Modul 7 · 7.2
Bedöma leverantörer och molntjänster
Modul 7: Åtkomst, leverantörer och moln · Lästid: 11 minuter
Lärandemål: Efter den här lektionen kan du bedöma en leverantör eller molntjänst utifrån säkerhet, integritet och exit, förklara vad ett biträdesavtal enligt GDPR måste reglera, och föra en leverantörsinventering.
Nyckelbegrepp: delat ansvar, personuppgiftsbiträde, biträdesavtal, underbiträde, var uppgifterna lagras, certifiering (till exempel ISO 27001), exitstrategi, leverantörsinventering
Din säkerhet är bara så stark som dina leverantörer
Ett litet företag har sällan egna servrar. E-posten körs hos en leverantör, bokföringen i ett onlinepaket, webbutiken på en plattform, bärbara datorer hanteras av ett IT-företag och löneadministrationen sköts via en redovisningsbyrå. Det är klokt: dessa parter kan ofta hantera säkerhet bättre än du själv skulle kunna. Men det betyder också att en stor del av din säkerhet ligger i andras händer.
Rita upp det för dig själv. Sätt ditt företag i mitten och dra en linje till varje part som lagrar uppgifter om dig eller har åtkomst till dina system. Ställ två frågor vid varje linje:
- Vad händer om den parten försvinner? Ett avbrott, en konkurs, en prishöjning som gör att du vill byta.
- Vad händer om den parten läcker? Ett intrång hos leverantören, en medarbetare som kan se för mycket, ett konto hos IT-företaget som tas över.
Delat ansvar
I lektion 6.1 såg du redan modellen med delat ansvar: leverantören av en molntjänst ansvarar för datacentret, servrarna och att mjukvaran fungerar; du förblir ansvarig för dina uppgifter, dina konton och dina inställningar. Microsoft skriver uttryckligen i sin dokumentation att det gäller för alla typer av molntjänster, även färdig programvara.
Vad det innebär i praktiken:
| Det leverantören oftast sköter | Det du alltid sköter själv |
|---|---|
| Fysisk säkerhet i datacentret | Vem som har ett konto och med vilka rättigheter (lektion 7.1) |
| Uppdateringar av servrar och programvara | Aktivera och använda tvåfaktorsautentisering (2FA) |
| Tillgänglighet enligt avtal | Vad du delar och med vem (lektion 7.3) |
| Säkerhetskopior för nödsituationer (om det är avtalat) | En egen säkerhetskopia eller export av sånt du verkligen inte får förlora (modul 6) |
Ett vanligt misstag är att anta att leverantören sköter något som du aldrig har frågat om. Fråga därför.
Personuppgiftsbiträde och biträdesavtal
Så snart en leverantör behandlar personuppgifter åt dig gäller reglerna i GDPR. Tänk på kunduppgifter i din webbutik, e-post med namn och adresser, löneuppgifter eller molnlagring med cv:n från jobbsökande.
- Du är personuppgiftsansvarig: du bestämmer varför och hur uppgifterna används.
- Leverantören är ett personuppgiftsbiträde: den behandlar uppgifterna på ditt uppdrag, för dina syften.
Artikel 28 i GDPR säger att du bara får använda biträden som ger tillräckliga garantier för lämpliga tekniska och organisatoriska åtgärder. Avtalet skriver du ner i ett biträdesavtal, skriftligt (elektroniskt är tillåtet). Enligt artikel 28.3 ska avtalet i alla fall reglera föremålet, varaktigheten, arten och syftet med behandlingen, vilka typer av personuppgifter och registrerade det gäller, och att biträdet:
- bara agerar på dina skriftliga instruktioner;
- ser till att dess personal iakttar tystnadsplikt;
- vidtar de säkerhetsåtgärder som anges i artikel 32;
- bara anlitar ett underbiträde med ditt godkännande, under samma skyldigheter;
- hjälper dig när personer utövar sina rättigheter till integritet (tillgång, rättelse, radering);
- hjälper dig med säkerhet, personuppgiftsincidenter och en eventuell konsekvensbedömning (artiklarna 32 till 36);
- efter avslutat uppdrag raderar eller återlämnar uppgifterna och tar bort kopior, enligt ditt val;
- ger dig den information du behöver för att kontrollera att avtalet följs, och möjliggör revisioner.
