Articolul 14
Securitatea datelor și a sistemelor
Art. 14 din NORMĂ nr. 33 din 12 august 2020 privind externalizarea către furnizorii de servicii de tip cloud
(1) Societatea se asigură că furnizorii de servicii de tip cloud respectă prevederile legale, precum și standardele corespunzătoare de securitate TIC.
(2) În cazul externalizării unor funcții sau activități operaționale critice sau semnificative către furnizori de servicii de tip cloud, societatea prevede în acordul de externalizare inclusiv cerințe specifice de securitate a informațiilor și monitorizează periodic respectarea acestor cerințe.
(3) În vederea respectării alin. (2) , societatea ține cont de responsabilitățile sale și de cele ale furnizorului de servicii de tip cloud, iar prin abordarea bazată pe riscuri:
a) convine asupra repartizării clare a rolurilor și responsabilităților între furnizorul de servicii de tip cloud și societate în legătură cu funcțiile sau activitățile operaționale afectate de externalizarea în cloud;
b) stabilește și decide asupra nivelului adecvat de protecție a datelor confidențiale, asupra continuității activităților externalizate și asupra integrității și trasabilității datelor și sistemelor în contextul externalizării în cloud vizate;
c) ia în considerare măsuri specifice atunci când este necesar pentru datele aflate în tranzit, datele din memorie și datele în repaus, cum ar fi utilizarea tehnologiilor de criptare în combinație cu o arhitectură de management adecvat al cheilor;
d) ia în considerare mecanismele de integrare a serviciilor cloud în sistemele proprii, de exemplu, interfețele de programare a aplicațiilor și un proces adecvat de management al accesului și utilizatorilor;
e) asigură contractual că disponibilitatea traficului de rețea și capacitatea preconizată îndeplinesc cerințe stricte în ceea ce privește continuitatea, dacă sunt aplicabile și fezabile;
f) definește și introduce cerințe corespunzătoare în ceea ce privește continuitatea, asigurând niveluri adecvate de calitate la fiecare nivel al lanțului tehnologic, dacă este cazul;
g) asigură un proces adecvat și bine documentat de management al incidentelor, cu responsabilitățile aferente, de exemplu, prin elaborarea unui model de cooperare în caz de incidente reale sau preconizate;
h) adoptă o abordare bazată pe riscuri privind locația/locațiile de stocare și de prelucrare a datelor, cum ar fi statul sau regiunea, incluzând considerații privind securitatea informațiilor;
i) monitorizează respectarea cerințelor referitoare la aplicarea efectivă și eficientă a mecanismelor de control implementate de furnizorul de servicii de tip cloud care ar minimiza riscurile legate de serviciile furnizate.