Тестирование безопасности и соответствие требованиям
Соответствие серверов требованиям GDPR
Штрафы по GDPR прилетают за технические сбои: незашифрованные копии, бесконечное хранение журналов, не закрытые после инцидента дыры и отсутствие процесса работы с инцидентами. Приведение серверов в соответствие — шифрование, минимизация, политика хранения, разграничение доступа и готовность к уведомлениям — превращает инфраструктуру из обузы в доказательство должной осмотрительности.
Главное
- Шифровать персональные данные на носителях (диски, базы, копии) и при передаче.
- Минимизировать сбор и хранение: журналы живут 90 дней, а не вечно.
- Ограничивать доступ индивидуальными учётными записями, минимальными привилегиями и регулярным пересмотром.
- Вести реест обработчиков и договоры об обработке данных с поставщиками.
- Готовить возможность уведомить об утечке за 72 часа вместе с обнаружением, которое это позволяет.
- Псевдонимизировать или обезличивать аналитику и тестовые наборы данных.
- Документировать всё: меры, проверки, обучение и учения по инцидентам.
- Проверять расположение и механизмы передачи данных у привлечённых обработчиков, если хостинг вне ЕС.
Частые вопросы
Распространяется ли GDPR на компании в США?
Если вы обслуживаете жителей ЕС — да: территориальная сфера следует за субъектами данных, а не за вашим офисом.
С чего начать технически?
С карты данных: нельзя защитить то, что не инвентаризировано.
Как резервные копии вписываются в GDPR?
Шифрование, разграничение доступа, понятные сроки хранения и процедура удаления по запросу субъекта данных.
Что после утечки?
Сдерживание, оценка, уведомление в течение 72 часов там, где это требуется, и задокументированное исправление.
Как мы берём на себя тестирование безопасности и соответствие требованиям
Это то, чем мы занимаемся каждый день: Тесты на проникновение, сканирование уязвимостей, аудит и практики, согласованные с GDPR, которые доказывают должную осмотрительность. Наша услуга Тесты на проникновение и Безопасность серверов Linux закрывает задачу целиком — оценка, внедрение, круглосуточный мониторинг и экстренная реакция в течение 30 минут.