Kaj VPN pokriva v pregledu varstva podatkov po GDPR

Podatkovna baza v oblaku vsebuje osebne podatke, VPN omejuje, kdo lahko doseže do nje, in nekdo vpraša, ali to naredi nastavitev skladno. Ne naredi, in vprašanje ima napačno obliko. VPN je ena tehnična kontrola dostopa med več, in pregled, ki se ustavi pri šifriranem prometu, je odgovoril na varnostno vprašanje in pustil odprto vsako vprašanje varstva podatkov. Izvedite spodnje kontrole po vrsti, začenši preden omrežno pravilo obstaja.

Kontrola 1: opišite obdelavo pred tunelom

Zapišite namen, kategorije osebnih podatkov, ki so res potrebne, osebe, ki jih smejo uporabljati, in predvideno obdobje hrambe. Določite pravno podlago, na katero se opirate, in pot, po kateri posameznik uresničuje svoje pravice. Omejen razpon IP ne more odgovoriti na nič od tega.

Upoštevajte, da so osebni podatki širši od seznama očitnih identifikatorjev. Šifrirani ali psevdonimizirani zapisi ostanejo osebni podatki, kadar je ponovna identifikacija mogoča, zato baza, polna zgoščenih identifikatorjev, ni samodejno zunaj obsega.

Kontrola 2: poimenujte vloge

Določite, kdo določa obdelavo in kdo deluje v imenu te stranke, nato pregledajte pogoje med njima: dokumentirana navodila, zaupnost, varnostne zaveze in dovoljeni podizvajalci. Za tipično oblačno ureditev je to pogodba med upravljavcem in obdelovalcem, in smernice Komisije za uporabo pojasnjujejo vloge in zahtevani zavezujoči akt.

Omrežni diagram običajno ne poimenuje ničesar od tega, zato se vprašanje VPN samo ustavi. Vloge določajo, kdo odgovori na zahtevo za pravice. Določajo tudi, kdo je odgovoren, ko gre kaj narobe. Narišite oba okvirja, preden napišete eno samo pravilo požarnega zidu.

Kontrola 3: kartirajte, kje podatki v resnici živijo

Naštejte primarno shrambo, replike, varnostne kopije in administrativne dostopne poti. Varnostne kopije so običajna opustitev, in šifriran tunel ne spremeni, kje se nahaja posnetek.

Ocenite vsako vprašanje mednarodnega prenosa v njegovem lastnem okviru. Država izhoda VPN je dejstvo o usmerjanju, ne izjava o tem, kje ponudnik obdeluje podatke. Ekipe redno spreminjajo izhodno regijo tunela in verjamejo, da so spremenile prenos. Spremenile so, s katerega naslova promet zgleda, da prihaja.

Kontrola 4: povejte, kaj doseže vsaka kontrola

Seznam dovoljenih IP omejuje, kateri omrežni viri se lahko povežejo. VPN varuje določeno pot in lahko zmanjša neposredno izpostavljenost. Nobeno od tega ne bi smelo vsaki osebi za prehodom dati enakih dovoljenj za bazo, ker tunel overi pot, ne osebe.

Uporabljajte individualno overjanje in dostop na podlagi vlog ter odstranite dostop, ko nekdo zamenja vlogo. Nato pregledajte šifriranje in hrambo ključev, popravke, obnovitev in obravnavo incidentov ob omrežnih kontrolah, v izrazih, primernih tveganju, ki jih uporabljajo varnostne smernice, ne v fiksnem kontrolnem seznamu.

Kontrola 5: ohranite dokaze

Ohranite opis obdelave, pogodbo o storitvi, odločitve o dostopu, oceno tveganj in imenovane lastnike. Dokazi so tisto, kar spremeni zasnovo v nekaj, kar je mogoče pregledati leto pozneje.

Dve odločitvi si zaslužita izrecne odgovore namesto domnev. Ocena vpliva na varstvo podatkov je potrebna, kadar obdelava verjetno povzroči visoko tveganje, in pooblaščena oseba za varstvo podatkov je obvezna le v določenih okoliščinah. Nobeno od tega ne izhaja samodejno iz shranjevanja podatkov v oblaku in nobeno ni s tem izključeno.

Kaj pove dokončan pregled

Koristen pregled pojasni, zakaj je VPN prisoten, česa ne pokriva in katere obveznosti so zunaj njega. To je kratek dokument in je veliko bolj branljiv kot trditev, da je promet šifriran.

Naj odgovorni strokovnjaki za zasebnost in varnost ocenijo celotno ureditev, namesto da odobrijo samo tunel.