Co obejmuje VPN w przeglądzie ochrony danych RODO

Baza danych w chmurze zawiera dane osobowe, VPN ogranicza, kto może do niej dotrzeć, a ktoś pyta, czy to czyni konfigurację zgodną. Nie czyni, a pytanie ma niewłaściwy kształt. VPN to jedna z kilku technicznych kontroli dostępu, a przegląd, który zatrzymuje się na zaszyfrowanym ruchu, odpowiedział na pytanie o bezpieczeństwo i pozostawił otwarte każde pytanie o ochronę danych. Przejdź kontrole poniżej po kolei, zaczynając zanim reguła sieciowa powstanie.

Kontrola 1: opisz przetwarzanie przed tunelem

Zapisz cel, kategorie danych osobowych, które są naprawdę potrzebne, osoby uprawnione do ich używania oraz zamierzony okres przechowywania. Wskaż podstawę prawną, na której się opierasz, i drogę, którą osoba przechodzi, aby wykonać swoje prawa. Ograniczony zakres IP nie odpowie na żadne z tych pytań.

Pamiętaj, że dane osobowe są szersze niż lista oczywistych identyfikatorów. Zaszyfrowane lub pseudonimizowane rekordy pozostają danymi osobowymi, gdy ponowna identyfikacja jest możliwa, więc baza pełna zahaszowanych identyfikatorów nie jest automatycznie poza zakresem.

Kontrola 2: nazwij role

Ustal, kto decyduje o przetwarzaniu i kto działa w imieniu tej strony, a następnie przejrzyj warunki między nimi: udokumentowane instrukcje, poufność, zobowiązania w zakresie bezpieczeństwa i dozwoleni podprocesorzy. W typowym układzie chmurowym jest to umowa między administratorem a procesorem, a wytyczne Komisji dotyczące stosowania wyjaśniają role i wymagany akt wiążący.

Diagram sieci zwykle nie wymienia niczego z tego, dlatego samo pytanie o VPN utyka. Role decydują, kto odpowiada na wniosek o prawa. Decydują też, kto ponosi odpowiedzialność, gdy coś pójdzie nie tak. Narysuj oba pola, zanim napiszesz choć jedną regułę zapory.

Kontrola 3: zmapuj, gdzie dane naprawdę mieszkają

Wymień pamięć podstawową, repliki, kopie zapasowe i administracyjne ścieżki dostępu. Kopie zapasowe to zwykłe pominięcie, a zaszyfrowany tunel nie zmienia tego, gdzie leży migawka.

Oceń każde zagadnienie przekazywania międzynarodowego w jego własnych ramach. Kraj wyjścia VPN jest faktem dotyczącym routingu, a nie stwierdzeniem, gdzie dostawca przetwarza dane. Zespoły rutynowo zmieniają region wyjścia tunelu i wierzą, że zmieniły przekazywanie. Zmieniły to, z którego adresu ruch wydaje się pochodzić.

Kontrola 4: powiedz, co osiąga każda kontrola

Lista dozwolonych adresów IP ogranicza, które źródła sieciowe mogą się łączyć. VPN chroni określoną ścieżkę i może zmniejszyć bezpośrednią ekspozycję. Żadne z nich nie powinno dawać każdej osobie za bramą tych samych uprawnień do bazy, ponieważ tunel uwierzytelnia ścieżkę, a nie osobę.

Stosuj indywidualne uwierzytelnianie i dostęp oparty na rolach oraz odbieraj dostęp, gdy ktoś zmieni rolę. Następnie przejrzyj szyfrowanie i przechowywanie kluczy, łatanie, odtwarzanie i obsługę incydentów obok kontroli sieciowych, w terminach odpowiednich do ryzyka, których używa dokumentacja bezpieczeństwa, a nie w stałej liście kontrolnej.

Kontrola 5: zachowaj dowody

Zachowaj opis przetwarzania, umowę o świadczenie usług, decyzje o dostępie, ocenę ryzyka i wskazanych właścicieli. Dowody są tym, co zamienia projekt w coś weryfikowalnego rok później.

Dwie decyzje zasługują na wyraźne odpowiedzi, a nie założenia. Ocena skutków dla ochrony danych jest wymagana, gdy przetwarzanie może skutkować wysokim ryzykiem, a inspektor ochrony danych jest obowiązkowy tylko w określonych okolicznościach. Żadne z nich nie wynika automatycznie z przechowywania danych w chmurze i żadne nie jest przez to wykluczone.

Co mówi ukończony przegląd

Użyteczny przegląd wyjaśnia, dlaczego VPN istnieje, czego nie obejmuje i jakie obowiązki leżą poza nim. To krótki dokument i jest znacznie łatwiejszy do obrony niż twierdzenie, że ruch jest zaszyfrowany.

Pozwól odpowiedzialnym specjalistom ds. prywatności i bezpieczeństwa ocenić cały układ, zamiast zatwierdzać tylko tunel.