Privacy in de praktijk bij Hogeschool Utrecht

Privacy in de cloud-praktijk
Martin Romijn
Privacy & SecurityOfficer
tevens functionaris voor de gegevensbescherming

2
Seminar Cloud Computing SURF 16 juni 2011
Thema’s
Cloudcomputing
Scopebepaling
Praktische invulling
Bewerkersovereenkomst in de Wbp
Controlemogelijkheden
Safe Harbor certificering

3
CloudComputing
“Een manier om computerkracht te leveren waarbij schaalbare en flexibele ICT-capaciteiten als een dienst beschikbaar worden gesteld aan verscheidene externe klanten op basis van internettechnologie” (Gartner)
Leveringsmodellen: IaaS, PaaS, SaaS
Afname: individueel/collectief, private/public

Scopebepaling
Alleen vanuit rol toezichthouder naleving Wbp: (functionaris voor de gegevensbescherming)
t.o.v. de eisen in SURF rapport par. 3.2:
Beschikbaarheid
Integriteit (volledigheid, juistheid, tijdigheid)
Vertrouwelijkheid
Onweerlegbaarheid
Bedienbaarheid
(http://www.surfnet.nl/Documents/Cloud%20Security%20v1.0.pdf)
4

Praktische invulling Wbp
Dienstverlening vindt plaats op basis van een formeel contract
Er wordt een bewerkersovereenkomst afgesloten (Wbp verplichting indien uitbesteed aan derde)
Verantwoordelijkheden zijn duidelijk belegd: wie informeert wie bij storingen, wie lost welke storingen op, wie bewaakt het SLA
Er is voldoende zekerheid over de kwaliteit van beveiliging door de leverancier
De gegevens worden opgeslagen binnen de Europese Unie
5

Bewerkersovereenkomst
De bewerker is “degene die ten behoeve van de verantwoordelijke persoonsgegevens verwerkt, zonder aan zijn rechtstreeks gezag te zijn onderworpen.”
Een overeenkomst (ook contract en convenant) is een afspraak tussen minimaal twee natuurlijke personen of rechtspersonen (de partijen) over wat ze met elkaar of voor elkaar zullen gaan doen (de te leveren prestatie) of laten.
6

Inhoud overeenkomst
Ingangsdatum en duur
Opdracht met heel concreet het doel
Naleving wet- en regelgeving
Geheimhoudingsplicht
Beveiligingsmaatregelen
Controlerecht (zelf doen of laten controleren)
Inschakeling derden
Wijziging overeenkomst
Toepasselijk recht: Nederlands recht
7

5. Passend beveiligingsniveau
“De bewerker zal passende technische en organisatorische maatregelen nemen om de persoonsgegevens welke worden verwerkt ten dienste van de verantwoordelijke te beveiligen tegen verlies of tegen enige onrechtmatige vorm van verwerking.”
Verdeeld in:
Technische maatregelen
Organisatorische maatregelen
8

9
Controlemogelijkheden
Paragraaf 4.3 SURF checklist (http://www.surfnet.nl/Documents/Cloud%20Security%20v1.0.pdf)
ISO/IEC 27001 en SAS 706
ISAE3402
PCI-eisen (betaalkaartindustrie VS) op http://www.pcicomplianceguide.org/pci-basics.php
Zelf controleren of vertrouwen op verklaringen

Safe Harbor certificaat
Bedrijven met Safe Harbor certificaat op witte lijst van Europese Unie.
Risico’s:
Veel opvraagmogelijkheden op basis van de USA PATRIOT-act (Providing Appropriate Tools Required to Intercept and Obstruct Terrorism)
Fraude door ontbreken van controle en toezicht op gebruik
10

Privacy in de praktijk bij Hogeschool Utrecht

by SNKN-CloudComputing

Accessibility

Categories

Upload Details

Usage Rights

Statistics

Privacy in de praktijk bij Hogeschool Utrecht Presentation Transcript