VPN ครอบคลุมอะไรในการตรวจสอบการคุ้มครองข้อมูลตาม GDPR

ฐานข้อมูลบนคลาวด์เก็บข้อมูลส่วนบุคคล VPN จำกัดว่าใครเข้าถึงได้ และมีคนถามว่าสิ่งนั้นทำให้การตั้งค่าสอดคล้องหรือไม่ คำตอบคือไม่ และคำถามก็ผิดรูปตั้งแต่แรก VPN เป็นมาตรการควบคุมการเข้าถึงทางเทคนิคเพียงหนึ่งในหลายมาตรการ และการตรวจสอบที่หยุดเพียงแค่การเข้ารหัสการรับส่งข้อมูลได้ตอบคำถามด้านความปลอดภัยแล้ว แต่ยังปล่อยให้ทุกคำถามด้านการคุ้มครองข้อมูลเปิดอยู่ จงทำตามรายการตรวจสอบด้านล่างตามลำดับ เริ่มก่อนที่กฎเครือข่ายจะมีอยู่จริง

การตรวจสอบ 1: อธิบายการประมวลผลก่อนอุโมงค์

เขียนวัตถุประสงค์ ประเภทของข้อมูลส่วนบุคคลที่จำเป็นจริง ผู้ที่ได้รับอนุญาตให้ใช้ และระยะเวลาการเก็บรักษาที่ตั้งใจไว้ ระบุฐานทางกฎหมายที่คุณพึ่งพา และเส้นทางที่บุคคลใช้เพื่อใช้สิทธิของตน ช่วง IP ที่จำกัดไม่สามารถตอบคำถามเหล่านี้ได้เลย

โปรดทราบว่าข้อมูลส่วนบุคคลกว้างกว่ารายการตัวระบุที่ชัดเจน บันทึกที่เข้ารหัสหรือใช้นามแฝงยังคงเป็นข้อมูลส่วนบุคคลเมื่อสามารถระบุตัวตนใหม่ได้ ฐานข้อมูลที่เต็มไปด้วยตัวระบุแบบแฮชจึงไม่ได้อยู่นอกขอบเขตโดยอัตโนมัติ

การตรวจสอบ 2: ระบุบทบาท

ตัดสินว่าใครเป็นผู้กำหนดการประมวลผลและใครดำเนินการในนามของฝ่ายนั้น แล้วทบทวนเงื่อนไขระหว่างกัน ทั้งคำสั่งที่เป็นเอกสาร ความลับ พันธสัญญาด้านความปลอดภัย และผู้ประมวลผลช่วงที่ได้รับอนุญาต สำหรับการจัดวางบนคลาวด์ทั่วไป นี่คือข้อตกลงระหว่างผู้ควบคุมและผู้ประมวลผล และ แนวทางปฏิบัติของคณะกรรมาธิการ อธิบายบทบาทและเอกสารผูกพันที่กำหนดไว้

แผนภาพเครือข่ายมักไม่ระบุสิ่งเหล่านี้เลย นี่คือเหตุผลที่คำถามเรื่อง VPN ติดอยู่เพียงลำพัง บทบาทเป็นตัวกำหนดว่าใครตอบคำขอใช้สิทธิ บทบาทยังกำหนดว่าใครรับผิดชอบเมื่อมีสิ่งผิดพลาด วาดกล่องทั้งสองก่อนเขียนกฎไฟร์วอลล์เพียงข้อเดียว

การตรวจสอบ 3: ทำแผนที่ว่าข้อมูลอยู่ที่ใดจริง

ระบุที่จัดเก็บหลัก สิ่งที่จำลองขึ้น สำรองข้อมูล และเส้นทางการเข้าถึงของผู้ดูแลระบบ การสำรองข้อมูลคือสิ่งที่มักถูกละเลย และอุโมงค์ที่เข้ารหัสไม่ได้เปลี่ยนว่าภาพรวมชั่วขณะอยู่ที่ใด

ประเมินคำถามเรื่องการโอนระหว่างประเทศภายในกรอบของมันเอง ประเทศทางออกของ VPN เป็นข้อเท็จจริงด้านเส้นทาง ไม่ใช่คำกล่าวอ้างว่าผู้ให้บริการประมวลผลข้อมูลที่ใด ทีมมักเปลี่ยนภูมิภาคทางออกของอุโมงค์และเชื่อว่าได้เปลี่ยนการโอนแล้ว สิ่งที่เปลี่ยนคือที่อยู่ซึ่งดูเหมือนว่าการรับส่งข้อมูลมาจาก

การตรวจสอบ 4: บอกว่าแต่ละมาตรการบรรลุอะไร

รายการ IP ที่อนุญาตจำกัดว่าแหล่งเครือข่ายใดเชื่อมต่อได้ VPN ปกป้องเส้นทางที่กำหนดและลดการเปิดเผยโดยตรงได้ ทั้งสองไม่ควรให้สิทธิ์ฐานข้อมูลเดียวกันแก่ทุกคนที่อยู่หลังเกตเวย์ เพราะอุโมงค์พิสูจน์ตัวตนของเส้นทาง ไม่ใช่ของบุคคล

ใช้การพิสูจน์ตัวตนรายบุคคลและการเข้าถึงตามบทบาท และถอดการเข้าถึงเมื่อมีคนเปลี่ยนบทบาท จากนั้นทบทวนการเข้ารหัสและการดูแลกุญแจ การแพตช์ การกู้คืน และการรับมือเหตุการณ์ควบคู่กับการควบคุมเครือข่าย ในถ้อยคำที่เหมาะกับความเสี่ยงซึ่งแนวทางความปลอดภัยใช้ ไม่ใช่รายการตรวจสอบที่ตายตัว

การตรวจสอบ 5: เก็บหลักฐาน

เก็บคำอธิบายการประมวลผล ข้อตกลงการให้บริการ การตัดสินใจเรื่องการเข้าถึง การประเมินความเสี่ยง และผู้รับผิดชอบที่ระบุชื่อ หลักฐานคือสิ่งที่ทำให้การออกแบบกลายเป็นสิ่งที่ตรวจสอบได้ในอีกหนึ่งปี

สองการตัดสินใจสมควรได้คำตอบที่ชัดเจนแทนการสันนิษฐาน ต้องมีการประเมินผลกระทบด้านการคุ้มครองข้อมูลเมื่อการประมวลผลมีแนวโน้มจะก่อให้เกิดความเสี่ยงสูง และเจ้าหน้าที่คุ้มครองข้อมูลเป็นสิ่งบังคับเฉพาะในสถานการณ์ที่กำหนด ทั้งสองไม่ได้ตามมาจากการเก็บข้อมูลบนคลาวด์โดยอัตโนมัติ และทั้งสองก็ไม่ถูกตัดออกด้วยเหตุนั้น

การตรวจสอบที่เสร็จแล้วบอกอะไร

การตรวจสอบที่มีประโยชน์อธิบายว่าเหตุใดจึงมี VPN สิ่งใดที่มันไม่ครอบคลุม และพันธะใดอยู่ภายนอก เป็นเอกสารสั้น และสามารถป้องกันได้มากกว่าคำกล่าวอ้างว่าข้อมูลถูกเข้ารหัส

ให้ผู้เชี่ยวชาญด้านความเป็นส่วนตัวและความปลอดภัยที่รับผิดชอบประเมินการจัดวางทั้งหมด แทนที่จะอนุมัติเฉพาะอุโมงค์