GDPR তথ্য সুরক্ষা পর্যালোচনায় একটি VPN কী কভার করে

একটি ক্লাউড ডেটাবেস ব্যক্তিগত তথ্য ধারণ করে, VPN সীমাবদ্ধ করে কে এতে পৌঁছাতে পারে, এবং কেউ জিজ্ঞাসা করে এটি কি সেটআপটিকে সম্মতিশীল করে। করে না, এবং প্রশ্নটির আকারই ভুল। VPN হলো কয়েকটির মধ্যে একটি প্রযুক্তিগত প্রবেশ নিয়ন্ত্রণ, এবং যে পর্যালোচনা এনক্রিপ্টেড ট্র্যাফিকে থেমে যায় সে নিরাপত্তার প্রশ্নের উত্তর দিয়েছে অথচ তথ্য সুরক্ষার প্রতিটি প্রশ্ন খোলা রেখেছে। নিচের পরীক্ষাগুলো ক্রমানুসারে করুন, নেটওয়ার্ক নিয়ম তৈরির আগে থেকেই শুরু করুন।

পরীক্ষা 1: টানেলের আগে প্রক্রিয়াকরণ বর্ণনা করুন

উদ্দেশ্য, সত্যিই প্রয়োজনীয় ব্যক্তিগত তথ্যের শ্রেণিগুলো, যাদের ব্যবহারের অনুমতি আছে তাদের, এবং অভিপ্রেত সংরক্ষণকাল লিখে রাখুন। আপনি যে আইনি ভিত্তির উপর নির্ভর করছেন এবং একজন ব্যক্তি তার অধিকার প্রয়োগে যে পথ নেন তা চিহ্নিত করুন। একটি সীমিত IP পরিসর এর কোনোটিরই উত্তর দিতে পারে না।

লক্ষ করুন, ব্যক্তিগত তথ্য স্পষ্ট শনাক্তকারীর তালিকার চেয়ে বিস্তৃত। এনক্রিপ্টেড বা ছদ্মনামযুক্ত রেকর্ড পুনরায় শনাক্তকরণ সম্ভব হলে ব্যক্তিগত তথ্যই থাকে, তাই হ্যাশ করা শনাক্তকারীতে ভরা ডেটাবেস স্বয়ংক্রিয়ভাবে পরিধির বাইরে নয়।

পরীক্ষা 2: ভূমিকাগুলোর নাম দিন

কে প্রক্রিয়াকরণ নির্ধারণ করে এবং কে সেই পক্ষের হয়ে কাজ করে তা ঠিক করুন, তারপর তাদের মধ্যে শর্তাবলি পর্যালোচনা করুন: নথিভুক্ত নির্দেশনা, গোপনীয়তা, নিরাপত্তা প্রতিশ্রুতি এবং অনুমোদিত সাবপ্রসেসর। সাধারণ ক্লাউড ব্যবস্থায় এটি নিয়ন্ত্রক-প্রসেসর চুক্তি, এবং কমিশনের প্রয়োগ নির্দেশিকা ভূমিকা ও প্রয়োজনীয় বাধ্যতামূলক আইন ব্যাখ্যা করে।

একটি নেটওয়ার্ক ডায়াগ্রাম সাধারণত এর কোনোটির নামই রাখে না, এজন্যই শুধু VPN প্রশ্ন আটকে যায়। ভূমিকাই ঠিক করে কে অধিকার-অনুরোধের উত্তর দেয়। তারা এটাও ঠিক করে কিছু ভুল হলে কে জবাবদিহি করে। একটি ফায়ারওয়াল নিয়ম লেখার আগেই দুটি বাক্স আঁকুন।

পরীক্ষা 3: তথ্য আসলে কোথায় থাকে তা ম্যাপ করুন

প্রাথমিক স্টোরেজ, রেপ্লিকা, ব্যাকআপ এবং প্রশাসনিক প্রবেশপথের তালিকা করুন। ব্যাকআপই সাধারণ বাদ পড়া, এবং এনক্রিপ্টেড টানেল একটি স্ন্যাপশট কোথায় থাকে তা বদলায় না।

