Què cobreix una VPN en una revisió de protecció de dades del GDPR

Una base de dades al núvol conté dades personals, la VPN restringeix qui hi pot arribar, i algú pregunta si això fa que el muntatge sigui conforme. No ho fa, i la pregunta té la forma equivocada. Una VPN és un control tècnic d’accés entre diversos, i una revisió que s’atura en el trànsit xifrat ha respost una pregunta de seguretat mentre deixa oberta cada pregunta de protecció de dades. Feu les comprovacions de sota per ordre, començant abans que existeixi la regla de xarxa.

Comprovació 1: descriviu el tractament abans del túnel

Anoteu la finalitat, les categories de dades personals que realment calen, les persones autoritzades a usar-les i el període de conservació previst. Identifiqueu la base jurídica en què us baseu i la via que segueix una persona per exercir els seus drets. Un rang d’IP restringit no pot respondre cap d’aquestes coses.

Tingueu present que les dades personals són més àmplies que una llista d’identificadors evidents. Els registres xifrats o pseudonimitzats continuen sent dades personals quan la reidentificació és possible, així que una base de dades plena d’identificadors hash no queda automàticament fora d’abast.

Comprovació 2: nomeu els rols

Decidiu qui determina el tractament i qui actua en nom d’aquesta part, i després reviseu els termes entre ells: instruccions documentades, confidencialitat, compromisos de seguretat i subencarregats permesos. Per a un muntatge típic al núvol aquest és l’acord entre responsable i encarregat, i les orientacions d’aplicació de la Comissió expliquen els rols i l’acte vinculant exigit.

Un diagrama de xarxa normalment no nomena res d’això, i per això la pregunta de la VPN tota sola s’encalla. Els rols decideixen qui respon una sol·licitud de drets. També decideixen qui ha de retre comptes quan alguna cosa falla. Dibuixeu les dues caselles abans d’escriure una sola regla de tallafoc.

Comprovació 3: mapeu on viuen realment les dades

Llisteu l’emmagatzematge principal, les rèpliques, les còpies de seguretat i les rutes d’accés administratiu. Les còpies de seguretat són l’oblit habitual, i un túnel xifrat no canvia on se situa una instantània.

Avalueu qualsevol qüestió de transferència internacional dins del seu propi marc. El país de sortida d’una VPN és un fet d’encaminament, no una afirmació sobre on el proveïdor tracta les dades. Els equips canvien habitualment la regió de sortida del túnel i creuen que han canviat la transferència. Han canviat des de quina adreça sembla que arriba el trànsit.

Comprovació 4: digueu què aconsegueix cada control

Una llista d’IP permeses limita quines fonts de xarxa es poden connectar. Una VPN protegeix un camí definit i pot reduir l’exposició directa. Cap de les dues no hauria de donar a cada persona darrere la passarel·la els mateixos permisos de base de dades, perquè el túnel autentica un camí, no una persona.

Useu autenticació individual i accés basat en rols, i retireu l’accés quan algú canvia de rol. Després reviseu el xifratge i la custòdia de claus, els pedaços, la recuperació i la gestió d’incidents al costat dels controls de xarxa, en els termes adequats al risc que fa servir l’orientació de seguretat en lloc d’una llista fixa.

Comprovació 5: conserveu l’evidència

Conserveu la descripció del tractament, el contracte de servei, les decisions d’accés, l’avaluació de riscos i els responsables nomenats. L’evidència és el que converteix un disseny en una cosa revisable un any després.

Dues decisions mereixen respostes explícites en lloc de supòsits. Cal una avaluació d’impacte en la protecció de dades quan és probable que el tractament comporti un risc alt, i un delegat de protecció de dades només és obligatori en circumstàncies especificades. Cap de les dues no es dedueix automàticament d’emmagatzemar dades al núvol, i cap de les dues no n’és exclosa.

Què diu la revisió acabada

Una revisió útil explica per què hi ha la VPN, què no cobreix i quines obligacions queden fora. És un document curt, i és molt més defensable que una afirmació que el trànsit està xifrat.

Feu que els especialistes de privacitat i seguretat responsables avaluïn el conjunt complet en lloc de signar només el túnel.