Che cosa copre una VPN in una revisione sulla protezione dei dati GDPR

Un database cloud contiene dati personali, la VPN limita chi può raggiungerlo, e qualcuno chiede se questo rende l’assetto conforme. Non lo rende, e la domanda ha la forma sbagliata. Una VPN è un controllo tecnico degli accessi tra diversi, e una revisione che si ferma al traffico cifrato ha risposto a una domanda di sicurezza lasciando aperta ogni domanda di protezione dei dati. Affrontate i controlli qui sotto in ordine, iniziando prima che la regola di rete esista.

Verifica 1: descrivete il trattamento prima del tunnel

Annotate la finalità, le categorie di dati personali realmente necessarie, le persone autorizzate a usarli e il periodo di conservazione previsto. Individuate la base giuridica su cui vi basate e il percorso che una persona segue per esercitare i propri diritti. Un intervallo di IP ristretto non può rispondere a nessuna di queste domande.

Tenete presente che i dati personali sono più ampi di un elenco di identificatori evidenti. I registri cifrati o pseudonimizzati restano dati personali quando la reidentificazione è possibile, quindi un database pieno di identificatori hash non è automaticamente fuori ambito.

Verifica 2: nominate i ruoli

Decidete chi determina il trattamento e chi agisce per conto di quella parte, poi riesaminate i termini tra loro: istruzioni documentate, riservatezza, impegni di sicurezza e subresponsabili autorizzati. Per un tipico assetto cloud questo è l’accordo tra titolare e responsabile, e le linee guida applicative della Commissione spiegano i ruoli e l’atto vincolante richiesto.

Un diagramma di rete di solito non nomina nulla di tutto ciò, ed è per questo che la domanda sulla VPN da sola si blocca. I ruoli decidono chi risponde a una richiesta di diritti. Decidono anche chi risponde quando qualcosa va storto. Disegnate entrambe le caselle prima di scrivere una sola regola del firewall.

Verifica 3: mappate dove vivono davvero i dati

Elencate l’archiviazione primaria, le repliche, i backup e i percorsi di accesso amministrativo. I backup sono la dimenticanza abituale, e un tunnel cifrato non cambia dove si trova un’istantanea.

Valutate qualsiasi questione di trasferimento internazionale nel suo quadro. Il paese di uscita di una VPN è un fatto di instradamento, non un’affermazione su dove il fornitore tratta i dati. I team cambiano abitualmente la regione di uscita del tunnel e credono di aver cambiato il trasferimento. Hanno cambiato da quale indirizzo il traffico sembra arrivare.

Verifica 4: dite che cosa ottiene ogni controllo

Un elenco di IP consentite limita quali sorgenti di rete possono connettersi. Una VPN protegge un percorso definito e può ridurre l’esposizione diretta. Nessuna delle due dovrebbe dare a ogni persona dietro il gateway gli stessi permessi sul database, perché il tunnel autentica un percorso, non una persona.

Usate autenticazione individuale e accesso basato sui ruoli, e rimuovete l’accesso quando qualcuno cambia ruolo. Poi riesaminate cifratura e custodia delle chiavi, patch, ripristino e gestione degli incidenti accanto ai controlli di rete, nei termini adeguati al rischio usati dalle linee guida di sicurezza anziché in un elenco fisso.

Verifica 5: conservate le prove

Conservate la descrizione del trattamento, il contratto di servizio, le decisioni di accesso, la valutazione dei rischi e i responsabili nominati. La prova è ciò che trasforma un progetto in qualcosa di verificabile un anno dopo.

Due decisioni meritano risposte esplicite anziché supposizioni. Una valutazione d’impatto sulla protezione dei dati è richiesta quando il trattamento rischia di comportare un rischio elevato, e un responsabile della protezione dei dati è obbligatorio solo in circostanze specificate. Nessuna delle due deriva automaticamente dall’archiviare dati nel cloud, e nessuna delle due è esclusa da ciò.

Che cosa dice la revisione conclusa

Una revisione utile spiega perché la VPN è presente, che cosa non copre e quali obblighi restano fuori. È un documento breve, ed è molto più difendibile di un’affermazione secondo cui il traffico è cifrato.

Fate valutare l’assetto completo agli specialisti di privacy e sicurezza responsabili invece di approvare solo il tunnel.