en prosess hvor det gjøres grundige vurderinger av hva det er forsvarlig å håndtere i ulike tjenester skyen. Man bør ha i mente at selv i store driftssentre kan det gå galt, da bør du ha orden i egne kort. Når man planlegger beredskap, inkluder også eventuelle tjenester i skyen som benyttes.

6 Vårt utgangspunkt Det er Datatilsynets utgangspunkt at det er mulig å oppnå godt personvern også i nettskyen Dette er et syn vi deler med øvrige personvernmyndigheter Side 6

7 Kort om Cloud Computing Er det egentlig noe nytt? ASP, Fjerndrift, stormaskin, hosting, Rokker ikke ved ansvarslinjene Virksomhet Leverandør Behandlingsansvarlig Databehandler CC betyr ikke fravær av kontroll (i så fall er det uforenelig med regelverket) Side 7

8 Hva er skytjenester/cloud computing? - Ekstern lagring av data, i motsetning til lokal lagring - Data lagres i skyen i mange tilfelle vet du ikke helt hvor, og dataene flyttes rundt, ofte til underleverandører - Cloud Computing gir stor fleksibilitet og dataene lagres ofte der kapasiteten til enhver tid er best - Ofte betales det for forbruk ikke fast, årlig sum - Amazon var tidlig ute med å tilby skytjenester - Gmail, hotmail, Dropbox og Evernote er eksempler på skytjenester Side 8

9 Er skytjenester usikre? - På generelt grunnlag nei - Informasjonssikkerheten Google eller Microsoft tilbyr kan være bedre enn hva en liten kommune kan - Men hovedoverskriften på vårt arbeid er allikevel informasjonssikkerhet og de kravene som loven stiller opp for å sikre god informasjonssikkerhet - Mindre kontroll med dataene kan gjøre det vanskeligere å avsløre avvik - Data kan overføres til land med dårligere beskyttelsesnivå enn vårt - Avtalene er kompliserte og vanskelig å trenge inn i / overskue konsekvensene av - Det er vanskelig å kontrollere om databehandleren bruker dataene for egne formål - Ansvarskjeden: Skytjenester innebærer bruk av underleverandører, og er de like troverdige og aktsomme som hovedleverandøren? - Tilsyn med egne data kan bli vanskeligere Side 9

10 Narviksaken Side 10

11 Det overordnede problemet ubalanserte avtaler - Saken mot Narvik kommune var egentlig ikke en sak mot Narvik kommune - En sak mot store aktører som dikterer betingelser - Diskusjon: er det noe feil med regelverket? - Dette er å begynne i feil ende Side 11

12 Nettskyen Narvik-saken Google Apps - Møte med Google - Svar fra Narvik kommune - Varsel om vedtak mot kommunen - Usikkerhet rundt risikovurderinger - Ingen databehandleravtale (avtalen hensikt, formål, plikter, forhold til underleverandør, sikkerhet, revisjon mv) - Vet ikke i hvilket land dataene er lagret - Kan ikke gjennomføre sikkerhetsrevisjoner - Hvem har tilgang hos Google? - Uklarhet rundt segmentering Side 12

13 Resultat Åpner for bruk av nettskyen Ingen blancofullmakt Behandlingsansvarlig har ansvaret Skal gjøre selvstendige vurderinger Skal ha kontroll med underleverandører Skal ha tilfredsstillene informasjonssikkerhet Noen forutsetninger: Side 13

14 Ansvaret Ligger ikke i skyen! Side 14

15 Forutsetninger 1. Grundige risiko- og sårbarhetsanalyser (POL 13, POF 2-4) 2. Databehandleravtale som er i tråd med norsk regelverk (POL 15 og 13, jf POL 2-15) 3. Sikkerhetsrevisjoner Bruk av tredjepart f.eks kjøpt av google? (aksepteres nå av tilsynsmyndigheter) (POL 13 jf. POF 2-5, samt POL 14) 4. Databehandleravtalen gjelder! Ikke eventuelle drøye standardvilkår Side 15

16 Problemstillinger Åpenhet Overføring til utlandet Kompliserte avtaler Oppfølging av leverandøren Skille mellom ulike behandlingsansvarliges data Dataportabilitiet (tema i ny personvernforordning) Databehandleravtalen gjelder! Side 16

