Komunikat chmurowy KNF. O co chodzi z przetwarzaniem informacji w chmurze obliczeniowej (Cloud computing)?

Technologia chmury obliczeniowej (ang. cloud computing) to usługa polegająca na możliwości świadczenia cyfrowych usług bez posiadania własnej infrastruktury i oprogramowania. Zarówno software, jak i hardware dostarczane są przez usługodawcę, który gwarantuje również dostęp do chmury (ang. cloud), czyli wirtualnej przestrzeni, gdzie gromadzone są informacje (bazy danych, formularze, pliki).

Chmurę danych najłatwiej porównać do dysku FLASH o dużej pojemności z tą różnicą, że przedsiębiorca korzystający z usług chmurowych nie może dostać się do danych, korzystając ze swoich urządzeń.

Zasadniczą zaletą technologii cloud computing jest:

• decentralizacja danych, które mogą być szybko i bez wysiłku udostępnione wybranym adresatom,

• ochrona danych przed zniszczeniem lub dostaniem się w niepowołane ręce na wypadek kradzieży komputera albo cyfrowego ataku.

Ze względu na kompleksowe rozwiązania chmurowe świadczy się niejako „z zewnątrz”. To dostawca usługi jest odpowiedzialny za utrzymanie integralności danych, ich ochronę, a także zapewnienie sprawnie działających serwerów, które umożliwią dostęp do zasobów w czasie rzeczywistym.

Wyróżnia się kilka rodzajów usług chmurowych, które są dostępne dla różnych grup odbiorców:

• chmura publiczna (ang. public cloud) – dostępna dla użytkowników indywidualnych oraz instytucji. Najczęściej korzystają z nich firmy, które świadczą swoje usługi szerokiemu gronu odbiorców. Z tego względu chmury publiczne są najczęściej łatwe w obsłudze i wyróżniają się przyjaznym interfejsem,

• chmura prywatna (ang. private cloud) – tworzona na potrzeby konkretnej firmy lub instytucji. Wyróżnia się wysokim poziomem bezpieczeństwa, ale wymaga poniesienia znacznych kosztów związanych z utworzeniem odpowiedniej infrastruktury oraz wyszkoleniem kadry,

• chmura hybrydowa (ang. hybrid cloud) – łączy sobie zalety chmury publicznej i prywatnej. Dostęp do niej jest łatwy, ale dane są przechowywane na zabezpieczonych, prywatnych serwerach. Chmury hybrydowe wybierają firmy, które dywersyfikują potrzeby swoich klientów na bardziej i mniej złożone, ponieważ usługę łatwo dopasować do konkretnych sytuacji.

Podział na rodzaje chmur w kontekście komunikatu KNF jest o tyle istotny, że zawarte w nim wytyczne stosuje się wyłącznie do chmur publicznych oraz hybrydowych, w zakresie, w jakim stanowią chmurę publiczną.

Gdzie stosuje się cloud computing?

Świadczenie usług poprzez cyfrową chmurę danych jest popularne we wszystkich sektorach gospodarki, gdzie liczy się szybki dostęp do usługi. Z cloud computing korzystają dostawcy streamowanych mediów, usług biurowych czy telekomunikacyjnych. Eksploatują ją także:

• banki,

• inne instytucje finansowe (np. fintechy),

• zakłady ubezpieczeń.

Właśnie w przypadku tych kilku ostatnich kategorii podmiotów kluczowe staje się wprowadzenie odpowiednich standardów świadczenia usług i bezpieczeństwa. W tym celu powstają komunikaty chmurowe KNF.

Jaka jest funkcja komunikatu chmurowego KNF?

Komisja zwróciła uwagę, że przedmiotem cyfrowego outsourcingu jest coraz więcej danych prawnie chronionych (np. objętych tajemnicą bankową). Nie ma niestety jednolitego standardu zarządzania takimi informacjami, co potencjalnie rodzi ryzyko utraty kontroli nad wrażliwymi danymi w całym sektorze.

Wszystkie postanowienia komunikatu powinny być stosowane wprost, chyba, że dany podmiot podlega regulacjom szczególnym (np. Rekomendacji-D lub D-SKOK odpowiednio dla banków lub SKOK-ów). W takim przypadku komunikat chmurowy powinien być traktowany jako rozwinięcie i uszczegółowienie partykularnej regulacji.

Każdy z podmiotów nadzorowanych ma obowiązek dostosować swój schemat postępowania do modelu referencyjnego ustanowionego przez komunikat. Dokument obliguje także do informowania KNF o zamiarze przetwarzania informacji w usługach chmury obliczeniowej z odpowiednim wyprzedzeniem. Oznacza to, że wymiana informacji w tym przedmiocie musi być zrealizowana przed rozpoczęciem przetwarzania (a nie już po fakcie).

W celu wdrożenia wytycznych zawartych w komunikacie chmurowym KNF warto skorzystać z pomocy prawników wyspecjalizowanych w prawie nowych technologii. Głębokie zrozumienie przepisów oraz znajomość zasad rządzących środowiskiem IT pozwala na stworzenie realnie działających procedur.

Co składa się na model referencyjny KNF?

Aby ujednolicić korzystanie z usług cloud computing, KNF stworzył model referencyjny. Został on oparty na określeniu:

• odpowiedniego stosowania wytycznych,

• klasyfikacji i zastosowania informacji,

• szacowania ryzyka,

• minimalnych wymagań dla przetwarzania informacji w chmurze obliczeniowej,

• zasad informowania KNF o zamiarze przetwarzania danych.

Na czym polega odpowiednie stosowanie wytycznych KNF?

KNF podkreśla, że nadrzędnym celem każdego podmiotu stosującego komunikat powinno być zapewnienie bezpieczeństwa przetwarzania danych oraz dokonywania tego w zgodzie z przepisami prawa.

Jednocześnie dopuszcza się zasadę proporcjonalności, która zakłada, że mniejsze podmioty (takie, które dysponują mniejszymi środkami finansowymi lub technologicznymi) mogą wdrażać mniej efektywne zabezpieczenia.

Klasyfikacja i zastosowanie informacji

Każdy podmiot samodzielnie dokumentuje klasyfikację informacji z uwzględnieneim podziału na informacje prawnie chronione (na mocy komunikatu i przepisów prawa powszechnego oraz pozostałe) kierując się:

• zgodnością z wymaganiami prawnymi oraz zobowiązaniami umownymi,

• zakresem, rodzajem i ważnością informacji,

• wartością informacji dla podmiotu.

Przy ocenie informacji należy wziąć pod uwagę skalę prowadzonej działalności, odpowiedzialność za przetwarzanie danych informacji oraz przyjęte standardy, jeżeli takie obowiązują dla danej grupy podmiotów.

Ponowna ocena metod przetwarzania informacji powinna być przeprowadzona nie rzadziej niż raz w roku, a także za każdym przypadkiem, gdy:

• przetwarzany jest nowy rodzaj informacji,

• podmiot korzysta z nowej usługi chmury obliczeniowej,

• dochodzi do zmiany przepisów lub umów, które mogą wpłynąć na zgodność przetwarzania z wytycznymi,

• podmiot znacząco zmniejsza albo zwiększa skalę przetwarzania informacji,

• przetwarzana informacja zyskuje znacząco większą wagę.