CNIL насърчава решения за киберсигурност, които са в съответствие с GDPR
Френският орган за защита на данните Commission Nationale de l’Informatique et des Libertés (CNIL) публикува след обществено обсъждане препоръки относно многофакторното удостоверяване, известно като MFA (multi-factor authentication). Целта е да осигури правна сигурност за потребителите на подобни решения и да насърчи доставчиците да интегрират защитата на поверителността на етапа на разработване на своите продукти или услуги.
CNIL изброява и какво трябва да знаят администраторите на данни: условията, при които е целесъобразно да се прибягва до MFA, по отношение на нуждите от сигурност; спазването на принципите на GDPR в контекста на използването на MFA, по-специално определянето на правно основание, минимизирането на събраните данни, сроковете на съхранение и зачитането на упражняването на правата от съответните лица; относно определянето на qualification на участниците в решение за MFA; относно избора на методи (фактори за удостоверяване: connaissance, possession, inhérence) и условията им за съответствие с GDPR; по точките, на които трябва да се обърне внимание, свързани с използването на фактора d’inhérence, използването на решения, базирани на изпращане на код за еднократна употреба чрез SMS или дори използването на лично оборудване на служителите като facteur de possession.
Тази препоръка обхваща удостоверяването в тесен смисъл и не е предназначена да разработва процеси, свързани с управлението на самоличността и достъпа (например управление на акаунти, управление на права и оторизации и др.), пише в сайта на CNIL.
Текстът на насоките включва обяснителни полета по определени теми с конкретни предизвикателства и практически примери за успешното внедряване на многофакторно удостоверяване, интегрирайки защитата на поверителността още от етапа на проектиране.
Надзорният орган пише, че тази препоръка е за администратори и обработващи лични данни, по-специално на техните длъжностни лица по защита на данните (DPO), служители по сигурността на информационните системи (RSSI) и техните екипи, както и за доставчици на решения за многофакторно удостоверяване.
За да разработи тази препоръка, CNIL проведе секторна консултация, включваща серия от изслушвания със заинтересовани страни както от публичния, така и от частния сектор, за да събере първоначални наблюдения и въпроси относно многофакторното удостоверяване. След това стартира обществена консултация по проект на препоръка, консултация, която позволи проектът на препоръка да бъде подобрен според опита на съответните заинтересовани страни.