Security, Legal and Compliance

Transcriptie

1 SharePoint Online Security, Legal and Compliance

2 Voorstellen Harald van Leeuwen IT Consultant EIC Verantwoordelijk voor SharePoint portfolio

3 Inleiding

4 Inleiding Hoe zit het eigenlijk met: Beveiliging Juridische aspecten Compliance

5 Inleiding

6 Disclaimer Ons advies: gaat u gebruik maken van Clouddiensten, ga dan in gesprek met uw bedrijfsjurist en uw IT partner zoals EIC.

7 Iedereen in de wolken

8 Dus ook de zakelijke markt Van CPEX naar OPEX Vereenvoudigd beheer Schaalbaarheid SharePoint Online: Security, Legal and Compliance

9 Maar niet alleen halleluja Bron: cloud computing survey

10 Niet beperkt tot SharePoint Online

11 Niet beperkt tot SharePoint Online

12 Is cloud computing veilig? Zijn de online services van Microsoft veilig? Vragen Gebruikt Microsoft mijn zakelijke informatie om bijvoorbeeld advertenties aan te bieden? Wat is eigenlijk het belang van privacy? Hoe erg is het als gegevens over mijn klanten op straat komen te liggen?

13 Microsoft Cloud Principes 1. Office 365 is configureerbaar, niet customizable 2. Alle diensten vallen onder Microsoft Security Policy 3. Microsoft heeft het recht data te verplaatsen 4. Klanten kunnen geen audit uitvoeren 5. Aansprakelijkheid Microsoft is beperkt 6. Customers must remain current 7. Microsoft can set release timing and retire features 8. Customers need to understand deployment lifecycle

14 Principe #1: Office 365 is configureerbaar, niet customizable Office 365 is niet customizable. Alle Office 365 diensten zijn gelijk voor alle klanten. Min of meer een black box" De voordelen van Office 365 onstaan juist door deze aanpak

15 Principe #2: Alle diensten vallen onder Microsoft Security Policy Security Development Lifecycle Volledige focus op security van ontwerp tot ontwikkeling Belangrijkste beveiligingsprincipes: Waarborgen van vertrouwelijkheid Waarborgen van integriteit Waarborgen van beschikbaarheid

16 Principe #2: Alle diensten vallen onder Microsoft Security Policy Microsoft Privacy Beleid Microsoft realiseert een hoge mate van privacybescherming om te voldoen aan de meeste internationele wetgeving.

17 Principe #2: Alle diensten vallen onder Microsoft Security Policy Microsoft Privacy Beleid: enkele concrete punten Geen vermenging data consumenten en zakelijk gebruikers Data blijft eigendom klant Geen advertentieproducten op basis van gebruikersdata

18 Principe #2: Alle diensten vallen onder Microsoft Security Policy Standaarden IS SAS 70 SSAE (pending) EU Directives ( EU Model Clauses) FISMA (Pending)

19 Principe #2: Alle diensten vallen onder Microsoft Security Policy ISO Informatiebeveiligingscode Diverse controls (processen e.d.) geïmplementeerd Officieel gecertificeerd

20 Principe #2: Alle diensten vallen onder Microsoft Security Policy Data Processing Agreement Privacy, beveiliging en behandeling van klantgegevens in Office 365 Standaardovereenkomst Voldoet aan EU Model Clauses Voldoet aan lokale regelgeving

21 Principe #2: Alle diensten vallen onder Microsoft Security Policy EU Model Clauses Microsoft onderschrijft de EU Model Clauses Klant dus kan voldoen aan de Europese wetgeving Deze EU clausules zorgen voor een strikte privacybescherming

22 Principe #2: Alle diensten vallen onder Microsoft Security Policy Safe Harbor EU richtlijnen: verboden persoonsgebonden data te verplaatsen naar landen met minder stringente privacy wetgeving. VS heeft lagere graad van privacy bescherming Uitzondering: transactie is gelegitimeerd door een erkend mechanise, zoals de Safe Harbor Certification Microsoft certificeert zichzelf elk jaar Maar

23 Principe #2: Alle diensten vallen onder Microsoft Security Policy Microsoft Trust Center

24 Principe #2: Alle diensten vallen onder Microsoft Security Policy Een zorgenkindje

25 Principe #2: Alle diensten vallen onder Microsoft Security Policy Het Nederlandse EPD

26 Principe #2: Alle diensten vallen onder Microsoft Security Policy Patriot Act in praktijk: WikiLeaks

27 Principe #2: Alle diensten vallen onder Microsoft Security Policy Microsoft en de Patriot Act Microsoft zal alleen ingaan op verzoeken als deze verzoeken juridisch onvermijdelijk zijn. Microsoft informeert haar klanten voorafgaand aan het beschikbaar stellen van data aan de overheid. Microsoft beperkt de data die beschikbaar wordt gesteld tot dat wat nodig is in het licht van het verzoek.

