Monarx a dane i prywatność – jakie informacje są analizowane i gdzie są przetwarzane?

Monarx chroni strony internetowe i konta hostingowe przed złośliwym oprogramowaniem. W tym celu analizuje przede wszystkim metadane plików i informacje o zdarzeniach bezpieczeństwa. Nie oznacza to kopiowania całej zawartości konta hostingowego na zewnętrzne serwery. Gdy konkretny plik wymaga pogłębionej analizy, jego zawartość może jednak zostać przekazana do infrastruktury Monarx. Wyjaśniamy, jakie dane są przetwarzane, kiedy mogą zawierać dane osobowe i jak regulowane są zasady ich ochrony.

Techniczny sposób wykrywania zagrożeń opisujemy osobno w poradniku Monarx w SEOHOST – jak działa ochrona przed malware?. Tutaj skupiamy się na prywatności, miejscu przetwarzania informacji oraz zasadach wynikających z dokumentacji producenta i umowy DPA.

• Jakie informacje Monarx przetwarza podczas ochrony strony?
• Kiedy plik może trafić poza infrastrukturę SEOHOST?
• Dane osobowe, adresy IP i telemetria bezpieczeństwa
• Gdzie dane są przetwarzane i kto odpowiada za ich ochronę?
• Monarx, dane i prywatność – najważniejsze informacje

Zakres przetwarzania zależy od rodzaju danych oraz charakteru zdarzenia. Informacje techniczne opisujące plik nie są tym samym co jego pełna zawartość. Zasady przekazywania i przechowywania danych określają dokumentacja producenta oraz umowa DPA.

Jakie informacje Monarx przetwarza podczas ochrony strony?

Stwierdzenie, że Monarx „przesyła dane do chmury”, jest zbyt ogólne i może sugerować znacznie szerszy zakres działania, niż ma to miejsce w rzeczywistości. Trzeba rozróżnić informacje techniczne opisujące plik, zawartość konkretnego pliku wymagającego dodatkowej analizy oraz dane związane z wykrytym lub podejrzanym ruchem sieciowym.

Monarx Agent identyfikuje pliki na podstawie ich właściwości, w tym hasha SHA256 (cyfrowego odcisku zawartości). Pozwala to porównywać pliki z wcześniej rozpoznanymi obiektami bez konieczności przesyłania każdego z nich w całości. Takie metadane pomagają ustalić, czy plik wymaga dokładniejszej weryfikacji.

Kiedy plik może trafić poza infrastrukturę SEOHOST?

Nie każdy skanowany plik jest przesyłany w całości do Monarx. W pierwszym etapie Agent przekazuje informacje potrzebne do jego identyfikacji i klasyfikacji. Jeśli plik jest już znany i system dysponuje wystarczającymi informacjami na jego temat, przesyłanie pełnej zawartości nie jest potrzebne.

Inaczej wygląda sytuacja, gdy pojawia się plik nowy, nietypowy albo posiadający cechy, które mogą wskazywać na związek ze złośliwym oprogramowaniem. Monarx może wtedy pobrać jego kopię do pogłębionej analizy. Przy podejmowaniu takiej decyzji znaczenie może mieć również kontekst, np. obecność innych złośliwych plików albo informacje zebrane przez mechanizmy ochrony działające podczas wykonywania PHP.

W uproszczeniu proces można przedstawić następująco: plik na serwerze → analiza metadanych → klasyfikacja → w razie potrzeby pogłębiona analiza konkretnego pliku.

Pełny plik nie jest więc wysyłany dlatego, że znajduje się na koncie klienta, lecz dlatego, że wymaga dokładniejszej analizy związanej z bezpieczeństwem. To jeden z elementów, który pozwala Monarx rozpoznawać również nowe odmiany malware, a nie tylko zagrożenia znajdujące się już na znanej liście sygnatur.

Więcej o samym mechanizmie wykrywania i reagowania na zagrożenia opisujemy w artykule Co oznaczają zdarzenia i blokady widoczne w Monarx?.

