¿Cuál es el impacto del Reglamento General de Protección de Datos (GDPR) en DevOps?

El Reglamento General de Protección de Datos (GDPR) es un conjunto de reglas para mejorar la protección de datos sobre ciudadanos europeos. Cita de este enlace:

El Reglamento General de Protección de Datos de la UE (GDPR) es el cambio más importante en la regulación de privacidad de datos en 20 años.

Consulte los Cambios clave de GDPR para obtener un resumen de lo que se trata, especialmente los Derechos de los sujetos de datos , como:

• Notificación de incumplimiento.
• Derecho de acceso.
• Derecho a ser olvidado.
• Portabilidad de datos.
• Privacidad por diseño.
• ...

Algunos hechos de GDPR:

• El RGPD se aplicará a partir del 25 de mayo de 2018 (eso está bastante cerca).

• Cita de los cambios clave del GDPR (sobre el alcance territorial ):

  ... se aplicará al procesamiento de datos personales por parte de controladores y procesadores en la UE, independientemente de si el procesamiento se lleva a cabo en la UE o no. El RGPD también se aplicará al procesamiento de datos personales de los interesados ​​en la UE por un controlador o procesador no establecido en la UE, donde las actividades se relacionen con: ofrecer bienes o servicios a ciudadanos de la UE (independientemente de si se requiere el pago) y La supervisión del comportamiento que tiene lugar en la UE. Las empresas no pertenecientes a la UE que procesen los datos de ciudadanos de la UE también deberán designar un representante en la UE.

Para cualquiera que sea lo suficientemente mayor como para recordar el tipo Y2K en los años 90 (es decir, el impacto de esto en los sistemas de TI): en mi humilde opinión, abordar todos esos problemas de Y2K fue pan comido en comparación con el desafío que se avecina en este GDPR.

Pregunta (s) : ¿Cuál es el impacto de GDPR en DevOps, más específicamente me pregunto sobre:

1. ¿Qué tipo de cambios serán necesarios en DevOps? cadena de herramientas para que sean compatibles con GDPR?
2. ¿Cómo pueden las prácticas de DevOps ayudar (facilitar, simplificar, etc.) a una empresa para que cumpla con GDPR, de manera similar a cómo las herramientas SCM ayudaron en los años 90 a cumplir con Y2K?

"Hacer cumplir" significa que los abogados persiguen a posibles culpables. Francamente, en mi opinión (y las de algunas personas a mi alrededor que son más una mezcla entre el tipo de TI y el abogado), nadie sabe cómo funcionará eso exactamente.

Esos iLawyers esperan muchos casos judiciales muy interesantes en los primeros meses para analizar el agua, y ver qué casos de precedencia van a surgir. Probablemente habrá un montón de bufetes de abogados que pescan pescado bueno y gordo para freír.

Para mí personalmente, realmente no veo tanto impacto específicamente con respecto a DevOps. Las aplicaciones mismas deben adaptarse según sea necesario, obviamente. Además, habrá que tener en cuenta el almacenamiento de datos real, ya sea RDBMS, índices de búsqueda elásticos o lo que sea.

Aparte de eso, uno de los beneficios de DevOps, específicamente si trabaja con algún tipo de sistema de contenedores e infraestructura como código, es que generalmente debe saber exactamente dónde se almacenan sus datos, archivos de registro, etc., y qué tipo de ellos tiene ; mucho más que en los servidores clásicos, donde sus datos y especialmente los registros podrían estar esparcidos por todo el lugar. También debería ser muy fácil rodar regularmente sus datos según corresponda, es decir, perderse cosas viejas.

Por lo tanto, puede ser útil, por ejemplo, tomar su catálogo de archivos iac y revisarlos diligentemente; entonces puede estar seguro de haber encontrado todo lo que necesita saber.

Con DevOps como un matrimonio entre Dev y Ops (e incluso SecOps ), veo diferentes relaciones con cada uno de ellos.

Desde el aspecto de Dev, DevOps puede ayudar con el cumplimiento de GDPR al igual que puede ayudar con cualquier otro tipo de cumplimiento requerido de los productos de software: a través de (buena) prueba de control de calidad de cumplimiento.

Mientras los requisitos de cumplimiento estén bien definidos, es posible idear las pruebas de control de calidad correspondientes para verificar esos requisitos. Simplemente incorporando esas verificaciones de QA dentro de la cadena DevOps de los productos, en las tuberías de CI / CD, por ejemplo, el cumplimiento de los productos se puede medir y controlar.

Desde el Ops (y SecOps), las cosas prospectivas son un poco diferentes (estoy menos familiarizado con esto), pero supongo que GDPR impondrá requisitos adicionales que sospecho que se traducirían en políticas operativas adicionales.