Nyheder inden for drift og outsourcing

Transkript

1 Nyheder inden for drift og outsourcing Dias 1 Ny ISO standard for sikkerhed ved behandling af personoplysninger i cloudmiljøer Nyt om pligtmæssig udlevering af personoplysninger til udenlandske myndigheder Nye initiativer om en standard driftsaftale Dias 2 Prøve 1

2 Information technology Security techniques Code of practice for protection of personally identifiable information (PII) in public clouds acting as PII processors Offentliggjort 1. august 2014 Er baseret på ISO Tilgængelig for ISO s hjemmeside (iso.org) mod betaling Dias 3 PII: Personally Identifiable Information Any information that can be used to identify the PII principal to whom such information relates, or (b) is or might be directly or indirectly linked to a PII principal Ikke nødvendigvis helt sammenfaldende med personoplysningsbegrebet i persondataloven og persondatadirektivet Forholdet mellem standarden og den retlige regulering Kravene i standarden er ikke en 1:1 mapning med kravene i persondataloven og persondatadirektivet Fornødne tekniske og organisatoriske sikkerhedsforanstaltninger Dias 4 Prøve 2

3 Består af hoveddokument og annex Hoveddokument: primært organisatoriske og sikkerhedsmæssige krav/standarder Annex: krav til/standard for behandlingen af personoplysninger svarende til det der kendes fra persondatareglerne Dias 5 Emneoversigt hoveddokument Information security policies Organization of information security Human ressource security Asset management Access control Cryptography Physical and environmental security Operations security Communications security System acquisition, development and maintenance Supplier relationships Information security incident management Information security aspects of business continuity management Dias 6 Prøve 3

4 Information security reviews (pkt. 18.2): In cases where individual cloud service customer audits are impractical or may increase risks to security (see 0.1), the public cloud PII processor should make available to prospective cloud service customers, prior to entering into, and for the duration of, a contract, independent evidence that information security is implemented and operated in accordance with the public cloud PII processor s policies and procedures. A relevant independent audit as selected by the public cloud PII processor should normally be an acceptable method for fulfilling the cloud service customer s interest in reviewing the public cloud PII processor s processing operations, provided sufficient transparency is provided. Dias 7 Emneoversigt annex Consent and choice Purpose legitimacy and specification Collection limitation Data minimization Use, retention and disclosure limitation Accuracy and quality Openness, transparancy and notice Individual participation and access Accountability (bl.a. breach notification) Information security Dias 8 Prøve 4

5 God artikel om standarden og dens forhold til persondataretten: Working-Paper-VOL1-N2.pdf Dias 9 Udlevering af personoplysninger til udenlandske (læs: amerikanske) myndigheder Problemstillingen Sondring mellem udlevering og ulovlig udlevering Afgørelse fra US district court af 29. august 2014 Microsoft forpligtet til at udlevere s fra server placeret i Irland i forbindelse med efterforskning af narkokriminalitet i USA efter the Stored Communications Act Amerikanske myndigheder valgte ikke at følge the Mutual Legal Assistance Treaty mellem USA og Irland Microsoft har anket til Court of Appeals Dias 10 Prøve 5

6 Udlevering af personoplysninger til udenlandske myndigheder Tysk initiativ Det tyske indenrigsministeriums Procurement Office har introduceret en erklæring som leverandører i offentlige udbud kan blive afkræver at underskrive i forbindelse med prækvalifikation Leverandøren skal erklære ikke at være underlagt en forpligtelse til at udlevere fortrolige oplysninger, herunder personoplysninger, til tredjeparter Leverandører, der ikke underskriver erklæringen eller som underskriver den mod bedre vidende, bliver ikke prækvalificeret Dias 11 Udlevering af personoplysninger til udenlandske myndigheder EU-initiativer Forordningsudkastet Tidligere art. 42 Parlamentets forslag til art. 43a Art. 29-gruppen, Working Document om elektronisk overvågning mhp. efterretning og national sikkerhed, WP 228, 5. december 2014 Nationale sikkerhedsinteresser for tredjelande udgør ikke en undtagelse til anvendelse af EU persondataretten Ingen af de eksisterende mekanismer for overførsel af data til tredjelande kan nødvendigvis hjemle overførsel ifb. Masseovervågning Safe harbor-ordningen Dias 12 Prøve 6

7 Nyt initiativ om standarddriftsaftale til det danske marked Baggrund Arbejdsgruppe med repræsentanter fra Dansk IT, ITB og Danske IT-advokater Sigter mod driftsaftaler med middel kompleksitet og størrelse dvs. ikke standard cloudaftaler eller meget store driftsaftaler I udgangspunkt tilstræbes agreed document men med mulighed for alternative bestemmelser fra hhv. kunde- og leverandørside Forventet at udkast kan sendes i høring i efteråret 2015 Dias 13 Digitaliseringsstyrelsen statusrapport for statens outsourcede it-drift, første halvår 2014 Behov for større fokus på håndtering af den outsourcede itdrift i staten Tendenser Manglende standarder Forskellige standarder for kontrakterne gør opfølgning ineffektiv og bevirker at væsentlige bestemmelser ikke er til stedet Ringe forudsætning for udnyttelse af faldende priser på markedet Lang løbetid, mangel på prisreguleringsmekanismer og manglende gennemsigtighed i omkostningerne Manglende fokus på optimering Mere fokus på stabil drift end på at udnytte markedssituationen Ringe sammenhæng mellem forretningsbehov og serviceniveau Manglende risikostyring Dias 14 Prøve 7

8 Digitaliseringsstyrelsen statusrapport for statens outsourcede it-drift, første halvår 2014 Forbedringsforslag i rapporten Udarbejdelse af en fællesstatslig standardkontrakt for it-drift Mere fokus på kontrakt- og risikostyring Fokus på de kommercielle dele af kontraktstyringen og potentialet ved at udnytte markedssituationen => Digitaliseringsstyrelsen har besluttet at udarbejde en standard driftsaftale (K04) Dias 15 Prøve 8