Dwa warunki remote data processing solution
Brak software blokuje funkcję
Po odcięciu zdalnego przetwarzania produkt traci co najmniej jedną funkcję — również onboarding, konfigurację, IAM lub aktualizacje.
Software jest pod odpowiedzialnością producenta
Został zaprojektowany i rozwinięty przez producenta albo pod jego odpowiedzialnością. Miejsce hostingu nie rozstrzyga.
Praktyczny test odcięcia
- Wypisz funkcje dostępne użytkownikowi i interfejsy produktu.
- Odłącz każdy moduł zdalny osobno.
- Zapisz, która funkcja przestaje działać lub nie może zostać bezpiecznie wykonana.
- Ustal właściciela projektu i rozwoju kodu tego modułu.
- Narysuj bezpośredni interface oraz kolejną warstwę zależności.
Wynik powinien być częścią definicji granicy produktu. Dla jednego wspieranego produktu może obejmować tylko wybrane moduły aplikacji backendowej, a nie całą organizację lub wszystkie systemy cloud.
RDPS a dalsze zależności
| Element | Typowa ocena | Co dokumentować |
|---|---|---|
| Własny moduł API realizujący funkcję | Potencjalny RDPS | Annex I controls, interface, lifecycle |
| Gotowy SaaS strony trzeciej | Komponent / zależność | Due diligence, konfiguracja, shared responsibility |
| Baza lub kolejka za bezpośrednim API | Dalszy backend | Threat model i product-level mitigations |
| CRM, HR, CI/CD, środowisko testowe | Zwykle poza RDPS | Ryzyka operacyjne i supply-chain osobno |
Najczęstsze pytania
Czy każdy backend jest częścią produktu CRA?
Nie. Dwa kluczowe warunki są łączne: bez zdalnego software co najmniej jedna funkcja produktu nie działa oraz software został zaprojektowany i rozwinięty przez producenta albo pod jego odpowiedzialnością.
Czy logowanie i aktualizacje są funkcją produktu?
Tak, funkcja w tym teście nie ogranicza się do głównej funkcji marketingowej. Guidance wskazuje między innymi onboarding, konfigurację, IAM i aktualizacje.
Czy gotowy zewnętrzny SaaS jest RDPS?
Jeżeli jest niezależnym, gotowym software strony trzeciej i nie został rozwinięty pod odpowiedzialnością producenta, zwykle nie jest jego RDPS. Nadal pozostaje komponentem lub zależnością wymagającą due diligence i mitigations.
Czy public cloud jest zawsze RDPS?
Nie. Model hostingu i operator infrastruktury nie rozstrzygają. Własna aplikacja producenta działająca na IaaS lub PaaS może być RDPS; sam cloud provider nie staje się przez to częścią produktu.
Jak daleko w backend sięga granica RDPS?
Guidance wskazuje moduły software bezpośrednio odpowiedzialne za funkcję i interfejsy, z którymi produkt komunikuje się bezpośrednio. Dalsze zależności pozostają w risk assessment, ale nie muszą być RDPS.
Oficjalne źródła
Reguły narzędzia opierają się na źródłach pierwotnych. Materiały guidance są niewiążące i nie zastępują oceny konkretnego przypadku ani aktualnego tekstu prawa.