Шта VPN покрива у прегледу заштите података по GDPR-у

Облачна база података садржи личне податке, VPN ограничава ко јој може приступити, и неко пита да ли то чини поставку усклађеном. Не чини, а питање је погрешног облика. VPN је једна техничка контрола приступа међу неколико, а преглед који се заустави на шифрованом саобраћају одговорио је на безбедносно питање остављајући отворено свако питање заштите података. Прођите кроз провере испод по реду, почевши пре него што мрежно правило постоји.

Провера 1: опишите обраду пре тунела

Запишите сврху, категорије личних података који су заиста потребни, лица којима је дозвољено да их користе и предвиђени рок чувања. Утврдите правни основ на који се ослањате и пут којим појединац остварује своја права. Ограничен опсег IP адреса не може одговорити ни на једно од тога.

Имајте на уму да су лични подаци шири од списка очигледних идентификатора. Шифровани или псеудонимизовани записи остају лични подаци када је поновна идентификација могућа, па база пуна хешираних идентификатора није аутоматски изван опсега.

Провера 2: именујте улоге

Одредите ко одређује обраду и ко делује у име те стране, затим прегледајте услове између њих: документована упутства, поверљивост, безбедносне обавезе и дозвољени подобрађивачи. За типичан cloud аранжман то је уговор између руководиоца и обрађивача, а смернице Комисије за примену објашњавају улоге и потребни обавезујући акт.

Мрежни дијаграм обично не именује ништа од тога, због чега само питање VPN-а запе. Улоге одлучују ко одговара на захтев за правима. Оне такође одлучују ко је одговоран када нешто пође по злу. Нацртајте оба поља пре него што напишете иједно правило ватрозида.

Провера 3: мапирајте где подаци заиста живе

Наведите примарно складиште, реплике, резервне копије и административне путање приступа. Резервне копије су уобичајен пропуст, а шифровани тунел не мења где се налази снимак.

Процените свако питање међународног преноса унутар његовог оквира. Држава излаза VPN-а је чињеница о рутирању, а не тврдња о томе где провајдер обрађује податке. Тимови рутински мењају излазну регију тунела и верују да су променили пренос. Променили су са које адресе саобраћај изгледа да долази.

Провера 4: реците шта свака контрола постиже

IP листа дозвољених ограничава који мрежни извори могу да се повежу. VPN штити дефинисану путању и може смањити директну изложеност. Ниједно не треба сваком лицу иза мрежног пролаза дати исте дозволе у бази, јер тунел аутентификује путању, а не лице.

Користите појединачну аутентификацију и приступ заснован на улогама, и уклоните приступ када неко промени улогу. Затим прегледајте шифровање и чување кључева, закрпе, опоравак и обраду инцидената уз мрежне контроле, у терминима примереним ризику које користе безбедносне смернице, а не у фиксној контролној листи.

Провера 5: чувајте доказе

Чувајте опис обраде, уговор о услузи, одлуке о приступу, процену ризика и именоване власнике. Докази су оно што дизајн претвара у нешто што се може прегледати годину дана касније.

Две одлуке заслужују изричите одговоре, а не претпоставке. Процена утицаја на заштиту података потребна је када обрада вероватно резултира високим ризиком, а службеник за заштиту података обавезан је само у одређеним околностима. Ниједно не следи аутоматски из чувања података у cloud-у, и ниједно није тиме искључено.

Шта каже завршени преглед

Користан преглед објашњава зашто VPN постоји, шта не покрива и које обавезе стоје изван њега. То је кратак документ и много је одбрањивији од тврдње да је саобраћај шифрован.

Нека одговорни стручњаци за приватност и безбедност процене цео аранжман, уместо да одобре само тунел.