GDPR Veri Koruma İncelemesinde VPN Neyi Kapsar

Bir bulut veritabanı kişisel veri barındırır, VPN kimin ona erişebileceğini sınırlar ve biri bunun yapılandırmayı uyumlu hale getirip getirmediğini sorar. Getirmez ve sorunun biçimi yanlıştır. VPN birkaç teknik erişim denetiminden biridir ve şifrelenmiş trafikte duran bir inceleme, güvenlik sorusunu yanıtlamış ama her veri koruma sorusunu açık bırakmıştır. Aşağıdaki kontrolleri sırayla yapın, ağ kuralı ortaya çıkmadan önce başlayın.

Kontrol 1: tünelden önce işlemeyi tanımlayın

Amacı, gerçekten gereken kişisel veri kategorilerini, bunları kullanmasına izin verilen kişileri ve amaçlanan saklama süresini yazın. Dayandığınız hukuki temeli ve bir kişinin haklarını kullanmak için izlediği yolu belirleyin. Sınırlı bir IP aralığı bunların hiçbirini yanıtlayamaz.

Kişisel verinin belirgin tanımlayıcılardan oluşan bir listeden daha geniş olduğunu unutmayın. Şifrelenmiş veya takma adlı kayıtlar, yeniden tanımlama mümkün olduğunda kişisel veri olarak kalır; bu nedenle karmalanmış tanımlayıcılarla dolu bir veritabanı otomatik olarak kapsam dışında değildir.

Kontrol 2: rolleri adlandırın

İşlemeyi kimin belirlediğine ve o taraf adına kimin hareket ettiğine karar verin, ardından aralarındaki koşulları inceleyin: belgelenmiş talimatlar, gizlilik, güvenlik taahhütleri ve izin verilen alt işleyiciler. Tipik bir bulut düzenlemesi için bu, veri sorumlusu ile veri işleyen arasındaki sözleşmedir ve Komisyonun uygulama rehberi rolleri ve gereken bağlayıcı işlemi açıklar.

Bir ağ şeması genellikle bunların hiçbirini adlandırmaz ve bu yüzden VPN sorusu tek başına tıkanır. Hak talebine kimin yanıt vereceğini roller belirler. Bir şeyler ters gittiğinde kimin sorumlu olacağını da onlar belirler. Tek bir güvenlik duvarı kuralı yazmadan önce iki kutuyu da çizin.

Kontrol 3: verinin gerçekte nerede yaşadığını haritalayın

Birincil depolamayı, replikaları, yedekleri ve yönetici erişim yollarını listeleyin. Yedekler olağan eksikliktir ve şifrelenmiş bir tünel anlık görüntünün nerede durduğunu değiştirmez.

Uluslararası aktarıma ilişkin her soruyu kendi çerçevesi içinde değerlendirin. VPN çıkış ülkesi bir yönlendirme olgusudur, sağlayıcının veriyi nerede işlediğine dair bir beyan değildir. Ekipler tünelin çıkış bölgesini rutin olarak değiştirir ve aktarımı değiştirdiklerine inanırlar. Değiştirdikleri şey, trafiğin hangi adresten geliyor göründüğüdür.

Kontrol 4: her denetimin neyi başardığını söyleyin

Bir IP izin listesi hangi ağ kaynaklarının bağlanabileceğini sınırlar. VPN tanımlı bir yolu korur ve doğrudan maruziyeti azaltabilir. İkisi de ağ geçidinin arkasındaki herkese aynı veritabanı izinlerini vermemelidir, çünkü tünel bir yolu doğrular, bir kişiyi değil.

Bireysel kimlik doğrulama ve role dayalı erişim kullanın ve biri rol değiştirdiğinde erişimi kaldırın. Ardından şifrelemeyi ve anahtar saklamayı, yamalamayı, kurtarmayı ve olay yönetimini ağ denetimlerinin yanında, güvenlik rehberinin kullandığı riske uygun terimlerle, sabit bir kontrol listesiyle değil, gözden geçirin.

Kontrol 5: kanıtları saklayın

İşleme açıklamasını, hizmet sözleşmesini, erişim kararlarını, risk değerlendirmesini ve adlandırılmış sahipleri saklayın. Kanıt, bir tasarımı bir yıl sonra incelenebilir bir şeye dönüştüren şeydir.

İki karar varsayımlar yerine açık yanıtları hak eder. İşlemenin yüksek riske yol açma olasılığı bulunan yerlerde veri koruma etki değerlendirmesi gerekir ve bir veri koruma görevlisi yalnızca belirtilen durumlarda zorunludur. İkisi de veriyi bulutta saklamaktan otomatik olarak doğmaz ve ikisi de bununla dışlanmaz.

Tamamlanmış inceleme ne diyor

Yararlı bir inceleme VPN'in neden var olduğunu, neyi kapsamadığını ve hangi yükümlülüklerin dışında kaldığını açıklar. Bu kısa bir belgedir ve trafiğin şifrelendiği iddiasından çok daha savunulabilir.

Sorumlu gizlilik ve güvenlik uzmanlarının yalnızca tüneli onaylaması yerine tüm düzenlemeyi değerlendirmesini sağlayın.