Reglementări în cloud: ceea ce trebuie să știți pentru a fi în siguranță

Deoarece adoptarea cloud devine omniprezentă, este mai important ca niciodată ca întreprinderile să înțeleagă reglementările și obligațiile civile asociate cu stocarea de date și aplicații în cloud. Mai mult de 93 la sută dintre companii utilizează cloud în unele moduri, potrivit rezultatelor sondajelor de la Right Scale, o companie de administrare a norului. Dar acele companii care stochează date despre norii publici și hibrizi sunt în special susceptibile la reglementări și penalități în cazul în care se produce o încălcare a datelor sau dacă există timp de inactivitate semnificativ în cloud.

Majoritatea companiilor, în special întreprinderile mici și mijlocii (SMB), semnează acorduri standard de nivel de servicii (SLA) cu furnizorii de cloud. Aceste SLA tind să beneficieze mai mult de vânzător decât de client și, în consecință, limitează daunele pe care le plătesc furnizorii de cloud dacă și când are loc un dezastru.

Pentru a vă ajuta să înțelegeți ce trebuie să știți pentru a fi mai bine pregătiți pentru ramificările legale ale mutării în cloud și pentru a vă ajuta să aflați dacă sunteți protejat dacă ar trebui încălcat cloud public sau hibrid, am compilat această listă de lucruri de luat în considerare.

1. Cine este credibil pentru informațiile clienților după încălcarea datelor?

Să presupunem că stocați toate datele clienților dvs. în cloud-ul unei terțe părți. Dacă un hacker este capabil să încalce acel nor, să-ți fure datele și să-l folosească pentru a-ți face rău clienților, cineva va încheia plătind penalități civile. În funcție de modul de redactare a SLA-ului dvs., vânzătorul dvs. de cloud este probabil să își limiteze daunele la „daune efective”, spre deosebire de „daunele consecințiale” pentru care compania dvs. este probabil responsabilă.

"De obicei, un vânzător își va scrie acordul în așa fel încât răspunderea sa pentru neglijență obișnuită să fie destul de minimă, de obicei limitată la„ daune efective "și adesea limitată la orice sumă a plătit de către vânzător în șase sau 12 luni precedente. ", a declarat Steven Ayr, Business Counsel la Fort Point Legal, o firmă specializată în reprezentarea antreprenorilor și a întreprinderilor mici. "Daunele reale sunt denumite banii pe care clientul i-a plătit pentru serviciul care nu a fost furnizat. Prin limitarea daunelor la„ daune efective ", acordurile elimină posibilitatea ca vânzătorul să poată fi răspunzător pentru" daune consecințe "și alte clase de daune ca pagube punitive ".

Ayr descrie daunele consecințiale ca fiind pierderi financiare care sunt la un pas îndepărtate de la încălcarea sau timpul de întrerupere din cloud. De exemplu, în cazul în care clientul dvs. ar trebui să ofere un volum mare de vânzări prin intermediul platformei dvs. de colaborare online, dar el sau ea nu a putut, deoarece norul a fost stins, veți fi responsabil pentru daunele consecințe ale acestui timp de oprire.

Același lucru este valabil și pentru încălcările de date sau accidentele pure. Majoritatea SLA-urilor limitează daunele pe care vânzătorii de cloud trebuie să le plătească în cazul în care hackerii de elită traversează sisteme de ultimă generație sau dacă un terț taie conexiunea de fibre din afara centrului de date. Doar dacă avocatul dvs. poate dovedi o „neglijență gravă”, vânzătorul va fi în primul rând responsabil pentru obligațiile financiare ale unei catastrofe cloud. Neglijența brută se aplică în mod obișnuit la securitatea slabă sau la acțiunile nefaste intenționate întreprinse de vânzător.

2. Cine este responsabil pentru transmiterea datelor către agențiile guvernamentale?

Chiar dacă s-ar putea să lucrați cu cel mai sigur furnizor de cloud din lume, aceasta nu înseamnă că datele dvs. nu pot fi accesate fără consimțământul dvs. și fără un recurs legal asupra finalului dvs. Deoarece transmiteți datele unui furnizor de cloud, în mod esențial, acordați vânzătorului permisiunea de a da consimțământul acordurilor guvernamentale. Majoritatea SLA-urilor afirmă acest lucru foarte clar și este puțin probabil ca furnizorii mari de cloud, cum ar fi Amazon Web Services (AWS) sau Microsoft Azure, să fie dispuși să își schimbe SLA-ul standard pentru o companie care nu este un cont de balenă albă.

Așadar, dacă ai rezerve extreme cu privire la intruziunea guvernului, probabil că ești mai bine să-ți construiești propriul cloud privat sau să stochezi datele locale. În aceste condiții, veți putea combate mandatul și vă puteți proteja datele clienților. Dar, dacă alegeți să mergeți cu un cloud public sau hibrid, ar fi bine să sperați că furnizorul dvs. vă împărtășește intoleranța pentru Big Brother.

