Что охватывает VPN в проверке защиты данных GDPR

Облачная база данных содержит персональные данные, VPN ограничивает, кто может к ней подключиться, и кто-то спрашивает, делает ли это конфигурацию соответствующей требованиям. Не делает, и вопрос имеет неверную форму. VPN — это один из нескольких технических контролей доступа, а проверка, которая останавливается на зашифрованном трафике, ответила на вопрос безопасности и оставила открытым каждый вопрос защиты данных. Пройдите проверки ниже по порядку, начав до того, как появится сетевое правило.

Проверка 1: опишите обработку до туннеля

Запишите цель, категории персональных данных, которые действительно нужны, лиц, которым разрешено ими пользоваться, и предполагаемый срок хранения. Определите правовое основание, на которое вы опираетесь, и путь, которым человек реализует свои права. Ограниченный диапазон IP не может ответить ни на один из этих вопросов.

Учтите, что персональные данные шире списка очевидных идентификаторов. Зашифрованные или псевдонимизированные записи остаются персональными данными там, где возможна повторная идентификация, поэтому база данных, полная хешированных идентификаторов, не выходит за рамки автоматически.

Проверка 2: назовите роли

Определите, кто определяет обработку и кто действует от имени этой стороны, затем рассмотрите условия между ними: документированные инструкции, конфиденциальность, обязательства по безопасности и разрешённые субпроцессоры. Для типичной облачной схемы это соглашение между контролёром и процессором, и руководство Комиссии по применению объясняет роли и требуемый обязательный акт.

Сетевая схема обычно ничего из этого не называет, и поэтому вопрос о VPN сам по себе застревает. Роли определяют, кто отвечает на запрос о правах. Они также определяют, кто несёт ответственность, когда что-то идёт не так. Нарисуйте оба блока, прежде чем написать хотя бы одно правило межсетевого экрана.

Проверка 3: отобразите, где на самом деле живут данные

Перечислите основное хранилище, реплики, резервные копии и административные пути доступа. Резервные копии — обычное упущение, а зашифрованный туннель не меняет того, где находится снимок.

Оценивайте любой вопрос международной передачи в её собственных рамках. Страна выхода VPN — это факт маршрутизации, а не утверждение о том, где поставщик обрабатывает данные. Команды регулярно меняют регион выхода туннеля и полагают, что изменили передачу. Они изменили то, с какого адреса, как кажется, приходит трафик.

Проверка 4: скажите, чего достигает каждый контроль

Список разрешённых IP ограничивает, какие сетевые источники могут подключаться. VPN защищает определённый путь и может уменьшить прямую экспозицию. Ни один из них не должен давать каждому человеку за шлюзом одинаковые права на базу данных, потому что туннель аутентифицирует путь, а не человека.

Используйте индивидуальную аутентификацию и доступ на основе ролей и отзывайте доступ, когда кто-то меняет роль. Затем рассмотрите шифрование и хранение ключей, обновления, восстановление и обработку инцидентов вместе с сетевыми контролями, в терминах, соответствующих риску, которые использует руководство по безопасности, а не в фиксированном перечне.

Проверка 5: сохраните доказательства

Храните описание обработки, договор об услугах, решения о доступе, оценку рисков и названных ответственных. Именно доказательства превращают проект в нечто проверяемое год спустя.

Два решения заслуживают явных ответов, а не предположений. Оценка воздействия на защиту данных требуется там, где обработка может привести к высокому риску, а ответственный по защите данных обязателен только при определённых обстоятельствах. Ни то, ни другое не следует автоматически из хранения данных в облаке, и ни то, ни другое им не исключается.

Что говорит завершённая проверка

Полезная проверка объясняет, зачем присутствует VPN, что она не охватывает и какие обязанности лежат вне её. Это короткий документ, и он гораздо более защитим, чем утверждение, что трафик зашифрован.

Попросите ответственных специалистов по приватности и безопасности оценить всю схему, а не подписывать только туннель.