Vad en VPN täcker i en GDPR-granskning av dataskydd

En molndatabas innehåller personuppgifter, VPN:en begränsar vem som kan nå den, och någon frågar om det gör konfigurationen förenlig. Det gör det inte, och frågan har fel form. En VPN är en teknisk åtkomstkontroll bland flera, och en granskning som stannar vid krypterad trafik har besvarat en säkerhetsfråga och lämnat varje dataskyddsfråga öppen. Arbeta igenom kontrollerna nedan i ordning, med början innan nätverksregeln finns.

Kontroll 1: beskriv behandlingen före tunneln

Skriv ned ändamålet, de kategorier av personuppgifter som faktiskt behövs, personerna som får använda dem och den avsedda lagringstiden. Identifiera den rättsliga grund du förlitar dig på och den väg en person tar för att utöva sina rättigheter. Ett begränsat IP-intervall kan inte besvara något av detta.

Observera att personuppgifter är bredare än en lista över uppenbara identifierare. Krypterade eller pseudonymiserade poster förblir personuppgifter där återidentifiering är möjlig, så en databas full av hashade identifierare faller inte automatiskt utanför tillämpningsområdet.

Kontroll 2: namnge rollerna

Bestäm vem som avgör behandlingen och vem som handlar på den partens vägnar, och granska sedan villkoren mellan dem: dokumenterade instruktioner, konfidentialitet, säkerhetsåtaganden och tillåtna underbiträden. För ett typiskt molnupplägg är detta personuppgiftsbiträdesavtalet, och kommissionens tillämpningsvägledning förklarar rollerna och den bindande akt som krävs.

Ett nätverksdiagram namnger vanligtvis inget av detta, och det är därför VPN-frågan ensam fastnar. Rollerna avgör vem som svarar på en rättighetsbegäran. De avgör också vem som är ansvarig när något går fel. Rita båda rutorna innan du skriver en enda brandväggsregel.

Kontroll 3: kartlägg var uppgifterna faktiskt bor

Lista primärlagring, repliker, säkerhetskopior och administrativa åtkomstvägar. Säkerhetskopior är den vanliga utelämningen, och en krypterad tunnel ändrar inte var en ögonblicksbild ligger.

Bedöm varje fråga om internationell överföring inom sin egen ram. Ett VPN:s utgångsland är ett routingfaktum, inte ett påstående om var leverantören behandlar uppgifterna. Team byter rutinmässigt tunnelns utgångsregion och tror att de har ändrat överföringen. De har ändrat från vilken adress trafiken tycks komma.

Kontroll 4: säg vad varje kontroll uppnår

En IP-tillåtelselista begränsar vilka nätverkskällor som får ansluta. En VPN skyddar en definierad väg och kan minska direkt exponering. Ingen av dem bör ge varje person bakom gatewayen samma databasbehörigheter, eftersom tunneln autentiserar en väg, inte en person.

Använd individuell autentisering och rollbaserad åtkomst, och ta bort åtkomst när någon byter roll. Granska sedan kryptering och nyckelhantering, patchning, återställning och incidenthantering vid sidan av nätverkskontrollerna, i de riskanpassade termer som säkerhetsvägledningen använder i stället för en fast checklista.

Kontroll 5: behåll bevisen

Behåll behandlingsbeskrivningen, tjänsteavtalet, åtkomstbesluten, riskbedömningen och de namngivna ägarna. Bevis är det som gör en design till något granskningsbart ett år senare.

Två beslut förtjänar uttryckliga svar i stället för antaganden. En konsekvensbedömning avseende dataskydd krävs där behandlingen sannolikt leder till hög risk, och ett dataskyddsombud är obligatoriskt endast under närmare angivna omständigheter. Ingen av dem följer automatiskt av att lagra uppgifter i molnet, och ingen av dem utesluts av det.

Vad den färdiga granskningen säger

En användbar granskning förklarar varför VPN:en finns, vad den inte täcker och vilka skyldigheter som ligger utanför. Det är ett kort dokument, och det är långt mer försvarbart än ett påstående om att trafiken är krypterad.

Låt de ansvariga integritets- och säkerhetsspecialisterna bedöma hela upplägget i stället för att bara godkänna tunneln.