Regulamentul General privind Protecția Datelor (GDPR sau Regulamentul) a generat foarte multă atenție în ultimul timp atât în România cât și în alte țări din Uniunea Europeană. Nu este o reacție neașteptată, ținând cont de cuantumul amenzilor care pot fi aplicate – respectiv, până la 4% din cifra globală de afaceri sau 20 milioane de euro.
De altfel, aceasta a fost și intenția legiuitorului având în vedere că principiile și obiectivele legislației precedente, deși solide, nu mai sunt suficiente pentru a reduce riscurile legate de nerespectarea unui drept fundamental în Uniunea Europeană – dreptul la protecția datelor cu caracter personal – într-un moment în care colectarea, procesarea și transferul acestora a evoluat rapid datorită tehnologiei și globalizării economiei.
Acest articol este adresat în principal specialiștilor din zona de securitate a informației, dar este relevant și pentru alte departamente sau structuri de conducere din cadrul unei companii, deoarece GDPR are implicații în cea mai mare parte a unei organizații – juridic, IT, conformitate, marketing, financiar, resurse umane, audit intern, etc.
Din punct de vedere al securității informației, GDPR menționează că datele cu caracter personal ar trebui prelucrate într-un mod care să asigure în mod adecvat securitatea și confidențialitatea acestora, inclusiv în scopul prevenirii accesului neautorizat la acestea sau utilizării neautorizate a datelor cu caracter personal și a echipamentului utilizat pentru prelucrare, o secțiune întreagă fiind dedicată doar acestui subiect.
Așadar, Regulamentul este relevant pentru directorul departamentului de securitate a informației (CISO) cel puțin pentru trei aspecte:
i) promovarea și sprijinul pentru asigurarea securității datelor cu caracter personal pe toată durata existenței acestora în companie (din momentul colectării lor, pe parcursul utilizării/procesării acestora, cât și al păstrării/arhivării, și până la transferul, ștergerea/distrugerea acestora),
ii) asistența în procesul de notificare al încălcării securității datelor cu caracter personal, și
iii) coordonarea echipei de intervenție în cazul producerii unor incidente care afectează securitatea informatică.
De asemenea, controalele, procesele, echipamentele și aplicațiile legate de securitatea informației sunt strâns legate de protecția datelor cu caracter personal – securitatea datelor cu caracter personal fiind un element a securității informațiilor. Iar acestea se află în responsabilitatea CISO. Deși poate părea simplu, în realitate, procesul de implementare a cerințelor GDPR este unul foarte complex. Acest fapt, care este deja recunoscut la nivel european, este cu atât mai complicat pentru România, unde suntem la început de drum: România nu a avut o legislație în domeniul securității informațiilor, cu excepția unor reglementari sectoriale, și ca atare atenția a fost limitată la minimul necesar dat de incidentele detectate.
De asemenea – și din păcate – investițiile în domeniul securității informațiilor sunt impulsionate în principal de cerințele de reglementare, situație confirmată și de studiul comun „Securitatea într-o lume digitală” realizat la începutul anului 2017 de către PwC și Microsoft România, cât și de multe alte analize realizate la nivel internațional.
Astfel, deși au existat în trecut investiții în infrastructură și aplicații, principalele priorități la data studiului au fost investițiile în capacitatea de a restabili disponibilitatea datelor și accesul la acestea în timp util în cazul unui incident (disaster recovery), managementul identităților și accesului (IAM) și soluții de prevenire a pierderilor de date (DLP) – toate cu impact direct în GDPR (secțiunea 2, articolul 32 – securitatea prelucrării datelor cu caracter personal). Și dacă acestea sunt prioritățile societăților mari, în cazul societăților mici și mijlocii – multe din ele furnizori sau clienți – situația este și mai complicată.
Deficitul personalului specializat, stadiul de dezvoltare al ecosistemului de servicii suport, al capacității de a face schimb de informații și de bune practici, dar și cel al conștientizării scăzute a riscurilor cibernetice la nivelul angajaților și al conducerii companiilor, reprezintă realitatea de azi din România și punctul de plecare al implementării GDPR până în 25 mai 2018.
Iar GDPR nu aduce un set standard de controale și nu impune un anumit cadru în domeniul securității, dar stabilește principii importante care impun o analiză de risc și o strategie care trebuie implementată în mod consecvent, ideal pe baza unei taxonomii recunoscute pentru a reduce probabilitatea ca o autoritate de reglementare să le considere inadecvate.
