Што опфаќа VPN во прегледот на заштита на податоци GDPR

Облачна база на податоци содржи лични податоци, VPN ограничува кој може да стигне до неа, и некој прашува дали тоа го прави поставувањето усогласено. Не го прави, а прашањето има погрешна форма. VPN е една техничка контрола на пристап меѓу неколку, а прегледот што застанува на шифрираниот сообраќај одговорил на безбедносно прашање оставајќи отворено секое прашање за заштита на податоци. Изведете ги проверките подолу по ред, почнувајќи пред мрежното правило да постои.

Проверка 1: опишете ја обработката пред тунелот

Запишете ја целта, категориите лични податоци што навистина се потребни, лицата на кои им е дозволено да ги користат и предвидениот период на чување. Утврдете го правниот основ врз кој се потпирате и патот што лицето го поминува за да ги оствари своите права. Ограничен IP опсег не може да одговори на ниту едно од тоа.

Имајте на ум дека личните податоци се пошироки од список на очигледни идентификатори. Шифрираните или псевдонимизираните записи остануваат лични податоци кога повторното идентификување е возможно, па база полна со хеширани идентификатори не е автоматски надвор од опсегот.

Проверка 2: именувајте ги улогите

Одредете кој ја определува обработката и кој дејствува во името на таа страна, потоа прегледајте ги условите меѓу нив: документирани упатства, доверливост, безбедносни обврски и дозволени потпроцесори. За типично облачно уредување ова е договорот меѓу контролор и обработувач, а упатствата на Комисијата за примена ги објаснуваат улогите и потребниот обврзувачки акт.

Мрежниот дијаграм обично не именува ништо од ова, и затоа прашањето за VPN само по себе заглавува. Улогите одредуваат кој одговара на барање за права. Тие исто така одредуваат кој е одговорен кога нешто тргне наопаку. Нацртајте ги двете полиња пред да напишете едно правило на огнениот ѕид.

Проверка 3: мапирајте каде податоците навистина живеат

Наведете го примарното складиште, репликите, резервните копии и административните патеки за пристап. Резервните копии се вообичаениот пропуст, а шифрираниот тунел не менува каде се наоѓа сликата.

Оценете го секое прашање за меѓународен пренос во неговата сопствена рамка. Земјата на излез на VPN е факт за рутирање, а не изјава за тоа каде давателот ги обработува податоците. Тимовите рутински ја менуваат излезната регија на тунелот и веруваат дека го смениле преносот. Тие смениле од која адреса сообраќајот изгледа дека доаѓа.

Проверка 4: кажете што постигнува секоја контрола

Списокот на дозволени IP ограничува кои мрежни извори можат да се поврзат. VPN штити определен пат и може да ја намали директната изложеност. Ниту едно не треба на секое лице зад портата да му ги даде истите дозволи за базата, бидејќи тунелот автентицира пат, а не лице.

Користете индивидуална автентикација и пристап заснован на улоги, и отстранете го пристапот кога некој ќе ја смени улогата. Потоа прегледајте ги шифрирањето и чувањето клучеви, закрпите, обновувањето и справувањето со инциденти заедно со мрежните контроли, во термини соодветни на ризикот што ги користи безбедносното упатство, а не во фиксен список.

Проверка 5: чувајте ги доказите

Чувајте го описот на обработката, договорот за услуга, одлуките за пристап, проценката на ризик и именуваните сопственици. Доказите се она што го претвора дизајнот во нешто проверливо една година подоцна.

Две одлуки заслужуваат експлицитни одговори, а не претпоставки. Проценка на влијанието врз заштитата на податоци е потребна кога обработката веројатно ќе резултира со висок ризик, а службеник за заштита на лични податоци е задолжителен само во определени околности. Ниту едно не произлегува автоматски од чувањето податоци во облакот, и ниту едно не е исклучено од него.

Што вели завршениот преглед

Корисен преглед објаснува зошто VPN е присутен, што не опфаќа и кои обврски стојат надвор од него. Тоа е краток документ, и е многу подобро одбранлив од тврдење дека сообраќајот е шифриран.

Нека одговорните специјалисти за приватност и безбедност ја проценат целата поставеност, наместо да го одобрат само тунелот.