Dane osobowe, adresy IP i telemetria bezpieczeństwa

Plik przekazany do pogłębionej analizy może incydentalnie zawierać dane osobowe. Monarx nie poszukuje takich informacji i nie jest to cel działania systemu – analizowany jest kod oraz inne cechy potrzebne do stwierdzenia, czy dany plik jest bezpieczny. Nie da się jednak zagwarantować, że w pliku konfiguracyjnym, logu, kopii zapasowej czy innym analizowanym materiale nigdy nie znajdą się informacje dotyczące konkretnej osoby.

Dotyczy to również plików takich jak eksporty, kopie baz danych zapisane na dysku, pliki konfiguracyjne czy logi, jeżeli znajdują się w zakresie objętym skanowaniem.

Różnicę między analizą plików a ochroną innych zasobów wyjaśniamy w artykule Co obejmuje ochrona Monarx i czego nie skanuje?.

Plik nie jest przed wysłaniem automatycznie anonimizowany ani „czyszczony” ze wszystkich danych osobowych. Według informacji przekazanych przez producenta taka ingerencja mogłaby utrudnić analizę malware, zmienić strukturę pliku albo wpłynąć na możliwość jego późniejszego bezpiecznego odtworzenia. Jeżeli dane osobowe zostaną przekazane incydentalnie i rozpoznane jako takie, umowa DPA przewiduje ich usunięcie. W przypadku ręcznej analizy Monarx deklaruje również usuwanie zidentyfikowanych informacji osobowych lub wrażliwych tam, gdzie jest to wykonalne.

Czy adres IP jest daną osobową?

Tak – w określonych okolicznościach adres IP może stanowić daną osobową w rozumieniu RODO. Jednocześnie w systemie bezpieczeństwa jest przede wszystkim informacją techniczną pozwalającą określić źródło konkretnego żądania kierowanego do serwera.

W przypadku ThreatShield analizowane mogą być m.in. adres IP, URL, nagłówki HTTP, User-Agent, parametry zapytania, dane POST czy informacje o plikach będących celem żądania. Dane te są przetwarzane lokalnie, natomiast jeżeli zdarzenie zostanie zakwalifikowane jako złośliwe lub potencjalnie złośliwe, związana z nim telemetria może zostać przekazana do infrastruktury Monarx. Według deklaracji producenta znane pola zawierające dane uwierzytelniające są sanitizowane lub redagowane.

Informacje dotyczące adresów IP służą m.in. do rozpoznawania powtarzających się źródeł złośliwego ruchu i budowania reputacji IP. Dlatego m.in. adres widoczny w panelu Monarx Security przy zablokowanym zdarzeniu należy przede wszystkim interpretować jako element raportu bezpieczeństwa, a nie informację o osobie, którą system próbuje zidentyfikować.

W umowie DPA osobno opisano także cross-customer security telemetry, czyli informacje o zagrożeniach wykorzystywane szerzej do utrzymywania skuteczności mechanizmów detekcji. Mogą do nich należeć m.in. sygnatury malware, hashe plików oraz dane związane z reputacją adresów IP.

Gdzie dane są przetwarzane i kto odpowiada za ich ochronę?

Monarx korzysta z własnych rozwiązań oraz zewnętrznych dostawców infrastruktury potrzebnej do przechowywania, analizowania i obsługi informacji związanych z bezpieczeństwem. Nie oznacza to, że każdy z wymienionych dostawców otrzymuje pełną zawartość plików klientów. Zakres zależy od roli, jaką dana usługa pełni w całym procesie.

Pełny plik wymagający pogłębionej analizy może trafić m.in. do Amazon S3 lub Backblaze B2. Nie należy jednak rozumieć tego jako automatycznego przesyłania wszystkich plików klienta do AWS czy innego dostawcy. Mówimy o konkretnych plikach wybranych przez mechanizm bezpieczeństwa do dalszej analizy.

