Hvað VPN nær yfir í GDPR-persónuverndarúttekt

Gagnagrunnur í skýi geymir persónuupplýsingar, VPN takmarkar hverjir komast í hann, og einhver spyr hvort það geri uppsetninguna samrýmanlega. Það gerir það ekki, og spurningin hefur rangt form. VPN er ein tæknileg aðgangsstýring meðal fleiri, og úttekt sem stöðvast við dulkóðaða umferð hefur svarað öryggisspurningu en látið hverja persónuverndarspurningu standa opna. Farðu í gegnum prófanirnar hér að neðan í röð, byrjaðu áður en netreglan er til.

Prófun 1: lýstu vinnslunni fyrir göngin

Skrifaðu niður tilganginn, flokkana persónuupplýsinga sem raunverulega þarf, fólkið sem má nota þær og fyrirhugaða varðveislutíma. Greindu þann lagagrundvöll sem þú styðst við og þá leið sem einstaklingur fer til að nýta réttindi sín. Afmarkað IP-bil getur ekki svarað neinu af þessu.

Athugaðu að persónuupplýsingar eru víðtækari en listi yfir augljós auðkenni. Dulkóðuð eða dulnefnd skrár eru áfram persónuupplýsingar þar sem endurtenging er möguleg, svo gagnagrunnur fullur af höstuðum auðkennum er ekki sjálfkrafa utan gildissviðs.

Prófun 2: nefndu hlutverkin

Ákvarðaðu hver ákveður vinnsluna og hver starfar fyrir hönd þess aðila, og farðu síðan yfir skilmálana milli þeirra: skjalfestar leiðbeiningar, trúnað, öryggisskuldbindingar og leyfðir undirvinnsluaðilar. Fyrir dæmigert skýjafyrirkomulag er þetta samningurinn milli stjórnanda og vinnsluaðila, og leiðbeiningar framkvæmdastjórnarinnar um beitingu útskýra hlutverkin og nauðsynlega bindandi gerð.

Netkerfisteikning nefnir venjulega ekkert af þessu, og þess vegna stöðvast VPN-spurningin ein. Hlutverk ráða því hver svarar réttindabeiðni. Þau ráða líka því hver ber ábyrgð þegar eitthvað fer úrskeiðis. Teiknaðu báða kassana áður en þú skrifar eina eldveggsreglu.

Prófun 3: kortleggðu hvar gögnin búa í raun

Listaðu aðalgeymslu, eftirlíkingu, öryggisafrit og stjórnunarlegar aðgangsleiðir. Öryggisafrit eru venjulega það sem gleymist, og dulkóðuð göng breyta ekki því hvar skyndimynd liggur.

Metið hverja spurningu um alþjóðlega flutning innan eigin ramma. Útgönguland VPN er leiðarstaðreynd, ekki fullyrðing um hvar veitandinn vinnur upplýsingarnar. Teymi skipta reglulega um útgöngusvæði gangsins og trúa því að þau hafi breytt flutningnum. Þau hafa breytt því frá hvaða vistfangi umferðin virðist koma.

Prófun 4: segðu hvað hver stýring nær fram

IP-heimildalisti takmarkar hvaða netkerfisheimildir mega tengjast. VPN verndar skilgreinda leið og getur dregið úr beinni áhættu. Hvort tveggja ætti ekki að gefa hverjum einstaklingi bak við gáttina sömu gagnagrunnsheimildir, því göngin sannreyna leið, ekki einstakling.

Notaðu einstaklingsbundna auðkenningu og hlutverkatengdan aðgang, og fjarlægðu aðgang þegar einhver skiptir um hlutverk. Farðu síðan yfir dulkóðun og lyklavörslu, plástrar, endurheimt og meðferð atvika við hlið netstýringanna, í áhættusamræmdum hugtökum sem öryggisleiðbeiningar nota frekar en föstum gátlista.

Prófun 5: varðveittu sönnunargögnin

Varðveittu lýsinguna á vinnslunni, þjónustusamninginn, aðgangsákvarðanirnar, áhættumatið og nafngreinda eigendur. Sönnunargögnin eru það sem gerir hönnun að einhverju sem hægt er að fara yfir ári síðar.

Tvær ákvarðanir eiga skilið skýr svör frekar en forsendur. Mat á áhrifum á persónuvernd er krafist þar sem vinnsla er líkleg til að valda mikilli áhættu, og persónuverndarfulltrúi er aðeins skyldugur við tilgreindar aðstæður. Hvort tveggja fylgir ekki sjálfkrafa geymslu gagna í skýi, og hvorugt er útilokað með henni.

Hvað fullbúin úttekt segir

Gagnleg úttekt útskýrir hvers vegna VPN er til staðar, hvað það nær ekki yfir og hvaða skyldur liggja utan þess. Þetta er stutt skjal, og það er mun varnarhæfara en fullyrðing um að umferðin sé dulkóðuð.

Láttu ábyrga sérfræðinga í persónuvernd og öryggi meta alla uppsetninguna í stað þess að samþykkja aðeins göngin.