Ett underbiträde är en part som ditt biträde i sin tur anlitar, till exempel datacentret hos ditt webbhotell eller e-posttjänsten i ditt bokföringspaket. GDPR säger att biträdet förblir fullt ansvarigt gentemot dig om ett underbiträde inte uppfyller sina skyldigheter. Fråga efter listan över underbiträden.
Integritetsskyddsmyndigheten (IMY) rekommenderar att göra avtalet konkret, i stället för att bara upprepa lagtexten, och att fastställa hur snabbt och med vilken information leverantören informerar dig om en personuppgiftsincident. Det sistnämnda är viktigt: i lektion 8.2 ser du att du måste anmäla inom 72 timmar, och den klockan börjar löpa först när du känner till incidenten.
Många leverantörer har ett standardbiträdesavtal. Läs det, och kontrollera om det verkligen måste undertecknas eller godkännas: hos vissa leverantörer gäller det inte automatiskt.
Den här lektionen ger en allmän förklaring och är inte juridisk rådgivning. Den fullständiga texten finns i GDPR på eur-lex.europa.eu.
Frågor att ställa till en leverantör
En bedömning behöver inte vara en revisionsrapport på fyrtio sidor. För ett litet företag fungerar en fast frågelista bra. Svaren finns ofta redan på leverantörens webbplats, på en säkerhetssida eller i en lista med vanliga frågor.
| Ämne | Fråga |
|---|---|
| Plats | Var lagras mina uppgifter, även säkerhetskopiorna? Går de till länder utanför Europeiska ekonomiska samarbetsområdet? |
| Åtkomst | Kan jag tvinga fram tvåfaktorsautentisering för alla mina användare? Kan jag ge användare egna rättigheter? |
| Säkerhetskopia | Tar leverantören säkerhetskopior, hur ofta, hur länge sparas de, och kan jag själv återställa? |
| Kryptering | Är uppgifterna krypterade under överföring och på disk? |
| Personuppgiftsincident | Hur snabbt och hur informerar leverantören mig vid en incident? |
| Underbiträden | Vilka parter anlitar leverantören, och hur får jag veta om ändringar? |
| Certifiering | Finns det ett certifikat, till exempel ISO 27001, och vad gäller det för? |
| Exit | Kan jag exportera alla mina uppgifter i ett användbart format? Vad händer med mina uppgifter efter uppsägning? |
Om certifiering: ISO/IEC 27001 är en internationell standard med krav för ett ledningssystem för informationssäkerhet. ISO certifierar inte själv; det gör ett oberoende certifieringsorgan. Ett certifikat visar att en organisation hanterar sin säkerhet systematiskt, men det garanterar inte att inget någonsin händer. Titta särskilt på tillämpningsområdet på certifikatet: gäller det för tjänsten du använder, eller bara för ett kontor eller en avdelning?
Exit: att kunna lämna är också säkerhet
En exitstrategi är din plan för att lämna en leverantör, tvingad eller frivilligt. Det låter som något för framtiden, men det måste ingå redan när du väljer: om du först vid en konkurs upptäcker att du inte kan exportera ditt kundregister är det för sent.
Kontrollera därför i förväg:
- om du kan exportera alla uppgifter, och i vilket format (ett öppet format som CSV, standard-e-post eller vanliga filer är bättre än ett eget format);
- hur länge dina uppgifter är tillgängliga efter uppsägning;
- om ditt domännamn står i ditt eget namn och du själv kan ändra nameservrarna (lektion 4.3);
- om du själv behåller en aktuell export, som en del av din säkerhetskopiering (lektion 6.1).
Leverantörsinventeringen
Dokumentera allt i en leverantörsinventering: en tabell med per leverantör tjänsten, vilka uppgifter som lagras, om det är personuppgifter, om det finns ett biträdesavtal, vem som är ägare hos dig, de viktigaste svaren från frågelistan och exitmöjligheten. Gå igenom den en gång om året, och när en ny tjänst tillkommer.
Om någon av dina kunder omfattas av cybersäkerhetslagen (2025:1506) (lektion 9.1) kan du förvänta dig att den kunden kommer att ställa den här typen av frågor till dig som leverantör. Med en egen inventering har du svaren klara.
