Šta VPN pokriva u pregledu zaštite podataka po GDPR-u

Cloud baza podataka sadrži lične podatke, VPN ograničava ko joj može pristupiti, i neko pita da li to čini postavku usklađenom. Ne čini, a pitanje je pogrešnog oblika. VPN je jedna tehnička kontrola pristupa među nekoliko, a pregled koji se zaustavi na šifrovanom saobraćaju odgovorio je na sigurnosno pitanje ostavljajući otvoreno svako pitanje zaštite podataka. Prođite kroz provjere ispod po redu, počevši prije nego što mrežno pravilo postoji.

Provjera 1: opišite obradu prije tunela

Zapišite svrhu, kategorije ličnih podataka koji su zaista potrebni, osobe kojima je dozvoljeno da ih koriste i predviđeni rok čuvanja. Utvrdite pravni osnov na koji se oslanjate i put kojim pojedinac ostvaruje svoja prava. Ograničeni IP raspon ne može odgovoriti ni na jedno od toga.

Imajte na umu da su lični podaci širi od popisa očiglednih identifikatora. Šifrovani ili pseudonimizirani zapisi ostaju lični podaci kada je ponovna identifikacija moguća, pa baza puna heširanih identifikatora nije automatski izvan opsega.

Provjera 2: imenujte uloge

Odredite ko određuje obradu i ko djeluje u ime te strane, zatim pregledajte uslove između njih: dokumentovana uputstva, povjerljivost, sigurnosne obaveze i dozvoljeni podobrađivači. Za tipičan cloud aranžman to je ugovor između kontrolora i obrađivača, a smjernice Komisije za primjenu objašnjavaju uloge i potrebni obavezujući akt.

Mrežni dijagram obično ne imenuje ništa od toga, zbog čega samo pitanje VPN-a zapinje. Uloge odlučuju ko odgovara na zahtjev za prava. One takođe odlučuju ko je odgovoran kada nešto pođe po zlu. Nacrtajte oba polja prije nego što napišete ijedno pravilo vatrozida.

Provjera 3: mapirajte gdje podaci zaista žive

Navedite primarno skladište, replike, sigurnosne kopije i administrativne putanje pristupa. Sigurnosne kopije su uobičajen propust, a šifrovani tunel ne mijenja gdje se nalazi snimak.

Procijenite svako pitanje međunarodnog prenosa unutar njegovog okvira. Država izlaza VPN-a je činjenica o rutiranju, a ne tvrdnja o tome gdje provajder obrađuje podatke. Timovi rutinski mijenjaju izlaznu regiju tunela i vjeruju da su promijenili prenos. Promijenili su s koje adrese saobraćaj izgleda da dolazi.

Provjera 4: recite šta svaka kontrola postiže

IP lista dozvoljenih ograničava koji mrežni izvori se mogu povezati. VPN štiti definisanu putanju i može smanjiti direktnu izloženost. Nijedno ne treba svakoj osobi iza mrežnog prolaza dati iste dozvole u bazi, jer tunel autentifikuje putanju, a ne osobu.

Koristite pojedinačnu autentifikaciju i pristup zasnovan na ulogama, i uklonite pristup kada neko promijeni ulogu. Zatim pregledajte šifrovanje i čuvanje ključeva, zakrpe, oporavak i obradu incidenata uz mrežne kontrole, u terminima primjerenim riziku koje koriste sigurnosne smjernice, a ne u fiksnoj kontrolnoj listi.

Provjera 5: čuvajte dokaze

Čuvajte opis obrade, ugovor o usluzi, odluke o pristupu, procjenu rizika i imenovane vlasnike. Dokazi su ono što dizajn pretvara u nešto što se može pregledati godinu dana kasnije.

Dvije odluke zaslužuju izričite odgovore, a ne pretpostavke. Procjena uticaja na zaštitu podataka potrebna je kada obrada vjerovatno rezultira visokim rizikom, a službenik za zaštitu podataka obavezan je samo u određenim okolnostima. Nijedno ne slijedi automatski iz čuvanja podataka u cloudu, i nijedno nije time isključeno.

Šta kaže završeni pregled

Koristan pregled objašnjava zašto VPN postoji, šta ne pokriva i koje obaveze stoje izvan njega. To je kratak dokument i mnogo je odbranjiviji od tvrdnje da je saobraćaj šifrovan.

Neka odgovorni stručnjaci za privatnost i sigurnost procijene cijeli aranžman, umjesto da odobre samo tunel.