Zabezpečení dat a ochrana soukromí v digitálních pasech produktů

Bezpečnostní paradox digitálních pasů produktů

Digitální pasy produktů v sobě nesou zásadní rozpor: musí být veřejně přístupné spotřebitelům a regulačním orgánům, a zároveň chránit obchodně citlivé informace o dodavatelském řetězci. Spotřebitel by měl vidět materiálové složení a pokyny k recyklaci, konkurent by však neměl vidět totožnost dodavatelů, nákladové struktury ani vlastní výrobní postupy. Zvládnutí tohoto paradoxu vyžaduje promyšlený, vícevrstvý přístup k zabezpečení dat a řízení přístupu.

Nařízení o ekodesignu udržitelných produktů (ESPR) tento rozpor výslovně uznává. Stanoví různé úrovně přístupu pro různé zúčastněné strany: veřejné údaje dostupné všem, omezené údaje dostupné pouze oznámeným subjektům a orgánům dozoru nad trhem a důvěrné údaje chráněné ustanoveními o obchodním tajemství. Správné zavedení těchto úrovní přístupu je technickou výzvou i právní povinností.

V sázce je hodně. Únik dat, který odhalí totožnost dodavatelů, může podkopat konkurenční výhody budované léta prací na dodavatelském řetězci. Porušení ochrany osobních údajů může vést k donucovacím opatřením podle GDPR s pokutami až do výše čtyř procent celosvětového obratu. A narušení systému, které umožní falšování údajů v pasech, by mohlo umožnit greenwashing ve velkém měřítku a podkopat samotný smysl rámce digitálních pasů produktů.

Klasifikace dat a úrovně přístupu

Účinné zabezpečení digitálních pasů produktů začíná klasifikací dat, tedy určením, které datové prvky jsou veřejné, které omezené a které důvěrné. Tato klasifikace řídí každé následné bezpečnostní rozhodnutí, od řízení přístupu po strategii šifrování.

ESPR stanoví tři úrovně přístupu, které musí systémy digitálních pasů produktů zavést:

• Veřejná úroveň: údaje dostupné komukoli, kdo naskenuje QR kód nebo otevře Digital Link, včetně materiálového složení, údajů o dopadu na životní prostředí, pokynů k opravě a pokynů pro konec životnosti
• Oprávněná úroveň: údaje dostupné pouze ověřeným zúčastněným stranám, jako jsou orgány dozoru nad trhem, celní orgány a oznámené subjekty, které mohou zahrnovat protokoly o zkouškách, podrobnou dokumentaci o shodě a údaje o sledovatelnosti v dodavatelském řetězci
• Důvěrná úroveň: obchodní tajemství, na která může pas odkazovat, ale která prostřednictvím něj nejsou přímo dostupná, například přesná totožnost dodavatelů, vlastní receptury a nákladové informace

Zavedení těchto úrovní vyžaduje robustní systém správy identit a přístupu (IAM). Veřejné údaje se poskytují bez ověření. Oprávněné údaje vyžadují ověření přihlašovacích údajů, přičemž ESPR počítá s federovaným systémem identit, v němž se orgány dozoru nad trhem ověřují prostřednictvím svých vnitrostátních systémů. Důvěrné údaje se přes API digitálního pasu produktu nikdy neposkytují. Pas může místo toho obsahovat metadata, která uvádějí, že důvěrné informace existují, a určují právní základ pro žádosti o přístup.

Klasifikace by se měla uplatňovat na úrovni jednotlivých polí, nikoli celého dokumentu. Jediný pas obsahuje údaje všech tří úrovní a API musí být schopno filtrovat odpověď podle úrovně přístupu žadatele. To znamená, že stejné URI GS1 Digital Link vrací různé údaje podle toho, kdo se ptá. Jde o silnou funkci, kterou je třeba zavést pečlivě, aby nedocházelo k úniku informací.

Šifrování a ochrana dat při přenosu a v klidu

Šifrování je technickým základem ochrany dat v digitálních pasech produktů. Data musí být šifrována jak při přenosu (když se přesouvají mezi systémy), tak v klidu (když jsou uložena v databázích a souborových systémech). Konkrétní požadavky na šifrování se liší podle úrovně klasifikace.

Veškerá data digitálních pasů produktů musí být při přenosu chráněna protokolem TLS 1.3 (nebo minimálně TLS 1.2) se silnými šifrovacími sadami. Hlavičky HSTS by měly vynucovat HTTPS na všech koncových bodech. Připnutí certifikátů může být vhodné pro API spojení mezi stroji důvěryhodných partnerů, i když zvyšuje provozní náročnost rotace certifikátů.

Šifrování v klidu by mělo u databázových polí s omezenými nebo důvěrnými údaji používat AES-256. Klíčová je správa klíčů: šifrovací klíče by měly být uloženy v hardwarovém bezpečnostním modulu (HSM) nebo v cloudové službě pro správu klíčů (KMS), nikdy v konfiguračních souborech aplikace nebo proměnných prostředí vedle šifrovaných dat. Zásady rotace klíčů by měly být stanoveny a automatizovány.

