Zer estaltzen du VPN batek GDPR datu-babeserako berrikuspen batean

Hodeiko datu-base batek datu pertsonalak gordetzen ditu, VPNak mugatzen du nor irits daitekeen hara, eta norbaitek galdetzen du horrek konfigurazioa adostasunean jartzen ote duen. Ez du jartzen, eta galderak okerreko forma du. VPN bat hainbat kontrol teknikoetako bat da, eta trafiko zifratuan gelditzen den berrikuspenak segurtasun-galdera bat erantzun du datu-babeseko galdera guztiak irekita utzita. Landu beheko egiaztapenak ordenan, sare-araua existitu aurretik hasita.

Egiaztapena 1: deskribatu tratamendua tunelaren aurretik

Idatzi helburua, benetan behar diren datu pertsonalen kategoriak, erabiltzeko baimena duten pertsonak eta aurreikusitako atxikipen-epea. Identifika ezazu oinarritzen zaren lege-oinarria eta pertsona batek bere eskubideak erabiltzeko hartzen duen bidea. IP barruti mugatu batek ezin ditu horietako ezer erantzun.

Kontuan izan datu pertsonalak identifikatzaile nabarmenen zerrenda baino zabalagoak direla. Erregistro zifratuek edo pseudonimizatuek datu pertsonal izaten jarraitzen dute berriz identifikatzea posible denean, beraz hash identifikatzailez betetako datu-basea ez dago automatikoki eskumenetik kanpo.

Egiaztapena 2: izenda itzazu rolak

Erabaki nor den tratamendua zehazten duena eta nor jarduten duen alderdi horren izenean, eta gero berrikusi bien arteko baldintzak: dokumentatutako argibideak, konfidentzialtasuna, segurtasun-konpromisoak eta baimendutako azpiprozesadoreak. Hodeiko ohiko antolamendu batean hori arduradunaren eta tratatzailearen arteko akordioa da, eta Batzordearen aplikazio-jarraibideek rolak eta beharrezko egintza loteslea azaltzen dituzte.

Sare-diagrama batek normalean ez du horietako ezer izendatzen, eta horregatik blokeatzen da VPNaren galdera bakarrik. Rolek erabakitzen dute nor arduratzen den eskubide-eskaera bati erantzuteaz. Halaber, erabakitzen dute nor den kontuak emateko arduraduna zerbait gaizki doanean. Marraztu bi laukiak suebaki-arau bakarra idatzi aurretik.

Egiaztapena 3: mapatu datuak benetan non bizi diren

Zerrendatu biltegiratze nagusia, erreplikak, babeskopiak eta administrazio-sarbideen bideak. Babeskopiak ohiko ahanztura dira, eta tunel zifratu batek ez du aldatzen snapshot bat non dagoen.

Ebaluatu nazioarteko transferentziari buruzko edozein gai bere esparru propioaren barruan. VPN baten irteera-herrialdea bideratze-egitate bat da, ez da adierazpen bat hornitzaileak datuak non tratatzen dituenari buruz. Taldeek tunelaren irteera-eskualdea aldatzen dute maiz eta transferentzia aldatu dutela uste dute. Trafikoak nondik datorrela ematen duen helbidea aldatu dute.

Egiaztapena 4: esan zer lortzen duen kontrol bakoitzak

IP baimenduen zerrenda batek mugatzen du zein sare-iturrik konekta daitezkeen. VPN batek bide zehatz bat babesten du eta zuzeneko esposizioa murrizten dezake. Bietako inork ez lieke atebidearen atzeko pertsona guztiei datu-baseko baimen berberak eman behar, tunelak bide bat autentifikatzen duelako, ez pertsona bat.

Erabili banakako autentifikazioa eta rolean oinarritutako sarbidea, eta kendu sarbidea norbaitek rola aldatzen duenean. Ondoren berrikusi zifratzea eta gakoen zaintza, adabakiak, berreskuratzea eta gorabeheren kudeaketa sare-kontrolekin batera, arriskuari dagokion segurtasun-jarraibideen terminologian, zerrenda finko baten ordez.

Egiaztapena 5: gorde ebidentzia

Mantendu tratamenduaren deskribapena, zerbitzu-kontratua, sarbide-erabakiak, arriskuen ebaluazioa eta izendatutako arduradunak. Ebidentzia da diseinu bat urtebete geroago berrikusgarri bihurtzen duena.

Bi erabakik erantzun esplizituak merezi dituzte, suposizioen ordez. Datu-babeserako eragin-ebaluazioa beharrezkoa da tratamenduak arrisku handia eragiteko probabilitatea dagoenean, eta datu-babeserako ordezkaria egoera zehatzetan soilik da derrigorrezkoa. Bietako bat ere ez da automatikoki ondorioztatzen datuak hodeian gordetzetik, eta biak ere ez dira horren bidez baztertzen.

Zer dioen amaitutako berrikuspenak

Berrikuspen erabilgarri batek azaltzen du zergatik dagoen VPNa, zer ez duen estaltzen eta zein betebehar gelditzen diren haren kanpoan. Dokumentu laburra da, eta askoz defendagarriagoa da trafikoa zifratuta dagoelako baieztapena baino.

Eskatu pribatutasun- eta segurtasun-adituei antolamendu osoa ebalua dezatela, tunela soilik onartu beharrean.