Kion VPN kovras en GDPR-datumprotekta revizio

Nuba datumbazo enhavas personajn datumojn, la VPN limigas, kiu povas atingi ĝin, kaj iu demandas, ĉu tio igas la aranĝon konforma. Ĝi ne igas, kaj la demando havas malĝustan formon. VPN estas unu teknika alirkontrolo inter pluraj, kaj revizio, kiu haltas ĉe ĉifrita trafiko, respondis sekurecan demandon dum ĝi lasis malfermita ĉiun datumprotektan demandon. Trapasu la subajn kontrolojn laŭ ordo, komencante antaŭ ol ekzistas la reta regulo.

Kontrolo 1: priskribu la prilaboradon antaŭ la tunelo

Notu la celon, la kategoriojn de personaj datumoj kiuj fakte necesas, la personojn rajtigitajn uzi ilin, kaj la intencitan konservadperiodon. Identigu la juran bazon sur kiu vi apogas vin kaj la vojon, kiun individuo sekvas por praktiki siajn rajtojn. Limigita IP-gamo povas respondi neniun el tiuj demandoj.

Rimarku, ke personaj datumoj estas pli vastaj ol listo de evidentaj identigiloj. Ĉifritaj aŭ pseŭdonimigitaj rikordoj restas personaj datumoj, kie reidentigo eblas, do datumbazo plena de haŝigitaj identigiloj ne estas aŭtomate ekster la amplekso.

Kontrolo 2: nomu la rolojn

Decidu, kiu difinas la prilaboradon kaj kiu agas nome de tiu partio, poste reviziu la kondiĉojn inter ili: dokumentitaj instrukcioj, konfidenceco, sekurecaj sindevigoj kaj permesitaj subprilaborantoj. Por tipa nuba aranĝo tio estas la interkonsento inter reganto kaj prilaboranto, kaj la aplika gvidado de la Komisiono klarigas la rolojn kaj la postulatan devigan akton.

Reta diagramo kutime nomas neniun el tio, kaj tial la VPN-demando sola blokiĝas. Roloj decidas, kiu respondas peton pri rajtoj. Ili ankaŭ decidas, kiu respondecas, kiam io misfunkcias. Desegnu ambaŭ kadrojn antaŭ ol vi skribos eĉ unu fajroŝirman regulon.

Kontrolo 3: mapu, kie la datumoj fakte loĝas

Listigu la ĉefan konservadon, la replikojn, la sekurkopiojn kaj la administrajn alirvojojn. Sekurkopioj estas la kutima preterlaso, kaj ĉifrita tunelo ne ŝanĝas, kie kuŝas momenta kopio.

Taksu ajnan demandon pri internacia transdono ene de ĝia propra kadro. La elira lando de VPN estas enkursiga fakto, ne aserto pri tio, kie la provizanto prilaboras la datumojn. Teamoj rutine ŝanĝas la eliran regionon de la tunelo kaj kredas, ke ili ŝanĝis la transdonon. Ili ŝanĝis, de kiu adreso la trafiko ŝajnas veni.

Kontrolo 4: diru, kion atingas ĉiu kontrolo

IP-permeslisto limigas, kiuj retaj fontoj rajtas konektiĝi. VPN protektas difinitan vojon kaj povas malpliigi rektan ekspozicion. Neniu el ili donu al ĉiu persono malantaŭ la enirejo la samajn datumbazajn permesojn, ĉar la tunelo aŭtentikigas vojon, ne personon.

Uzu individuan aŭtentikigon kaj rolbazitan aliron, kaj forigu aliron, kiam iu ŝanĝas rolon. Poste reviziu ĉifradon kaj ŝlosilgardadon, flikadon, restarigon kaj okazaĵan traktadon apud la retaj kontroloj, en la riske taŭgaj terminoj, kiujn uzas sekureca gvidado, anstataŭ fiksa kontrol-listo.

Kontrolo 5: konservu la pruvojn

Konservu la prilaboradan priskribon, la servan interkonsenton, la alirajn decidojn, la risktakson kaj la nomitajn posedantojn. Pruvoj estas tio, kio igas dezajnon io revidebla jaron poste.

Du decidoj meritas eksplicitajn respondojn anstataŭ supozojn. Takso de efiko al datumprotekto necesas, kie prilaborado verŝajne rezultigos altan riskon, kaj datuma protekta oficisto estas deviga nur en difinitaj cirkonstancoj. Neniu el ili sekvas aŭtomate el konservado de datumoj en la nubo, kaj neniu el ili estas ekskludita de ĝi.

Kion diras la finita revizio

Utila revizio klarigas, kial la VPN ĉeestas, kion ĝi ne kovras, kaj kiuj devoj kuŝas ekster ĝi. Tio estas mallonga dokumento, kaj ĝi estas multe pli defendebla ol aserto, ke la trafiko estas ĉifrita.

Lasu la respondecajn privatec- kaj sekurec-specialistojn taksi la tutan aranĝon anstataŭ aprobi nur la tunelon.