GDPR & MongoDB

GDPR介紹

圖. GDPR

 

GDPR 是什麼

歐盟的一般資料保護規範(GDPR - General Data Protection Regulation)，是由歐盟法律系統(EU Law)制定的法規，經歐盟議會(EU Parliament)於2016年4月14通過，將在2018年5月25強制執行。

圖. GDPR施行日

 

一般資料保護規範（GDPR）是在歐盟法律中對所有歐盟個人關於資料保護和隱私的規範。（維基百科）

 

GDPR適用對象不限於歐盟組織(公司)，只要有對歐盟的人民提供商品或服務的組織(公司)都適用，而且不限組織(公司)的所在地是否在歐盟境內外。

 

若發現有違反個資的情況發生(eg.個資洩漏)，應立即在72小時內報告"監督機構"，以便後續通知用戶採取適當補救措施。

 

法規適用的標的包含：

1.         Data Subject 資料主體，指歐盟居民，未來若成為標準，將泛指所有自然人(用戶)。

2.         Data Controller 資料控制者，指收集Data Subject資料的組織(公司)，如. 電子商務公司、郵件服務供應商。

3.         Data Processor 資料處理者，指協助 data controller 處理資料的個人或平台組織(公司)，如. 資料分析師、雲服務商。

 

用戶若不希望組織(公司)繼續持有其個人資訊，用戶能行使刪除的權利(right to erasure)，要求組織(公司)刪除其資訊。

 

Google 近期上架一支短片，介紹它們如何收集用戶資訊，並提供個性化廣告，並強調不會與廣告商分享任何個人識別資訊，請用戶們安心。

影片上架的時間點與內容，讓人不得不與即將上路的 GDPR 相連結。

圖. Google Privacy Policy

 

保護資料

企業需要保護個人可識別資訊(PII - Personally identifiable information)，是指能夠直接或間接辨別與某自然人有關的訊息(個資)。

可分類成下列兩大項目：

1.         個人身分和生物特徵資料：姓名、相片、影片、住址、電子信箱、銀行帳戶、部落格帖子、醫療紀錄、電話號碼、車牌、指紋、臉部辨識、視網膜掃描、問卷表單…等。

2.         線上定位資料：電腦IP、Cookie、行動裝置ID、瀏覽紀錄…等。

 

資料洩漏(personal data breach)是指違反安全機制，導致資料意外或非法地被破壞、遺失、竄改、批露、訪問、應用、下載或儲存等。

 

GDPR 指出當資料被儲存時，需要做去 "連結化/假名" (pseudonymisation)，但經額外資訊處理後可還原，達到保護資料的目的。

通常透過下列2種方式，實現 "連結化/假名"：

1.         encryption (加密)

2.         tokenization (標記)

 

當您的公司人數大於250人，或業務涉及下列事項，就需要考慮設置資料保護官(DPO - Data Protection Officer)

1.         公家機關

2.         大量系統監控

3.         大量敏感性個人資料

圖. Data Protection Officer

 

MongoDB如何滿足GDPR的需求

安全規範

GDPR的推行，首當其衝的就是用來儲存資料的資料庫管理人員，不論是靜態加密(Encryption at Rest)、還是稽核機制，都會被上級要求拿來重新好好檢視一番。

圖.資料庫安全

 

根據現行不同行業的資料保護法規，如. GDPR, HIPAA, PCI-DSS，我們可以發現它們都存在共通的要求。

1.         透過預先賦予角色的權限，限制其訪問的內容。

2.         防止因意外或惡意，造成資訊洩漏、遺失、破壞等。

3.         訪問和處理資料的職責分離

4.         記錄用戶、應用程序、管理人員的活動日誌。

 

上述資訊安全、隱私標準的共通的要求，可從3個領域來管理：

1.         人員(People)：定義每個帳戶的角色和責任。

2.         流程(Processes)：定義經營原則和業務實踐。

3.         產品(Products)：定義用於資料存儲和處理的技術。

 

圖. MongoDB端到端安全架構

 

管理步驟

MongoDB將GDPR定義的安全管理的步驟，總結為3個面向討論：

1.        探索(Discover)

在實施安全控管前，組織(公司)需先從資料庫辨識出個人資訊和保留的時限。並評估資料外洩，對個人所造成的影響。

Ø  Idenify Personal Data：使Compass管理工具、豐富的查詢語法

Ø  Personal Data Retention：Time-to-Live 索引

2.        保護(Defend)

完成探索後，組織(公司)實施安全控管，保護透明的數據。

Ø  Access Control：認證、授權、白名單、虛擬私有雲對等連接

Ø  Pseudonymisation & Encryption：只讀視圖、日誌修訂(避免敏感性資料寫入日誌)、傳輸加密、加密引擎(靜態加密)

Ø  Resilience & Disaster Recovery：副本集、時間點備份還原

Ø  Data Sovereignty：資料分區

3.        檢測(Detect)

當偵測到違規的行為，組織(公司)能馬上找出安全紕漏並糾正，然後產生資料處理/用戶活動的報表。

Ø  Monitoring & Reporting：即時告警

Ø  Auditing：稽核日誌

圖. MongoDB企業版滿足GDPR

 

小結

歐盟約 5.1億人口，若真發生2000萬歐元的賠償金，平均下來每位歐盟公民能分到1.3塊多台幣，下述的2個問題最讓小編好奇：

1.         賠償的錢最終會流到哪去呢?

2.         GDPR讓歐盟人民的個資顯得有價值，那其他國家的人民呢?

 

最後，GDPR提出的規定對MongoDB DBA來說，現行都有足夠的方式能夠滿足，並沒有因此產生新穎的技術，但部分是企業版才有的功能。因此，使用社群版或想使用企業版的朋友們，趕快來找我們諮詢一下吧!!