Szyfrowanie jest dziś standardem. Dane na dysku są zaszyfrowane, połączenia są zaszyfrowane, kopie zapasowe też. Mimo to wiele firm nie potrafi odpowiedzieć na proste pytanie: kto ma klucz? Od odpowiedzi zależy, czy szyfrowanie faktycznie chroni dane przed nieuprawnionym dostępem, czy tylko poprawia wynik w audycie.

Szyfrowanie przenosi problem na klucze

Zaszyfrowane dane bez klucza są bezużyteczne. Z kluczem są w pełni czytelne. W praktyce więc ochrona danych sprowadza się do ochrony kluczy: gdzie są przechowywane, kto może ich użyć, kto może je odczytać i co się dzieje, gdy zmienia się dostawca.

Jeśli dostawca chmury szyfruje dane za Ciebie i sam zarządza kluczami, to technicznie nadal może je odszyfrować. Nie musi tego robić, ale może. A to, co dostawca może zrobić, może też zostać od niego zażądane.

Lokalizacja serwerów to za mało

Często słyszymy, że dane „zostają w UE", bo centrum danych stoi we Frankfurcie albo w Warszawie. To ważne, ale nie rozstrzyga, kto sprawuje nad danymi kontrolę. Liczy się nie tylko adres serwerowni, ale też to, pod jaką jurysdykcją działa podmiot, który danymi i kluczami zarządza.

Amerykańska ustawa CLOUD Act z 2018 roku pozwala organom USA żądać danych od dostawców podlegających amerykańskiemu prawu także wtedy, gdy dane są fizycznie przechowywane poza USA. Dla firmy z UE oznacza to napięcie między obowiązkami wynikającymi z RODO a żądaniami, które dostawca może otrzymać z innego porządku prawnego.

Co mówi na ten temat prawo europejskie

Trzy punkty orientacyjne:

  • Wyrok Schrems II (16 lipca 2020). Trybunał Sprawiedliwości UE unieważnił wówczas Privacy Shield i podkreślił, że przekazanie danych do państwa trzeciego wymaga rzeczywiście równoważnego poziomu ochrony, a nie tylko formalnych deklaracji.
  • Zalecenia EDPB 01/2020. Europejska Rada Ochrony Danych opisała środki uzupełniające, w tym szyfrowanie. Szczególnie istotny jest scenariusz, w którym dane są szyfrowane przed przekazaniem, a klucze pozostają wyłącznie pod kontrolą podmiotu w EOG (lub w kraju z decyzją o adekwatności) i dostawca nie ma do nich dostępu.
  • EU-US Data Privacy Framework. Komisja Europejska uznała w 2023 roku, że uczestnicy tego programu zapewniają odpowiedni poziom ochrony. Sąd UE oddalił 3 września 2025 roku skargę Philippe'a Latombe'a przeciwko tej decyzji, ale skarżący odwołał się do TSUE 31 października 2025 roku. Ten spór pokazuje, że ramy prawne dla przekazywania danych do USA nie są rozstrzygnięte raz na zawsze.

Wniosek nie brzmi „nigdy nie używaj dostawców spoza UE". Brzmi: architektura, w której klucze zostają pod Twoją kontrolą, jest odporniejsza na zmiany prawa, niż architektura oparta wyłącznie na zaufaniu do dostawcy.

Pięć pytań do dostawcy, zanim powierzysz mu sekrety

  1. Kto trzyma klucz główny? Czy możesz go wygenerować i przechowywać po swojej stronie? Czy dostawca w ogóle ma technicznie możliwość odszyfrowania Twoich danych?
  2. Gdzie i pod jaką jurysdykcją działa operator? Zapytaj o siedzibę podmiotu, jego spółki-matki i podwykonawców, a nie tylko o lokalizację centrum danych.
  3. Co się dzieje przy żądaniu organu? Czy dostawca ma procedurę, informuje klienta, zaskarża zbyt szerokie żądania? Czy jest w stanie wydać cokolwiek poza danymi zaszyfrowanymi?
  4. Jak wygląda audyt? Czy dostęp do kluczy i sekretów jest rejestrowany, a rejestr możesz odczytać i przechowywać po swojej stronie?
  5. Jak wygląda wyjście? Czy możesz wyeksportować sekrety i klucze w otwartym formacie, bez zależności od jednego dostawcy? Rotacja i odzyskiwanie kluczy to część projektu, nie dodatek.

Czego nie rozwiązuje szyfrowanie

Klucze pod Twoją kontrolą nie zastąpią reszty higieny bezpieczeństwa. Dalej potrzebne są ograniczenie uprawnień, rotacja sekretów, segmentacja środowisk i kontrola dostępu. Dobrze zaprojektowane zarządzanie kluczami po prostu sprawia, że wszystkie te środki opierają się na jednym, możliwym do sprawdzenia fundamencie.

Dlaczego o tym piszemy

Pracujemy nad hiVault, rozwiązaniem do zarządzania sekretami i kluczami, projektowanym w Europie z założeniem, że kontrola nad kluczami ma zostać po stronie klienta. Na tym blogu będziemy opisywać, jak podchodzimy do takich decyzji projektowych, wraz z kompromisami, które się z nimi wiążą. Jeśli chcesz śledzić projekt, odwiedź hivault.eu albo subskrybuj kanał RSS bloga.

Źródła

Ten artykuł ma charakter informacyjny i nie stanowi porady prawnej.