Mit fed le egy VPN a GDPR-adatvédelmi felülvizsgálatban

Egy felhőadatbázis személyes adatokat tartalmaz, a VPN korlátozza, ki érheti el, és valaki azt kérdezi, ez megfelelővé teszi-e a beállítást. Nem teszi, és a kérdés formája rossz. A VPN egy technikai hozzáférés-ellenőrzés több közül, és az a felülvizsgálat, amely a titkosított forgalomnál megáll, válaszolt egy biztonsági kérdésre, miközben minden adatvédelmi kérdést nyitva hagyott. Az alábbi ellenőrzéseket sorrendben végezze el, még a hálózati szabály létezése előtt kezdve.

Ellenőrzés 1: írja le a kezelést az alagút előtt

Írja le a célt, a valóban szükséges személyesadat-kategóriákat, az ezek használatára jogosult személyeket és a tervezett megőrzési időt. Határozza meg az Ön által támaszkodott jogalapot és azt az utat, amelyen egy személy a jogait gyakorolja. Egy korlátozott IP-tartomány egyikre sem tud válaszolni.

Vegye figyelembe, hogy a személyes adatok szélesebbek a nyilvánvaló azonosítók listájánál. A titkosított vagy álnéven tárolt rekordok személyes adatok maradnak, ahol az újraazonosítás lehetséges, ezért a hash-elt azonosítókkal teli adatbázis nem esik automatikusan a hatályon kívül.

Ellenőrzés 2: nevezze meg a szerepeket

Döntse el, ki határozza meg a kezelést és ki jár el e fél nevében, majd tekintse át a köztük lévő feltételeket: dokumentált utasítások, titoktartás, biztonsági vállalások és engedélyezett alfeldolgozók. Egy tipikus felhőmegoldásnál ez az adatkezelő és adatfeldolgozó közötti megállapodás, és a Bizottság alkalmazási iránymutatása elmagyarázza a szerepeket és a szükséges kötelező aktust.

Egy hálózati diagram általában ezek egyikét sem nevezi meg, ezért a VPN-kérdés önmagában elakad. A szerepek döntik el, ki válaszol egy jogi kérelemre. Azt is eldöntik, ki felelős, ha valami hiba történik. Rajzolja meg mindkét mezőt, mielőtt egyetlen tűzfalszabályt ír.

Ellenőrzés 3: térképezze fel, hol élnek valójában az adatok

Sorolja fel az elsődleges tárolást, a replikákat, a biztonsági mentéseket és az adminisztratív hozzáférési útvonalakat. A biztonsági mentések a szokásos kihagyás, és a titkosított alagút nem változtat azon, hol van egy pillanatkép.

Értékelje a nemzetközi továbbítás bármely kérdését a saját keretében. A VPN kilépési országa útválasztási tény, nem állítás arról, hol kezeli a szolgáltató az adatokat. A csapatok rendszeresen váltják az alagút kilépési régióját, és azt hiszik, megváltoztatták a továbbítást. Azt változtatták meg, melyik címről tűnik úgy, hogy a forgalom jön.

Ellenőrzés 4: mondja meg, mit ér el minden ellenőrzés

Az IP-engedélylista korlátozza, mely hálózati források csatlakozhatnak. A VPN egy meghatározott útvonalat véd, és csökkentheti a közvetlen kitettséget. Egyik sem adhat a kapu mögötti minden személynek azonos adatbázis-engedélyeket, mert az alagút egy útvonalat hitelesít, nem egy személyt.

Használjon egyéni hitelesítést és szerepalapú hozzáférést, és vonja vissza a hozzáférést, ha valaki szerepet vált. Ezután tekintse át a titkosítást és a kulcsok kezelését, a javításokat, a helyreállítást és az incidenskezelést a hálózati ellenőrzések mellett, a kockázathoz illő azon kifejezésekkel, amelyeket a biztonsági iránymutatás használ, nem pedig rögzített ellenőrzőlistával.

Ellenőrzés 5: őrizze meg a bizonyítékokat

Őrizze meg a kezelés leírását, a szolgáltatási szerződést, a hozzáférési döntéseket, a kockázatértékelést és a megnevezett felelősöket. A bizonyíték az, ami egy tervet egy évvel később felülvizsgálhatóvá tesz.

Két döntés kifejezett válaszokat érdemel feltevések helyett. Adatvédelmi hatásvizsgálat akkor szükséges, ha a kezelés valószínűleg magas kockázatot eredményez, és adatvédelmi tisztviselő csak meghatározott körülmények között kötelező. Egyik sem következik automatikusan az adatok felhőben tárolásából, és egyiket sem zárja ki az.

Mit mond a befejezett felülvizsgálat

Egy hasznos felülvizsgálat elmagyarázza, miért van jelen a VPN, mit nem fed le, és mely kötelezettségek vannak azon kívül. Ez egy rövid dokumentum, és sokkal védhetőbb, mint az az állítás, hogy a forgalom titkosított.

Kérje meg a felelős adatvédelmi és biztonsági szakértőket a teljes megoldás értékelésére, ahelyett hogy csak az alagutat hagynák jóvá.