Analiza privind securitatea informațiilor din GDPR include evaluarea riscurilor pe care le prezintă prelucrarea datelor, cum ar fi distrugerea, pierderea, modificarea, divulgarea neautorizată sau accesul neautorizat la datele cu caracter personal transmise, stocate sau prelucrate în alt mod, în mod accidental sau ilegal, care pot duce în special la prejudicii fizice, materiale sau morale, etc.
Un accent special trebuie pus pe evaluarea riscurilor inerente prelucrării datelor cu caracter personal și pe implementarea unor măsuri pentru atenuarea acestor riscuri, cum ar fi, de pildă, criptarea datelor. Aceste măsuri trebui să asigure un nivel corespunzător de securitate, și inclusiv de confidențialitate, luând în considerare gradul de conformitate față de normele de protecție a datelor, cât și costurile de implementare în raport cu riscurile și cu natura datelor cu caracter personal a căror protecție trebuie asigurată.
Exemple de matrice de controale și ghiduri de analiză a maturității se pot regăsi atât la nivelul standardelor general acceptate la nivel internațional – cum sunt ISO 27001, COBIT 5, NIST framework– cât și la nivel sectorial – de exemplu, normele Autorității de Supraveghere Financiară, Băncii Naționale a României, etc. Complexitatea controalelor trebuie însă să fie proporțională cu riscurile identificate iar măsurile implementate trebuie sa fie aliniate strategiei în domeniul securității informației adoptate de către conducerea societății și documentate în mod corespunzător pentru a permite autorităților să le înțeleagă și să le analizeze. Un model ridicat de maturitate este un model în care strategia și politicile sunt definite și aprobate, implementate, evaluate și îmbunătățite în mod regulat.
Documentația este doar începutul – sistemele implementate, resursele umane, utilizarea terților – trebuie să corespundă strategiei adoptate și documentate. Nu în ultimul rând va trebui elaborată și implementată o procedură de comunicare cu noii utilizatori ai informațiilor – conducerea societății, ofițerul responsabil pentru protecția datelor cu caracter personal și după caz, autoritatea de supraveghere.
Trebuie menționat că GDPR solicită ca în cazul în care riscul nu poate fi atenuat prin mijloace rezonabile sub aspectul tehnologiilor disponibile și al costurilor implementării, autoritatea de supraveghere ar trebui să fie consultată înainte de începerea activităților de prelucrare. Un astfel de risc ridicat este susceptibil să fie generat de anumite tipuri de prelucrare, precum și de amploarea și frecvența prelucrării, care pot duce și la producerea unor prejudicii sau pot atinge drepturile și libertățile persoanelor fizice.
În aliniere cu zona de procese, componenta de tehnologie joacă un rol critic în susținerea conformității cu GDPR. În primul pas, acela al identificării datelor cu caracter personal și a surselor aferente, pot fi folosite cu succes tehnologiile Microsoft din suita Enterprise Mobility and Security, întrucât aici se poate realiza catalogarea aplicațiilor existente și folosite cu ajutorul Azure AD App Catalog, restricționarea granulară a accesului la aplicații cloud neaflate în gestiunea departamentului IT cu ajutorul Cloud App Security, în timp ce identificarea automatizată a datelor cu caracter personal se realizează cu ajutorul Azure Information Protection. În plus, Microsoft Intune administrează securitatea dispozitivelor mobile și identifică aplicațiile mobile cu un factor de risc pentru integritatea dispozitivului. Un rol foarte important îl joacă și capabilitățile de Advanced eDiscovery din Office 365 care folosește puterea instrumentelor de Machine Learning pentru a învăța sistemul cum să caute inteligent și eficient în volume foarte mari de date.
Secțiunea 2 a GDPR (Securitatea datelor cu caracter personal) stabilește că operatorul și persoana împuternicită de acesta au obligația să implementeze măsuri tehnice și organizatorice adecvate în vederea asigurării unui nivel de securitate corespunzător acestui risc, incluzând printre altele, după caz:
a) pseudonimizarea și criptarea datelor cu caracter personal;
b) capacitatea de a asigura confidențialitatea, integritatea, disponibilitatea și rezistența continue ale sistemelor și serviciilor de prelucrare;
c) capacitatea de a restabili disponibilitatea datelor cu caracter personal și accesul la acestea în timp util în cazul în care are loc un incident de natură fizică sau tehnică;
d) un proces pentru testarea, evaluarea și aprecierea periodice ale eficacității măsurilor tehnice și organizatorice pentru a garanta securitatea prelucrării.
