Ano ang Sinasaklaw ng VPN sa Isang Pagsusuri ng Proteksyon ng Datos sa GDPR

May personal na data sa isang cloud database, nililimitahan ng VPN kung sino ang makakaabot dito, at may nagtatanong kung ginagawa nitong umaayon ang setup. Hindi, at mali ang hugis ng tanong. Ang VPN ay isang teknikal na kontrol sa pag-access sa ilang, at ang pagsusuring tumitigil sa naka-encrypt na trapiko ay sumagot sa tanong ng seguridad habang iniiwang bukas ang bawat tanong ng proteksyon ng datos. Gawin ang mga pagsusuri sa ibaba nang sunod-sunod, simulan bago pa man umiral ang tuntunin ng network.

Pagsusuri 1: ilarawan ang pagproseso bago ang tunel

Isulat ang layunin, ang mga kategorya ng personal na data na talagang kailangan, ang mga taong pinahihintulutang gumamit ng mga ito, at ang inilaan na panahon ng pagtago. Tukuyin ang legal na batayan na iyong sinasandigan at ang landas na tinatahak ng isang tao upang gamitin ang kanyang mga karapatan. Hindi kayang sagutin ng limitadong hanay ng IP ang alinman sa mga iyon.

Tandaan na ang personal na data ay mas malawak kaysa sa listahan ng mga halatang identifier. Ang mga talaang naka-encrypt o may alyas ay nananatiling personal na data kung posible ang muling pagkilala, kaya ang database na puno ng hash na identifier ay hindi awtomatikong labas sa saklaw.

Pagsusuri 2: pangalanan ang mga tungkulin

Magpasya kung sino ang nagtatakda ng pagproseso at sino ang kumikilos sa ngalan ng panig na iyon, pagkatapos suriin ang mga tuntunin sa pagitan nila: mga nakadokumentong tagubilin, pagiging kompidensyal, mga pangako sa seguridad at mga pinahintulutang subprocessor. Para sa karaniwang kaayusan sa cloud ito ang kasunduan ng controller at processor, at ipinapaliwanag ng mga patnubay sa paglalapat ng Komisyon ang mga tungkulin at ang kinakailangang gawaing nagbibigkis.

Karaniwang wala sa diagram ng network ang alinman sa mga ito, at iyon ang dahilan kung bakit nag-uumpisa ang tanong ng VPN nang mag-isa. Ang mga tungkulin ang nagtatakda kung sino ang sumasagot sa kahilingan sa mga karapatan. Sila rin ang nagtatakda kung sino ang may pananagutan kapag may nangyaring mali. Iguhit ang dalawang kahon bago magsulat ng isang tuntunin ng firewall.

Pagsusuri 3: imapa kung saan talaga nakatira ang data

Ilista ang pangunahing imbakan, mga replica, mga backup at mga daan ng administratibong pag-access. Ang mga backup ang karaniwang nakakaligtaan, at hindi binabago ng naka-encrypt na tunel kung saan naroon ang isang snapshot.

Tayahin ang anumang tanong ng internasyonal na paglilipat sa loob ng sarili nitong balangkas. Ang bansang labasan ng VPN ay isang katotohanan ng routing, hindi isang pahayag kung saan pinoproseso ng provider ang data. Madalas na binabago ng mga team ang rehiyon ng labasan ng tunel at inaakalang binago nila ang paglilipat. Ang binago nila ay kung saang address nagmumukhang galing ang trapiko.

Pagsusuri 4: sabihin kung ano ang nakakamit ng bawat kontrol

Nililimitahan ng listahan ng pinapayagang IP kung aling mga pinagmumulan ng network ang maaaring kumonekta. Pinoprotektahan ng VPN ang isang tinukoy na daan at maaaring bawasan ang direktang pagkakalantad. Wala sa dalawa ang dapat magbigay sa bawat tao sa likod ng gateway ng parehong mga pahintulot sa database, dahil pinapatunayan ng tunel ang isang daan, hindi isang tao.

Gumamit ng indibidwal na pagpapatotoo at pag-access na nakabatay sa tungkulin, at alisin ang pag-access kapag may nagpalit ng tungkulin. Pagkatapos suriin ang encryption at pangangalaga ng susi, mga patch, pagbangon at paghawak ng insidente kasama ng mga kontrol sa network, sa mga terminong angkop sa panganib na ginagamit ng patnubay sa seguridad sa halip na isang nakapirming checklist.

Pagsusuri 5: itago ang ebidensya

Itago ang paglalarawan ng pagproseso, ang kasunduan sa serbisyo, ang mga desisyon sa pag-access, ang pagtatasa ng panganib at ang mga pinangalanang may-ari. Ang ebidensya ang nagiging dahilan upang ang isang disenyo ay masuri makalipas ang isang taon.

Dalawang desisyon ang karapat-dapat sa malinaw na sagot sa halip na palagay. Kailangan ang pagtatasa ng epekto sa proteksyon ng datos kung malamang na magdulot ng mataas na panganib ang pagproseso, at ang opisyal ng proteksyon ng datos ay sapilitan lamang sa mga tinukoy na kalagayan. Wala sa dalawa ang kusang nagmumula sa pagtago ng datos sa cloud, at wala sa dalawa ang naibubukod nito.

Ano ang sinasabi ng natapos na pagsusuri

Ipinapaliwanag ng kapaki-pakinabang na pagsusuri kung bakit naroon ang VPN, ano ang hindi nito sinasaklaw, at aling mga obligasyon ang nasa labas nito. Ito ay isang maikling dokumento, at mas madaling ipagtanggol kaysa sa pahayag na naka-encrypt ang trapiko.

Hayaang tasahin ng responsableng mga espesyalista sa privacy at seguridad ang buong kaayusan sa halip na aprubahan lamang ang tunel.