目前办公室里最有趣的争论之一是人力资源人员的笔记本电脑缺乏备份。
这里面有一份合同副本和我们在这里工作的每位员工的其他人力资源信息。这当然是机密信息，其中一些包含 NI 和医疗保健详细信息，以及银行账户信息和其他个人记录。
在一名开发人员的笔记本电脑上个月被盗，我有理由更详细地了解办公室内各种服务的备份（或缺乏备份）。
管理层认为Dropbox将是一个很好的解决方案，因为他们声称它是安全的，但我不确定法律（和数据保护法）对此的具体规定。
我的印象是不允许将相关文件离开网站/国家/欧盟。因此 Dropbox 不合适，因为它们位于美国，并且可能由 Amazon S3 支持。
快速信息：
- 我们的总部位于英国，在欧盟（DK）开展业务
- 管理层希望在线访问，尽可能细化，一个用户创建者，只有他们可以访问该文档/文件夹、一个全局共享的文件夹以及基于组的访问列表。
- 我希望任何经过充分安全测试的硬加密 (AES)
- 拨入 IPSEC VPN 访问会很好，HTTPS 可能也行。
- 如果事情变糟了，这个解决方案不会导致我们被信息专员起诉。
有人有什么想法吗？以前做过吗？我应该只建立一个服务器并将其存储在办公室的某个地方，还是在英国数据中心建立一个专用服务器？
答案1
换个角度想想——机密数据为什么需要离开网站？为什么不直接创建一个终端服务器，通过 VPN 连接到网络，然后让人们连接到该服务器来访问机密数据和应用程序呢？
答案2
首先，DropBox 似乎不符合安全港规定，因此存储 DPA 涵盖的任何内容都会违反 DPA 责任。
只要另一端符合安全港规定（并已注册），您就可以将（某些类型的）文件（以电子方式）发送到美国。我不知道这是否涵盖医疗保健详细信息，但对于“姓名、地址和电话号码”来说，这肯定足够了（或者说，当我在 2006 年研究相关法规时，当时工作正在考虑将备份转移到美国数据中心）。
我怀疑您想要做的是以下操作的组合：
- 所有“工作站”（固定计算机和笔记本电脑）上都安装了备份软件。
- 所有笔记本电脑上的硬盘都已加密（理想情况下，启动时还需要输入 BIOS 密码）。
- 备份应至少放在两个独立的存储空间中，一个放在办公室的服务器上，另一个放在远程（英国）数据中心。
- 确切的备份软件并不重要，寻找能够大致满足您要求的软件并询问是否可以获得演示许可证进行测试运行（单个服务器，2-3 台测试机器，故意擦除东西并尝试恢复）。