Apa yang Dicakup VPN dalam Tinjauan Perlindungan Data GDPR

Basis data cloud menyimpan data pribadi, VPN membatasi siapa yang dapat menjangkaunya, dan seseorang bertanya apakah itu membuat penyiapannya patuh. Tidak, dan pertanyaannya salah bentuk. VPN adalah satu kendali akses teknis di antara beberapa, dan tinjauan yang berhenti pada lalu lintas terenkripsi telah menjawab pertanyaan keamanan sambil membiarkan setiap pertanyaan perlindungan data terbuka. Kerjakan pemeriksaan di bawah ini secara berurutan, dimulai sebelum aturan jaringan ada.

Pemeriksaan 1: jelaskan pemrosesan sebelum terowongan

Tuliskan tujuan, kategori data pribadi yang benar-benar dibutuhkan, orang yang diizinkan menggunakannya, dan periode retensi yang dimaksudkan. Identifikasi dasar hukum yang Anda andalkan dan jalur yang ditempuh seseorang untuk menjalankan haknya. Rentang IP yang dibatasi tidak dapat menjawab satu pun dari itu.

Perhatikan bahwa data pribadi lebih luas daripada daftar pengenal yang jelas. Catatan terenkripsi atau terpseudonimisasi tetap merupakan data pribadi bila identifikasi ulang dimungkinkan, sehingga basis data penuh pengenal hash tidak otomatis di luar cakupan.

Pemeriksaan 2: sebutkan perannya

Tentukan siapa yang menentukan pemrosesan dan siapa yang bertindak atas nama pihak itu, lalu tinjau persyaratan di antara mereka: instruksi terdokumentasi, kerahasiaan, komitmen keamanan, dan subprosesor yang diizinkan. Untuk pengaturan cloud yang lazim, ini adalah perjanjian pengendali-pemroses, dan panduan penerapan Komisi menjelaskan peran serta tindakan mengikat yang disyaratkan.

Diagram jaringan biasanya tidak menyebut satu pun dari ini, itulah sebabnya pertanyaan VPN saja terhenti. Peran menentukan siapa yang menjawab permintaan hak. Peran juga menentukan siapa yang bertanggung jawab ketika ada yang salah. Gambarkan kedua kotak sebelum menulis satu aturan firewall pun.

Pemeriksaan 3: petakan tempat data benar-benar berada

Daftar penyimpanan utama, replika, cadangan, dan jalur akses administratif. Cadangan adalah kelalaian yang lazim, dan terowongan terenkripsi tidak mengubah tempat snapshot berada.

Nilai setiap pertanyaan transfer internasional dalam kerangkanya sendiri. Negara keluar VPN adalah fakta perutean, bukan pernyataan tentang tempat penyedia memproses data. Tim rutin mengubah wilayah keluar terowongan dan percaya mereka mengubah transfer. Mereka mengubah dari alamat mana lalu lintas tampak berasal.

Pemeriksaan 4: nyatakan apa yang dicapai setiap kendali

Daftar izin IP membatasi sumber jaringan mana yang boleh terhubung. VPN melindungi jalur tertentu dan dapat mengurangi paparan langsung. Keduanya tidak boleh memberi setiap orang di belakang gateway izin basis data yang sama, karena terowongan mengautentikasi jalur, bukan orang.

Gunakan autentikasi individual dan akses berbasis peran, serta cabut akses ketika seseorang berganti peran. Lalu tinjau enkripsi dan penyimpanan kunci, penambalan, pemulihan, dan penanganan insiden bersama kendali jaringan, dalam istilah yang sesuai risiko yang digunakan panduan keamanan alih-alih daftar periksa tetap.

Pemeriksaan 5: simpan buktinya

Simpan deskripsi pemrosesan, perjanjian layanan, keputusan akses, penilaian risiko, dan pemilik yang disebutkan. Bukti adalah yang mengubah rancangan menjadi sesuatu yang dapat ditinjau setahun kemudian.

Dua keputusan layak mendapat jawaban eksplisit alih-alih asumsi. Penilaian dampak perlindungan data diperlukan bila pemrosesan kemungkinan mengakibatkan risiko tinggi, dan pejabat perlindungan data hanya wajib dalam keadaan tertentu. Keduanya tidak otomatis mengikuti dari penyimpanan data di cloud, dan keduanya tidak dikecualikan olehnya.

Apa kata tinjauan yang selesai

Tinjauan yang berguna menjelaskan mengapa VPN ada, apa yang tidak dicakupnya, dan kewajiban mana yang berada di luarnya. Itu dokumen singkat, dan jauh lebih dapat dipertahankan daripada klaim bahwa lalu lintas terenkripsi.

Mintalah spesialis privasi dan keamanan yang bertanggung jawab menilai keseluruhan pengaturan alih-alih menyetujui terowongannya saja.