Çfarë mbulon një VPN në një rishikim të mbrojtjes së të dhënave GDPR

Një bazë të dhënash në cloud mban të dhëna personale, VPN kufizon kush mund t'i arrijë ato, dhe dikush pyet nëse kjo e bën konfigurimin në përputhje. Nuk e bën, dhe pyetja ka formë të gabuar. Një VPN është një kontroll teknik i aksesit mes disave, dhe një rishikim që ndalet në trafikun e kriptuar i është përgjigjur një pyetjeje sigurie duke lënë të hapur çdo pyetje të mbrojtjes së të dhënave. Kaloni kontrollet më poshtë sipas radhës, duke filluar përpara se të ekzistojë rregulli i rrjetit.

Kontrolli 1: përshkruani përpunimin para tunelit

Shkruani qëllimin, kategoritë e të dhënave personale që nevojiten vërtet, personat e autorizuar t'i përdorin ato dhe periudhën e synuar të ruajtjes. Identifikoni bazën ligjore ku mbështeteni dhe rrugën që ndjek një person për të ushtruar të drejtat e tij. Një interval IP i kufizuar nuk mund t'u përgjigjet asnjërës prej tyre.

Vini re se të dhënat personale janë më të gjera sesa një listë identifikuesish të dukshëm. Regjistrat e kriptuar ose pseudonimizuar mbeten të dhëna personale kur riidentifikimi është i mundur, prandaj një bazë e dhënash plot me identifikues hash nuk është automatikisht jashtë fushëveprimit.

Kontrolli 2: emërtoni rolet

Përcaktoni kush përcakton përpunimin dhe kush vepron në emër të asaj palë, pastaj rishikoni kushtet mes tyre: udhëzime të dokumentuara, konfidencialitet, angazhime sigurie dhe nënpunës të lejuar. Për një konfigurim tipik cloud ky është marrëveshja mes kontrolluesit dhe përpunuesit, dhe udhëzimet e zbatimit të Komisionit shpjegojnë rolet dhe aktin e detyrueshëm të kërkuar.

Një diagram rrjeti zakonisht nuk emëron asgjë nga këto, dhe për këtë arsye pyetja e VPN ngec vetëm. Rolet vendosin kush përgjigjet një kërkese për të drejta. Ato vendosin gjithashtu kush është përgjegjës kur diçka shkon keq. Vizatoni të dy kutitë përpara se të shkruani një rregull të vetëm firevali.

Kontrolli 3: hartoni ku jetojnë vërtet të dhënat

Listoni ruajtjen parësore, replikat, kopjet rezervë dhe rrugët administrative të aksesit. Kopjet rezervë janë lëshimi i zakonshëm, dhe një tunel i kriptuar nuk ndryshon ku ndodhet një fotografi.

Vlerësoni çdo pyetje të transferimit ndërkombëtar brenda kuadrit të vet. Vendi i daljes së VPN është një fakt rrugëtimi, jo një deklaratë për vendin ku ofruesi përpunon të dhënat. Ekipet ndryshojnë rutinish rajonin e daljes së tunelit dhe besojnë se kanë ndryshuar transferimin. Kanë ndryshuar nga cila adresë duket se vjen trafiku.

Kontrolli 4: thoni çfarë arrin çdo kontroll

Një listë IP-sh të lejuara kufizon cilat burime rrjeti mund të lidhen. Një VPN mbron një rrugë të përcaktuar dhe mund të zvogëlojë ekspozimin e drejtpërdrejtë. Asnjëra nuk duhet t'i japë çdo personi pas portës të njëjtat leje të bazës së të dhënave, sepse tuneli vërteton një rrugë, jo një person.

Përdorni vërtetim individual dhe akses të bazuar në role, dhe hiqni aksesin kur dikush ndryshon rol. Pastaj rishikoni kriptimin dhe ruajtjen e çelësave, arnimet, rikuperimin dhe trajtimin e incidenteve pranë kontrolleve të rrjetit, në termat e përshtatshëm për rrezikun që përdor udhëzimi i sigurisë dhe jo në një listë të fiksuar.

Kontrolli 5: ruani provat

Ruani përshkrimin e përpunimit, kontratën e shërbimit, vendimet e aksesit, vlerësimin e rrezikut dhe pronarët e emëruar. Prova është ajo që e kthen një projekt në diçka të rishikueshme një vit më vonë.

Dy vendime meritojnë përgjigje të qarta në vend të supozimeve. Një vlerësim i ndikimit në mbrojtjen e të dhënave kërkohet kur përpunimi ka gjasa të sjellë rrezik të lartë, dhe një zyrtar i mbrojtjes së të dhënave është i detyrueshëm vetëm në rrethana të përcaktuara. Asnjëra nuk rrjedh automatikisht nga ruajtja e të dhënave në cloud, dhe asnjëra nuk përjashtohet prej saj.

Çfarë thotë rishikimi i përfunduar

Një rishikim i dobishëm shpjegon pse VPN është i pranishëm, çfarë nuk mbulon dhe cilat detyrime qëndrojnë jashtë tij. Është një dokument i shkurtër, dhe është shumë më i mbrojtshëm sesa pretendimi se trafiku është i kriptuar.

Lërini specialistët përgjegjës të privatësisë dhe sigurisë të vlerësojnë konfigurimin e plotë në vend që të miratojnë vetëm tunelin.