Šifrování na úrovni polí si v systémech digitálních pasů produktů zaslouží zvláštní pozornost. Místo šifrování celé databáze se selektivně šifrují pouze pole klasifikovaná jako omezená nebo důvěrná. Díky tomu mohou databázové dotazy a indexování pracovat s veřejnými poli bez režie dešifrování, a citlivá data zůstávají chráněna i v případě kompromitace databáze. API pasu dešifruje omezená pole pouze při obsluze ověřených požadavků s odpovídajícím oprávněním.

Soulad s GDPR u dat digitálních pasů produktů

Digitální pasy produktů mohou obsahovat osobní údaje nebo na ně odkazovat, čímž vznikají povinnosti podle GDPR. Nejzřejmějším případem je, když údaje v pasu obsahují jména osob podílejících se na vzniku produktu, například řemeslníků, designérů, kontrolorů kvality nebo manažerů dodavatelského řetězce. Osobní údaje se však mohou objevit i méně zřejmým způsobem: IP adresy v přístupových protokolech, e-mailové adresy v záznamech o původu dat, a dokonce i jedinečné identifikátory produktů, které lze propojit s jednotlivými kupujícími.

Soulad s GDPR v systémech digitálních pasů produktů vyžaduje několik konkrétních opatření. Minimalizace údajů vyžaduje, aby pasy obsahovaly pouze osobní údaje nezbytně nutné pro jejich regulační účel. Pokud jméno řemeslníka nevyžaduje akt v přenesené pravomoci podle ESPR, nemělo by být uvedeno, i když by mohlo být obchodně zajímavé. Omezení účelu zajišťuje, že osobní údaje shromážděné pro splnění požadavků na digitální pasy produktů se nepoužijí k marketingu nebo profilování.

Právo na výmaz (právo být zapomenut) představuje pro systémy digitálních pasů produktů zvláštní výzvu. Pokud designér, jehož jméno je uvedeno v pasech produktů, uplatní své právo na výmaz, musí být systém schopen odstranit nebo anonymizovat jeho osobní údaje ve všech dotčených pasech, aniž by byl ohrožen soulad pasů s předpisy. To vyžaduje pečlivou architekturu, která odděluje osobní identifikátory od údajů o shodě.

Se všemi stranami, které zpracovávají data digitálních pasů produktů obsahující osobní údaje, musí být uzavřeny smlouvy o zpracování osobních údajů. To zahrnuje poskytovatele cloudového hostingu, služby CDN, analytické platformy a veškeré nástroje třetích stran v procesu. Smlouva musí uvádět typy zpracovávaných osobních údajů, účely zpracování a zavedená technická a organizační bezpečnostní opatření.

Zabezpečení API a ověřování

API digitálního pasu produktu je hlavní plochou útoku pro škodlivé aktéry. Jeho zabezpečení vyžaduje ochranu do hloubky, tedy více vrstev ochrany, které musí být všechny překonány, aby útok uspěl.

Mechanismy ověřování by měly odpovídat úrovni přístupu. Veřejné koncové body poskytující údaje z pasu spotřebitelům nevyžadují ověření, měly by však zavést omezení počtu požadavků, aby se zabránilo zneužití. Oprávněné koncové body by měly používat OAuth 2.0 s tokeny JWT (JSON Web Tokens), které kódují identitu, organizaci a přístupová oprávnění žadatele. Integrace mezi stroji by měly používat tok OAuth 2.0 s klientskými přihlašovacími údaji a krátkodobými tokeny.

Validace vstupů je nezbytná na každém koncovém bodu API. Všechny parametry dotazu, parametry cesty a těla požadavků musí být validovány podle přísných schémat. U identifikátorů GS1 Digital Link je třeba ověřit formát a správnost kontrolní číslice. Parametry fulltextového vyhledávání by měly být ošetřeny, aby se zabránilo injekčním útokům. API by mělo odmítnout každý požadavek, který neodpovídá zdokumentovanému schématu, a vracet popisné chybové zprávy, které legitimním volajícím pomohou požadavky opravit, aniž by prozradily interní podrobnosti systému.

Mezi další bezpečnostní opatření API patří:

• Omezení počtu požadavků pro každý klíč API s odstupňovanými limity podle úrovně předplatného
• Podepisování obsahu webhooků jako ochrana před manipulací
• Seznamy povolených IP adres pro administrativní koncové body
• Komplexní auditní protokolování všech ověřených volání API
• Konfigurace CORS omezující přístup k API z prohlížeče na oprávněné domény
• Hlavičky Content Security Policy v odpovědích HTML jako ochrana před útoky XSS

Podrobné pokyny k implementaci API najdete v našem průvodci integrací API pro digitální pasy produktů.

Ochrana dat v dodavatelském řetězci

Transparentnost dodavatelského řetězce a ochrana obchodního tajemství se navzájem nevylučují, jejich vyvážení však vyžaduje uvážená architektonická rozhodnutí. ESPR vyžaduje informace o sledovatelnosti, které regulačním orgánům umožní ověřit tvrzení o produktech, nevyžaduje však zveřejnění každého dodavatele v řetězci.

