Citrix Tech Zone

查看 PDF

参考架构：通用数据保护条例-GDPR 的架构注意事项

August 31, 2023

Author: Matthew Brooks, Florin Lazurca, Rob Sanders, Martin Zugec, Allen Furmanski

《通用数据保护条例》(GDPR) 概述

GDPR 是一套数据隐私规则，广泛适用于欧盟（EU）的两家公司，除了全球范围内收集和使用与欧盟居民有关的数据的任何公司之外。GDPR 于 2018 年 5 月 25 日生效，其中包括几个章节，进一步细分为编号的 “文章” 或小节，我们将在本文档中引用。这些文章描述了适用于处理个人数据的具体要求。

统一欧盟成员国采用的不同数据保护法规
保护欧盟居民的数据隐私
确保组织以负责任和负责的方式处理个人数据，从收集到退回或销毁

在欧盟境内运营的组织
在欧盟以外运营的向欧盟居民提供商品和服务的组织

注意：GDPR 的隐私注意事项涵盖数据生命周期，包括数据的收集、使用、存储以及安全处置和停用。它涵盖了与您的客户、员工、供应链、合作伙伴以及您收集居住在欧盟的个人信息的任何其他人有关的所有个人数据。个人数据是与可识别的人有关的任何信息，因此它通常被称为个人身份信息 (PII)。这可能包括姓名、照片、IP 地址或电子邮件地址以及医疗信息等信息。有关 Citrix 数据生命周期流程和实践的更多详细信息，请访问Citrix 信任中心。

访问控制（包括在第 25 条中）-规定了一些措施，确保默认情况下个人数据不会被无限数量的人访问。
加密和数据保护（包括在第 32 条中）-提出：
- 个人数据的假名化和加密
- 确保处理系统和服务的持续保密性、完整性、可用性和弹性
- 在发生物理或技术事故时及时恢复个人数据的可用性和访问的能力
- 防止意外和非法毁坏、丢失、修改、未经授权披露或访问传输、存储或以其他方式处理的个人数据

Citrix Workspace 将数据中心或云中的服务集中为数字化工作空间，从而简化了系统和数据的管理。本文档的目标是介绍它如何将应用程序、数据和桌面统一到为团队提供的数字化工作空间中。它使您能够更好地满足 GDPR 在数据管理、数据监控和信息审计方面的要求。

通过集中和封存应用程序和数据
通过帮助确保数据在共享或分发时受到保护
通过控制谁有权访问数据和资源
通过将 IT 组合在一起实现应用程序和数据特定

对于现代云公司来说，遵守 GDPR 指南可能比传统企业容易得多。尽管大多数云公司只有少数存储个人数据的集中数据源，但传统公司可能拥有数百或数千个。需要对这些不同的数据源进行评估、审查和更新，以满足最新的数据隐私标准。

这些数据源可以从传统的 SQL 数据库到电子邮件、数字文档甚至物理文档。随着当今的时间表往往很紧迫，许多企业面临着根据需要正确准备和更新系统的挑战。重要的是要了解，GDPR 不仅影响活动数据源，还影响所有备份、灾难恢复站点和物理打印输出。

GDPR 涉及数据的两个关键角色：数据控制者和数据处理者。数据控制者是决定数据目的以及如何处理数据的实体。数据处理器根据控制器的指南处理或处理实际数据。

GDPR 全部是为了在处理数据和个人信息时提高公司的成熟度。Citrix 一直是一家以数据和应用程序为导向的公司，在处理涉及数千个应用程序的复杂而且通常是国际性项目方面有着成熟的记录

传统的咨询方法侧重于业务流程、确定人员和业务需求、访问方法，并逐步向下级联到基础架构和数据源。但是，GDPR 需要更加以数据为中心的方法。我们建议从识别和评估存储个人数据的各个位置开始。然后向上移动堆栈，以确保数据源得到适当的保护。您可以把这看作是一种内而外的安全方法。

GDPR 流程图

定义-首先定义评估范围内的个人数据标准。此阶段可帮助您从隐私的角度定义要查找的内容以及如何确定数据源的优先级。这可能包括员工、客户、供应商和任何其他相关实体。

评估-分析存储数据的所有现有位置。确定业务需求、数据保留以及保护数据的潜在挑战。不仅确定数据的存储位置，还要识别数据的收集方式。数据分段是数据整合项目中最耗时、最关键的阶段之一。这一阶段需要全面的方法、批判性思维和明确定义的方法。组织需要考虑保存在旧系统中的数据。即使有一个程序进行现代化改造，或者数据仅用作备份，也是如此。重要的是要了解，所有这些遗留系统也适用 GDPR 要求，公司需要采取整体方法。

