Τι καλύπτει ένα VPN σε μια αναθεώρηση προστασίας δεδομένων GDPR

Μια βάση δεδομένων cloud κρατά προσωπικά δεδομένα, το VPN περιορίζει ποιος μπορεί να φτάσει σε αυτήν, και κάποιος ρωτά αν αυτό κάνει τη διάταξη σύμφωνη. Δεν την κάνει, και η ερώτηση έχει λάθος σχήμα. Ένα VPN είναι ένας τεχνικός έλεγχος πρόσβασης ανάμεσα σε πολλούς, και μια αναθεώρηση που σταματά στην κρυπτογραφημένη κίνηση έχει απαντήσει σε ένα ερώτημα ασφάλειας αφήνοντας ανοιχτό κάθε ερώτημα προστασίας δεδομένων. Δουλέψτε τους ελέγχους παρακάτω με τη σειρά, ξεκινώντας πριν υπάρξει ο κανόνας δικτύου.

Έλεγχος 1: περιγράψτε την επεξεργασία πριν από τη σήραγγα

Γράψτε τον σκοπό, τις κατηγορίες προσωπικών δεδομένων που πραγματικά χρειάζονται, τα πρόσωπα που επιτρέπεται να τα χρησιμοποιούν και την προβλεπόμενη περίοδο διατήρησης. Προσδιορίστε τη νομική βάση στην οποία στηρίζεστε και τη διαδρομή που ακολουθεί ένα άτομο για να ασκήσει τα δικαιώματά του. Ένα περιορισμένο εύρος IP δεν μπορεί να απαντήσει σε κανένα από αυτά.

Σημειώστε ότι τα προσωπικά δεδομένα είναι ευρύτερα από έναν κατάλογο προφανών αναγνωριστικών. Κρυπτογραφημένα ή ψευδωνυμοποιημένα αρχεία παραμένουν προσωπικά δεδομένα όπου η εκ νέου ταυτοποίηση είναι δυνατή, οπότε μια βάση γεμάτη κατακερματισμένα αναγνωριστικά δεν είναι αυτόματα εκτός πεδίου.

Έλεγχος 2: ονομάστε τους ρόλους

Αποφασίστε ποιος καθορίζει την επεξεργασία και ποιος ενεργεί για λογαριασμό αυτού του μέρους, και μετά εξετάστε τους όρους μεταξύ τους: τεκμηριωμένες οδηγίες, εμπιστευτικότητα, δεσμεύσεις ασφάλειας και επιτρεπόμενοι υποεκτελούντες. Για μια τυπική διάταξη cloud αυτή είναι η συμφωνία υπευθύνου-εκτελούντος, και οι κατευθυντήριες γραμμές εφαρμογής της Επιτροπής εξηγούν τους ρόλους και την απαιτούμενη δεσμευτική πράξη.

Ένα διάγραμμα δικτύου συνήθως δεν κατονομάζει τίποτα από αυτά, γι' αυτό το ερώτημα του VPN από μόνο του κολλάει. Οι ρόλοι καθορίζουν ποιος απαντά σε αίτημα δικαιωμάτων. Καθορίζουν επίσης ποιος λογοδοτεί όταν κάτι πάει στραβά. Σχεδιάστε και τα δύο κουτιά πριν γράψετε έναν κανόνα τείχους προστασίας.

Έλεγχος 3: χαρτογραφήστε πού ζουν πραγματικά τα δεδομένα

Καταγράψτε την κύρια αποθήκευση, τα αντίγραφα, τα αντίγραφα ασφαλείας και τις διαδρομές διαχειριστικής πρόσβασης. Τα αντίγραφα ασφαλείας είναι η συνήθης παράλειψη, και μια κρυπτογραφημένη σήραγγα δεν αλλάζει πού βρίσκεται ένα στιγμιότυπο.

Αξιολογήστε κάθε ζήτημα διεθνούς διαβίβασης μέσα στο δικό του πλαίσιο. Η χώρα εξόδου ενός VPN είναι γεγονός δρομολόγησης, όχι δήλωση για το πού επεξεργάζεται ο πάροχος τα δεδομένα. Οι ομάδες αλλάζουν τακτικά την περιοχή εξόδου της σήραγγας και πιστεύουν ότι άλλαξαν τη διαβίβαση. Άλλαξαν από ποια διεύθυνση φαίνεται να προέρχεται η κίνηση.

Έλεγχος 4: πείτε τι επιτυγχάνει κάθε έλεγχος

Μια λίστα επιτρεπόμενων IP περιορίζει ποιες πηγές δικτύου μπορούν να συνδεθούν. Ένα VPN προστατεύει μια καθορισμένη διαδρομή και μπορεί να μειώσει την άμεση έκθεση. Κανένα από τα δύο δεν πρέπει να δίνει σε κάθε πρόσωπο πίσω από την πύλη τις ίδιες άδειες βάσης δεδομένων, γιατί η σήραγγα πιστοποιεί μια διαδρομή, όχι ένα πρόσωπο.

Χρησιμοποιήστε ατομική ταυτοποίηση και πρόσβαση βάσει ρόλων, και αφαιρέστε την πρόσβαση όταν κάποιος αλλάζει ρόλο. Στη συνέχεια εξετάστε την κρυπτογράφηση και την επιμέλεια κλειδιών, τις ενημερώσεις, την ανάκτηση και τη διαχείριση περιστατικών δίπλα στους ελέγχους δικτύου, με τους όρους που αρμόζουν στον κίνδυνο και χρησιμοποιεί η καθοδήγηση ασφάλειας αντί για έναν σταθερό κατάλογο.

Έλεγχος 5: διατηρήστε τα αποδεικτικά

Διατηρήστε την περιγραφή της επεξεργασίας, τη σύμβαση υπηρεσίας, τις αποφάσεις πρόσβασης, την εκτίμηση κινδύνου και τους κατονομασμένους υπευθύνους. Τα αποδεικτικά είναι αυτό που μετατρέπει έναν σχεδιασμό σε κάτι εξετάσιμο ένα χρόνο αργότερα.

Δύο αποφάσεις αξίζουν ρητές απαντήσεις αντί για υποθέσεις. Μια εκτίμηση αντίκτυπου στην προστασία δεδομένων απαιτείται όπου η επεξεργασία είναι πιθανό να έχει ως αποτέλεσμα υψηλό κίνδυνο, και ένας υπεύθυνος προστασίας δεδομένων είναι υποχρεωτικός μόνο σε καθορισμένες περιστάσεις. Κανένα από τα δύο δεν προκύπτει αυτόματα από την αποθήκευση δεδομένων στο cloud, και κανένα δεν αποκλείεται από αυτήν.

Τι λέει η ολοκληρωμένη αναθεώρηση

Μια χρήσιμη αναθεώρηση εξηγεί γιατί υπάρχει το VPN, τι δεν καλύπτει και ποιες υποχρεώσεις βρίσκονται έξω από αυτό. Είναι ένα σύντομο έγγραφο, και είναι πολύ πιο υπερασπίσιμο από έναν ισχυρισμό ότι η κίνηση είναι κρυπτογραφημένη.

Ζητήστε από τους υπεύθυνους ειδικούς απορρήτου και ασφάλειας να αξιολογήσουν τη συνολική διάταξη αντί να εγκρίνουν μόνο τη σήραγγα.