Čo pokrýva VPN v revízii ochrany údajov podľa GDPR

Cloudová databáza obsahuje osobné údaje, VPN obmedzuje, kto sa k nej dostane, a niekto sa pýta, či to robí nastavenie v súlade. Nerobí, a otázka má nesprávny tvar. VPN je jedna technická kontrola prístupu z viacerých a revízia, ktorá sa zastaví pri šifrovanej prevádzke, odpovedala na bezpečnostnú otázku a nechala otvorenú každú otázku ochrany údajov. Prejdite nižšie uvedené kontroly v poradí, začínajúc skôr, než sieťové pravidlo existuje.

Kontrola 1: opíšte spracúvanie pred tunelom

Zapíšte účel, kategórie osobných údajov, ktoré sú skutočne potrebné, osoby oprávnené ich používať a zamýšľanú dobu uchovávania. Určte právny základ, o ktorý sa opierate, a cestu, ktorou jednotlivec uplatňuje svoje práva. Obmedzený rozsah IP nedokáže odpovedať na nič z toho.

Všimnite si, že osobné údaje sú širšie než zoznam zjavných identifikátorov. Šifrované alebo pseudonymizované záznamy zostávajú osobnými údajmi, ak je opätovná identifikácia možná, takže databáza plná hašovaných identifikátorov nie je automaticky mimo rozsahu.

Kontrola 2: pomenujte roly

Určte, kto určuje spracúvanie a kto koná v mene tejto strany, a potom prejdite podmienky medzi nimi: zdokumentované pokyny, dôvernosť, bezpečnostné záväzky a povolené sprostredkovateľské osoby. Pre typické cloudové usporiadanie je to zmluva medzi prevádzkovateľom a sprostredkovateľom a usmernenia Komisie k uplatňovaniu vysvetľujú roly a požadovaný záväzný akt.

Sieťová schéma zvyčajne nič z toho nepomenuje, a preto sa otázka VPN sama zasekne. Roly rozhodujú, kto odpovedá na žiadosť o práva. Rozhodujú aj o tom, kto nesie zodpovednosť, keď sa niečo pokazí. Nakreslite oba rámčeky skôr, než napíšete jediné pravidlo firewallu.

Kontrola 3: zmapujte, kde údaje skutočne žijú

Vymenujte primárne úložisko, repliky, zálohy a administratívne prístupové cesty. Zálohy sú obvyklé opomenutie a šifrovaný tunel nemení, kde snímka leží.

Posúďte akúkoľvek otázku medzinárodného prenosu v jej vlastnom rámci. Krajina výstupu VPN je fakt o smerovaní, nie tvrdenie o tom, kde poskytovateľ spracúva údaje. Tímy bežne menia výstupnú oblasť tunela a veria, že zmenili prenos. Zmenili, z ktorej adresy prevádzka zdanlivo prichádza.

Kontrola 4: povedzte, čo dosahuje každá kontrola

Zoznam povolených IP obmedzuje, ktoré sieťové zdroje sa môžu pripojiť. VPN chráni definovanú cestu a môže znížiť priamu expozíciu. Ani jedno by nemalo dať každému za bránou rovnaké oprávnenia k databáze, pretože tunel autentifikuje cestu, nie osobu.

Používajte individuálne overovanie a prístup založený na rolách a odoberajte prístup, keď niekto zmení rolu. Potom prejdite šifrovanie a správu kľúčov, záplatovanie, obnovu a riešenie incidentov vedľa sieťových kontrol, v termínoch primeraných riziku, aké používajú bezpečnostné usmernenia, nie v pevnom kontrolnom zozname.

Kontrola 5: uchovávajte dôkazy

Uchovávajte opis spracúvania, zmluvu o službe, rozhodnutia o prístupe, posúdenie rizík a menovaných vlastníkov. Dôkazy sú to, čo premení návrh na niečo preskúmateľné o rok neskôr.

Dve rozhodnutia si zaslúžia výslovné odpovede namiesto predpokladov. Posúdenie vplyvu na ochranu osobných údajov sa vyžaduje tam, kde spracúvanie pravdepodobne povedie k vysokému riziku, a zodpovedná osoba je povinná len za stanovených okolností. Ani jedno nevyplýva automaticky z ukladania údajov do cloudu a ani jedno tým nie je vylúčené.

Čo hovorí dokončená revízia

Užitočná revízia vysvetľuje, prečo je VPN prítomná, čo nepokrýva a ktoré povinnosti ležia mimo nej. Je to krátky dokument a je oveľa obhájiteľnejší než tvrdenie, že prevádzka je šifrovaná.

Nechajte zodpovedných špecialistov na súkromie a bezpečnosť posúdiť celé usporiadanie, namiesto toho, aby podpísali iba tunel.