RGPD et accès SSH : le guide de conformité dont votre équipe a besoin

Le RGPD ne se limite pas aux bandeaux de cookies

Quand la plupart des équipes pensent au RGPD, elles pensent aux formulaires de consentement et aux politiques de confidentialité. Mais l'article 32 du RGPD exige des "mesures techniques et organisationnelles appropriées" pour assurer la sécurité des données personnelles. Cela inclut la façon dont votre équipe accède aux serveurs qui traitent ces données.

Ce que regardent les régulateurs

Résidence des données

Si votre outil de gestion d'accès SSH fait transiter les données de connexion par des serveurs américains, vous avez un problème de transfert de données. Après Schrems II, le transfert de données personnelles vers les États-Unis exige des garanties supplémentaires que la plupart des outils SSH ne fournissent pas.

La solution : utiliser des outils qui maintiennent toutes les données dans les frontières de l'UE. L'infrastructure SecurSSH est hébergée exclusivement dans l'UE.

Contrôles d'accès

Les régulateurs veulent voir que l'accès aux systèmes traitant des données personnelles est restreint au personnel autorisé. "Tout le monde a la clé SSH" ne respecte pas cet exigence.

La solution : mettre en place un contrôle d'accès basé sur les rôles. Définir qui peut accéder à quels serveurs et l'imposer de manière centralisée.

Pistes d'audit

L'article 5(2) exige de pouvoir démontrer la conformité. Si un régulateur demande "qui a accédé à la base clients sur les 6 derniers mois ?", il faut une réponse en minutes, pas en semaines.

La solution : des journaux d'audit complets, recherchables, avec horodatage, identification de l'utilisateur et détails du serveur. Exportables pour les revues de conformité.

Accords de traitement des données

Si vous utilisez un outil tiers pour l'accès SSH, vous avez besoin d'un DPA. Beaucoup d'outils SSH n'en proposent pas, ou leur DPA ne couvre pas les données spécifiques qu'ils traitent.

La solution : s'assurer que votre fournisseur d'accès SSH propose un DPA conforme au RGPD couvrant les métadonnées de connexion, les journaux d'audit et le matériel de clés.

L'essentiel

La conformité RGPD pour l'accès SSH n'est pas optionnelle pour les équipes européennes. La bonne nouvelle, c'est qu'y remédier est simple avec le bon outil. SecurSSH a été conçu dès le départ pour les exigences de conformité européennes.