减少-此阶段的目标是确定是否有可能减少需要保护的数据源的数量。例如，可以整合业务部门正在使用的数据源。可以使用集中位置来最大限度地提高安全措施的有效性，而不是将客户端数据存储在多个位置。也许甚至根本不需要这些数据-最大的隐私罪犯甚至可能不被认为对业务部门至关重要。应用程序也可能只是收集过多的数据（“以防万一”）。可以修改应用程序以停止收集过多的信息，现有数据可以被删除。公司可以采取不同的方法，而不是尝试保护个人数据的所有可能位置。相反，询问他们何时何地实际需要存储有关客户和其他方的数据。由于 GDPR 合规性是一个持续进行定期审查的过程，因此，最大限度地减少包含的数据源的数量可能是一项有效的长期战略。

补救-确定用于访问它们的现有数据源和应用程序是否遵循 GDPR 指南，或者是否需要进行更改。如果数据源包括个人数据且不安全，请确定解决这种情况的可能方法。跨部门 GDPR 团队不仅可以识别、评估和审查数据本身，还可以识别、评估和审查访问方法、使用的应用程序和其他因素。这包括限制用户和第三方访问权限、重新审视要求以及更具体地定义数据安全措施等项目。

审查-GDPR 合规性是一个持续的流程，需要定期进行数据评估。因此，重要的是要实施一个强大、稳定且可重复的流程，如果需要向审计员提交，就可以进行辩护。需要定期执行和审查数据源安全评估。

由于大量的数据源属于范围内，大多数公司的目标是选择一些强大且经过验证的体系结构。这种方法可以帮助保护最初不符合 GDPR 要求的数据源。试图为每个有问题的数据源创建量身定制的解决方案是不现实的，除非公司的数据源有限。其结果往往是，只有少数应用程序得到适当保护，而大多数应用程序没有安全保护，实施项目拖延了几个月甚至数年，远远超出预算。GDPR 还为跨应用程序和数据使用情况更新隐私架构提供了机会，以支持不断发展的全球和区域隐私计划

复杂性被认为是安全的最大敌人之一。您希望确定不同架构的最小数量，以保护被确定为关键数据源的大多数并存储 GDPR 范围内包含的数据。

在本次数据评估期间，帕累托原则（也称为 80/20 规则）非常重要。公司需要尽量减少保护大多数数据源所需的工作量。大多数企业都使用了成百上千个不同的应用程序和数据源。他们需要及时识别包含关键数据但不符合 GDPR 要求的应用程序。自动化应用评估解决方案可以缩短分析应用程序所需的时

在以下各节中，我们将介绍一些选定的体系结构，这些体系结构可以提供通用、安全且经过验证的解决方案来帮助保护任何类型这包括基于 Web 的应用程序，到 Windows 或 Linux 上托管的旧客户端/服务器应用程序，到存储在各种文档中或通过电子邮件交换的数据。

数据类型的决策流程

保护 Windows 和 Linux 应用程序

由于各种原因，尝试保护传统的客户端/服务器应用程序，无论它们是在 Windows 还是 Linux 操作系统上运行，都可能具有挑战性。

传统的方法是保护安装这些应用程序的每个端点。这涉及管理方面的挑战，例如使所有端点保持最新状态、网络流量加密、数据和工作负载加密、实施多因素身份验证 (MFA) 以及对本地存储或缓存的数据进行加密。在传统的 IT 体系结构中，需要围绕所有端点、应用程序和网络进行防御，整个环境只能像最弱点一样安全。这种传统的安全方法往往失败，原因是引入了包括移动工作人员在内的新概念、通过云计算扩展安全周围以及 BYOD 计划。

安装在传统计算机上的应用程序的另一个常见挑战是在整个产品组合中提供相同的安全功能将多代它产品组合驻留在单个工作站上是常见的。从基于 Office 的应用程序（使用 Microsoft Access 数据库或自定义插件）到传统的 Visual Basic，到最新的专业构建的应用程序。确保能够访问敏感数据的应用程序支持加密、多因素身份验证并为审计员提供足够的信息一直很复杂。

