Kontrola dostępu w RODO: least privilege nad danymi osobowymi w praktyce
RODO reguluje, jak przetwarzasz dane osobowe osób w UE. Obowiązek bezpieczeństwa leży w Artykule 32: wdrożyć środki techniczne i organizacyjne adekwatne do ryzyka, z wyraźnie wskazaną poufnością danych osobowych. Słowem, które robi tu robotę, jest adekwatne. RODO mówi ci, jaki ma być efekt, i oczekuje, że uzasadnisz, jak do niego doszedłeś.
W przypadku dostępu oznacza to, że nie możesz po prostu stwierdzić, że dane osobowe są chronione. Musisz umieć pokazać, kto może do nich dotrzeć, dlaczego, i skąd byś wiedział, gdyby to się zmieniło. Kiedy regulator albo inspektor ochrony danych klienta pyta, jak kontrolujesz dostęp do danych osobowych, chce zobaczyć, czy polityka jest prawdziwa w twoim środowisku, nie tylko czy istnieje na papierze.
- RODO mówi ci, jaki ma być efekt, i oczekuje, że uzasadnisz, jak do niego doszedłeś. Artykuł 32 oczekuje środków technicznych i organizacyjnych adekwatnych do ryzyka, z wyraźnie wskazaną poufnością danych osobowych.
- Nie możesz po prostu stwierdzić, że dane osobowe są chronione. Musisz pokazać, kto może do nich dotrzeć, dlaczego, i skąd byś wiedział, gdyby to się zmieniło.
- Minimalizacja danych (Artykuł 5(1)(c)) i ochrona danych w fazie projektowania i domyślna (Artykuł 25) oznaczają wąskie zakresy dla kluczy API i integracji oraz domyślne ustawianie minimalnego niezbędnego dostępu.
- Nie zescopujesz naruszenia w oknie 72 godzin z Artykułu 33, jeśli nie potrafisz powiedzieć, kto i co miało dostęp do dotkniętych danych.
- Luki rzadko dotyczą oczywistych kontroli. To te, które cicho się psują: dane osobowe rozlewające się po niezmapowanym SaaS, dostęp narastający przy zmianie roli i byli pracownicy zachowujący logowania do aplikacji spoza katalogu.
czego RODO faktycznie wymaga w kwestii dostępu
Kilka artykułów podnosi stawkę wokół dostępu:
- Artykuł 5(1)(c), minimalizacja danych. Dane osobowe muszą być ograniczone do tego, co niezbędne, co w przypadku dostępu oznacza wąskie zakresy dla kluczy API i integracji zamiast szerokich.
- Artykuł 25, ochrona danych w fazie projektowania i domyślna. Domyślnie ustawiaj minimalny niezbędny dostęp, nie maksymalny wygodny.
- Artykuł 30, rejestr czynności przetwarzania. Zakłada, że wiesz, gdzie leżą dane osobowe i kto je przetwarza.
- Artykuł 33, zgłoszenie naruszenia w ciągu 72 godzin. Nie zescopujesz naruszenia szybko, jeśli nie potrafisz powiedzieć, kto i co miało dostęp do dotkniętych danych.
praca nad dostępem, w odniesieniu do regulacji
Wiedz, gdzie żyją dane osobowe. Nie zastosujesz least privilege do danych, których nie zlokalizowałeś. Zmapuj systemy przechowujące dane osobowe: CRM, system HR, help desk, platformę marketingową, hurtownię danych i narzędzia SaaS, które cicho je gromadzą. To leży u podstaw zarówno Artykułu 30, jak i Artykułu 32.
Zastosuj least privilege w tych systemach. Dostęp do danych osobowych powinny mieć tylko osoby, które potrzebują go w swojej roli. Zawężaj szerokie nadania, zwłaszcza w CRM i narzędziach wsparcia, gdzie dostęp ma tendencję do rozszerzania się przy zmianach ról, a nikt go potem nie zawęża z powrotem.
Wymuś silne uwierzytelnianie. Uwierzytelnianie wieloskładnikowe w systemach przechowujących dane osobowe to najwyraźniejszy „adekwatny środek techniczny", jaki możesz wskazać. Pokryj niewygodne przypadki brzegowe: administratorów, dostęp zdalny i każde logowanie poza single sign-on.
Utrzymuj dostęp poprawny w czasie. Artykuł 32 oczekuje ciągłej poufności, nie jednorazowej konfiguracji. To cykl joiner-mover-leaver: dostęp nadawany, gdy jest potrzebny, korygowany przy zmianie roli i usuwany, gdy ktoś odchodzi, łącznie z aplikacjami spoza katalogu.
Przeglądaj i dokumentuj. Artykuł 32 oczekuje regularnego testowania skuteczności twoich środków. W przypadku dostępu to cykliczne przeglądy dostępów w systemach przechowujących dane osobowe, z zapisem, kto co przejrzał i co się zmieniło.
Kontroluj dostęp maszynowy. Integracje i konta serwisowe przenoszą dane osobowe między systemami na szerokich, często nieprzeglądanych zakresach. Grant OAuth, który może czytać całą twoją skrzynkę, to dostęp do danych osobowych, niezależnie od tego, czy stoi za nim człowiek.
gdzie firmy zawodzą
Luki rzadko dotyczą oczywistych kontroli. To te, które cicho się psują. Dane osobowe rozlewają się po narzędziach SaaS, które nigdy nie trafiły do rejestru czynności przetwarzania. Dostęp do CRM albo help desku narasta wraz ze zmianami ról. Byli pracownicy i kontraktorzy zachowują logowania do systemów z danymi osobowymi, bo offboarding zamknął konto w katalogu, ale pominął aplikacje. Konta serwisowe i integracje przenoszą dane osobowe na szerokich, nieprzeglądanych zakresach. A kiedy pada pytanie o naruszenie, uczciwa odpowiedź na „kto mógł dotrzeć do tych danych" to zgadywanie, przez co dotrzymanie 72-godzinnego okna jest dużo trudniejsze. Nic z tego nie wychodzi na jaw, dopóki ktoś nie zapyta: regulator po incydencie, inspektor ochrony danych klienta podczas due diligence albo twój własny zespół po sytuacji, która o mało nie skończyła się źle.
praktyczna kolejność działań
- Zlokalizuj dane osobowe. Wypisz systemy, które je przechowują. Nie zapomnij o narzędziach SaaS spoza podstawowego stacku.
- Zmapuj, kto może dotrzeć do każdego z nich. Ludzie i tożsamości maszynowe. To obraz dostępu, który Artykuł 32 zakłada, że masz.
- Ogranicz dostęp do least privilege. Zacznij od systemów o najwyższej wrażliwości i najszerszych nadań.
- Potwierdź pokrycie MFA w tych systemach i udokumentuj każdy wyjątek wraz z powodem.
- Napraw ścieżkę osoby odchodzącej, żeby dostęp do danych osobowych zamykał się wszędzie, nie tylko w katalogu.
- Przeprowadź i udokumentuj przegląd dostępów, a potem ustaw cykliczność, żeby był aktualny.
- Przejrzyj integracje i konta serwisowe, które dotykają danych osobowych, i odwołaj zakresy, których nikt nie potrzebuje.
let's start with a conversation
Most first conversations start with not quite knowing what you have or where to begin. That's normal, and it's exactly where we're useful.
Tell us what prompted this. An upcoming audit, an incident, a client's security questionnaire, or just a sense that things have gotten messy.
We'll take it from there
+48 783 762 997
julian@unshadowit.com
