GDPR – como eu me preparei

“The General Data Protection Regulation (GDPR) will come into force on the 25th May 2018, replacing the existing data protection framework under the EU Data Protection Directive”

“The aim of the GDPR is to protect all EU citizens from privacy and data breaches in an increasingly data-driven world that is vastly different from the time in which the 1995 directive was established”

Nos últimos meses estive envolvido em muitas mudanças nas aplicações que temos por conta dessa nova regulamentação que esta entrando em vigor na Europa. Muitas empresas como Facebook, Google, Microsft e Amazon (apenas para citar algumas) também estão se adequando ao GDPR e desde o inicio do ano eu venho recebendo avisos de como eles tem mudado suas policas de segurança/privacidade.

Na minha opinião essa mudança é importante para nós usuários dessas grandes corporações e a intenção é ter mais controle sobre nossos dados pessoais.

Mas o que isso afeta o meu trabalho e o meu dia a dia? Não são apenas as empresas globais (gigantes da internet) que devem se adequar, mas sim qualquer empresa dentro da união europeia deve seguir essa regulamentacao e por isso o meu trabalho é afetado. Se você pensa que por não morar/trabalhar na Europa você não deve seguir o GDRP acredito que não é bem assim, pois em algum momento sua empresa pode fazer operações na Europa e você terá que se adequar, ou ate mesmo, quanto tempo você acha que essa regulamentacao ou alguma outra sera aplicada onde voce está? Pense bem.

O meu intuito aqui não é falar sobre o que o GDPR é ou para que ele se propõe. Para isso deixarei links onde você pode entender melhor.

Eu irei mostrar como eu utilizei ferramentas e recursos nativos do SQL Server para fazer que meu ambiente esteja de acordo com a regulamentação. E para cada item farei um post sobre como implementei e minhas impressões, por isso esse post será atualizado sempre que necessário.

A maioria dos posts terá o foco no Azure SQL Database.

Primeiramente temos que conhecer melhor nossos dados, saber o que eles representam e principalmente qual a sua valia para a empresa.

Garantir o princípio do menor privilegio foi a fase do meu projeto que mais demorou, uma vez que temos que entender quem acessa a informação, para qual finalidade e porque eles acessam.

Para ajudar a proteger seus dados, o firewall impede todo o acesso ao seu servidor de banco de dados até que você especifique quais computadores têm permissão.

  • Authentication in Azure SQL Database using Azure Active Directory

Com a autenticação do Azure AD, você pode gerenciar centralmente as identidades dos usuários do banco de dados e de outros serviços da Microsoft em um local central.

É o processo de identificar, quantificar e priorizar (ou classificar) as vulnerabilidades.

Conhecido como criptografia de dados em repouso (data at rest) e executa criptografia e descriptografia de I/O em tempo real dos dados e arquivos de log.

Transparent Data Encryption and its tricks

Limita a exposição a dados confidenciais mascarando para usuários sem privilégios. O DDM ajuda a impedir o acesso não autorizado a dados confidenciais.

  • Row-Level Security

Permite que os clientes controlem o acesso a linhas em uma tabela de banco de dados com base nas características do usuário que está executando uma consulta, em outras palavras, o RLS permite implementar restrições no acesso ao registro de dados.

  • Group Managed Service Accounts

Fornece um gerenciamento automático de senhas e de SPN, incluindo delegação de gerenciamento a outros administradores.

  • Always Encrypted

É um recurso projetado para proteger dados confidenciais, como números de cartão de crédito ou números de identificação nacional. Permite que os clientes criptografem dados confidenciais em seus aplicativos e nunca revelem as chaves de criptografia ao banco de dados.

  • Business continuity in Azure SQL technologies
    • Point-time Restore
    • Backup Long-term retention
    • Active Geo-replication
  • Auditing & Threat Detection

Pode ajudar a compreender a atividade do banco de dados e obter insights sobre discrepâncias e anomalias que possam indicar preocupações comerciais ou suspeitas de violações de segurança.

  • SQL Server Audit

Permite criar auditorias que podem conter eventos no nível do servidor e no nível do banco de dados.

  • Temporal table

Fornece informações sobre os dados armazenados na tabela em qualquer momento, em vez de apenas os dados corretos no momento atual.

  • Azure SQL Analytics

Coleta e visualiza métricas importantes de desempenho do Azure SQL Database.

 

Todos os passos que eu segui foi baseado no guia da Microsoft referente ao GDPR.

https://docs.microsoft.com/en-us/sql/relational-databases/security/microsoft-sql-and-the-gdpr-requirements

References:

https://www.eugdpr.org/the-regulation.html

https://www.dataprotection.ie/docs/GDPR/1623.htm

This is Tiago Balabuch's website, and this is a bit of copy about him. He is enthusiast, fascinated, passionate, fanatic by SQL Server and in the off-hours a Data Engineer who loves what he does and he is traveling in the cloud and surfing on the wave of the moment called Azure! Originally from Brazil and with encouragement from family and friends, Tiago moved to Europe in 2017 where lives in Ireland. In addition to being a data engineer, he is also active speaker in the SQL PASS events and keeps up to date on the key technologies and technical certifications. Tiago hold these certification MCT, MCSE - Data Management and Analystics, MCSA - SQL Server 2016/2014/2012. Simply psychedelic and manic he is just one more freak who likes SQL Server and its new features ...

Responda