Cloud & IT Cert Prep · บทเรียน

GDPR บน Azure

นำมาตรการทางเทคนิคที่ GDPR กำหนดบน Azure ไปใช้ ได้แก่ ตำแหน่งที่ตั้งข้อมูล การเข้ารหัสขณะจัดเก็บและระหว่างส่ง สิทธิ์ในการลบข้อมูล และการแจ้งเหตุละเมิด

GDPR บน Azure เป็นบทเรียน Cloud & IT Cert Prep ฟรีบน CoddyKit นี่คือบทเรียนที่ 4 จากทั้งหมด 4 บทเรียน คุณสามารถอ่านบทเรียนทั้งหมดด้านล่างฟรี — จากนั้นลองปฏิบัติด้วยตัวคุณเองในเบราว์เซอร์พร้อมตัวแก้ไขโค้ดในตัวและติวเตอร์ AI ตลอด 24/7 บทเรียนนี้เป็นส่วนหนึ่งของเส้นทางการเรียน Cloud & IT Cert Prep และความก้าวหน้าของคุณจะซิงค์ข้ามเว็บและแอป CoddyKit คอร์ส Cloud & IT Cert Prep มีบทเรียนทั้งหมด 4 บทเรียน

GDPR คืออะไร

General Data Protection Regulation (GDPR) เป็นกฎระเบียบของสหภาพยุโรปที่กำกับดูแลวิธีการรวบรวม จัดเก็บ ประมวลผล และปกป้องข้อมูลส่วนบุคคลของผู้พำนักใน EU กฎระเบียบนี้มีผลกับองค์กรทั่วโลกที่ประมวลผลข้อมูลส่วนบุคคลของบุคคลใน EU ไม่ใช่เฉพาะบริษัทที่ตั้งอยู่ในยุโรปเท่านั้น การละเมิด GDPR อาจทำให้ถูกปรับสูงสุดถึง €20 ล้าน หรือ 4% ของรายได้ประจำปีทั่วโลก โดยใช้จำนวนที่สูงกว่า

หลักการสำคัญของ GDPR

GDPR ตั้งอยู่บนหลักการคุ้มครองข้อมูล 6 ประการ ซึ่งต้องนำไปใช้กับการประมวลผลข้อมูลส่วนบุคคลทั้งหมด:

ชอบด้วยกฎหมาย เป็นธรรม และโปร่งใส — ต้องมีฐานทางกฎหมายสำหรับการประมวลผล
จำกัดตามวัตถุประสงค์ — รวบรวมข้อมูลเฉพาะเพื่อวัตถุประสงค์ที่ระบุไว้
ลดการใช้ข้อมูลให้น้อยที่สุด — รวบรวมเฉพาะข้อมูลที่จำเป็น
ความถูกต้อง — รักษาข้อมูลให้เป็นปัจจุบัน
จำกัดระยะเวลาการจัดเก็บ — ลบข้อมูลเมื่อไม่จำเป็นต้องใช้อีกต่อไป
ความถูกต้องครบถ้วนและการรักษาความลับ — ปกป้องข้อมูลจากการเข้าถึงโดยไม่ได้รับอนุญาต

ถิ่นที่อยู่ของข้อมูลบน Azure สำหรับ GDPR

GDPR กำหนดว่าข้อมูลส่วนบุคคลของผู้พำนักใน EU ต้องไม่ถูกโอนไปยังประเทศนอก EU/EEA เว้นแต่จะมีการคุ้มครองที่เพียงพอ บน Azure คุณต้องตรวจสอบให้แน่ใจว่าทรัพยากรที่ประมวลผลข้อมูลส่วนบุคคลของผู้พำนักใน EU ถูก Deploy ในภูมิภาคยุโรป (เช่น West Europe, North Europe, Germany West Central) การจับคู่ภูมิภาคของ Azure ช่วยให้มั่นใจว่าข้อมูลยังคงอยู่ภายในพื้นที่ทางภูมิศาสตร์เดียวกัน นอกจากนี้ ให้ปิดใช้การจำลองข้อมูลทางภูมิศาสตร์ไปยังภูมิภาคนอก EU เว้นแต่จะมีมาตรการคุ้มครองการถ่ายโอนข้อมูล (Standard Contractual Clauses) รองรับ

# Deploy resources in EU regions to ensure data residency:
az group create \
  --name myEURG \
  --location westeurope

# For Azure SQL, confirm geo-replication secondary is also in EU:
az sql db replica create \
  --server mySqlServer \
  --name myDB \
  --partner-server myEUSecondaryServer \
  --partner-resource-group secondaryEURG

