Šta VPN pokriva u pregledu zaštite podataka po GDPR-u

Cloud baza podataka sadrži lične podatke, VPN ograničava ko joj može pristupiti, i neko pita da li to čini postavku usklađenom. Ne čini, a pitanje je pogrešnog oblika. VPN je jedna tehnička kontrola pristupa među nekoliko, a pregled koji se zaustavi na šifrovanom saobraćaju odgovorio je na bezbednosno pitanje ostavljajući otvoreno svako pitanje zaštite podataka. Prođite kroz provere ispod po redu, počevši pre nego što mrežno pravilo postoji.

Provera 1: opišite obradu pre tunela

Zapišite svrhu, kategorije ličnih podataka koji su zaista potrebni, lica kojima je dozvoljeno da ih koriste i predviđeni rok čuvanja. Utvrdite pravni osnov na koji se oslanjate i put kojim pojedinac ostvaruje svoja prava. Ograničen IP opseg ne može odgovoriti ni na jedno od toga.

Imajte na umu da su lični podaci širi od spiska očiglednih identifikatora. Šifrovani ili pseudonimizovani zapisi ostaju lični podaci kada je ponovna identifikacija moguća, pa baza puna heširanih identifikatora nije automatski izvan opsega.

Provera 2: imenujte uloge

Odredite ko određuje obradu i ko deluje u ime te strane, zatim pregledajte uslove između njih: dokumentovana uputstva, poverljivost, bezbednosne obaveze i dozvoljeni podobrađivači. Za tipičan cloud aranžman to je ugovor između rukovaoca i obrađivača, a smernice Komisije za primenu objašnjavaju uloge i potrebni obavezujući akt.

Mrežni dijagram obično ne imenuje ništa od toga, zbog čega samo pitanje VPN-a zapinje. Uloge odlučuju ko odgovara na zahtev za pravima. One takođe odlučuju ko je odgovoran kada nešto pođe po zlu. Nacrtajte oba polja pre nego što napišete ijedno pravilo vatrozida.

Provera 3: mapirajte gde podaci zaista žive

Navedite primarno skladište, replike, rezervne kopije i administrativne putanje pristupa. Rezervne kopije su uobičajen propust, a šifrovani tunel ne menja gde se nalazi snimak.

Procenite svako pitanje međunarodnog prenosa unutar njegovog okvira. Država izlaza VPN-a je činjenica o rutiranju, a ne tvrdnja o tome gde provajder obrađuje podatke. Timovi rutinski menjaju izlaznu regiju tunela i veruju da su promenili prenos. Promenili su sa koje adrese saobraćaj izgleda da dolazi.

Provera 4: recite šta svaka kontrola postiže

IP lista dozvoljenih ograničava koji mrežni izvori mogu da se povežu. VPN štiti definisanu putanju i može smanjiti direktnu izloženost. Nijedno ne treba svakom licu iza mrežnog prolaza dati iste dozvole u bazi, jer tunel autentifikuje putanju, a ne lice.

Koristite pojedinačnu autentifikaciju i pristup zasnovan na ulogama, i uklonite pristup kada neko promeni ulogu. Zatim pregledajte šifrovanje i čuvanje ključeva, zakrpe, oporavak i obradu incidenata uz mrežne kontrole, u terminima primerenim riziku koje koriste bezbednosne smernice, a ne u fiksnoj kontrolnoj listi.

Provera 5: čuvajte dokaze

Čuvajte opis obrade, ugovor o usluzi, odluke o pristupu, procenu rizika i imenovane vlasnike. Dokazi su ono što dizajn pretvara u nešto što se može pregledati godinu dana kasnije.

Dve odluke zaslužuju izričite odgovore, a ne pretpostavke. Procena uticaja na zaštitu podataka potrebna je kada obrada verovatno rezultira visokim rizikom, a službenik za zaštitu podataka obavezan je samo u određenim okolnostima. Nijedno ne sledi automatski iz čuvanja podataka u cloudu, i nijedno nije time isključeno.

Šta kaže završeni pregled

Koristan pregled objašnjava zašto VPN postoji, šta ne pokriva i koje obaveze stoje izvan njega. To je kratak dokument i mnogo je odbranjiviji od tvrdnje da je saobraćaj šifrovan.

Neka odgovorni stručnjaci za privatnost i bezbednost procene ceo aranžman, umesto da odobre samo tunel.