یک VPN در بازبینی حفاظت از داده GDPR چه چیزی را پوشش می‌دهد

یک پایگاه داده ابری داده‌های شخصی را نگه می‌دارد، VPN محدود می‌کند که چه کسی به آن دسترسی دارد، و کسی می‌پرسد آیا این کار راه‌اندازی را منطبق می‌کند. نمی‌کند، و پرسش شکل اشتباهی دارد. VPN یک کنترل دسترسی فنی از میان چند کنترل است، و بازبینی که در ترافیک رمزنگاری‌شده متوقف شود به یک پرسش امنیتی پاسخ داده و هر پرسش حفاظت از داده را باز گذاشته است. کنترل‌های زیر را به ترتیب انجام دهید، پیش از آنکه قاعده شبکه وجود داشته باشد شروع کنید.

بررسی 1: پردازش را پیش از تونل توصیف کنید

هدف، دسته‌های داده شخصی که واقعاً لازم است، افرادی که اجازه استفاده از آن‌ها را دارند و دوره نگهداری مورد نظر را بنویسید. مبنای قانونی‌ای که بر آن تکیه دارید و مسیری که فرد برای اعمال حقوق خود طی می‌کند را مشخص کنید. یک محدوده IP محدود نمی‌تواند به هیچ‌یک از این‌ها پاسخ دهد.

توجه کنید که داده‌های شخصی گسترده‌تر از فهرستی از شناسه‌های آشکار است. سوابق رمزنگاری‌شده یا مستعارشده در جایی که بازشناسایی ممکن است همچنان داده شخصی می‌مانند، بنابراین پایگاه داده‌ای پر از شناسه‌های هش‌شده به‌طور خودکار خارج از دامنه نیست.

بررسی 2: نقش‌ها را نام ببرید

تصمیم بگیرید چه کسی پردازش را تعیین می‌کند و چه کسی از طرف آن طرف عمل می‌کند، سپس شرایط میان آن‌ها را بازبینی کنید: دستورهای مستند، محرمانگی، تعهدهای امنیتی و پردازشگران فرعی مجاز. برای یک ترتیب ابری معمول این توافق کنترل‌کننده-پردازشگر است، و راهنمای اجرای کمیسیون نقش‌ها و اقدام الزام‌آور مورد نیاز را توضیح می‌دهد.

یک نمودار شبکه معمولاً هیچ‌یک از این‌ها را نام نمی‌برد، و به همین دلیل پرسش VPN به‌تنهایی متوقف می‌شود. نقش‌ها تعیین می‌کنند چه کسی به درخواست حقوق پاسخ می‌دهد. آن‌ها همچنین تعیین می‌کنند چه کسی وقتی چیزی اشتباه می‌شود پاسخگو است. هر دو کادر را پیش از نوشتن یک قاعده دیوار آتش بکشید.

بررسی 3: نقشه کنید داده‌ها واقعاً کجا زندگی می‌کنند

ذخیره‌سازی اصلی، نسخه‌های تکرارشده، نسخه‌های پشتیبان و مسیرهای دسترسی مدیریتی را فهرست کنید. نسخه‌های پشتیبان غفلت معمول است، و تونل رمزنگاری‌شده تغییری در جای قرارگیری یک عکس لحظه‌ای نمی‌دهد.

هر پرسش انتقال بین‌المللی را در چارچوب خودش ارزیابی کنید. کشور خروج VPN یک واقعیت مسیریابی است، نه بیانیه‌ای درباره اینکه ارائه‌دهنده داده‌ها را کجا پردازش می‌کند. تیم‌ها به‌طور معمول منطقه خروج تونل را تغییر می‌دهند و باور دارند که انتقال را تغییر داده‌اند. آن‌ها تغییر داده‌اند که ترافیک از کدام نشانی به نظر می‌رسد می‌آید.

بررسی 4: بگویید هر کنترل چه چیزی را محقق می‌کند

فهرست مجاز IP محدود می‌کند که کدام منابع شبکه می‌توانند متصل شوند. VPN یک مسیر تعریف‌شده را محافظت می‌کند و می‌تواند مواجهه مستقیم را کاهش دهد. هیچ‌یک نباید به هر فرد پشت دروازه همان مجوزهای پایگاه داده را بدهد، زیرا تونل یک مسیر را احراز هویت می‌کند، نه یک فرد را.

از احراز هویت فردی و دسترسی مبتنی بر نقش استفاده کنید، و وقتی کسی نقش خود را تغییر می‌دهد دسترسی را بردارید. سپس رمزنگاری و نگهداری کلید، وصله‌کاری، بازیابی و مدیریت رخداد را در کنار کنترل‌های شبکه بازبینی کنید، با اصطلاحات متناسب با ریسک که راهنمای امنیتی به کار می‌برد، نه یک فهرست بازبینی ثابت.

بررسی 5: شواهد را نگه دارید

توصیف پردازش، قرارداد خدمات، تصمیم‌های دسترسی، ارزیابی ریسک و مالکان نام‌برده را نگه دارید. شواهد همان چیزی است که یک طراحی را یک سال بعد قابل بازبینی می‌کند.

دو تصمیم شایسته پاسخ صریح هستند نه فرض. ارزیابی اثر حفاظت از داده در جایی لازم است که احتمال دارد پردازش به ریسک بالا بیانجامد، و مسئول حفاظت از داده تنها در شرایط مشخص الزامی است. هیچ‌یک به‌طور خودکار از ذخیره داده در ابر ناشی نمی‌شود، و هیچ‌یک با آن منتفی نمی‌شود.

بازبینی تمام‌شده چه می‌گوید

یک بازبینی سودمند توضیح می‌دهد که VPN چرا حضور دارد، چه چیزی را پوشش نمی‌دهد و کدام تعهدها بیرون از آن می‌مانند. این سندی کوتاه است، و بسیار قابل دفاع‌تر از ادعای رمزنگاری‌شدن ترافیک است.

از متخصصان مسئول حریم خصوصی و امنیت بخواهید کل ترتیب را ارزیابی کنند، نه اینکه فقط تونل را تأیید کنند.