การเข้ารหัสสำหรับการปฏิบัติตาม GDPR

หลักการด้านความถูกต้องครบถ้วนและการรักษาความลับของ GDPR กำหนดให้มีมาตรการทางเทคนิคที่เหมาะสม ซึ่งรวมถึงการเข้ารหัส บน Azure:

การเข้ารหัสขณะจัดเก็บ — พื้นที่เก็บข้อมูล Azure ทั้งหมด (Blob, SQL, Cosmos DB) จะเข้ารหัสข้อมูลขณะจัดเก็บเป็นค่าเริ่มต้นโดยใช้ AES-256
การเข้ารหัสระหว่างการส่งข้อมูล — บังคับใช้ HTTPS/TLS สำหรับการสื่อสารทั้งหมด และปิดใช้ปลายทาง HTTP
คีย์ที่ลูกค้าจัดการ — หากต้องการควบคุมได้มากขึ้น ให้ใช้ Azure Key Vault เพื่อจัดการคีย์การเข้ารหัสของคุณเอง แทนการพึ่งพาคีย์ที่ Microsoft จัดการ

# Enforce HTTPS only on a web app:
az webapp update \
  --resource-group myRG \
  --name myWebApp \
  --https-only true

# Create a storage account with customer-managed key encryption:
az storage account create \
  --resource-group myRG \
  --name mystorageaccount \
  --encryption-key-source Microsoft.Keyvault \
  --encryption-key-vault https://myKeyVault.vault.azure.net/

สิทธิ์ในการลบข้อมูล (สิทธิ์ที่จะถูกลืม)

ภายใต้มาตรา 17 ของ GDPR บุคคลมีสิทธิ์ในการลบข้อมูล (เรียกอีกอย่างว่า 'สิทธิ์ที่จะถูกลืม') ซึ่งเป็นสิทธิ์ในการร้องขอให้ลบข้อมูลส่วนบุคคลของตน แอปพลิเคชันของคุณต้องรองรับสิทธิ์นี้ โดยค้นหาข้อมูลส่วนบุคคลทั้งหมดของผู้ใช้ในบริการ Azure ทั้งหมด (SQL Database, Blob Storage, Cosmos DB, Log Analytics และอื่น ๆ) และลบข้อมูลดังกล่าวเมื่อมีการร้องขอ Microsoft Purview data maps สามารถช่วยระบุได้ว่าข้อมูลส่วนบุคคลถูกจัดเก็บไว้ที่ใด

# Example: delete a user's data from Azure SQL Database
# Application handles this via a stored procedure or API endpoint
# DELETE FROM users WHERE user_id = 'data-subject-id';
# DELETE FROM orders WHERE customer_id = 'data-subject-id';
# DELETE FROM audit_log WHERE user_id = 'data-subject-id';
# Also purge from Log Analytics: use Azure Monitor data export + purge API

สิทธิ์ในการโอนย้ายข้อมูล

มาตรา 20 ของ GDPR มอบสิทธิ์ในการโอนย้ายข้อมูลให้บุคคล ซึ่งเป็นสิทธิ์ในการรับข้อมูลส่วนบุคคลของตนในรูปแบบที่มีโครงสร้าง ใช้งานทั่วไป และเครื่องอ่านได้ (เช่น JSON หรือ CSV) รวมถึงโอนข้อมูลดังกล่าวไปยัง controller รายอื่น แอปพลิเคชันของคุณต้องสามารถส่งออกข้อมูลส่วนบุคคลทั้งหมดที่เชื่อมโยงกับผู้ใช้เมื่อมีการร้องขอ บริการ Azure เช่น Azure Data Factory สามารถทำให้การดึงและจัดแพ็กเกจข้อมูลส่วนบุคคลสำหรับคำขอโอนย้ายข้อมูลเป็นแบบอัตโนมัติได้

ข้อกำหนดในการแจ้งเตือนการรั่วไหลของข้อมูล

มาตรา 33 ของ GDPR กำหนดให้ต้องรายงานการรั่วไหลของข้อมูลที่เกี่ยวข้องกับข้อมูลส่วนบุคคลต่อหน่วยงานกำกับดูแลที่เกี่ยวข้อง (DPA) ภายใน 72 ชั่วโมงนับจากเวลาที่ทราบถึงการรั่วไหล มาตรา 34 กำหนดให้แจ้งบุคคลที่ได้รับผลกระทบ หากการรั่วไหลก่อให้เกิดความเสี่ยงสูงต่อสิทธิของบุคคลเหล่านั้น บน Azure Microsoft Defender for Cloud และ Microsoft Sentinel ช่วยตรวจจับการรั่วไหลได้อย่างรวดเร็ว ขณะที่ขั้นตอนการตอบสนองต่อเหตุการณ์ที่จัดทำเป็นเอกสารช่วยให้ดำเนินการแจ้งเตือนภายในกรอบเวลา 72 ชั่วโมงได้

