Hva en VPN dekker i en GDPR-revisjon av personvernet

En skydatabase rommer personopplysninger, VPN-en begrenser hvem som kan nå den, og noen spør om det gjør oppsettet regelkonformt. Det gjør det ikke, og spørsmålet er feil stilt. En VPN er én teknisk tilgangskontroll blant flere, og en revisjon som stopper ved kryptert trafikk, har svart på et sikkerhetsspørsmål og latt alle personvernspørsmål stå åpne. Arbeid deg gjennom kontrollene nedenfor i rekkefølge, og start før nettverksregelen eksisterer.

Kontroll 1: beskriv behandlingen før tunnelen

Noter formålet, kategoriene av personopplysninger som faktisk er nødvendige, personene som har tillatelse til å bruke dem, og den planlagte oppbevaringsperioden. Fastslå rettsgrunnlaget du bygger på, og veien en person går for å utøve rettighetene sine. Et begrenset IP-område kan ikke besvare noe av dette.

Vær klar over at personopplysninger er videre enn en liste over åpenbare identifikatorer. Krypterte eller pseudonymiserte poster er fortsatt personopplysninger der reidentifisering er mulig, så en database full av hashede identifikatorer faller ikke automatisk utenfor virkeområdet.

Kontroll 2: navngi rollene

Fastslå hvem som bestemmer behandlingen og hvem som handler på vegne av den parten, og gjennomgå så vilkårene mellom dem: dokumenterte instruksjoner, konfidensialitet, sikkerhetsforpliktelser og tillatte underleverandører. I et vanlig skyoppsett er dette databehandleravtalen, og Kommisjonens veiledning om anvendelse forklarer rollene og den nødvendige bindende handlingen.

Et nettverksdiagram nevner sjelden noe av dette, og derfor stopper VPN-spørsmålet alene. Rollene avgjør hvem som besvarer en rettighetsforespørsel. De avgjør også hvem som er ansvarlig når noe går galt. Tegn begge rutene før du skriver én eneste brannmurregel.

Kontroll 3: kartlegg hvor dataene faktisk befinner seg

List opp primærlagring, replikaer, sikkerhetskopier og administrative tilgangsveier. Sikkerhetskopier er den vanlige glippen, og en kryptert tunnel endrer ikke hvor et øyeblikksbilde befinner seg.

Vurder ethvert spørsmål om overføring til utlandet innenfor sin egen ramme. Et VPN-utgangsland er et rutingfaktum, ikke en påstand om hvor leverandøren behandler dataene. Team skifter rutinemessig utgangsregion for tunnelen og tror de har endret overføringen. Det de har endret, er hvilken adresse trafikken ser ut til å komme fra.

Kontroll 4: si hva hver kontroll oppnår

En IP-tillatelsesliste begrenser hvilke nettverkskilder som får koble til. En VPN beskytter en avgrenset vei og kan redusere direkte eksponering. Ingen av dem bør gi alle bak gatewayen de samme databasetillatelsene, fordi tunnelen autentiserer en vei og ikke en person.

Bruk individuell autentisering og rollebasert tilgang, og fjern tilgangen når noen skifter rolle. Se deretter gjennom kryptering og nøkkeloppbevaring, oppdateringer, gjenoppretting og hendelseshåndtering sammen med nettverkskontrollene, i de risikotilpassede begrepene sikkerhetsveiledningen bruker framfor en fast sjekkliste.

Kontroll 5: ta vare på bevisene

Ta vare på behandlingsbeskrivelsen, tjenesteavtalen, tilgangsbeslutningene, risikovurderingen og de navngitte eierne. Bevis er det som gjør et design til noe som kan revideres et år senere.

To beslutninger fortjener tydelige svar framfor antakelser. En vurdering av personvernkonsekvenser kreves der behandlingen sannsynligvis vil føre til høy risiko, og et personvernombud er obligatorisk bare under nærmere angitte forhold. Ingen av dem følger automatisk av å lagre data i skyen, og ingen av dem utelukkes av det.

Hva den ferdige revisjonen sier

En nyttig revisjon forklarer hvorfor VPN-en finnes, hva den ikke dekker, og hvilke forpliktelser som ligger utenfor. Det er et kort dokument, og det er langt mer forsvarlig enn en påstand om at trafikken er kryptert.

La de ansvarlige personvern- og sikkerhetsfolkene vurdere hele ordningen i stedet for å bare godkjenne tunnelen.