আন্তর্জাতিক হস্তান্তরের যেকোনো প্রশ্ন তার নিজস্ব কাঠামোর ভেতরে মূল্যায়ন করুন। VPN-এর প্রস্থান দেশ একটি রাউটিং তথ্য, প্রদানকারী কোথায় তথ্য প্রক্রিয়া করে সে বিষয়ে বিবৃতি নয়। দলগুলো নিয়মিত টানেলের প্রস্থান অঞ্চল বদলায় এবং ভাবে তারা হস্তান্তর বদলেছে। তারা বদলেছে ট্র্যাফিক কোন ঠিকানা থেকে আসছে বলে দেখায়।

পরীক্ষা 4: প্রতিটি নিয়ন্ত্রণ কী অর্জন করে তা বলুন

একটি IP অনুমোদন-তালিকা সীমিত করে কোন নেটওয়ার্ক উৎসগুলো সংযোগ করতে পারে। VPN একটি নির্দিষ্ট পথ রক্ষা করে এবং সরাসরি প্রকাশ কমাতে পারে। কোনোটিই গেটওয়ের পেছনের প্রত্যেককে একই ডেটাবেস অনুমতি দেওয়া উচিত নয়, কারণ টানেল একটি পথ প্রমাণ করে, একজন ব্যক্তিকে নয়।

ব্যক্তিগত প্রমাণীকরণ ও ভূমিকা-ভিত্তিক প্রবেশ ব্যবহার করুন, এবং কেউ ভূমিকা বদলালে প্রবেশ সরিয়ে দিন। তারপর এনক্রিপশন ও কী সংরক্ষণ, প্যাচিং, পুনরুদ্ধার এবং ঘটনা ব্যবস্থাপনা নেটওয়ার্ক নিয়ন্ত্রণের পাশাপাশি পর্যালোচনা করুন, নিরাপত্তা নির্দেশিকা যে ঝুঁকি-উপযোগী পরিভাষা ব্যবহার করে সেই পরিভাষায়, নির্দিষ্ট চেকলিস্টে নয়।

পরীক্ষা 5: প্রমাণ সংরক্ষণ করুন

প্রক্রিয়াকরণের বিবরণ, সেবা চুক্তি, প্রবেশের সিদ্ধান্ত, ঝুঁকি মূল্যায়ন এবং নামকৃত মালিকদের সংরক্ষণ করুন। প্রমাণই একটি নকশাকে এক বছর পরেও পর্যালোচনাযোগ্য কিছুতে পরিণত করে।

দুটি সিদ্ধান্ত অনুমানের বদলে স্পষ্ট উত্তর প্রাপ্য। যেখানে প্রক্রিয়াকরণে উচ্চ ঝুঁকির সম্ভাবনা থাকে সেখানে তথ্য সুরক্ষা প্রভাব মূল্যায়ন প্রয়োজন, এবং তথ্য সুরক্ষা কর্মকর্তা কেবল নির্দিষ্ট পরিস্থিতিতে বাধ্যতামূলক। কোনোটিই ক্লাউডে তথ্য সংরক্ষণ থেকে স্বয়ংক্রিয়ভাবে অনুসরণ করে না, এবং কোনোটিই তা দ্বারা বাদ পড়ে না।

সমাপ্ত পর্যালোচনা যা বলে

একটি উপযোগী পর্যালোচনা ব্যাখ্যা করে VPN কেন আছে, এটি কী কভার করে না, এবং কোন বাধ্যবাধকতাগুলো এর বাইরে থাকে। এটি একটি সংক্ষিপ্ত নথি, এবং ট্র্যাফিক এনক্রিপ্টেড এই দাবির চেয়ে অনেক বেশি রক্ষণযোগ্য।

দায়িত্বপ্রাপ্ত গোপনীয়তা ও নিরাপত্তা বিশেষজ্ঞদের শুধু টানেল অনুমোদন না করে সম্পূর্ণ ব্যবস্থাটি মূল্যায়ন করতে দিন।