Mida VPN katab GDPR-i andmekaitse ülevaates

Pilveandmebaas sisaldab isikuandmeid, VPN piirab, kes pääseb neile ligi, ja keegi küsib, kas see teeb seadistuse vastavaks. Ei tee, ja küsimusel on vale kuju. VPN on üks tehniline juurdepääsukontroll mitme seas, ja ülevaade, mis peatub krüpteeritud liiklusel, on vastanud turvaküsimusele, jättes kõik andmekaitseküsimused lahtiseks. Töötage allolevad kontrollid järjekorras läbi, alustades enne võrgureegli olemasolu.

Kontroll 1: kirjeldage töötlemist enne tunnelit

Kirjutage üles eesmärk, tegelikult vajalikud isikuandmete liigid, inimesed, kellel on luba neid kasutada, ja kavandatud säilitamisaeg. Tehke kindlaks õiguslik alus, millele toetute, ja tee, mida isik oma õiguste kasutamiseks läbib. Piiratud IP-vahemik ei suuda neist ühelegi vastata.

Pange tähele, et isikuandmed on laiemad kui loetelu ilmsetest identifikaatoritest. Krüpteeritud või pseudonüümitud kirjed jäävad isikuandmeteks, kui taasidentifitseerimine on võimalik, seega räsitud identifikaatoreid täis andmebaas ei ole automaatselt kohaldamisalast väljas.

Kontroll 2: nimetage rollid

Otsustage, kes määrab töötlemise ja kes tegutseb selle poole nimel, seejärel vaadake üle nendevahelised tingimused: dokumenteeritud juhised, konfidentsiaalsus, turvakohustused ja lubatud volitatud töötlejad. Tüüpilise pilvelahenduse puhul on see vastutava ja volitatud töötleja vaheline leping, ja komisjoni kohaldamisjuhised selgitavad rolle ja nõutavat siduvat õigusakti.

Võrguskeem ei nimeta tavaliselt midagi sellest, mistõttu VPN-i küsimus üksi takerdub. Rollid otsustavad, kes vastab õiguste taotlusele. Need otsustavad ka, kes vastutab, kui midagi läheb valesti. Joonistage mõlemad kastid enne, kui kirjutate ühegi tulemüürireegli.

Kontroll 3: kaardistage, kus andmed tegelikult asuvad

Loetlege esmane salvestusruum, koopiad, varukoopiad ja haldusjuurdepääsu teed. Varukoopiad on tavaline puudujääk, ja krüpteeritud tunnel ei muuda, kus hetktõmmis asub.

Hinnake mis tahes rahvusvahelise edastamise küsimust selle enda raamistikus. VPN-i väljumisriik on marsruutimise fakt, mitte väide selle kohta, kus teenusepakkuja andmeid töötleb. Meeskonnad muudavad rutiinselt tunneli väljumispiirkonda ja usuvad, et on edastamist muutnud. Nad on muutnud, milliselt aadressilt liiklus näib tulevat.

Kontroll 4: öelge, mida iga kontroll saavutab

IP-lubade loend piirab, millised võrguallikad võivad ühenduda. VPN kaitseb määratletud teed ja võib vähendada otsest kokkupuudet. Kumbki ei tohiks anda igale lüüsi taga olevale inimesele samu andmebaasiõigusi, sest tunnel autendib tee, mitte inimese.

Kasutage individuaalset autentimist ja rollipõhist juurdepääsu ning eemaldage juurdepääs, kui keegi rolli muudab. Seejärel vaadake üle krüpteerimine ja võtmete hoidmine, paigaldamine, taastamine ja intsidentide käsitlemine võrgukontrollide kõrval, riskile vastavates terminites, mida turvajuhised kasutavad, mitte fikseeritud kontrolliloendis.

Kontroll 5: hoidke tõendid

Hoidke töötlemise kirjeldus, teenuseleping, juurdepääsuotsused, riskihinnang ja nimetatud vastutajad. Tõendid on see, mis muudab kavandi millegi selliseks, mida aasta hiljem saab üle vaadata.

Kaks otsust väärivad selgeid vastuseid, mitte oletusi. Andmekaitse mõjuhinnang on nõutav, kui töötlemine tõenäoliselt toob kaasa suure riski, ja andmekaitseametnik on kohustuslik ainult kindlaksmääratud asjaoludel. Kumbki ei tulene automaatselt andmete pilves hoidmisest ja kumbagi ei välista see.

Mida valmis ülevaade ütleb

Kasulik ülevaade selgitab, miks VPN on olemas, mida see ei kata ja millised kohustused jäävad sellest väljapoole. See on lühike dokument ja on palju kaitstavam kui väide, et liiklus on krüpteeritud.

Laske vastutavatel privaatsus- ja turvaspetsialistidel hinnata kogu lahendust, mitte ainult tunnelit heaks kiita.