ภาคผนวกการคุ้มครองข้อมูลของ Microsoft

เมื่อใช้ Azure เพื่อประมวลผลข้อมูลส่วนบุคคลของผู้พำนักใน EU Microsoft จะทำหน้าที่เป็นผู้ประมวลผลข้อมูล และองค์กรของคุณจะเป็นผู้ควบคุมข้อมูล Data Protection Addendum (DPA) ของ Microsoft คือข้อตกลงตามสัญญาที่กำกับดูแลวิธีที่ Microsoft ประมวลผลข้อมูลส่วนบุคคลในนามของคุณ DPA ถูกรวมไว้โดยการอ้างอิงใน Microsoft Customer Agreement และเป็นไปตามข้อกำหนดของ GDPR ที่ให้มีข้อตกลงเป็นลายลักษณ์อักษรระหว่างผู้ควบคุมข้อมูลกับผู้ประมวลผลข้อมูล

การควบคุมการเข้าถึงและสิทธิ์เท่าที่จำเป็น

ข้อกำหนดด้านการควบคุมการเข้าถึงของ GDPR หมายความว่า เฉพาะบุคลากรที่ได้รับอนุญาตเท่านั้นที่ควรเข้าถึงข้อมูลส่วนบุคคล ให้ใช้ Azure RBAC ตามหลักสิทธิ์เท่าที่จำเป็น โดยให้สิทธิ์ผู้ใช้เฉพาะที่จำเป็นต่อการทำงาน ไม่ใช่ให้สิทธิ์ผู้ดูแลระบบในวงกว้าง ใช้ Privileged Identity Management (PIM) เพื่อให้เข้าถึงฐานข้อมูลที่มีข้อมูลส่วนบุคคลได้แบบทันเวลา และบันทึกการเข้าถึงข้อมูลที่มีความละเอียดอ่อนทั้งหมดใน Azure Monitor เพื่อวัตถุประสงค์ในการตรวจสอบ

การเก็บรักษาข้อมูลและการลบโดยอัตโนมัติ

หลักการจำกัดระยะเวลาการจัดเก็บของ GDPR กำหนดว่าไม่ควรเก็บข้อมูลส่วนบุคคลไว้นานเกินความจำเป็น โปรดใช้นโยบายการจัดการวงจรชีวิตของ Azure Blob Storage เพื่อย้ายหรือลบข้อมูลโดยอัตโนมัติหลังพ้นระยะเวลาการเก็บรักษาที่กำหนด สำหรับฐานข้อมูล ให้กำหนดเวลาการทำงานของกระบวนงานที่จัดเก็บไว้โดยอัตโนมัติ เพื่อล้างระเบียนที่เก่ากว่านโยบายการเก็บรักษา โปรดบันทึกกำหนดการเก็บรักษาของคุณไว้ใน นโยบายการเก็บรักษาระเบียน และใช้ Azure Policy เพื่อบังคับใช้นโยบายดังกล่าว

# Blob Storage lifecycle policy to delete after 365 days:
az storage account management-policy create \
  --account-name mystorageaccount \
  --resource-group myRG \
  --policy '{
    "rules": [{
      "name": "deleteAfterYear",
      "type": "Lifecycle",
      "definition": {
        "actions": {"baseBlob": {"delete": {"daysAfterModificationGreaterThan": 365}}},
        "filters": {"blobTypes": ["blockBlob"]}
      }
    }]
  }'

DPIA: การประเมินผลกระทบด้านการคุ้มครองข้อมูล

สำหรับกิจกรรมการประมวลผลข้อมูลส่วนบุคคลที่มีความเสี่ยงสูง มาตรา 35 ของ GDPR กำหนดให้ต้องจัดทำ การประเมินผลกระทบด้านการคุ้มครองข้อมูล (DPIA) ก่อนเริ่มการประมวลผล DPIA จะวิเคราะห์กิจกรรมการประมวลผลอย่างเป็นระบบ ระบุความเสี่ยงต่อสิทธิของบุคคล และบันทึกมาตรการลดความเสี่ยงที่มีอยู่ เครื่องมือสร้างแบบจำลองภัยคุกคามของ Azure และผลการจัดประเภทข้อมูลของ Purview สามารถเป็นข้อมูลนำเข้าที่มีคุณค่าสำหรับ DPIA ได้

