Poslužitelj smješten u Europskoj uniji često se tretira kao završeni odgovor na pitanje privatnosti. Za reguliranu organizaciju to nije dovoljno. Zaštita podataka u EU cloudu ovisi o stvarnoj lokaciji obrade, ugovornim odnosima, ovlastima pristupa, sigurnosti ključeva za enkripciju i mogućnosti da sve navedeno dokažete nadzornom tijelu, revizoru ili upravi.
Za zdravstvenu ustanovu, financijsku instituciju, energetsku tvrtku ili pružatelja digitalnih usluga cloud je poslovna infrastruktura, a ne samo tehnološka odluka. U njemu se mogu nalaziti osobni podaci, poslovne tajne, revizijski dokazi, sigurnosni zapisi i dokumentacija koja otkriva kritične procese. Zato odluku o cloudu treba promatrati kroz upravljanje rizikom, GDPR, NIS2 i nacionalne obveze kibernetičke sigurnosti.
EU hosting nije isto što i potpuna kontrola
EU hosting znači da su primarni resursi, primjerice podatkovni centri i produkcijska pohrana, smješteni unutar Europske unije. To u pravilu pojednostavnjuje usklađenost jer se obrada odvija unutar jedinstvenog regulatornog prostora. Ipak, lokacija podatkovnog centra sama po sebi ne potvrđuje da nema prijenosa podataka u treće zemlje.
Prijenos može nastati i kada administratori, korisnička podrška, razvojni tim ili podugovaratelj pristupaju podacima izvan EU-a. Isto vrijedi za sigurnosne alate, telemetriju, sustave za izradu sigurnosnih kopija te AI usluge koje primaju sadržaj dokumenata ili zapisa. Kod procjene dobavljača zato nije dovoljno pitati gdje su podaci pohranjeni. Potrebno je utvrditi tko im može pristupiti, iz koje države, pod kojim uvjetima i s kojim zapisom aktivnosti.
Podatkovni suverenitet ide korak dalje. On se odnosi na sposobnost organizacije da zadrži stvarnu kontrolu nad podacima, pravilima pristupa, enkripcijskim ključevima i životnim ciklusom informacija. U pojedinim sektorima to može značiti zahtjev za lokalno upravljanim ključevima, zasebnim okruženjem ili on-premise implementacijom za najosjetljivije skupove podataka.
Zaštita podataka u EU cloudu počinje klasifikacijom
Niti jedan cloud model nije jednako primjeren za sve podatke. Organizacija prvo mora znati što obrađuje i kakvu bi posljedicu imao gubitak povjerljivosti, integriteta ili dostupnosti pojedinog skupa podataka. Bez klasifikacije, zahtjev za visokom razinom zaštite ostaje općenita namjera koju je teško pretvoriti u konfiguraciju, ugovor ili revizijski dokaz.
U praksi je korisno razlikovati javne informacije, interne radne dokumente, povjerljive poslovne podatke, osobne podatke, posebne kategorije osobnih podataka i sigurnosno osjetljive informacije. Evidencije incidenta, zapisi o ranjivostima, administrativne vjerodajnice i sigurnosne arhitekture zaslužuju posebno strogu zaštitu jer napadaču mogu olakšati daljnji pristup sustavu.
Za svaki skup podataka treba odrediti vlasnika, dopuštenu svrhu obrade, rok čuvanja, osobe i sustave s pravom pristupa te pravila brisanja ili anonimizacije. To je operativna osnova za načelo smanjenja količine podataka iz GDPR-a, ali i za učinkovitiju kontrolu troškova i rizika u cloudu.
Ugovor s pružateljem usluge mora odgovoriti na neugodna pitanja
Ako pružatelj clouda obrađuje osobne podatke u ime organizacije, ugovor o obradi podataka nije administrativna formalnost. Njime se mora jasno definirati predmet i trajanje obrade, kategorije podataka i ispitanika, dokumentirane upute voditelja obrade, obveza povjerljivosti te tehničke i organizacijske mjere zaštite.
Jednako su važne odredbe o podizvršiteljima. Organizacija mora znati tko su oni, za koje usluge se koriste i kako će biti obaviještena o planiranim promjenama. Neodređeno pravo dobavljača da bez jasne obavijesti uključi nove podugovaratelje stvara problem kada se obrađuju osjetljivi podaci ili kada sektor ima dodatne ugovorne zahtjeve.
Ugovor bi trebao urediti i rokove obavještavanja o incidentu, dostupnost logova, pravo na reviziju, postupak povrata podataka po prestanku usluge te provjerljivo brisanje kopija. Ako postoji pristup izvan EU-a, potrebno je procijeniti mehanizam prijenosa, dodatne zaštitne mjere i stvarni rizik povezan s lokalnim propisima treće zemlje. Standardne ugovorne klauzule mogu biti dio rješenja, ali nisu zamjena za procjenu rizika.
Tehničke kontrole koje stvarno smanjuju izloženost
Enkripcija tijekom prijenosa i pohrane danas je osnovno očekivanje. Međutim, vrijednost enkripcije ovisi o upravljanju ključevima. Ako ista osoba ili isti kompromitirani administratorski račun može pristupiti podacima i ključevima, zaštita je slabija nego što dokumentacija sugerira. Za kritične sustave treba razmotriti odvojeno upravljanje ključevima, stroge ovlasti i redovitu provjeru pristupa.