Monarx jako „dalszy podmiot przetwarzający”

W zakresie podstawowej usługi anty-malware Monarx pełni rolę dalszego podmiotu przetwarzającego, określanego również jako subprocesor. Oznacza to, że SEOHOST korzysta z Monarx przy realizacji części usługi związanej z ochroną infrastruktury i stron klientów.

RODO dopuszcza korzystanie z dalszego podmiotu przetwarzającego pod warunkiem spełnienia wymagań dotyczących powierzenia danych, odpowiednich zabezpieczeń oraz uregulowania wzajemnych obowiązków. W naszym przypadku zakres i zasady współpracy zostały określone w DPA.

Osobno uregulowana została wspomniana wcześniej zbiorcza telemetria bezpieczeństwa. W tym zakresie DPA określa inne role stron, ponieważ informacje o rozpoznanych zagrożeniach mogą być wykorzystywane do rozwijania wspólnego mechanizmu detekcji także dla innych chronionych środowisk.

Czy dane mogą być przetwarzane poza Europejskim Obszarem Gospodarczym?

Tak. Część danych potrzebnych do świadczenia usługi może być przetwarzana poza Europejskim Obszarem Gospodarczym, w tym w Stanach Zjednoczonych. Nie oznacza to jednak, że taki transfer odbywa się poza regulacjami dotyczącymi ochrony danych.

Z punktu widzenia danych osobowych podstawowym punktem odniesienia jest tutaj RODO. W przypadku transferów do państw trzecich przewiduje ono mechanizmy pozwalające zapewnić wymagany poziom zabezpieczeń. DPA dotyczące Monarx wykorzystuje m.in. SCC (Standard Contractual Clauses – standardowe klauzule umowne), czyli jeden z instrumentów przewidzianych dla takich transferów.

Kluczowe nie jest samo stwierdzenie, że dane mogą opuścić serwer lub EOG, lecz to jakie dane są przekazywane, w jakim celu, komu, przez jaki czas i na jakich zasadach.

Jak długo dane są przechowywane?

Okres przechowywania zależy od rodzaju informacji i celu jej wykorzystania. Pliki przekazane do pogłębionej analizy są według Monarx przechowywane zwykle nie dłużej niż 120 dni. DPA przewiduje natomiast dla części danych maksymalny okres do 180 dni od zebrania, obejmujący również kopie i snapshoty. Dla określonych danych związanych z malware, reputacją IP i telemetrią bezpieczeństwa stosowane są odrębne zasady.

Nie sprowadzamy więc retencji do jednego hasła w rodzaju „wszystko jest usuwane po 120 dniach”. Czas przechowywania zależy od rodzaju informacji i celu, w jakim jest ona wykorzystywana.

Monarx, dane i prywatność – najważniejsze informacje

Monarx musi przetwarzać informacje techniczne o plikach i ruchu kierowanym do strony, ponieważ bez nich nie byłby w stanie skutecznie rozpoznawać nowych zagrożeń. Nie oznacza to jednak automatycznego kopiowania całych kont hostingowych czy przekazywania wszystkich plików poza infrastrukturę SEOHOST. W pierwszej kolejności analizowane są metadane, a pełna zawartość konkretnego pliku jest potrzebna dopiero w sytuacji, gdy wymaga on pogłębionej analizy.

Przetwarzanie określonych informacji w infrastrukturze Monarx i jego dostawców służy rozpoznawaniu, blokowaniu i usuwaniu zagrożeń. Z perspektywy prywatności kluczowe jest nie tylko to, czy dane opuszczają serwer SEOHOST, ale przede wszystkim jakie informacje są przekazywane, komu, w jakim celu i przez jaki czas są przechowywane.

Wdrożenie Monarx to kolejny etap rozwoju zabezpieczeń dostępnych w hostingu SEOHOST. Jeżeli dopiero wybierasz hosting, sprawdź ofertę hostingu SEOHOST. Przenosisz stronę od innego operatora? Skorzystaj z bezpłatnej migracji hostingu do SEOHOST.

Jeżeli masz pytanie dotyczące konkretnej sytuacji na swoim koncie, prześlij zgłoszenie przez formularz kontaktowy SEOHOST.