Ką VPN apima BDAR duomenų apsaugos peržiūroje

Debesijos duomenų bazėje saugomi asmens duomenys, VPN riboja, kas gali ją pasiekti, ir kažkas klausia, ar tai padaro sąranką atitinkančią reikalavimus. Ne padaro, ir klausimo forma neteisinga. VPN yra viena techninė prieigos kontrolė tarp kelių, o peržiūra, kuri sustoja ties šifruotu srautu, atsakė į saugumo klausimą ir paliko atvirą kiekvieną duomenų apsaugos klausimą. Atlikite toliau nurodytus patikrinimus iš eilės, pradėdami dar prieš atsirandant tinklo taisyklei.

Patikrinimas 1: aprašykite tvarkymą prieš tunelį

Užsirašykite tikslą, tikrai reikalingas asmens duomenų kategorijas, asmenis, kuriems leidžiama jais naudotis, ir numatomą saugojimo laikotarpį. Nustatykite teisinį pagrindą, kuriuo remiatės, ir kelią, kuriuo asmuo naudojasi savo teisėmis. Apribotas IP diapazonas negali atsakyti nė į vieną iš jų.

Atkreipkite dėmesį, kad asmens duomenys yra platesni nei akivaizdžių identifikatorių sąrašas. Užšifruoti ar pseudonimizuoti įrašai išlieka asmens duomenimis, kai galimas pakartotinis identifikavimas, todėl duomenų bazė, pilna maišytų identifikatorių, automatiškai nėra už taikymo srities ribų.

Patikrinimas 2: įvardykite vaidmenis

Nuspręskite, kas nustato tvarkymą ir kas veikia tos šalies vardu, tada peržiūrėkite tarp jų esančias sąlygas: dokumentuotos instrukcijos, konfidencialumas, saugumo įsipareigojimai ir leidžiami subrangovai. Įprastai debesijos tvarkai tai yra valdytojo ir tvarkytojo sutartis, o Komisijos taikymo gairės paaiškina vaidmenis ir reikalaujamą privalomą aktą.

Tinklo diagrama paprastai neįvardija nieko iš to, todėl vien VPN klausimas stringa. Vaidmenys nusprendžia, kas atsako į teisių prašymą. Jie taip pat nusprendžia, kas atsako, kai kas nors nepavyksta. Nubrėžkite abu langelius prieš rašydami vieną ugniasienės taisyklę.

Patikrinimas 3: žemėlapyje pažymėkite, kur duomenys iš tikrųjų gyvena

Išvardykite pirminę saugyklą, replikas, atsargines kopijas ir administracinės prieigos kelius. Atsarginės kopijos yra įprasta spraga, o užšifruotas tunelis nekeičia, kur yra momentinė kopija.

Įvertinkite bet kurį tarptautinio perdavimo klausimą jo paties sistemoje. VPN išėjimo šalis yra maršrutizavimo faktas, o ne teiginys apie tai, kur teikėjas tvarko duomenis. Komandos reguliariai keičia tunelio išėjimo regioną ir tiki, kad pakeitė perdavimą. Jos pakeitė, iš kurio adreso atrodo, kad srautas ateina.

Patikrinimas 4: pasakykite, ką pasiekia kiekviena kontrolė

IP leidimų sąrašas riboja, kurie tinklo šaltiniai gali prisijungti. VPN apsaugo apibrėžtą kelią ir gali sumažinti tiesioginį poveikį. Nė vienas neturėtų suteikti kiekvienam už vartų esančiam asmeniui tų pačių duomenų bazės leidimų, nes tunelis autentifikuoja kelią, o ne asmenį.

Naudokite individualų autentifikavimą ir vaidmenimis pagrįstą prieigą, ir pašalinkite prieigą, kai kas nors pakeičia vaidmenį. Tada peržiūrėkite šifravimą ir raktų saugojimą, lopymą, atkūrimą ir incidentų tvarkymą kartu su tinklo kontrolėmis, rizikai tinkamomis sąvokomis, kurias naudoja saugumo gairės, o ne fiksuotu kontroliniu sąrašu.

Patikrinimas 5: saugokite įrodymus

Saugokite tvarkymo aprašymą, paslaugų sutartį, prieigos sprendimus, rizikos vertinimą ir įvardytus savininkus. Įrodymai yra tai, kas paverčia dizainą kuo nors, ką galima peržiūrėti po metų.

Du sprendimai nusipelno aiškių atsakymų, o ne prielaidų. Duomenų apsaugos poveikio vertinimas reikalingas, kai tvarkymas gali sukelti didelę riziką, o duomenų apsaugos pareigūnas privalomas tik nurodytomis aplinkybėmis. Nė vienas automatiškai neišplaukia iš duomenų saugojimo debesyje, ir nė vienas tuo neatmetamas.

Ką sako baigta peržiūra

Naudinga peržiūra paaiškina, kodėl VPN yra, ko jis neapima ir kokios prievolės lieka už jo ribų. Tai trumpas dokumentas, ir jis daug labiau apginamas nei teiginys, kad srautas yra užšifruotas.

Leiskite atsakingiems privatumo ir saugumo specialistams įvertinti visą tvarką, o ne pasirašyti tik tunelį.