Što VPN pokriva u pregledu zaštite podataka prema GDPR-u

Cloud baza podataka sadrži osobne podatke, VPN ograničava kome je dostupna, i netko pita čini li to postavu usklađenom. Ne čini, a pitanje ima pogrešan oblik. VPN je jedna tehnička kontrola pristupa među nekoliko, a pregled koji se zaustavi na šifriranom prometu odgovorio je na sigurnosno pitanje ostavljajući otvoreno svako pitanje zaštite podataka. Prođite donje provjere redom, počevši prije nego što mrežno pravilo postoji.

Provjera 1: opišite obradu prije tunela

Zapišite svrhu, kategorije osobnih podataka koji su doista potrebni, osobe kojima je dopušteno njima se koristiti i predviđeno razdoblje čuvanja. Utvrdite pravni osnov na koji se oslanjate i put kojim pojedinac ostvaruje svoja prava. Ograničen raspon IP adresa ne može odgovoriti ni na što od toga.

Imajte na umu da su osobni podaci širi od popisa očitih identifikatora. Šifrirani ili pseudonimizirani zapisi ostaju osobni podaci kada je ponovna identifikacija moguća, pa baza puna raspršenih identifikatora nije automatski izvan opsega.

Provjera 2: imenujte uloge

Odredite tko određuje obradu i tko djeluje u ime te strane, zatim pregledajte uvjete među njima: dokumentirane upute, povjerljivost, sigurnosne obveze i dopušteni podobrađivači. Za tipičan cloud aranžman to je ugovor između voditelja i izvršitelja, a smjernice Komisije za primjenu objašnjavaju uloge i potrebni obvezujući akt.

Mrežni dijagram obično ne imenuje ništa od toga, zbog čega samo pitanje VPN-a zapinje. Uloge odlučuju tko odgovara na zahtjev za pravima. One također odlučuju tko je odgovoran kada nešto pođe po zlu. Nacrtajte oba okvira prije nego što napišete ijedno pravilo vatrozida.

Provjera 3: mapirajte gdje podaci doista žive

Navedite primarnu pohranu, replike, sigurnosne kopije i administrativne putove pristupa. Sigurnosne kopije uobičajen su propust, a šifrirani tunel ne mijenja gdje se nalazi snimka.

Procijenite svako pitanje međunarodnog prijenosa unutar njegova okvira. Država izlaza VPN-a činjenica je o usmjeravanju, a ne tvrdnja o tome gdje pružatelj obrađuje podatke. Timovi rutinski mijenjaju izlaznu regiju tunela i vjeruju da su promijenili prijenos. Promijenili su s koje adrese promet izgleda da dolazi.

Provjera 4: recite što svaka kontrola postiže

Popis dopuštenih IP adresa ograničava koji se mrežni izvori smiju povezati. VPN štiti definirani put i može smanjiti izravnu izloženost. Nijedno ne bi trebalo svakoj osobi iza pristupnika dati ista dopuštenja u bazi, jer tunel autentificira put, a ne osobu.

Koristite pojedinačnu autentifikaciju i pristup zasnovan na ulogama, i uklonite pristup kada netko promijeni ulogu. Zatim pregledajte šifriranje i čuvanje ključeva, zakrpe, oporavak i postupanje s incidentima uz mrežne kontrole, u terminima primjerenima riziku koje rabe sigurnosne smjernice, a ne u fiksnom popisu provjera.

Provjera 5: čuvajte dokaze

Čuvajte opis obrade, ugovor o usluzi, odluke o pristupu, procjenu rizika i imenovane vlasnike. Dokazi su ono što dizajn pretvara u nešto što se može pregledati godinu dana kasnije.

Dvije odluke zaslužuju izričite odgovore, a ne pretpostavke. Procjena utjecaja na zaštitu podataka potrebna je kada obrada vjerojatno rezultira visokim rizikom, a službenik za zaštitu podataka obvezan je samo u određenim okolnostima. Nijedno ne slijedi automatski iz čuvanja podataka u cloudu, i nijedno nije time isključeno.

Što kaže dovršeni pregled

Koristan pregled objašnjava zašto VPN postoji, što ne pokriva i koje obveze stoje izvan njega. To je kratak dokument i mnogo je obranjiviji od tvrdnje da je promet šifriran.

Neka odgovorni stručnjaci za privatnost i sigurnost procijene cijeli aranžman, umjesto da odobre samo tunel.