Kontrola identiteta mora se temeljiti na načelu najmanjih ovlasti. Višefaktorska autentifikacija, uloge vezane uz radno mjesto, vremenski ograničene administratorske ovlasti i periodične recertifikacije pristupa smanjuju vjerojatnost zloupotrebe računa. Posebnu pozornost zaslužuju servisni računi i integracije jer često ostaju izvan redovitog pregleda korisničkih ovlasti.
Zapisivanje aktivnosti nije korisno samo nakon incidenta. Logovi pristupa, promjena konfiguracije, izvoza podataka i administrativnih radnji omogućuju rano otkrivanje odstupanja te dokazivanje kontrole. No, logovi moraju imati definirani rok čuvanja, zaštitu od izmjena i odgovornu osobu koja ih redovito pregledava. Prikupljati velike količine zapisa bez postupka nadzora znači stvarati trošak, a ne sigurnost.
Sigurnosne kopije također zahtijevaju zasebnu provjeru. Potrebno je znati gdje se nalaze, jesu li šifrirane, tko im pristupa i koliko se brzo podaci mogu obnoviti. Test vraćanja podataka daje vjerodostojniji dokaz dostupnosti od same izjave dobavljača da backup postoji.
NIS2 i ZKS traže upravljanje, ne samo tehnologiju
NIS2 i hrvatski okvir kibernetičke sigurnosti ne propisuju da svaka organizacija mora koristiti isključivo EU cloud. Oni traže upravljanje rizicima i primjerene mjere, uz odgovornost upravljačkih struktura. To znači da odluka o odabiru cloud pružatelja mora biti dokumentirana, utemeljena na procjeni rizika i povezana s kontinuitetom poslovanja, upravljanjem incidentima i sigurnošću lanca dobave.
Pružatelj clouda dio je dobavljačkog lanca. Organizacija treba procijeniti njegovu sigurnosnu zrelost, financijsku stabilnost, ovisnost o podugovarateljima, sposobnost oporavka od prekida i transparentnost prema korisniku. Kod usluga koje podržavaju ključne poslovne procese treba unaprijed definirati prihvatljivo vrijeme oporavka i prihvatljivi gubitak podataka, a zatim provjeriti može li ih ugovoreni model rada zaista ispuniti.
Rizik nije jednak za svaki sustav. Javna web-stranica, sustav za suradnju i registar pacijenata nemaju istu razinu kritičnosti. Pravilna odluka često je hibridna arhitektura: standardne poslovne funkcije mogu koristiti provjereni EU SaaS, dok se najosjetljiviji podaci zadržavaju u strože kontroliranom okruženju. Ponekad je on-premise model opravdan, ali samo ako organizacija može dugoročno održavati njegovu sigurnost, zakrpavanje i nadzor.
AI funkcionalnosti zahtijevaju dodatnu disciplinu
Korištenje AI alata u cloudu otvara posebno pitanje: što se događa s dokumentima, upitima i metapodacima koji se šalju modelu? Organizacija mora provjeriti koriste li se podaci za treniranje, koliko se dugo čuvaju, u kojem se okruženju obrađuju i tko im može pristupiti. Za regulatornu dokumentaciju i revizijske dokaze prednost imaju rješenja s EU hostingom, internim AI modelima ili jasno odvojenim procesiranjem podataka.
AI može bitno ubrzati analizu dokaza i prepoznavanje neusklađenosti, ali ne uklanja odgovornost vlasnika procesa. Nalaz modela treba provjeriti, osobito kada utječe na procjenu rizika, prioritet aktivnosti ili zakonsko izvješćivanje. Dobra praksa kombinira automatizaciju s jasnim tragom odluke: koji je dokaz analiziran, koji je zaključak predložen i tko ga je odobrio.
Dokazivost je presudna kod nadzora i incidenta
Najčešći problem nije potpuni izostanak mjera, nego nemogućnost da se njihove provedba i učinkovitost brzo pokažu. Politika može propisivati periodični pregled pristupa, ali bez zapisa o izvršenoj provjeri, utvrđenim odstupanjima i korektivnim radnjama organizacija nema potpun dokaz usklađenosti.
Zato cloud kontrole treba povezati s vlasnicima, rokovima, dokazima i statusom provedbe. ITrevizija.hr takav pristup pretvara u operativan proces: dokumentacija, dokazi, procjene, neusklađenosti i planovi aktivnosti nalaze se na jednom mjestu, uz mogućnost kontinuiranog praćenja regulatorne spremnosti. Time uprava dobiva pregled stvarnog stanja, a stručni timovi manje vremena troše na ručno prikupljanje materijala.
Pravilno postavljena zaštita podataka u EU cloudu nije odluka koja se donosi samo pri nabavi usluge. Ona se potvrđuje svakim pregledom ovlasti, izmjenom dobavljača, testom oporavka i zatvorenim nalazom revizije. Kada su te aktivnosti dokumentirane i ponovljive, cloud prestaje biti nepoznata regulatorna izloženost i postaje kontrolirani dio poslovne otpornosti.