O que uma VPN cobre numa revisão de proteção de dados do RGPD

Uma base de dados na nuvem contém dados pessoais, a VPN restringe quem lhe pode chegar, e alguém pergunta se isso torna a configuração conforme. Não torna, e a pergunta tem a forma errada. Uma VPN é um controlo técnico de acesso entre vários, e uma revisão que para no tráfego cifrado respondeu a uma pergunta de segurança e deixou em aberto todas as perguntas de proteção de dados. Percorra as verificações abaixo por ordem, começando antes de a regra de rede existir.

Verificação 1: descreva o tratamento antes do túnel

Registe a finalidade, as categorias de dados pessoais realmente necessárias, as pessoas autorizadas a usá-los e o período de conservação previsto. Identifique o fundamento jurídico em que se apoia e o percurso que uma pessoa segue para exercer os seus direitos. Um intervalo de IP restrito não consegue responder a nada disso.

Note que os dados pessoais são mais amplos do que uma lista de identificadores óbvios. Os registos cifrados ou pseudonimizados continuam a ser dados pessoais sempre que a reidentificação seja possível, pelo que uma base de dados cheia de identificadores com hash não fica automaticamente fora do âmbito.

Verificação 2: nomeie os papéis

Decida quem determina o tratamento e quem atua em nome dessa parte, e reveja depois os termos entre ambos: instruções documentadas, confidencialidade, compromissos de segurança e subcontratantes autorizados. Para um arranjo típico na nuvem é o acordo entre responsável e subcontratante, e as orientações de aplicação da Comissão explicam os papéis e o ato vinculativo exigido.

Um diagrama de rede normalmente não nomeia nada disto, e é por isso que a pergunta da VPN, sozinha, encrava. Os papéis decidem quem responde a um pedido de direitos. Também decidem quem responde quando algo falha. Desenhe as duas caixas antes de escrever uma única regra de firewall.

Verificação 3: mapeie onde os dados vivem realmente

Liste o armazenamento principal, as réplicas, as cópias de segurança e os caminhos de acesso administrativo. As cópias de segurança são a omissão habitual, e um túnel cifrado não muda onde se encontra um instantâneo.

Avalie qualquer questão de transferência internacional no seu próprio enquadramento. O país de saída de uma VPN é um facto de encaminhamento, não uma declaração sobre onde o fornecedor trata os dados. As equipas mudam rotineiramente a região de saída do túnel e acreditam que mudaram a transferência. Mudaram de que endereço o tráfego parece vir.

Verificação 4: diga o que cada controlo alcança

Uma lista de IP permitidos limita que fontes de rede se podem ligar. Uma VPN protege um caminho definido e pode reduzir a exposição direta. Nenhuma delas deve dar a cada pessoa atrás da gateway as mesmas permissões de base de dados, porque o túnel autentica um caminho, não uma pessoa.

Use autenticação individual e acesso baseado em papéis, e retire o acesso quando alguém muda de papel. Reveja depois a cifragem e a guarda de chaves, as correções, a recuperação e o tratamento de incidentes ao lado dos controlos de rede, nos termos adequados ao risco que as orientações de segurança usam em vez de uma lista fixa.

Verificação 5: guarde a evidência

Guarde a descrição do tratamento, o contrato de serviço, as decisões de acesso, a avaliação de riscos e os responsáveis nomeados. A evidência é o que transforma um desenho em algo verificável um ano depois.

Duas decisões merecem respostas explícitas em vez de suposições. Uma avaliação de impacto sobre a proteção de dados é exigida quando o tratamento possa resultar em risco elevado, e um encarregado de proteção de dados só é obrigatório em circunstâncias especificadas. Nenhuma das duas decorre automaticamente de armazenar dados na nuvem, e nenhuma é por isso excluída.

O que diz a revisão concluída

Uma revisão útil explica porque existe a VPN, o que não cobre e que obrigações ficam de fora. É um documento curto, e é muito mais defensável do que uma afirmação de que o tráfego está cifrado.

Peça aos especialistas de privacidade e segurança responsáveis que avaliem o conjunto completo em vez de aprovarem apenas o túnel.