Ce acoperă un VPN într-o revizuire de protecție a datelor GDPR

O bază de date din cloud conține date cu caracter personal, VPN-ul restricționează cine poate ajunge la ea, iar cineva întreabă dacă asta face configurația conformă. Nu o face, iar întrebarea are forma greșită. Un VPN este un control tehnic de acces printre mai multe, iar o revizuire care se oprește la traficul criptat a răspuns la o întrebare de securitate lăsând deschisă fiecare întrebare de protecție a datelor. Parcurgeți verificările de mai jos în ordine, începând înainte ca regula de rețea să existe.

Verificarea 1: descrieți prelucrarea înainte de tunel

Notați scopul, categoriile de date cu caracter personal de care este într-adevăr nevoie, persoanele autorizate să le folosească și perioada de păstrare prevăzută. Identificați temeiul juridic pe care vă bazați și traseul pe care o persoană îl urmează pentru a-și exercita drepturile. Un interval de IP restricționat nu poate răspunde la nimic din toate acestea.

Rețineți că datele cu caracter personal sunt mai largi decât o listă de identificatori evidenți. Înregistrările criptate sau pseudonimizate rămân date cu caracter personal acolo unde reidentificarea este posibilă, așa că o bază de date plină de identificatori hashați nu este automat în afara domeniului.

Verificarea 2: numiți rolurile

Stabiliți cine determină prelucrarea și cine acționează în numele acelei părți, apoi examinați termenii dintre ele: instrucțiuni documentate, confidențialitate, angajamente de securitate și persoane împuternicite permise. Pentru o configurație tipică în cloud acesta este acordul dintre operator și persoana împuternicită, iar orientările de aplicare ale Comisiei explică rolurile și actul obligatoriu solicitat.

O diagramă de rețea nu numește de obicei nimic din toate acestea, motiv pentru care întrebarea despre VPN se blochează singură. Rolurile decid cine răspunde unei cereri privind drepturile. De asemenea, decid cine răspunde atunci când ceva merge prost. Desenați ambele casete înainte de a scrie o singură regulă de firewall.

Verificarea 3: cartografiați unde trăiesc de fapt datele

Enumerați stocarea primară, replicile, copiile de rezervă și căile de acces administrative. Copiile de rezervă sunt omisiunea obișnuită, iar un tunel criptat nu schimbă unde se află un instantaneu.

Evaluați orice întrebare privind transferul internațional în cadrul său propriu. Țara de ieșire a unui VPN este un fapt de rutare, nu o afirmație despre unde prelucrează furnizorul datele. Echipele schimbă frecvent regiunea de ieșire a tunelului și cred că au schimbat transferul. Au schimbat de la ce adresă pare să vină traficul.

Verificarea 4: spuneți ce realizează fiecare control

O listă de IP-uri permise limitează ce surse de rețea se pot conecta. Un VPN protejează o cale definită și poate reduce expunerea directă. Niciuna nu ar trebui să dea fiecărei persoane din spatele gateway-ului aceleași permisiuni la bază, deoarece tunelul autentifică o cale, nu o persoană.

Folosiți autentificare individuală și acces bazat pe roluri, și retrageți accesul când cineva își schimbă rolul. Apoi examinați criptarea și păstrarea cheilor, patch-urile, recuperarea și gestionarea incidentelor alături de controalele de rețea, în termenii adecvați riscului pe care îi folosesc orientările de securitate, nu într-o listă fixă.

Verificarea 5: păstrați dovezile

Păstrați descrierea prelucrării, contractul de servicii, deciziile de acces, evaluarea riscurilor și responsabilii numiți. Dovada este ceea ce transformă un proiect într-un lucru verificabil un an mai târziu.

Două decizii merită răspunsuri explicite, nu presupuneri. O evaluare a impactului privind protecția datelor este necesară acolo unde prelucrarea poate duce la un risc ridicat, iar un responsabil cu protecția datelor este obligatoriu doar în circumstanțe specificate. Niciuna nu decurge automat din stocarea datelor în cloud și niciuna nu este exclusă de aceasta.

Ce spune revizuirea finalizată

O revizuire utilă explică de ce există VPN-ul, ce nu acoperă și ce obligații rămân în afara lui. Este un document scurt și este mult mai ușor de apărat decât o afirmație că traficul este criptat.

Lăsați specialiștii responsabili de confidențialitate și securitate să evalueze întregul aranjament, în loc să aprobe doar tunelul.