Was ein VPN in einer DSGVO-Datenschutzprüfung abdeckt

Eine Cloud-Datenbank enthält personenbezogene Daten, das VPN beschränkt, wer sie erreichen kann, und jemand fragt, ob das die Einrichtung konform macht. Das tut es nicht, und die Frage hat die falsche Form. Ein VPN ist eine technische Zugriffskontrolle unter mehreren, und eine Prüfung, die bei verschlüsseltem Verkehr endet, hat eine Sicherheitsfrage beantwortet und jede Datenschutzfrage offen gelassen. Arbeiten Sie die folgenden Prüfungen der Reihe nach ab, beginnend bevor die Netzwerkregel existiert.

Prüfung 1: beschreiben Sie die Verarbeitung vor dem Tunnel

Halten Sie den Zweck fest, die tatsächlich benötigten Kategorien personenbezogener Daten, die Personen, die sie verwenden dürfen, und die beabsichtigte Aufbewahrungsfrist. Bestimmen Sie die Rechtsgrundlage, auf die Sie sich stützen, und den Weg, den eine Person zur Ausübung ihrer Rechte nimmt. Ein eingeschränkter IP-Bereich kann nichts davon beantworten.

Beachten Sie, dass personenbezogene Daten mehr sind als eine Liste offensichtlicher Identifikatoren. Verschlüsselte oder pseudonymisierte Datensätze bleiben personenbezogene Daten, wo eine Re-Identifikation möglich ist, sodass eine Datenbank voller gehashter Identifikatoren nicht automatisch außerhalb des Anwendungsbereichs liegt.

Prüfung 2: benennen Sie die Rollen

Legen Sie fest, wer die Verarbeitung bestimmt und wer im Auftrag dieser Partei handelt, und prüfen Sie dann die Bedingungen zwischen ihnen: dokumentierte Weisungen, Vertraulichkeit, Sicherheitszusagen und zulässige Unterauftragsverarbeiter. Für eine typische Cloud-Regelung ist dies der Auftragsverarbeitungsvertrag, und die Anwendungshinweise der Kommission erläutern die Rollen und den erforderlichen Rechtsakt.

Ein Netzwerkdiagramm benennt davon meist nichts, weshalb die VPN-Frage allein hängen bleibt. Rollen entscheiden, wer eine Rechteanfrage beantwortet. Sie entscheiden auch, wer rechenschaftspflichtig ist, wenn etwas schiefgeht. Zeichnen Sie beide Kästen, bevor Sie eine einzige Firewall-Regel schreiben.

Prüfung 3: kartieren Sie, wo die Daten tatsächlich liegen

Listen Sie Primärspeicher, Replikate, Sicherungen und administrative Zugriffswege auf. Sicherungen sind die übliche Auslassung, und ein verschlüsselter Tunnel ändert nicht, wo ein Snapshot liegt.

Beurteilen Sie jede Frage der internationalen Übermittlung in ihrem eigenen Rahmen. Das Ausgangsland eines VPN ist ein Routing-Fakt, keine Aussage darüber, wo der Anbieter die Daten verarbeitet. Teams wechseln routinemäßig die Ausgangsregion des Tunnels und glauben, die Übermittlung geändert zu haben. Sie haben geändert, von welcher Adresse der Verkehr zu kommen scheint.

Prüfung 4: sagen Sie, was jede Kontrolle leistet

Eine IP-Allowlist begrenzt, welche Netzwerkquellen sich verbinden dürfen. Ein VPN schützt einen definierten Pfad und kann die direkte Exposition verringern. Keines von beiden sollte jeder Person hinter dem Gateway dieselben Datenbankberechtigungen geben, denn der Tunnel authentifiziert einen Pfad, nicht eine Person.

Nutzen Sie individuelle Authentifizierung und rollenbasierte Zugriffe und entziehen Sie Zugriffe, wenn jemand die Rolle wechselt. Prüfen Sie dann Verschlüsselung und Schlüsselverwahrung, Patchen, Wiederherstellung und Incident-Behandlung neben den Netzkontrollen, in den risikogerechten Begriffen der Sicherheitsleitlinien statt in einer festen Checkliste.

Prüfung 5: bewahren Sie die Nachweise auf

Bewahren Sie die Verarbeitungsbeschreibung, den Dienstleistungsvertrag, die Zugriffsentscheidungen, die Risikobewertung und die benannten Verantwortlichen auf. Nachweise sind das, was ein Design zu etwas macht, das ein Jahr später prüfbar ist.

Zwei Entscheidungen verdienen ausdrückliche Antworten statt Annahmen. Eine Datenschutz-Folgenabschätzung ist erforderlich, wo die Verarbeitung wahrscheinlich ein hohes Risiko zur Folge hat, und ein Datenschutzbeauftragter ist nur unter bestimmten Umständen verbindlich. Keines folgt automatisch aus dem Speichern von Daten in der Cloud, und keines ist dadurch ausgeschlossen.

Was die fertige Prüfung aussagt

Eine nützliche Prüfung erklärt, warum das VPN vorhanden ist, was es nicht abdeckt und welche Pflichten außerhalb liegen. Das ist ein kurzes Dokument, und es ist weit besser verteidigbar als die Behauptung, der Verkehr sei verschlüsselt.

Lassen Sie die verantwortlichen Datenschutz- und Sicherheitsfachleute die gesamte Regelung bewerten, statt nur den Tunnel abzuzeichnen.