GDPR PHP 준수 : 웹 응용 프로그램을위한 GDPR 유지 관리-PHP 튜토리얼-php.cn

GDPR (General Data Protection Regulation)은 웹 애플리케이션을 구축하기 위해 PHP를 사용하는 것을 포함하여 개인 데이터를 처리하는 조직의 중요한 임무가되었습니다. GDPR의 범위와 요구 사항을 이해하는 것은 개발자 위치에 관계없이 안전하고 합법적 인 데이터 처리를 보장하는 데 필수적입니다.

이 블로그에서는 PHP 웹 개발자를위한 GDPR을 둘러싼 자주 묻는 질문에 대한 답변을 제공합니다. 그런 다음 GDPR PHP 모범 사례를 탐색하고 GDPR 표준을 충족 해야하는 팀을위한 솔루션에 대해 논의합니다.

PHP를 사용하는 사람들의 경우 안전하고 합법적 인 데이터 처리를 보장하기 위해 특정 GDPR 준수 요구 사항을 이해하는 것이 중요합니다. 웹 개발자를위한 특정 GDPR 모범 사례를 해결하기 전에 GDPR, PHP 및 준수 표준에 대한 몇 가지 자주 묻는 질문을 살펴 보겠습니다.

GDPR이란 무엇입니까?

GDPR은 2018 년 5 월 25 일에 발효되었으며 2021 년 9 월부터 더 엄격한 요구 사항이 있습니다.

GDPR은 무엇을 보호합니까?

GDPR은 개인 데이터 및 개인 개인 정보 보호 권리의 여러 주요 영역 (개인 데이터 보호, 개인 권리 및 특별 보호 영역을 보호합니다. 이 기사의 뒷부분에서 자세히 설명하겠습니다.

EU 외부에있는 경우 GDPR이 내 PHP 웹 앱에 적용됩니까?

다음 조건 중 하나가 충족되면 PHP 웹 응용 프로그램이 GDPR을 준수해야합니다.

EU 시민에게 상품이나 서비스를 제공합니다.
EU 기반 사용자 또는 고객이 있습니다.
귀하의 웹 사이트는 쿠키를 통한 EU 트래픽을 대상으로합니다 (동의하지 않으면 불법입니다).

GDPR을 준수하지 않는 처벌은 무엇입니까?

상당한 재정적 처벌에는 전 세계 연간 수입 및 행정 벌금의 최대 4%와 감사 또는 금지 명령과 같은 시정 조치가 포함됩니다. 비준수는 평판을 손상시키고 형사 고발 및 기타 집행 조치로 이어질 수 있습니다.

PHP 웹 애플리케이션을 개발하는 프로그래머의 경우 GDPR을 준수하는 데 데이터 보안 및 관리와 관련된 몇 가지 주요 측면이 포함됩니다. 고려해야 할 중요한 점은 다음과 같습니다.

안전한 기초 만들기
데이터 저장 및 처리
액세스 제어
동의 관리
접근 및 정류 권리
데이터 삭제
데이터 보안
훈련과 인식

이러한 GDPR 모범 사례를 따르면 PHP 개발자는 개인 및 민감한 데이터를 보호하면서 규정 준수를 유지할 수 있습니다.

데이터 저장 및 처리

GDPR PHP 모범 사례를 고려할 때 명심해야 할 두 가지 유형의 데이터 스토리지가 있습니다.

데이터 암호화는 비밀번호 및 개인 데이터와 같은 민감한 정보가 데이터베이스와 네트워크를 통해 전송 중에 암호화되도록 보장합니다. 클라이언트와 서버 간의 안전한 통신을 위해 HTTPS를 사용하십시오.
데이터 최소화는 필요한 개인 데이터 만 수집하고 응용 프로그램의 작업에 필요한 것보다 더 많은 정보를 수집하지 않습니다.

우리는 일반적으로 고객에게 수집하고 사용하는 사용자 데이터의 양을 최소화하도록 조언합니다. 불필요한 개인 정보를 수집하거나 주요 의도를 넘어서 사용하는 것이 중요합니다.

또한 PHP는 암호화, 보안 통신 및 데이터 저장을위한 여러 라이브러리와 도구를 제공합니다.

OpenSSL은 대칭 및 비대칭 암호화, 해싱 및 SSL/TLS 통신에 대한 강력한 지원을 제공합니다.
PHP 7.2 및 후속 버전에 내장 된 나트륨 (Libsodium)은 암호화, 서명 및 해싱을위한 현대적이고 안전한 암호화 프리미티브를 제공합니다.
PHP의 비밀번호 해싱 API (예 : Password_Hash ())는 해싱 및 암호 확인을위한 안전한 방법을 제공합니다.
PHPSECLIB는 RSA, AES 및 기타 암호화 작업을위한 순수한 PHP 솔루션을 제공합니다.
GNUPG (GPG)는 공개/개인 키를 사용하여 암호화 및 디지털 서명을 제공합니다.
JWT (JSON Web Tokens)는 API 기반 인증에서 안전한 통신에 널리 사용됩니다.
TLS/SSL (HTTPS)은 구현시 통신을 보호하여 전송중인 데이터를 보호합니다.