ตรวจสอบความเข้าใจอย่างรวดเร็ว

ทดสอบความเข้าใจแนวคิด Microsoft Azure Fundamentals (AZ-900) จากบทเรียนนี้

สรุปบทเรียน

ในบทเรียนนี้ คุณได้เรียนรู้ว่า GDPR ใช้กับองค์กรทั้งหมดที่ประมวลผลข้อมูลส่วนบุคคลของผู้พำนักใน EU และกำหนดให้มีการประมวลผลที่ชอบด้วยกฎหมาย มาตรการควบคุมความปลอดภัย และการแจ้งเหตุละเมิดข้อมูล มาตรการทางเทคนิคที่สำคัญ ได้แก่ การจัดเก็บข้อมูลในภูมิภาค EU การเข้ารหัสขณะจัดเก็บและขณะส่งผ่าน และ นโยบายการเก็บรักษาโดยอัตโนมัติ นอกจากนี้ ภาคผนวกการคุ้มครองข้อมูล ของ Microsoft ยังควบคุมวิธีที่ Azure ประมวลผลข้อมูลส่วนบุคคลของคุณในฐานะผู้ประมวลผลข้อมูล บทถัดไป เราจะศึกษา Cloud Adoption Framework สำหรับการย้ายระบบขององค์กร

คำถามที่พบบ่อย

บทเรียน “GDPR บน Azure” ฟรีหรือไม่

ใช่ — ข้อความเต็มของ “GDPR บน Azure” ฟรีให้อ่านที่นี่บนเว็บ เพื่อปฏิบัติแบบโต้ตอบ (ตัวแก้ไขโค้ดในตัวและติวเตอร์ AI ตลอด 24/7) และปลดล็อคส่วนที่เหลือของคอร์ส Cloud & IT Cert Prep ให้อัปเกรดเป็น CoddyKit PRO คอร์ส Cloud & IT Cert Prep มีบทเรียนทั้งหมด 4 บทเรียน

คุณจะเรียนรู้อะไรในบทเรียน “GDPR บน Azure”

นำมาตรการทางเทคนิคที่ GDPR กำหนดบน Azure ไปใช้ ได้แก่ ตำแหน่งที่ตั้งข้อมูล การเข้ารหัสขณะจัดเก็บและระหว่างส่ง สิทธิ์ในการลบข้อมูล และการแจ้งเหตุละเมิด คุณปฏิบัติ Cloud & IT Cert Prep ด้วยโค้ดที่ใช้งานได้จริงที่คุณเรียกใช้โดยตรงในเบราว์เซอร์ และติวเตอร์ AI ตลอด 24/7 ตอบคำถามของคุณขณะที่คุณไปผ่านบทเรียน

คุณต้องมีประสบการณ์ก่อนที่จะเริ่มเรียน Cloud & IT Cert Prep หรือไม่

ไม่จำเป็นต้องมีประสบการณ์มาก่อน Cloud & IT Cert Prep บน CoddyKit ออกแบบมาสำหรับผู้เริ่มต้นไปจนถึงผู้เรียนขั้นสูง คุณสามารถเริ่มต้นที่นี่หรือเริ่มจากตัวแรกและเรียนด้วยความเร็วของคุณเอง นี่คือบทเรียนที่ 4 จากทั้งหมด 4 บทเรียน

บทเรียน “GDPR บน Azure” ใช้เวลานานแค่ไหน

บทเรียน CoddyKit ส่วนใหญ่ใช้เวลาประมาณ 5–10 นาที แต่ละบทเรียนจึงสั้นและเป็นแบบโต้ตอบ คุณสามารถก้าวหน้าอย่างต่อเนื่องและกลับมาเรียนต่อจากตรงที่เพิ่งหยุดบนเว็บและแอปได้เลย

ฉันเขียนและรันโค้ดในบทเรียน Cloud & IT Cert Prep นี้ได้ไหม

ได้ บทเรียน Cloud & IT Cert Prep ทุกบทมีตัวแก้ไขโค้ดในตัว คุณจึงเขียนและรันโค้ดจริงได้เลยในเบราว์เซอร์ และได้รับข้อเสนอแนะจาก AI ในทันที — ไม่ต้องติดตั้งในเครื่องของคุณ

บทเรียนทั้งหมดในหลักสูตรนี้

← กลับไปที่ Cloud & IT Cert Prep