VPN bao phủ những gì trong một đợt rà soát bảo vệ dữ liệu GDPR

Một cơ sở dữ liệu đám mây chứa dữ liệu cá nhân, VPN giới hạn ai có thể truy cập nó, và ai đó hỏi liệu điều đó có làm cho cấu hình trở nên tuân thủ. Không, và câu hỏi có hình dạng sai. VPN là một trong nhiều biện pháp kiểm soát truy cập kỹ thuật, và một đợt rà soát dừng ở lưu lượng đã mã hóa đã trả lời câu hỏi bảo mật trong khi để ngỏ mọi câu hỏi bảo vệ dữ liệu. Hãy thực hiện các kiểm tra dưới đây theo thứ tự, bắt đầu trước khi quy tắc mạng tồn tại.

Kiểm tra 1: mô tả việc xử lý trước đường hầm

Ghi lại mục đích, các loại dữ liệu cá nhân thực sự cần, những người được phép sử dụng chúng và thời hạn lưu giữ dự kiến. Xác định cơ sở pháp lý mà bạn dựa vào và con đường mà một cá nhân đi để thực hiện quyền của mình. Một dải IP bị giới hạn không thể trả lời bất kỳ điều nào trong số đó.

Lưu ý rằng dữ liệu cá nhân rộng hơn một danh sách các định danh rõ ràng. Hồ sơ đã mã hóa hoặc dùng bí danh vẫn là dữ liệu cá nhân khi có thể tái nhận dạng, vì vậy một cơ sở dữ liệu đầy định danh đã băm không tự động nằm ngoài phạm vi.

Kiểm tra 2: nêu tên các vai trò

Xác định ai quyết định việc xử lý và ai hành động thay mặt bên đó, sau đó xem xét các điều khoản giữa họ: chỉ dẫn được ghi thành văn bản, bảo mật thông tin, cam kết an ninh và các bên xử lý phụ được phép. Với một bố trí đám mây điển hình, đây là thỏa thuận giữa bên kiểm soát và bên xử lý, và hướng dẫn áp dụng của Ủy ban giải thích các vai trò và hành vi ràng buộc được yêu cầu.

Một sơ đồ mạng thường không nêu bất kỳ điều nào trong số này, và đó là lý do câu hỏi về VPN tự nó bị tắc. Các vai trò quyết định ai trả lời một yêu cầu về quyền. Chúng cũng quyết định ai chịu trách nhiệm khi có sự cố. Hãy vẽ cả hai ô trước khi viết một quy tắc tường lửa duy nhất.

Kiểm tra 3: lập bản đồ nơi dữ liệu thực sự sống

Liệt kê lưu trữ chính, bản sao, bản sao lưu và các đường truy cập quản trị. Bản sao lưu là điểm bỏ sót thường gặp, và một đường hầm mã hóa không thay đổi nơi một ảnh chụp nhanh nằm.

Đánh giá bất kỳ câu hỏi chuyển giao quốc tế nào trong khuôn khổ riêng của nó. Quốc gia thoát của VPN là một sự kiện định tuyến, không phải tuyên bố về nơi nhà cung cấp xử lý dữ liệu. Các nhóm thường xuyên thay đổi khu vực thoát của đường hầm và tin rằng họ đã thay đổi việc chuyển giao. Điều họ đã thay đổi là địa chỉ mà lưu lượng dường như đến từ đó.

Kiểm tra 4: nói mỗi kiểm soát đạt được điều gì

Một danh sách IP được phép giới hạn nguồn mạng nào có thể kết nối. VPN bảo vệ một đường dẫn xác định và có thể giảm phơi nhiễm trực tiếp. Không cái nào trong hai nên cấp cho mọi người phía sau cổng cùng các quyền cơ sở dữ liệu, vì đường hầm xác thực một đường dẫn, không phải một người.

Dùng xác thực cá nhân và truy cập dựa trên vai trò, và thu hồi quyền truy cập khi ai đó đổi vai trò. Sau đó xem xét mã hóa và lưu giữ khóa, vá lỗi, phục hồi và xử lý sự cố song song với các kiểm soát mạng, theo thuật ngữ phù hợp rủi ro mà hướng dẫn an ninh sử dụng thay vì một danh sách kiểm tra cố định.

Kiểm tra 5: giữ bằng chứng

Giữ mô tả xử lý, hợp đồng dịch vụ, các quyết định truy cập, đánh giá rủi ro và những người chịu trách nhiệm được nêu tên. Bằng chứng là thứ biến một thiết kế thành điều có thể rà soát sau một năm.

Hai quyết định xứng đáng có câu trả lời rõ ràng thay vì giả định. Đánh giá tác động về bảo vệ dữ liệu là bắt buộc khi việc xử lý có khả năng dẫn đến rủi ro cao, và cán bộ bảo vệ dữ liệu chỉ là bắt buộc trong những trường hợp được quy định. Không cái nào tự động xuất phát từ việc lưu dữ liệu trên đám mây, và không cái nào bị nó loại trừ.

Đợt rà soát đã hoàn tất nói gì

Một đợt rà soát hữu ích giải thích vì sao VPN hiện diện, nó không bao phủ điều gì và nghĩa vụ nào nằm ngoài nó. Đây là một tài liệu ngắn, và dễ bảo vệ hơn nhiều so với một tuyên bố rằng lưu lượng đã được mã hóa.

Để các chuyên gia về quyền riêng tư và an ninh chịu trách nhiệm đánh giá toàn bộ bố trí thay vì chỉ phê duyệt đường hầm.