传统客户端/服务器应用程序交付

Citrix 在为安全交付这些客户端/服务器应用程序提供平台方面有着悠久的传统。此安全交付基于将客户端应用程序部分卸载到专用服务器集（Citrix Virtual Apps and Desktops）上，这些服务器专门为应用程序交付而设计、优化和保护。通过将应用程序与端点分离，可以启用额外的安全功能。这种方法的优点是可以一致地应用安全功能。此外，也不需要访问源代码，甚至可以包括在较新平台上不再支持的应用程序。

第 25 条-个人数据的访问

有多种方法可以限制或阻止用户访问已发布的资源。最基本的方法是通过强制使用 Active Directory 组成员资格来简单地将应用程序或桌面隐藏给用户通过 Citrix 管理控制台发布资源时，将在托管工作负载的 Citrix 虚拟交付代理 (VDA) 计算机上强制访问权限。通过 Citrix 的综合策略引擎进一步调整了访问权限和可用功能。

随着更安全的多因素身份验证 (MFA) 的增加，传统用户名/密码身份验证的使用正在减少。即使是内部网络，越来越多的公司正在执行 MFA 要求以增强安全性。借助 Citrix Virtual Apps and Desktops 以及 Citrix Application Delivery Controller (ADC)，MFA 可以应用于任何客户端/服务器应用程序，甚至包括难以维护的旧应用程序。ADC 设备提供了一种可扩展且灵活的 MFA 配置方法，从基于时间的一次性令牌到智能卡、用户或机器证书，再到生物识别身份验证（通过第三方集成）。

此访问也可以根据其他各种因素进行配置。例如，用户正在连接的终端节点、终端的安全状态（如防病毒或防火墙要求）或用户连接的网络。可以应用上下文感知策略，甚至可以强制执行特定地理位置或使用更高级的安全措施，例如访问某些资源的用户或计算机证书的要求。在以下博客文章中，您可以通过零信任模型了解有关上下文感知安全的更多信息。

NetScaler ADC 的增强型 MFA 功能调用 nFactor 身份验证提供了更大的灵活性。要详细了解 nFactor 身份验证的不同功能，请参阅以下知识库文章和众多部署指南之一：https://support.citrix.com/article/CTX201949

提供集中访问和身份验证的能力对于提供连接到应用程序的用户的信息至关重要。使用 Citrix Virtual Apps and Desktops，对资源的所有访问都通过控制器进行中介，并将历史数据保存在集中式数据库中。可以从 ODATA API 访问此数据，以便与 SIEM 系统集成，或者在需要时为审计员提供副本。要了解有关监控和报告的更多信息，请参阅有关如何监视整个站点的历史趋势的文档。

除了监控和报告用户访问之外，所有管理更改和活动都可以记录到单独的数据库中。建议启用强制日志记录，在这种情况下，除非管理活动首先登录在配置日志记录数据库中，否则不允许管理要了解更多信息，请参阅配置日志记录文档

最后，对于最注重安全的环境，可以创建一组单独的用户身份并自动切换到它们。这是使用联合身份验证服务完成的。这种方法可用于进一步最大限度地减少横向移动的影响，并遏制任何安全违规行为。

第 32 条-传输中的数据加密

使用 Citrix Virtual Apps and Desktops，只有屏幕像素才能在托管服务器和终端节点之间传输。连接参数是在会话启动或重新连接期间建立的。CVAD 可以确保进出终端节点的流量始终加密，即使应用程序本身不支持加密。可以为任何已发布的应用程序或桌面启用此加密。有关端到端加密的详细信息，请参阅此文档

第 32 条-静态数据加密

尽管 Citrix Virtual Apps and Desktops 可以帮助在用户和应用程序之间进行加密，但后端本身仍然不在此解决方案的范围之内。但是，CVAD 可用于在过渡期间利用安全区域隔离未加密的流量和数据。这可以确保所有数据都经过长期加密。在迁移项目进行期间，将这些数据封装在隔离的隔离区中可以提供所需的安全性。您可以在这篇博客文章中阅读更多关于安全区域的信息：“Unsinkable”：万无一失的 IT 安全的神话。

至于端点上的加密，重要的是尽量减少终端的数据暴露并控制数据还原。驻留在终端节点上的数据需要受到限制，只提供所需的最低数据量。Citrix 的方法是虚拟化对个人数据的所有访问，然后管理和保护残留数据、击键和屏幕数据。要了解更多信息，请阅读这篇有关Citrix ICA 客户端占用空间的博客文章。

第 32 条-数据隔离和保护

与物理端点上的传统桌面相反，Citrix Virtual Apps and Desktops 中的服务器和桌面操作系统映像通常会受到更大限制的操作范围。它们用于托管一组定义明确、集中管理的应用程序和桌面，具有可预测的行为和集中式配置选项。