28 Principe #2: Alle diensten vallen onder Microsoft Security Policy Een addertje onder het gras

29 Principe #2: Alle diensten vallen onder Microsoft Security Policy Een addertje onder het gras

30 Principe #2: Alle diensten vallen onder Microsoft Security Policy Een addertje onder het gras Wie niets te verbergen heeft, heeft niets te vrezen?

31 Principe #2: Alle diensten vallen onder Microsoft Security Policy De Europese visie (Artikel 29 werkgroep) Klant blijft altijd aansprakelijk Patriot act is altijd van toepassing op cloud service providers in Amerikaans eigendom Een klant zal altijd (1) een data processing agreement moeten tekenen met leverancier die voldoet aan de europese wetgeving en (2) de leverancier moeten auditten om te controleren of hij zijn verplichtingen nakomt Safe harbor is een goed startpunt Safe harbor creëert vals veiligheidsgevoel, het is een vorm van zelfcertificatie

32 Principe #2: Alle diensten vallen onder Microsoft Security Policy De Nederlandse situatie Wet Bescherming Persoonsgegevens Artikel 76/77: data mag niet verplaatst worden naar landen met lagere beschermingsgraad Safe Harbor is van toepassing (artikel 77)

33 Principe #2: Alle diensten vallen onder Microsoft Security Policy De Nederlandse situatie Wet Bescherming Persoonsgegevens Artikel 12/13 en 14: bescherming van gegevens EU Model clauses gaan verder Tekenen van EU Model Clauses is voldoen aan WBP

34 Principe #2: Alle diensten vallen onder Microsoft Security Policy De Nederlandse situatie

35 Principe #2: Alle diensten vallen onder Microsoft Security Policy De Brief van Donner Motie Verburg (Cloud first) Overgenomen door VNG Private cloud only Enigszins achterhaald Whitepaper Ministerie van Veiligheid

36 Principe #3: Microsoft heeft het recht data te verplaatsen Waar is mijn data?

37 Principe #3: Microsoft heeft het recht data te verplaatsen Transparantie Microsoft brengt haar klanten op de hoogte van wijzigingen in de locaties van de datacentra Toegang tot klantgegevens alleen ten behoeve van troubleshooting of om maatregelen tegen malware te nemen. Klantgegevens zijn alleen toegankelijk voor specifiek personeel op uitzonderingsbasis. Locatie is afhankelijk van het verzendadres van de klant. Voor klanten met een verzendadres in Europa kan de data staan in Dublin, Amsterdam of in de Verenigde Staten.

38 Principe #4: Klanten kunnen geen audit uitvoeren Geen mogelijkheden individuele audits Alleen door geselecteerde partijen (Deloitte, DNB) Trusted 3rd party

39 Principe #5: Aansprakelijkheid Microsoft is beperkt Beperkt tot 12 maanden service fee Alleen rechtstreekse schade komt in aanmerking voor vergoeding indien direct te linken aan een actie van Microsoft en te voorzien

40 Microsoft Cloud Principes 1. Office 365 is configureerbaar, niet customizable 2. Alle diensten vallen onder Microsoft Security Policy 3. Microsoft heeft het recht data te verplaatsen 4. Klanten kunnen geen audit uitvoeren 5. Aansprakelijkheid Microsoft is beperkt 6. Customers must remain current 7. Microsoft can set release timing and retire features 8. Customers need to understand deployment lifecycle

41 Geografisch gebonden clouds

42 Samenvattend Kennisgemaakt met diverse aspecten rondom security, wet en regelgeving en compliance rondom cloud computing. Veel haken en ogen zijn Goed vooraf nadenken is belangrijk Tegelijkertijd zien we dat er ook vanuit de wetgever maar ook vanuit de leveranciers aandacht is voor deze issues, helaas loopt de wetgever daarbij niet altijd voorop

43 Links Whitepaper Cloud Computing Ministerie van Veiligheid Microsoft Trust Center Brief van Donner