17 Informasjonssikkerhet Ansvar for informasjonssikkerheten påhviler egen virksomhet Man kan ikke flytte ansvaret ut i skyen Må forvisse seg om tilstrekkelig sikkerhet i produktet som kjøpes Side 17

18 Side 18

19 Internasjonalt

20 Side 20

21 Internasjonale kilder Article 29 Working Party (Art. 29 WP), Opinion 5/2012 Etterlevelse av personverndirektivet International Conference of Data Protection and Privacy Commissioners, Resolution October 2012 Overordnet Berlin gruppen (the International Working Group on Data Protection in Telecommunications (IWGDPT)), Sopot Memorandum April 2012 Best Practice - kulepunkter Side 21

22 Berlin-gruppens anbefalinger - Skytjenester må ikke gi dårligere personvernbeskyttelse - Gjennomsiktelig, balanserte avtaler - Det må gjennomføres risikoanalyser og analyseres risiko for personvern ved ulike typer tjenester - Det må gis en oversikt over hvor data har vært lagret - Det må gjennomføres kontroll med dataene enten av behandlingsansvarlige eller av sertifiserte revisjonsfirma

23 34th International Conference - Resolution the 34th International Conference of Data Protection and Privacy Commissioners recommends that: Cloud computing should not lead to a lowering of privacy and data protection standards as compared with other forms of data processing; Data controllers carry out the necessary privacy impact and risk assessments (if necessary, by using trusted third parties) prior to embarking on CC projects; Side 23

24 34th International Conference Resolution (2) Cloud service providers ensure that they provide appropriate transparency, security, accountability and trust in CC solutions in particular regarding information on data breaches and contractual clauses that promote, where appropriate, data portability and data control by cloud users; cloud service providers, when they are acting as data controllers, make available to users, where appropriate, relevant information about potential privacy impacts and risks related to the use of their services Side 24

25 34th International Conference Resolution (3) Further efforts be put into research, third party certification, standardisation, privacy by design technologies and other related schemes in order to achieve a desired level of trust in CC; to build privacy thoroughly and effectively into cloud computing adequate measures should be embedded into the architecture of IT systems and business processes at an early stage (privacy by design); Side 25

26 34th International Conference Resolution (4) Legislators assess the adequacy and interoperability of existing legal frameworks to facilitate cross-border transfer of data and consider additional necessary privacy safeguards in the era of CC, and Privacy and Data Protection Authorities continue to provide information to data controllers, cloud service providers and legislators on questions relating to privacy and data protection issues Side 26

27 Bruk av skytjenester som privatperson: - Spørsmål du bør stille deg, og noen tips Hvis et selskap tilbyr gratis lagring hva tjener de penger på? Hvilket lands lovgivning er selskapet underlagt? Hvor i verden lagres dataene rent fysisk? Deles informasjonen med myndigheter eller andre tredjeparter? Dersom tjenesten stenges får du filene tilbake? Tåler bildene, eller dokumentene, å bli eksponert for andre Hivlket ansvar påtar nettskyleverandøren seg, og hvilket ansvar fraskriver de seg? Hva slags innloggingsløsning baserer man seg på, og hvor sterkt er passordet? Er dataene kryptert slikt at det bare er du som kan låse dem opp? Side 27

28 Bruk av skytjenester som privatperson: - Spørsmål du bør stille deg, og noen tips Bruk forskjellige passord Lagre alle viktige data flere steder Kjøper du ny pc, smarttelefon eller nettbrett vil du få tilbud om skylagring, og ta det i bruk, kanskje uten å være klar over det Les brukervilkårene, forbeholder selskapet seg rett til å endre uten varsel? Et norsk selskap forholder seg til norsk lovgivning, et amerikansk selskap til amerikansk lovgivning Side 28

29 Ansvarsplassering Påhviler egen virksomhet Man kan ikke flytte ansvaret ut i skyen Må forvisse seg om tilfredsstillende sikkerhet i tjenesten som kjøpes Hovedutfordring: Modenhet Risikovurdering Databehandleravtale fra start til slutt

30 Datatilsynet - i front for retten til selvbestemmelse, integritet og verdighet Side 30