Hva en VPN dekker i en GDPR-personvernrevisjon

En skydatabase inneholder personopplysninger, VPN-en begrenser hvem som kan nå den, og noen spør om det gjør oppsettet i samsvar. Det gjør det ikke, og spørsmålet har feil form. En VPN er én teknisk tilgangskontroll blant flere, og en revisjon som stopper ved kryptert trafikk, har besvart et sikkerhetsspørsmål og latt hvert personvernspørsmål stå åpent. Gå gjennom kontrollene nedenfor i rekkefølge, og begynn før nettverksregelen finnes.

Kontroll 1: beskriv behandlingen før tunnelen

Skriv ned formålet, kategoriene av personopplysninger som faktisk trengs, personene som har lov til å bruke dem, og den tiltenkte oppbevaringsperioden. Identifiser rettsgrunnlaget du støtter deg på, og veien en person tar for å utøve rettighetene sine. Et begrenset IP-område kan ikke svare på noe av dette.

Vær oppmerksom på at personopplysninger er bredere enn en liste over åpenbare identifikatorer. Krypterte eller pseudonymiserte oppføringer forblir personopplysninger der reidentifisering er mulig, så en database full av hashede identifikatorer er ikke automatisk utenfor virkeområdet.

Kontroll 2: navngi rollene

Avgjør hvem som bestemmer behandlingen og hvem som handler på den partens vegne, og gjennomgå deretter vilkårene mellom dem: dokumenterte instrukser, konfidensialitet, sikkerhetsforpliktelser og tillatte underleverandører. For et typisk skyoppsett er dette databehandleravtalen, og Kommisjonens veiledning om anvendelse forklarer rollene og den påkrevde bindende handlingen.

Et nettverksdiagram navngir vanligvis ingenting av dette, og det er derfor VPN-spørsmålet alene stopper. Roller avgjør hvem som svarer på en rettighetsforespørsel. De avgjør også hvem som er ansvarlig når noe går galt. Tegn begge boksene før du skriver en eneste brannmurregel.

Kontroll 3: kartlegg hvor dataene faktisk bor

List opp primærlagring, replikaer, sikkerhetskopier og administrative tilgangsveier. Sikkerhetskopier er den vanlige utelatelsen, og en kryptert tunnel endrer ikke hvor et øyeblikksbilde ligger.

Vurder ethvert spørsmål om internasjonal overføring innenfor sin egen ramme. Et VPN-utgangsland er et rutingfaktum, ikke en uttalelse om hvor leverandøren behandler dataene. Team bytter rutinemessig utgangsregion for tunnelen og tror de har endret overføringen. De har endret hvilken adresse trafikken ser ut til å komme fra.

Kontroll 4: si hva hver kontroll oppnår

En IP-tillatelsesliste begrenser hvilke nettverkskilder som kan koble til. En VPN beskytter en definert vei og kan redusere direkte eksponering. Ingen av dem bør gi hver person bak gatewayen de samme databasetillatelsene, fordi tunnelen autentiserer en vei, ikke en person.

Bruk individuell autentisering og rollebasert tilgang, og fjern tilgang når noen bytter rolle. Gå deretter gjennom kryptering og nøkkeloppbevaring, oppdateringer, gjenoppretting og hendelseshåndtering ved siden av nettverkskontrollene, i de risikotilpassede begrepene sikkerhetsveiledningen bruker i stedet for en fast sjekkliste.

Kontroll 5: behold bevisene

Behold behandlingsbeskrivelsen, tjenesteavtalen, tilgangsbeslutningene, risikovurderingen og de navngitte eierne. Bevis er det som gjør et design til noe som kan revideres et år senere.

To beslutninger fortjener eksplisitte svar i stedet for antakelser. En vurdering av personvernkonsekvenser kreves der behandlingen sannsynligvis vil medføre høy risiko, og et personvernombud er obligatorisk bare i nærmere angitte tilfeller. Ingen av dem følger automatisk av å lagre data i skyen, og ingen av dem utelukkes av det.

Hva den ferdige revisjonen sier

En nyttig revisjon forklarer hvorfor VPN-en er der, hva den ikke dekker, og hvilke forpliktelser som ligger utenfor. Det er et kort dokument, og det er langt mer forsvarbart enn en påstand om at trafikken er kryptert.

La de ansvarlige personvern- og sikkerhetsspesialistene vurdere hele ordningen i stedet for å godkjenne bare tunnelen.