3. Care sunt reglementările specifice cloud în funcție de geografie?

Este suficient de dificil pentru a urmări drepturile dvs. cu privire la modul în care datele dvs. sunt gestionate în SUA. Din păcate, reglementările globale diferă pentru fiecare țară specifică și, în unele cazuri, în cadrul fiecărei jurisdicții din fiecare țară specifică. Dacă sunteți o afacere multinațională cu furnizori de servicii cloud din diferite geografii, sunteți la o durere de cap majoră care încearcă să înțeleagă și să gestioneze reglementările și obligațiile asociate.

Potrivit Ayr, este crucial ca companiile care stochează date la nivel global să lucreze cu avocații pentru a identifica tipurile de date pe care le stochează, geografiile în care acestea stochează datele și care sunt legile specifice din acele jurisdicții.

„Totuși, asta poate fi o muncă lentă, scumpă”, a spus Ayr, pentru că fie veți plăti pe cineva pentru a petrece timpul pentru a cerceta legile mai multor jurisdicții cu care nu sunt familiarizați, angajați un avocat în fiecare jurisdicție care deja cunoaște aceste legi sau angajează un expert foarte scump în materie, care cunoaște deja punctele de interes ale fiecărei jurisdicții."

Din păcate, cel mai simplu și mai rentabil mod de a vă asigura că respectați în cadrul fiecărei jurisdicții este să puneți onus-ul pe furnizorul de servicii. Deoarece furnizorii de servicii la nivel mondial și-au extins deja afacerile și au depus lucrările legale pentru a determina modul în care datele ar trebui gestionate la nivel global, este mai probabil să aibă informații și bune practici.

„La urma urmei, este mult mai ieftin să angajezi un avocat care să revizuiască condițiile de furnizare ale unui furnizor pentru a fi conforme decât să angajezi un avocat pentru a crea termeni care sunt conformi și apoi să îi negocieze cu un furnizor”, a spus Ayr. Dar asta înseamnă, de asemenea, că te bazezi pe SLA-uri și am explorat deja modalitățile importante prin care un SLA poate funcționa în favoarea vânzătorului.

4. De ce ar trebui să vă simțiți stocarea confortabilă a datelor în cloud?

În SUA, majoritatea companiilor sunt protejate de legile privind securitatea datelor care reglementează gestionarea informațiilor de identificare personală (PII). Aceste legi impun vânzătorilor să creeze politici scrise care să conțină strategiile de protecție a datelor și să-i oblige să accepte cel puțin o responsabilitate pentru încălcări și perioade de oprire. În cazul unei încălcări, aceste legi fac, de asemenea, obligatoriu raportarea acesteia către procurorul general. În Massachusetts, de exemplu, această lege se numește 201 CMR 17.00. În California, legea se numește SB 1386. Până în prezent, 47 de state americane au legi similare cu privire la cărți.

Dacă legile nu sunt suficiente pentru a vă pune la dispoziție (și nu ar trebui să fie), există furnizori de cloud care se comercializează ca campioni ai confidențialității și securității. Companii precum furnizorul de servicii de recuperare a dezastrelor (DR) Spider Oak sunt cunoscute sub numele de servicii de cloud cunoștințe zero; acestea criptează datele pe dispozitivele clienților lor înainte de a încărca datele în cloud. Cunoașterea zero înseamnă că Spider Oak și concurenții săi nu se ocupă niciodată de datele decriptate. Această practică îi ajută să limiteze riscul potențial și să nu se pună niciodată într-o poziție în care sunt obligați să predea datele entităților guvernamentale.

„Există un număr mare de riscuri pe care organizațiile le ignoră adesea atunci când migrează sistemele și serviciile către cloud”, a declarat Mike McCamon, președinte și OCM la Spider Oak. "Am rezuma primii patru pentru a fi securitate, confidențialitate, continuitate și control."

"În niciun moment nu avem parola sau o versiune a datelor decriptate", a adăugat McCamon. "Chiar și propriii noștri administratori de sistem nu sunt în stare să știe mai multe despre un client decât volumul de date stocate în sistemul nostru. Singurele date pe care le colectăm despre utilizatori sunt o adresă de e-mail și informații de facturare dacă necesită un plan de servicii."

Indiferent dacă companiile lucrează sau nu cu furnizori mari, cum ar fi Amazon și Microsoft, sau mici furnizori cu cunoștințe zero, cum ar fi Spider Oak, vor continua să utilizeze norul, afirmă Ayr.

"În munca mea cu start-up-urile, nu văd în general afaceri care sunt deosebit de nervoase în ceea ce privește utilizarea cloud", a spus Ayr. „Dacă este ceva, întreprinderile noi, în bine sau mai rău, văd norul la fel de sigur și de nerecomandat ca introducerea documentelor într-un cabinet de înregistrare.”