Techniky ochrany dat o dodavatelském řetězci v digitálních pasech produktů zahrnují agregaci (vykazování původu materiálů podle regionů, nikoli podle konkrétních dodavatelů), pseudonymizaci (nahrazení totožnosti dodavatelů konzistentními, ale neprůhlednými identifikátory) a selektivní zpřístupnění (poskytování podrobných informací o dodavatelském řetězci pouze ověřeným regulačním orgánům).

Důkazy s nulovou znalostí představují nový přístup k ověřování dodavatelského řetězce. Výrobce může prokázat, že jeho produkt splňuje určitá kritéria udržitelnosti, například že žádný dodavatel v řetězci není na sankčním seznamu, aniž by odhalil totožnost těchto dodavatelů. Tato technologie sice zatím není podle ESPR povinná, ale s vývojem požadavků na digitální pasy produktů může nabýt na významu.

Praktické zabezpečení dodavatelského řetězce zahrnuje také zajištění ochrany samotných dat, která dodavatelé sdílejí se systémem digitálních pasů produktů. Dodavatelské portály by měly používat silné ověřování, šifrovaná spojení a řízení přístupu na základě rolí. Smlouvy o sdílení dat by měly přesně stanovit, které informace budou zahrnuty do veřejných pasů, aby dodavatelé měli přehled a kontrolu nad tím, jak se jejich data používají.

Reakce na incidenty a řešení úniků dat

I přes nejlepší preventivní opatření může dojít k bezpečnostním incidentům. Nezbytný je komplexní plán reakce na incidenty zaměřený na data digitálních pasů produktů. Plán by měl vymezit role a odpovědnosti, komunikační postupy, technické kroky reakce a požadavky na oznamování regulačním orgánům.

Podle GDPR musí být porušení zabezpečení osobních údajů ohlášeno příslušnému dozorovému úřadu do 72 hodin od zjištění. Pokud porušení představuje vysoké riziko pro fyzické osoby, musí být informováni i dotčení subjekty údajů. U incidentů týkajících se digitálních pasů produktů je třeba zvážit další okolnosti: pokud byly údaje v pasech zfalšovány, musí být informovány orgány dozoru nad trhem, aby mohly posoudit, zda dotčené produkty nepředstavují riziko z hlediska bezpečnosti nebo shody.

Plán reakce na incidenty by měl obsahovat konkrétní postupy pro běžné bezpečnostní scénáře digitálních pasů produktů:

• Neoprávněný přístup k omezeným údajům v pasech: zneplatnit kompromitované přihlašovací údaje, posoudit rozsah úniku dat a informovat dotčené strany
• Falšování údajů v pasech: identifikovat dotčené produkty, vydat opravené pasy a informovat orgány dozoru nad trhem
• Útoky DDoS na infrastrukturu pro vyhledávání pasů: aktivovat ochranu na úrovni CDN, přepnout na záložní infrastrukturu a zachovat službu pro kritické dotazy regulačních orgánů
• Únik dat o dodavatelském řetězci: informovat dotčené dodavatele, posoudit dopad na konkurenceschopnost a zapojit právního poradce k posouzení porušení obchodního tajemství

Pravidelné bezpečnostní audity a penetrační testy by měly ověřovat účinnost bezpečnostních opatření digitálních pasů produktů. Hodnocení by se měla týkat technické infrastruktury i lidských procesů, protože útoky sociálního inženýrství zaměřené na zaměstnance s přístupem k důvěrným údajům v pasech mohou obejít i ty nejsilnější technické kontroly.

Budování bezpečnostní kultury kolem digitálních pasů produktů

Technická bezpečnostní opatření jsou nezbytná, ale bez podpůrné organizační kultury nestačí. Každý, kdo se podílí na správě dat digitálních pasů produktů, od produktových designérů, kteří určují materiály, po IT administrátory spravující infrastrukturu, musí rozumět bezpečnostním důsledkům svých rozhodnutí.

Školení bezpečnostního povědomí by mělo pokrývat scénáře specifické pro digitální pasy produktů: rozpoznávání phishingových pokusů zaměřených na údaje v pasech, porozumění požadavkům na klasifikaci dat a nakládání s nimi, dodržování správných postupů při udělování a odebírání přístupu a včasné hlášení podezřelých bezpečnostních incidentů. Školení by se mělo opakovat každý rok a aktualizovat podle nových hrozeb.

Pro organizace, které budují své schopnosti v oblasti digitálních pasů produktů, obsahuje průvodce vytvořením prvního digitálního pasu produktu základní bezpečnostní hlediska, která je třeba řešit od samého začátku. Dodatečné zabudování zabezpečení do stávajícího systému digitálních pasů produktů je mnohem nákladnější a rušivější než jeho zavedení od začátku.

Zabezpečení není funkce, která se jednou zavede a pak se na ni zapomene. Je to průběžná disciplína, která se musí vyvíjet spolu s hrozbami, regulačním prostředím a ekosystémem digitálních pasů produktů. Organizace, které nyní investují do robustních bezpečnostních postupů, budou lépe připraveny přizpůsobit se, až požadavky na digitální pasy produktů dozrají a objem dat v pasech poroste.