Duas perguntas diferentes
Quando uma organização afirma que resolveu a residência de dados, quer quase sempre dizer uma coisa: os dados estão armazenados numa região específica e a garantia regional do fornecedor de cloud cobre-os. É um controlo real e responde a uma pergunta real.
Não responde à segunda pergunta, que é a de saber de onde os dados foram acedidos. Um conjunto de dados pode estar inteiramente numa região da UE e ser lido todos os dias por uma equipa de operações num país terceiro, através de uma ferramenta de suporte, de uma consola partilhada ou de uma credencial de acesso de emergência (break-glass). Nada na localização do armazenamento o impede e, em muitas arquiteturas, nada o regista numa forma que a função de conformidade consiga consultar.
Para a análise de transferências ao abrigo do RGPD, para os regimes de localização de dados do Golfo e, cada vez mais, para as expectativas de supervisão específicas de cada setor, é a pergunta sobre o acesso que determina a resposta.
Porque é que a pergunta sobre o acesso está a ficar mais difícil
Nos últimos anos, três fatores agravaram esta situação, e nenhum deles é uma falha de segurança.
Com equipas distribuídas, as funções de suporte e de engenharia abrangem, de facto, várias jurisdições. Com serviços geridos, o pessoal de um fornecedor pode intervir no seu ambiente a partir de qualquer lugar onde esse fornecedor opere. E com sistemas de IA, os dados são cada vez mais lidos por processos cujo local de execução é um detalhe de implementação da plataforma de outra entidade.
Cada uma destas é uma escolha operacional legítima. Em conjunto, significam que o conjunto de locais a partir dos quais os seus dados regulados são acessíveis é maior do que o conjunto de locais que indicaria se lhe perguntassem, e maior do que o conjunto descrito na sua avaliação de impacto sobre a proteção de dados.
Aplicar e provar são problemas distintos
Estão aqui em causa duas capacidades distintas, e as organizações compram frequentemente uma delas convencidas de que compraram ambas.
Aplicação (enforcement) significa que o sistema recusa o acesso a partir de origens fora de um conjunto aprovado. É preventiva, pode ser testada e é aquilo a que a maioria das pessoas se refere quando fala de geofencing.
Evidência significa que consegue demonstrar, meses depois, que não ocorreu qualquer acesso a partir de origens não aprovadas, ou que ocorreu em datas concretas, por motivos concretos que estavam autorizados na altura. É retrospetiva, e é o que uma autoridade de supervisão ou uma autoridade de proteção de dados efetivamente pede.
Aplicação sem evidência deixa-o a afirmar que um controlo funcionou. Evidência sem aplicação deixa-o a documentar um problema que não evitou. Um programa de residência precisa de ambas, e a metade que costuma faltar é a da evidência, porque exige conservar os registos de origem dos acessos durante todo o período regulamentar, e não apenas durante uma janela operacional deslizante.
Desenhar controlos de residência que produzam evidência
- Defina o conjunto de origens aprovadas por nível de classificação dos dados, e não para toda a organização - a maioria das organizações precisa legitimamente de um acesso mais amplo a dados de baixa sensibilidade do que a dados restritos
- Registe cada tentativa de acesso com a respetiva origem e a decisão aplicada, incluindo as permitidas, já que provar uma ausência exige um registo completo e não uma lista de exceções
- Registe explicitamente a via de acesso de emergência (break-glass), com a pessoa que o autorizou e o motivo, porque um acesso transfronteiriço não planeado é um evento operacional normal e fingir o contrário torna o registo menos credível, não mais
- Conserve os registos de origem durante o período regulamentar aplicável aos dados subjacentes, e não durante o prazo de conservação predefinido da sua plataforma de registos
- Torne o registo verificável de forma independente, já que a evidência sobre a origem dos acessos é precisamente a categoria que um regulador tem motivos para encarar com ceticismo quando é a própria organização a produzi-la sobre si mesma
A dimensão do Golfo
Para as organizações que se estão a expandir para os Emirados Árabes Unidos e a Arábia Saudita, a pergunta sobre o acesso tem muitas vezes mais consequências do que a pergunta sobre o armazenamento. As expectativas de localização na região tendem a ser enquadradas em termos de controlo e de jurisdição, e não apenas de localização física, e o teste prático que um regulador aplica incide frequentemente sobre quem consegue chegar aos dados e a partir de onde, e não apenas sobre o centro de dados que os aloja.
As organizações que chegam com uma narrativa de residência assente apenas na região de armazenamento veem a conversa seguir para onde não estavam preparadas. As que chegam com evidência da origem dos acessos veem-na avançar depressa. A nossa análise por jurisdição está em A PDPL dos EAU e o quadro de risco cibernético do ADGM e A PDPL da Arábia Saudita e a SDAIA.
- Pergunte à sua equipa de onde foi acedido, no mês passado, o seu conjunto de dados mais sensível, e veja quanto tempo demora a resposta
- Verifique se os seus registos de acesso incluem as tentativas permitidas ou apenas as bloqueadas
- Confirme o período de conservação dos dados de origem dos acessos face à obrigação de conservação dos próprios dados
- Associe o conjunto de origens aprovadas ao nível de classificação, em vez de aplicar uma única política em todo o lado
As regras de acesso baseadas na origem, com âmbito por nível de classificação e um registo completo das tentativas permitidas e bloqueadas, já estão disponíveis na ROOTKey. Pode configurar uma lista de países permitidos num cofre e ver a vista de tráfego ou ler como os controlos se articulam na página da ROOTKey sobre o RGPD.