Hvad en VPN dækker i en GDPR-databeskyttelsesrevision

En clouddatabase indeholder personoplysninger, VPN'en begrænser, hvem der kan nå den, og nogen spørger, om det gør opsætningen overensstemmende. Det gør det ikke, og spørgsmålet har den forkerte form. En VPN er én teknisk adgangskontrol blandt flere, og en revision, der stopper ved krypteret trafik, har besvaret et sikkerhedsspørgsmål og ladet hvert databeskyttelsesspørgsmål stå åbent. Gå gennem kontrollerne nedenfor i rækkefølge, og begynd før netværksreglen findes.

Kontrol 1: beskriv behandlingen før tunnellen

Skriv formålet ned, de kategorier af personoplysninger, der faktisk er nødvendige, de personer, der må bruge dem, og den tilsigtede opbevaringsperiode. Identificér det retsgrundlag, du støtter dig på, og den vej, en person tager for at udøve sine rettigheder. Et begrænset IP-område kan ikke besvare nogen af disse spørgsmål.

Bemærk, at personoplysninger er bredere end en liste over oplagte identifikatorer. Krypterede eller pseudonymiserede registreringer forbliver personoplysninger, hvor genidentifikation er mulig, så en database fuld af hashværdier er ikke automatisk uden for rækkevidde.

Kontrol 2: navngiv rollerne

Beslut, hvem der bestemmer behandlingen, og hvem der handler på den parts vegne, og gennemgå derefter vilkårene mellem dem: dokumenterede instrukser, fortrolighed, sikkerhedsforpligtelser og tilladte underleverandører. For en typisk cloudaftale er dette databehandleraftalen, og Kommissionens anvendelsesvejledning forklarer rollerne og den krævede bindende retsakt.

Et netværksdiagram navngiver normalt intet af dette, og derfor går VPN-spørgsmålet alene i stå. Roller afgør, hvem der svarer på en rettighedsanmodning. De afgør også, hvem der er ansvarlig, når noget går galt. Tegn begge kasser, før du skriver en enkelt firewallregel.

Kontrol 3: kortlæg, hvor dataene faktisk bor

Oplist primær lagring, replikaer, sikkerhedskopier og administrative adgangsveje. Sikkerhedskopier er den sædvanlige udeladelse, og en krypteret tunnel ændrer ikke, hvor et snapshot ligger.

Vurder ethvert spørgsmål om international overførsel inden for sin egen ramme. Et VPN-udgangsland er et routingfaktum, ikke en udtalelse om, hvor udbyderen behandler oplysningerne. Teams skifter rutinemæssigt tunnellens udgangsregion og tror, de har ændret overførslen. De har ændret, hvilken adresse trafikken ser ud til at komme fra.

Kontrol 4: sig, hvad hver kontrol opnår

En IP-tilladelsesliste begrænser, hvilke netværkskilder der må forbinde. En VPN beskytter en defineret vej og kan reducere direkte eksponering. Ingen af dem bør give enhver bag gatewayen de samme databasetilladelser, fordi tunnellen autentificerer en vej, ikke en person.

Brug individuel autentifikation og rollebaseret adgang, og fjern adgangen, når nogen skifter rolle. Gennemgå derefter kryptering og nøgleopbevaring, patching, gendannelse og hændelseshåndtering side om side med netværkskontrollerne, i de risikotilpassede vendinger, sikkerhedsvejledningen bruger, i stedet for en fast tjekliste.

Kontrol 5: bevar dokumentationen

Bevar behandlingsbeskrivelsen, serviceaftalen, adgangsbeslutningerne, risikovurderingen og de navngivne ejere. Dokumentation er det, der gør et design til noget, der kan revideres et år senere.

To beslutninger fortjener eksplicitte svar i stedet for antagelser. En konsekvensanalyse vedrørende databeskyttelse er påkrævet, hvor behandlingen sandsynligvis vil medføre høj risiko, og en databeskyttelsesrådgiver er kun obligatorisk under nærmere angivne omstændigheder. Ingen af dem følger automatisk af at opbevare data i skyen, og ingen af dem udelukkes af det.

Hvad den færdige revision siger

En brugbar revision forklarer, hvorfor VPN'en er der, hvad den ikke dækker, og hvilke forpligtelser der ligger uden for den. Det er et kort dokument, og det er langt mere forsvarligt end en påstand om, at trafikken er krypteret.

Lad de ansvarlige privatlivs- og sikkerhedsspecialister vurdere den samlede ordning i stedet for at godkende tunnellen alene.