数据和应用程序可以通过不同的方式保护和彼此隔离。通过聚合来自多台服务器的资源，可以创建单独的服务器组来托管具有不同信任级别的不同应用程序。

即使应用程序托管在同一台服务器上，也通常采用隔离和保护它们的安全做法。CVAD 服务器用于托管定义明确、集中管理的应用程序集。这意味着，与传统工作站相比，这些服务器可以支持更严格的安全强化。Citrix 的 Workspace Environment Management (WEM) 应用程序安全功能等应用程序白名单解决方案对于为特定应用程序构建的服务器而不是一般工作负载更有用。在这些专用的构建服务器上，只允许特定的白名单可执行文件比普通工作站简单得多。

应用精细的 Citrix 策略进一步增强了安全性。这些策略提供了对工作区的许多方面的控制：可用的打印机、访问网络和本地驱动器的能力，或者在更多的策略之间进行剪贴板所有最佳实践和推荐设置都包含 “安全与控制” 的特殊模板。

要了解有关强化的更多信息，请参阅《VDA 强化指南》。

鉴于用户经常从不受信任的设备和位置进行连接，因此通常欢迎额外的安全层。当用户在虚拟应用程序和桌面会话中连接时，Citrix 应用程序保护策略提供反键盘记录和防屏幕捕获。试图拦截的恶意程序将隐藏敏感数据，例如信用卡号码。会话水印允许管理员在会话中放置可自定义的文本叠加层。会话录制会将会话的整个视频流保存到文件中供以后播放。这些功能有助于阻止和补救可能的数据泄露事件。

聚合具有不同信任级别的应用程序

保护 Web 和 SaaS 应用程序

Web 应用程序在架构上与客户端/服务器应用程序不同，但在许多方面也相似，包括面临安全挑战。使用 Web 应用程序，特定客户端将被单个公司标准或多个通用 Web 浏览器取代，这些浏览器具有不同的功能和依赖关系。尽管简化了，但同样的管理挑战也存在 — 使浏览器保持最新的漏洞、加密流量和实施多因素身份验证。

对旧版应用程序支持和 SaaS 现代功能的需求导致了相互冲突的需求。有两种类型的 Web 应用程序：互联网上生成的应用程序和支持业务的维化应用程序-自定义和旧版 Web 应用程序。互联网上的应用程序推动了对安全性和体系结构的要求，包括负载平衡、可扩展性、故障转移和性能。Webified 应用程序推动了对可支持性的要求-浏览器插件、扩展程序和验证浏览器更新可能会破坏功能。

目标是让最终用户与 Web 应用程序进行交互并操纵数据。这包括个人和敏感数据，无论是在传统环境中运行还是在推动 HTML5 极限的 SaaS 应用程序上运行。Gartner 建议采取双管齐下的策略。在这种情况下，组织使用旧版浏览器运行旧版应用程序，但也将现代浏览器用于所有其他应用程序。这就是 Citrix 的帮助之处 — 将混合或双模式 Web 环境的用户体验和安全要求结合在一起。

对于企业来说，维护各种浏览器、插件和小程序的多个版本，同时简化身份验证和访问是一个痛点。它可以通过 Citrix Virtual Apps and Desktops 或 Citrix Secure Browser 产品来解决。这些解决方案允许组织构建远程浏览基础架构，将互联网和 Intranet Web 流量以及终端节点分开。

传统 Web 应用程序架构

第二个挑战是为典型企业正在使用的各种 SaaS 和云应用程序提供统一的安全功能。这有效地有助于回馈一些 IT 控制权，尤其是在 BYOD 和移动环境中。例如，在所有应用中提供统一的多因素身份验证解决方案，而不是分散的用户体验。

Citrix 拥有为安全交付 Web 应用程序提供平台的悠久传统。此安全交付基于 Citrix Application Delivery Controller (ADC)。NetScaler ADC 通过加密传输中的数据、维护严格的访问控制和数据保护，保护浏览器和 Web 应用程序之间的会话安全。这在很大程度上基于它作为反向代理的设计，该代理从浏览器到 Web 应用程序服务器的连接。此外，凭借其在客户端和服务器之间的位置，可以启用额外的安全功能。

我们将介绍此架构如何帮助您保护应用程序以遵守 GDPR 标准。这些技术措施在很大程度上属于要求或第 25 条和第 32 条的要求，其中要求控制员 “实施适当的技术和组织措施”。

使用 NetScaler ADC的