I praktiken: så här ser det ut
Många leverantörer lägger svaren på dessa frågor på en säkerhetssida. I exempelmiljön WebOké beskriver exempelvis Nextcloud-manualen vad leverantören sköter och vad användaren gör själv: var uppgifterna lagras, kryptering under överföring och på diskarna, obligatorisk tvåfaktorsautentisering, uppdateringar och säkerhetskopior, och att du för affärsmässig användning med personuppgifter tecknar ett biträdesavtal. Den indelningen (vad sköter leverantören, vad gör jag själv) är exakt det du letar efter hos varje leverantör. Hos andra leverantörer står det ofta i ett trust center, på en säkerhetssida eller i villkoren; står det inte där, fråga då.
Sammanfattning
- Rita upp dina leverantörer och fråga vid varje linje: vad händer om den försvinner, vad händer om den läcker?
- Delat ansvar: leverantören sköter infrastrukturen, du sköter dina uppgifter, konton och inställningar.
- Behandlar en leverantör personuppgifter åt dig är den ett personuppgiftsbiträde, och du tecknar ett biträdesavtal enligt GDPR artikel 28.
- Använd en fast frågelista: plats, åtkomst, säkerhetskopia, kryptering, personuppgiftsincident, underbiträden, certifiering, exit.
- Ett certifikat säger något, men kontrollera tillämpningsområdet; ordna din exit innan du behöver den.
Quiz
Uppgift
Uppgift D7.2: Din leverantörsinventering. Gör en tabell över dina fem viktigaste leverantörer och molntjänster. Fyll i för varje leverantör vilka uppgifter som lagras, om det är personuppgifter, om det finns ett biträdesavtal, och ta reda på svaren på frågelistan från den här lektionen (plats, tvåfaktorsautentisering, säkerhetskopia, personuppgiftsincident, underbiträden, certifiering, exit). Försök att verkligen göra en export hos minst en tjänst.
Uppgift D7.2: Din leverantörsinventering
Så här gör du: (1) Rita ditt företag i mitten med linjer till varje part som lagrar dina uppgifter eller har åtkomst till dina system. (2) Välj de fem viktigaste och gör en tabell med: tjänst, vilka uppgifter, personuppgifter (ja/nej), personuppgiftsbiträdesavtal (ja/nej/inte nödvändigt), ägare hos dig, och svaren på frågelistan från lektion 7.2: var uppgifterna och säkerhetskopiorna lagras, om tvåfaktorsautentisering kan tvingas fram, säkerhetskopiering och att själv återställa, kryptering, hur snabbt du informeras vid en personuppgiftsincident, underleverantörer, certifiering med tillämpningsområde, export och vad som händer efter uppsägning. (3) Leta först upp svaren i dokumentationen, säkerhetssidan eller villkoren hos leverantören. Notera källan. Står det inte där, ställ frågan till leverantören och notera svaret. (4) Kontrollera för varje leverantör som behandlar personuppgifter åt dig om det finns ett personuppgiftsbiträdesavtal, och om det måste accepteras eller undertecknas. (5) Gör hos minst en tjänst en riktig export av dina uppgifter och se om du kan öppna den. (6) Skriv hos den viktigaste tjänsten i tre meningar din exitplan: vart du flyttar, hur du får med dig dina uppgifter, hur lång tid du har på dig.
Dina bockar och anteckningar sparas bara i den här webbläsaren; vi skickar dem ingenstans. Är du inloggad sparar vi i Mina kurser bara att du har gjort uppgiften.
Läs mer
Stegen i WebOké-artiklarna gäller för WebOkés miljö; hos andra leverantörer fungerar det liknande eller annorlunda.
- Nextcloud-guide 3.1: Hur skyddar WebOké din Nextcloud?
- Nextcloud-guide 15.13: Vanliga frågor om säkerhet och integritet
- GDPR (förordning (EU) 2016/679), artikel 28: https://eur-lex.europa.eu/eli/reg/2016/679/oj
- Microsoft, Shared responsibility in the cloud (på engelska): https://learn.microsoft.com/en-us/azure/security/fundamentals/shared-responsibility