GDPRデータ保護レビューでVPNがカバーする範囲

クラウドデータベースに個人データがあり、VPNは誰がそれに到達できるかを制限しており、それで設定が準拠するのかと誰かが尋ねます。準拠はしませんし、問いの形が誤っています。VPNは複数ある技術的アクセス制御の一つであり、暗号化された通信で止まるレビューは、セキュリティの問いには答えたものの、データ保護の問いをすべて開いたままにしています。以下のチェックを順に進め、ネットワークルールが存在する前から始めてください。

チェック1：トンネルの前に処理を記述する

目的、実際に必要な個人データの種類、利用を許可された人、意図する保存期間を書き留めます。依拠する法的根拠と、個人が権利を行使する経路を特定します。制限されたIP範囲では、そのいずれにも答えられません。

個人データは明白な識別子の一覧より広いことに注意してください。暗号化された記録や仮名化された記録も、再識別が可能であれば個人データのままです。したがってハッシュ化された識別子で満たされたデータベースが自動的に適用範囲外になるわけではありません。

チェック2：役割を明示する

誰が処理を決定し、誰がその当事者のために行動するかを決め、次に両者の間の条件を確認します。文書化された指示、機密保持、セキュリティへの関与、認められた下請け処理者です。典型的なクラウドの取り決めではこれが管理者と処理者の間の契約であり、欧州委員会の適用ガイダンスが役割と必要とされる拘束力のある行為を説明しています。

ネットワーク図は通常こうしたことを何も示さないため、VPNの問いだけでは行き詰まります。役割が、権利請求に誰が答えるかを決めます。何か問題が起きたときに誰が説明責任を負うかも決めます。ファイアウォールの規則を一つ書く前に、両方の箱を描いてください。

チェック3：データが実際にどこにあるかを地図にする

一次保存、レプリカ、バックアップ、管理アクセスの経路を列挙します。見落とされがちなのはバックアップであり、暗号化されたトンネルはスナップショットの置き場所を変えません。

国際移転の問いは、それ自体の枠組みの中で評価します。VPNの出口国はルーティングの事実であり、提供者がデータをどこで処理するかについての表明ではありません。チームは日常的にトンネルの出口地域を変え、移転を変えたと考えます。実際に変わったのは、通信がどこから来るように見えるかです。

チェック4：各制御が何を達成するかを述べる

IP許可リストは、どのネットワーク元が接続できるかを制限します。VPNは定義された経路を保護し、直接的な露出を減らせます。どちらも、ゲートウェイの背後の全員に同じデータベース権限を与えるべきではありません。トンネルが認証するのは経路であり、人ではないからです。

個人認証とロールベースのアクセスを使い、担当が変わったらアクセスを外します。そのうえで、暗号化と鍵の管理、パッチ適用、復旧、インシデント対応を、ネットワーク制御と並べて確認します。固定のチェックリストではなく、セキュリティ指針が用いるリスクに応じた表現で行います。

チェック5：証拠を保管する

処理の説明、サービス契約、アクセスに関する決定、リスク評価、指名された責任者を保管します。証拠があるからこそ、設計は一年後にも検証できるものになります。

二つの判断には、前提ではなく明示的な答えが必要です。処理が高いリスクをもたらす可能性が高い場合にはデータ保護影響評価が必要であり、データ保護責任者は特定の状況でのみ義務づけられます。どちらもクラウドへの保存から自動的に導かれるものではなく、それによって排除されるものでもありません。

仕上がったレビューが語ること

有用なレビューは、VPNがなぜ存在するのか、何をカバーしていないのか、どの義務がその外にあるのかを説明します。それは短い文書であり、通信が暗号化されているという主張よりはるかに防御可能です。

責任あるプライバシーとセキュリティの専門家に、トンネルだけを承認するのではなく、取り決め全体を評価させてください。