GDPR सिर्फ़ कुकी बैनर तक सीमित नहीं है
जब अधिकांश टीमें GDPR के बारे में सोचती हैं, तो वे सहमति फ़ॉर्म और गोपनीयता नीतियों के बारे में सोचती हैं। लेकिन GDPR का अनुच्छेद 32 व्यक्तिगत डेटा की सुरक्षा सुनिश्चित करने के लिए "उचित तकनीकी और संगठनात्मक उपाय" अपेक्षा करता है। इसमें यह शामिल है कि आपकी टीम उन सर्वरों तक कैसे पहुँचती है जो उस डेटा को संसाधित करते हैं।
नियामक क्या देखते हैं
डेटा रेज़िडेंसी
यदि आपका SSH एक्सेस मैनेजमेंट टूल अमेरिकी सर्वरों के माध्यम से कनेक्शन डेटा प्रवाहित करता है, तो आपके पास डेटा हस्तांतरण की समस्या है। Schrems II के बाद, US में व्यक्तिगत डेटा का हस्तांतरण अतिरिक्त सुरक्षा उपायों की अपेक्षा करता है जो अधिकांश SSH उपकरण प्रदान नहीं करते।
समाधान: ऐसे उपकरणों का उपयोग करें जो सभी डेटा को EU सीमाओं के भीतर बनाए रखें। SecurSSH इंफ़्रास्ट्रक्चर विशेष रूप से EU में होस्ट की गई है।
एक्सेस नियंत्रण
नियामक देखना चाहते हैं कि व्यक्तिगत डेटा को संसाधित करने वाले सिस्टम तक एक्सेस अधिकृत कर्मियों तक सीमित है। "हर किसी के पास SSH कुंजी है" इस आवश्यकता का सम्मान नहीं करता।
समाधान: भूमिका-आधारित एक्सेस नियंत्रण लागू करें। परिभाषित करें कि कौन किस सर्वर तक पहुँच सकता है और इसे केंद्रीय रूप से लागू करें।
ऑडिट ट्रेल्स
अनुच्छेद 5(2) अनुपालन प्रदर्शित करने में सक्षम होने की अपेक्षा करता है। यदि कोई नियामक पूछता है "पिछले 6 महीनों में ग्राहक डेटाबेस तक किसने पहुँच बनाई?", तो उत्तर मिनटों में चाहिए, हफ़्तों में नहीं।
समाधान: टाइमस्टैम्प, उपयोगकर्ता पहचान और सर्वर विवरण के साथ पूर्ण, खोजने योग्य ऑडिट लॉग। अनुपालन समीक्षाओं के लिए निर्यात योग्य।
डेटा प्रसंस्करण समझौते
यदि आप SSH एक्सेस के लिए तृतीय-पक्ष टूल का उपयोग करते हैं, तो आपको DPA की आवश्यकता है। कई SSH टूल इसकी पेशकश नहीं करते, या उनका DPA उनके द्वारा संसाधित विशिष्ट डेटा को कवर नहीं करता।
समाधान: सुनिश्चित करें कि आपका SSH एक्सेस प्रदाता एक GDPR-अनुपालन DPA प्रदान करता है जो कनेक्शन मेटाडेटा, ऑडिट लॉग और कुंजी सामग्री को कवर करता है।
मुख्य बिंदु
SSH एक्सेस के लिए GDPR अनुपालन यूरोपीय टीमों के लिए वैकल्पिक नहीं है। अच्छी ख़बर यह है कि सही उपकरण के साथ इसे ठीक करना सरल है। SecurSSH को शुरुआत से ही यूरोपीय अनुपालन आवश्यकताओं के लिए डिज़ाइन किया गया था।