Cum putem asigura pseudonimizarea datelor, dar și securitatea by design and by default? La nivel de baze de date, Microsoft, SQL vine cu o funcționalitate care identifică automat datele cu caracter sensibil prin Dynamic Data Masking – DDM. În plus, autentificarea și autorizarea accesului în SQL sunt procese distincte care se realizează făcând uz de același DDM, care maschează datele pentru acei utilizatori ai aplicației care nu ar trebui sa aibă acces la ele.
Atunci când avem de-a face cu date care nu fac momentan obiectul unei tranzacții, date at rest, componentele de Transparent data encryption criptează bazele de date, backup-urile asociate, dar și log-urile de tranzacție la nivelul storage-ului fizic.
Când lucram însă cu date aflate în tranzit, componenta de Transport Layer Security (TLS) le protejează prin conexiunile la bazele de date SQL
La evaluarea nivelului adecvat de securitate, se ține seama cel puțin de:
– stadiul actual al dezvoltării in domeniul tehnologiilor de securitate
– costurile implementării
– natura, domeniul de aplicare, contextul și scopurile prelucrării, precum și riscul cu diferite grade de probabilitate și gravitate pentru drepturile și libertățile persoanelor fizice.
In mod special, sunt menționate riscurile prezentate de prelucrare, generate, în mod accidental sau ilegal, de distrugerea, pierderea, modificarea, divulgarea neautorizată sau accesul neautorizat la datele cu caracter personal transmise, stocate sau prelucrate într-un alt mod.
Un alt aspect cheie al GDPR este notificarea autorității de supraveghere în cazul încălcării securității datelor cu caracter personal care, chiar dacă nu este explicit în obligația CISO, depinde semnificativ de informațiile furnizate de acesta și departamentul de securitate al informației.
Astfel, dacă este posibil, notificarea trebuie sa fie realizată în termen de cel mult 72 de ore de la data la care s-a luat la cunoștință de încălcarea securității datelor cu caracter personal (cu anumite excepții), notificarea urmând să descrie:
– caracterul încălcării securității datelor cu caracter personal, inclusiv, acolo unde este posibil, categoriile și numărul aproximativ al persoanelor vizate în cauză;
– categoriile și numărul aproximativ al înregistrărilor de date cu caracter personal în cauză;
– consecințele probabile ale încălcării securității datelor cu caracter personal;
– măsurile luate sau propuse spre a fi luate de operator pentru a remedia problema încălcării securității datelor cu caracter personal, inclusiv, după caz, măsurile pentru atenuarea eventualelor sale efecte negative.
Aceste acțiuni nu pot fi posibile fără instrumente de urmărire pentru log-urile de audit. Plecând de la banala autentificare în Active Directory – AD, există tool-uri de monitorizare a tentativelor de sign-in, locațiilor de sign-in și a politicilor de acces. ATA sau Advanced Threat Analytics determină imediat și alertează asupra unui breach, monitorizând atât traficul cu exteriorul organizației, cât și pe cel din interiorul rețelei. Auditarea log-urilor se întâmpla atât la nivelul suitei de productivitate Office 365, cât și la nivel de SQL Database și SQL Server, pentru că se monitorizează atât activitățile curente, cât și cele trecute, pentru a identifica amenințările potențiale și încălcări ale regulilor de Securitate. În plus, SQL Server Threat Detection folosește un set de algoritmi inteligenți prin care învață comportamentul standard și detectează imediat orice abatere în fluxurile de date.
De asemenea, operatorul trebuie să păstreze documente referitoare la toate cazurile de încălcare a securității datelor cu caracter personal, care cuprind o descriere a situației de fapt în care a avut loc încălcarea securității datelor cu caracter personal, a efectelor acesteia și a măsurilor de remediere întreprinse.
Nu în ultimul rând, compania are obligația informării persoanei vizate cu privire la încălcarea securității datelor cu caracter personal.
Toate aceste obligații, nu se pot realiza însă fără investiții, inclusiv în resurse umane, fără un efort de a aduce la zi sistemele / aplicațiile utilizate, evaluări periodice ale riscurilor și vulnerabilităților, fără instruirea și informarea angajaților, fără un plan adecvat și testat de continuitate a activității, sau fără un plan testat de răspuns în situații de criză datorate incidentelor informatice.
Mai multe informații în legătură cu reglementările GDPR se regăsesc aici.
Acest material editorial face parte dintr-o campanie pe tema Regulamentului General privind Protecția Datelor realizată de Microsoft cu sprijinul Ziarului Financiar.