מה VPN מכסה בסקירת הגנת נתונים לפי GDPR

מסד נתונים בענן מחזיק בנתונים אישיים, ה-VPN מגביל מי יכול להגיע אליו, ומישהו שואל אם זה הופך את ההגדרה לתואמת. זה לא הופך, ולשאלה יש צורה שגויה. VPN הוא בקרת גישה טכנית אחת מבין כמה, וסקירה שעוצרת בתעבורה מוצפנת ענתה על שאלת אבטחה והשאירה פתוחה כל שאלת הגנת נתונים. עברו על הבדיקות שלמטה לפי הסדר, החל מלפני שכלל הרשת קיים.

בדיקה 1: תארו את העיבוד לפני המנהרה

רשמו את המטרה, את קטגוריות הנתונים האישיים הנדרשים באמת, את האנשים המורשים להשתמש בהם ואת תקופת השמירה המתוכננת. זהו את הבסיס החוקי שאתם נשענים עליו ואת המסלול שאדם עובר כדי לממש את זכויותיו. טווח IP מוגבל אינו יכול לענות על אף אחד מאלה.

שימו לב שנתונים אישיים רחבים מרשימה של מזהים גלויים. רשומות מוצפנות או בעלות שם בדוי נשארות נתונים אישיים כאשר זיהוי מחדש אפשרי, ולכן מסד נתונים מלא במזהים מגובבים אינו מחוץ לתחום אוטומטית.

בדיקה 2: מנו את התפקידים

החליטו מי קובע את העיבוד ומי פועל מטעם אותו צד, ואז עברו על התנאים ביניהם: הוראות מתועדות, סודיות, התחייבויות אבטחה ומעבדי משנה מורשים. בהסדר ענן טיפוסי זהו ההסכם בין הבקר למעבד, הנחיות היישום של הנציבות מסבירות את התפקידים ואת הפעולה המחייבת הנדרשת.

תרשים רשת בדרך כלל אינו מונה דבר מזה, ולכן שאלת ה-VPN לבדה נתקעת. תפקידים קובעים מי עונה לבקשת זכויות. הם גם קובעים מי נושא באחריות כשמשהו משתבש. שרטטו את שתי התיבות לפני שתכתבו כלל חומת אש אחד.

בדיקה 3: מפו היכן הנתונים חיים באמת

פרטו אחסון ראשי, עותקים, גיבויים ונתיבי גישה ניהוליים. גיבויים הם ההשמטה הרגילה, ומנהרה מוצפנת אינה משנה היכן יושב צילום מצב.

העריכו כל שאלת העברה בינלאומית במסגרת שלה. מדינת היציאה של VPN היא עובדת ניתוב, לא הצהרה על היכן הספק מעבד את הנתונים. צוותים מחליפים באופן שגרתי את אזור היציאה של המנהרה ומאמינים ששינו את ההעברה. הם שינו מאיזו כתובת נראה שהתעבורה מגיעה.

בדיקה 4: אמרו מה כל בקרה משיגה

רשימת IP מורשים מגבילה אילו מקורות רשת יכולים להתחבר. VPN מגן על נתיב מוגדר ויכול להפחית חשיפה ישירה. אף אחד מהם לא צריך לתת לכל אדם מאחורי השער את אותן הרשאות מסד נתונים, כי המנהרה מאמתת נתיב, לא אדם.

השתמשו באימות אישי ובגישה מבוססת תפקידים, והסירו גישה כשמישהו מחליף תפקיד. לאחר מכן עברו על הצפנה ושמירת מפתחות, תיקונים, שחזור וטיפול באירועים לצד בקרות הרשת, במונחים המתאימים לסיכון שבהם משתמשת הנחיית האבטחה ולא ברשימה קבועה.

בדיקה 5: שמרו את הראיות

שמרו את תיאור העיבוד, הסכם השירות, החלטות הגישה, הערכת הסיכונים והאחראים הנקובים. ראיות הן מה שהופך תכנון למשהו שניתן לבדוק שנה לאחר מכן.

שתי החלטות ראויות לתשובות מפורשות ולא להנחות. נדרשת הערכת השפעה על הגנת נתונים כאשר העיבוד עלול לגרום לסיכון גבוה, וממונה הגנת נתונים הוא חובה רק בנסיבות מוגדרות. אף אחד מהם אינו נובע אוטומטית מאחסון נתונים בענן, ואף אחד מהם אינו נשלל על ידו.

מה אומרת הסקירה המוגמרת

סקירה שימושית מסבירה מדוע ה-VPN נוכח, מה אינו מכסה ואילו חובות נמצאות מחוצה לו. זהו מסמך קצר, והוא הרבה יותר ניתן להגנה מטענה שהתעבורה מוצפנת.

תנו למומחי הפרטיות והאבטחה האחראים להעריך את ההסדר השלם במקום לאשר רק את המנהרה.