Ce qu’un VPN couvre dans un audit de protection des données RGPD

Une base de données cloud contient des données personnelles, le VPN restreint qui peut y accéder, et quelqu’un demande si cela rend le montage conforme. Ce n’est pas le cas, et la question a la mauvaise forme. Un VPN est un contrôle d’accès technique parmi plusieurs, et un audit qui s’arrête au trafic chiffré a répondu à une question de sécurité tout en laissant ouverte chaque question de protection des données. Traitez les vérifications ci-dessous dans l’ordre, en commençant avant que la règle réseau n’existe.

Vérification 1 : décrivez le traitement avant le tunnel

Notez la finalité, les catégories de données personnelles réellement nécessaires, les personnes autorisées à les utiliser et la durée de conservation prévue. Identifiez la base légale sur laquelle vous vous appuyez et le parcours qu’une personne suit pour exercer ses droits. Une plage d’IP restreinte ne peut répondre à aucune de ces questions.

Notez que les données personnelles sont plus larges qu’une liste d’identifiants évidents. Les enregistrements chiffrés ou pseudonymisés restent des données personnelles lorsque la réidentification est possible, donc une base de données remplie d’identifiants hachés n’est pas automatiquement hors du champ.

Vérification 2 : nommez les rôles

Déterminez qui détermine le traitement et qui agit pour le compte de cette partie, puis examinez les conditions entre elles : instructions documentées, confidentialité, engagements de sécurité et sous-traitants autorisés. Pour un montage cloud typique, il s’agit de l’accord entre responsable et sous-traitant, et les orientations d’application de la Commission expliquent les rôles et l’acte contraignant requis.

Un schéma réseau ne nomme généralement rien de tout cela, et c’est pourquoi la question du VPN seule bloque. Les rôles décident qui répond à une demande de droits. Ils décident aussi qui rend des comptes quand quelque chose échoue. Dessinez les deux cases avant d’écrire une seule règle de pare-feu.

Vérification 3 : cartographiez où vivent réellement les données

Listez le stockage principal, les répliques, les sauvegardes et les chemins d’accès administratifs. Les sauvegardes sont l’omission habituelle, et un tunnel chiffré ne change pas où se trouve un instantané.

Évaluez toute question de transfert international dans son propre cadre. Le pays de sortie d’un VPN est un fait de routage, pas une déclaration sur l’endroit où le fournisseur traite les données. Les équipes changent régulièrement la région de sortie du tunnel et croient avoir changé le transfert. Elles ont changé l’adresse d’où le trafic semble venir.

Vérification 4 : dites ce que chaque contrôle accomplit

Une liste d’IP autorisées limite quelles sources réseau peuvent se connecter. Un VPN protège un chemin défini et peut réduire l’exposition directe. Ni l’une ni l’autre ne devrait donner à chaque personne derrière la passerelle les mêmes permissions de base de données, car le tunnel authentifie un chemin, pas une personne.

Utilisez une authentification individuelle et un accès fondé sur les rôles, et retirez l’accès lorsqu’une personne change de rôle. Examinez ensuite le chiffrement et la garde des clés, les correctifs, la restauration et la gestion des incidents aux côtés des contrôles réseau, dans les termes adaptés au risque qu’emploient les orientations de sécurité plutôt qu’une liste fixe.

Vérification 5 : conservez les preuves

Conservez la description du traitement, le contrat de service, les décisions d’accès, l’évaluation des risques et les responsables nommés. La preuve est ce qui transforme une conception en quelque chose de vérifiable un an plus tard.

Deux décisions méritent des réponses explicites plutôt que des suppositions. Une analyse d’impact relative à la protection des données est requise lorsque le traitement est susceptible d’engendrer un risque élevé, et un délégué à la protection des données n’est obligatoire que dans des circonstances déterminées. Ni l’une ni l’autre ne découle automatiquement du stockage de données dans le cloud, et ni l’une ni l’autre n’en est exclue.

Ce que dit l’audit terminé

Un audit utile explique pourquoi le VPN est présent, ce qu’il ne couvre pas et quelles obligations se situent en dehors. C’est un document court, et il est bien plus défendable qu’une affirmation selon laquelle le trafic est chiffré.

Faites évaluer l’ensemble du montage par les spécialistes de la confidentialité et de la sécurité responsables plutôt que de valider le tunnel seul.