Hvordan bør svenske bedrifter reaksjonere på avvisningen av Privacy Shield? Molneksperten svarer!

Ogiltigføringen av Privacy Shield har vekket mange spørsmål blant svenske selskaper om hvordan man skal håndtere nåværende og fremtidig lagring av personopplysninger i skyen. Derfor har vi spurt vår cloud-ekspert Victor Souza fem spørsmål, som gir konkrete tips om hvordan du, som ansvarlig for IT-arkitektur, bør handle.

– Det største problemet akkurat nå er de juridiske aspektene. Siden GDPR er en bindende lov for alle EU-selskaper, risikerer du å bryte loven hvis du lagrer personopplysninger i amerikanske cloud-tjenester nå som Privacy Shield ikke lenger er tilgjengelig som et sertifikat for godkjent beskyttelsesnivå. Dette kan igjen få alvorlige økonomiske konsekvenser i form av bøter.

– For øyeblikket er den eneste mekanismen som kan brukes for å regulere overføring av data fra EU til USA en eldre mekanisme kalt SCC (Standard Contractual Clauses). Så på kort sikt bør du først og fremst gjøre en grundig gjennomgang av hvor du for øyeblikket lagrer personopplysninger, hvilke selskaper som har tilgang til disse opplysningene, og deretter sikre at de omfattes av en SCC. På lang sikt bør du vurdere hvordan du kan finne en mer bærekraftig løsning for din datalagring. Du må ta hensyn til at den juridiske maktkampen mellom USA og EU sannsynligvis ikke vil avsluttes i løpet av de nærmeste årene.

– Det enkleste svaret er: hold alt relatert til personopplysninger innen EU. På den måten kan du være sikker på at du har høyeste beskyttelsesnivå. Utarbeid deretter et godt gjennomtenkt kravsett, der cloud-leverandørens geografiske beliggenhet innen EU bør være den første kvalifikasjonen. Ha i bakhodet at det er selskapets hjemsted som teller, ikke datacentret sin plassering. Du kan deretter stille krav til sikkerhetsnivå, krypteringsmuligheter, algoritmekraft, håndtering av konfidensialitet, etc.

Ut fra et sikkerhets- og personopplysningshåndteringsperspektiv er det best å bruke en cloud-tjenesteleverandør basert innen EU. I tillegg avhenger det noe av mengden interne ressurser og ekspertise som er tilgjengelig. Hvis du kan håndtere kompleksitet, anbefaler vi å bruke forskjellige cloud-tjenester basert på deres styrker, såkalte hybride cloud-tjenester. Det finnes mange leverandører på markedet, som alle har områder de er gode på og områder som er mindre gode. Du får den beste miks ved å velge en cloud-tjeneste og leverandør basert på den spesifikke oppgaven som skal løses. Hvis du er et mindre selskap med færre interne ressurser, vil jeg anbefale å samle all data på ett sted så langt det lar seg gjøre. Dette unngår kompleksitet.

– Det første tipset er å tenke langsiktig. Når det gjelder lagring, husk at Cloud Act fortsatt gjelder i USA og at politikken deres fortsatt heller mer mot masseovervåkning enn dataintegritet. Så du må være litt smart der! Tips nummer to er å skissere en solid arkitektur. Få hjelp fra din IT-avdeling eller en cloud-ekspert som har gjennomført tidligere cloud-reiser for å for eksempel finne ut hvor mange lag du trenger, hva som bør lagres hvor, hvilke krav du har til ytelse og sikkerhet, etc. Dette gir deg et godt og tydelig bilde av hva du ønsker å oppnå! Mitt tredje tips er å ikke kaste alt i cloud på en gang. Ta det steg for steg. Begynn med å flytte de enkleste delene for å få noen raske gevinster å vise frem innen organisasjonen. Gå deretter videre til de delene som er litt vanskeligere og har større ytelseskrav. Ofte er det ting som må håndteres i sanntid, som streaming, bilde- eller databehandling. Spar det til sist!