测试与合规
GDPR 服务器合规
GDPR 罚单针对的正是技术失效：未加密的备份、无限期的日志保留、未修复的入侵、无事件流程。服务器层面的 GDPR 对齐，即加密、最小化、保留策略、访问控制与泄露通报，把基础设施从合规负担变成尽职证据。
要点
- 个人数据静态（磁盘、数据库、备份）与传输中都要加密。
- 最小化收集与保留：日志保留 90 天，而不是永久。
- 独立账号、最小权限加定期复查，管好访问控制。
- 留存处理者记录，并与服务商签数据处理协议。
- 具备 72 小时泄露通报能力，检测能力与之匹配。
- 分析与预演环境数据做假名化或匿名化。
- 一切留档：措施、复查、培训与事件演练。
- 审查非欧盟托管的分处理者所在地与传输机制。
一线手记
买工具之前先摸底。没盘点过的东西，既保护不了，也最小化不了，更删除不了，而盘点结果总让第一次做的人意外。
常见问题
GDPR 管得到美国公司吗？
服务欧盟居民就管得到，地域范围跟着数据主体走，而不是跟着办公室走。
技术上第一步做什么？
数据摸底：没盘点过的东西无从保护。
备份与 GDPR 是什么关系？
加密、访问控制、明确保留期，并为当事人请求准备擦除流程。
泄露之后怎么办？
遏制、评估、按要求 72 小时内通报，并记录整改。
Kinetikatech 如何在测试与合规方面为您提供帮助
这是我们的日常工作：渗透测试、漏洞扫描、审计与 GDPR 合规实践。我们的渗透测试和Linux 服务器安全服务提供端到端覆盖：评估、实施、24/7 监控，以及 30 分钟内的应急响应。