Какво покрива VPN при проверка на защитата на данните по GDPR

Облачна база данни съдържа лични данни, VPN ограничава кой може да се свърже с нея и някой пита дали това прави конфигурацията съвместима. Не я прави, а въпросът е с грешна форма. VPN е една техническа контрола на достъпа сред няколко и проверка, която спира при криптиран трафик, е отговорила на въпрос за сигурността, като е оставила отворен всеки въпрос за защита на данните. Изпълнете проверките по-долу по ред, като започнете преди съществуването на мрежовото правило.

Проверка 1: опишете обработването преди тунела

Запишете целта, категориите лични данни, които действително са нужни, хората, на които е разрешено да ги ползват, и предвидения срок за съхранение. Определете правното основание, на което разчитате, и пътя, по който лицето упражнява правата си. Ограничен IP диапазон не може да отговори на нито един от тези въпроси.

Отбележете, че личните данни са по-широки от списък с очевидни идентификатори. Криптираните или псевдонимизираните записи остават лични данни, когато повторното идентифициране е възможно, така че база данни, пълна с хеширани идентификатори, не е автоматично извън обхвата.

Проверка 2: назовете ролите

Решете кой определя обработването и кой действа от името на тази страна, след което прегледайте условията между тях: документирани инструкции, поверителност, ангажименти за сигурност и разрешени подизпълнители. За типична облачна уредба това е споразумението между администратор и обработващ, а указанията на Комисията за прилагане обясняват ролите и изисквания обвързващ акт.

Мрежовата диаграма обикновено не посочва нищо от това и затова въпросът за VPN сам по себе си засяда. Ролите определят кой отговаря на искане за права. Те определят и кой носи отговорност, когато нещо се обърка. Начертайте двете кутии, преди да напишете едно правило на защитната стена.

Проверка 3: нанесете къде всъщност живеят данните

Избройте основното хранилище, репликите, резервните копия и административните пътища за достъп. Резервните копия са обичайното пропускане и криптираният тунел не променя къде се намира моментната снимка.

Оценете всеки въпрос за международно предаване в неговата собствена рамка. Държавата на изход на VPN е факт за маршрутизирането, а не твърдение къде доставчикът обработва данните. Екипите редовно сменят изходния регион на тунела и вярват, че са сменили предаването. Те са сменили от кой адрес изглежда, че идва трафикът.

Проверка 4: кажете какво постига всяка контрола

Списъкът с разрешени IP адреси ограничава кои мрежови източници могат да се свързват. VPN защитава определен път и може да намали пряката експозиция. Нито едно от двете не бива да дава на всеки човек зад шлюза същите права в базата данни, защото тунелът удостоверява път, а не човек.

Използвайте индивидуално удостоверяване и достъп, базиран на роли, и премахвайте достъпа, когато някой смени ролята си. След това прегледайте криптирането и съхранението на ключове, пачовете, възстановяването и работата с инциденти редом с мрежовите контроли, в подходящи за риска термини, каквито ползват указанията за сигурност, а не в фиксиран списък.

Проверка 5: пазете доказателствата

Пазете описанието на обработването, договора за услуга, решенията за достъп, оценката на риска и посочените отговорници. Доказателствата са това, което превръща един дизайн в нещо проверимо година по-късно.

Две решения заслужават ясни отговори, а не предположения. Оценка на въздействието върху защитата на данните се изисква, когато обработването вероятно ще доведе до висок риск, а длъжностно лице по защита на данните е задължително само при определени обстоятелства. Нито едното не следва автоматично от съхранението на данни в облака и нито едното не се изключва от него.

Какво казва завършената проверка

Полезната проверка обяснява защо VPN присъства, какво не покрива и кои задължения стоят извън него. Това е кратък документ и е много по-защитим от твърдение, че трафикът е криптиран.

Нека отговорните специалисти по поверителност и сигурност оценят цялата уредба, вместо да одобрят само тунела.