위의 작업에 도움이되는 여러 PHP 프레임 워크가 있습니다. 그중 하나는 Zend 프레임 워크의 후속 인 Laminas 프레임 워크입니다. Laminas Crypt 구성 요소는 민감한 데이터 암호화 및 해싱을위한 유틸리티를 제공합니다. 아래의 단순화 된 예는 암호 해시를 유지하고 로그인 프로세스 중에 원본과 비교하는 방법을 보여줍니다.

 laminas \ crypt \ password \ bcrypt;

$ bcrypt = 새로운 bcrypt ();
$ HASHEDPASSWORD = $ bcrypt-> Create ( 'Password');
if ($ bcrypt-> verify ( 'password', $ hashedpassword)) {
    Echo '암호 일치!';
}

로그인 후 복사

액세스 제어

승인 및 인증은 개인 데이터에 대한 무단 액세스를 방지하도록 설계된 강력한 메커니즘을 구현하는 데 사용될 수 있습니다. 암호에 해싱 및 소금을 사용하여 달성 할 수 있습니다. 또한 역할 기반 액세스 제어 (RBAC)를 사용하여 사용자에게 다른 역할과 권한을 정의하여 어떤 정보에 액세스 할 수 있는지 제어 할 수 있습니다.

또한이 목적을 위해 기존 유용한 도구 또는 라이브러리를 활용할 수도 있습니다. 지금부터 우리는 예제에 주로 Laminas 프레임 워크를 사용합니다. Laminas Auth 및 ACL 구성 요소를 사용하여 안전한 인증 및 역할 기반 액세스 제어를 구현할 수 있습니다. 또 다른 단순화 된 예제는 다음과 같습니다.

 laminas \ 권한 \ acl \ acl을 사용하십시오.
laminas \ 권한 \ acl \ role \ genericrole을 역할로 사용하십시오.

$ acl = new ACL ();
$ acl-> addresource ( 'admin');
$ acl-> allow ( 'Guest', null, [ 'index']);
$ acl-> allow ( 'member', 'admin', [ 'edit', 'delete']);

로그인 후 복사

동의 관리

개인 데이터 처리 권한을 요청할 때 항상 명확하고 이해할 수있는 동의 메시지를 표시하십시오. 이를 통해 사용자는 필요할 때 동의를 쉽게 철회 할 수 있습니다. 사용자 식별자뿐만 아니라 동의 날짜와 시간을 포함하여 동의 기록을 유지하십시오.

Laminas 로그 모듈은 데이터 액세스 및 수정에 대한 포괄적 인 로깅 및 감사를 위해 사용될 수 있습니다. 비밀번호 나 사람의 나이 및 주소와 같은 민감한 또는 개인 데이터를 기록하지 않도록하십시오.

 laminas \ log \ logger를 사용하십시오;
Laminas \ log \ Writer \ Stream을 사용하십시오.

$ logger = new Logger ();
$ writer = new Stream ( 'Path/to/your/log/file');
$ logger-> addwriter ($ Writer);
$ logger-> info ( '사용자 액세스 프로필 페이지.', [ 'user_id'=> 123]);

로그인 후 복사

PHP 프레임 워크를 사용하지 않는 경우 다른 옵션은 Zendhq 확장과 함께 Secure Zendphp Runtimes를 사용하는 것입니다. 이 강력한 조합을 통해 팀은 GDPR PHP 준수 표준을 유지하면서 PHP 애플리케이션을 모니터링, 검사, 최적화, 보호 및 스케일로 만들 수 있습니다. 예를 들어, Custom Monitor 이벤트를 정의하여 동의 관리 워크 플로우를 기록하면 Zendhq가 데이터 액세스 및 수정을 기록하고 감사합니다.

 $ userData = 새로운 클래스 {
      공개 문자열 $ 텍스트 = 동의를받는 것에 대한 일부 데이터 ';
   };
 zend_monitor_custom_event ( 'gdpr title', 'gdpr consent text', $ userData, -1);

로그인 후 복사

접근 및 정류 권리

GDPR PHP 준수에는 개인 데이터의 액세스 권한 및 수정이 포함됩니다. 데이터 관리 인터페이스는 사용자에게 개인 데이터를보고, 편집 또는 삭제할 수있는 인터페이스를 사용자에게 제공합니다. 또한 데이터의 액세스 및 수정 요청을 신속하고 효율적으로 처리하는 것이 GDPR 준수를 유지하는 데 중요합니다.

이러한 데이터 시스템의 사용자 인터페이스는 시간이 지남에 따라 발전 할 수 있지만 보호 된 영역 내에서 필요한 데이터를 안전하게 전달할 수있는 웹 API에 초기에 투자하는 것이 중요하며 이러한 API를 생성하는 데 비용이 많이 들거나 시간이 많이 걸릴 필요가 없습니다. 고객의 시작으로 권장하는 것은 필요한 API 인터페이스를 즉시 생성하는 데 도움이되는 Laminas API 도구를 사용하는 것입니다.

데이터 삭제

GDPR에 따라 사용자는 개인 데이터 삭제를 요청할 수 있습니다. 항상 "잊을 권리"를 구현하고 그에 따라 기능을 개발하십시오. 이에 대한 예외는 데이터를 유지해야 할 법적 이유가있을 때입니다. GDPR 준수를 보여주기 위해 데이터 삭제 프로세스 문서를 유지 관리합니다.

웹 API가 구현되면 추가 기능을 사용하면 데이터 소유자가 자체 정보를 편집 할 수 있습니다. 액세스가 제한되면 시스템 관리자에게 필요에 따라 데이터를 수정하는 기능도 부여 될 수 있습니다.