Какво питат одиторите за контролите върху личните данни
Одиторите по GDPR и ISO 27001 задават стандартен въпрос. "Какви контроли имате за анонимизиране на лични данни?"
Те искат един ясен отговор. Един контрол. Прилаган по един и същи начин всеки път. С документация и доказателство.
Рисковият отговор звучи така: "Зависи от контекста. Chrome Extension за уеб сърфиране. Word макрос за правни документи. Python скрипт за пакетни файлове. Уеб приложение за спешни заявки."
Този отговор задейства последващи въпроси. "Какви са пропуските в покритието между тези инструменти? Къде е одитната следа?"
Фрагментираните инструменти не могат да отговорят на тези въпроси. Това е проблемът за съответствие.
Проблемът с последователността на покритието
Различните инструменти за лични данни използват различни методи за засичане. Резултатите им се различават -- понякога значително.
Инструментите само с регекс търсят фиксирани шаблони. Формат ЕГН. Формат имейл. Формат кредитна карта. Те пропускат обекти на базата на NER. Имена на лица и не-американски формати остават незасечени.
Инструментите само с NER засичат типове обекти с помощта на обучени модели. Те пропускат обекти на базата на шаблони. IBAN и персонализирани идентификатори изпадат, ако не са в обучителните данни.
Всеки инструмент има различно покритие на обекти. Всеки инструмент има различни прагове на увереност. Един и същ документ, преминаващ през Инструмент A и Инструмент C, може да даде различни резултати. VERIFIED.
Това създава директен пропуск в съответствието. Инструмент A се използва за PDF. Инструмент B за Excel. Инструмент A засича дати на раждане. Инструмент B не засича. Датата на раждане на едно и също лице е анонимизирана в PDF файлове, но изложена в Excel файлове.
Пропускът зависи от формата на файла -- не от политиката. Не от намерението.
Изследователите по DPA могат да открият този пропуск при разследване на нарушение. Несъответствието на инструментите се превръща в фактор при излагането. VERIFIED -- GDPR член 32 изисква системни технически мерки.
Проблемът с одитната следа
Съответствието изисква доказателство за последователно използване на контрола. За анонимизиране на лични данни това доказателство е одитната следа.
Четири инструмента произвеждат четири различни формата на дневници. Някои не произвеждат никакъв дневник.
Word макросът не създава одитен запис. Python скрипт може да записва в локален файл. Този файл не е свързан с вашата система за съответствие. Chrome Extension може да записва дневници от страна на браузъра. Тези дневници не са достъпни за преглед по съответствие.
Когато разследване на DPA иска одитни доказателства, един отговор работи. Това е централизиран дневник. Обхваща цялото анонимизиране на всички платформи.
Другият отговор не работи. Дневниците на локалния компютър на разработчика от Word макрос не са достатъчни.
Обработката на единна платформа прави една одитна следа възможна. Фрагментираните инструменти я правят невъзможна.
За детайли относно изискванията за одитна следа, вижте обяснимо заличаване и одитни следи по HIPAA.
Проблемът с отклонението на конфигурацията
С времето различните инструменти развиват различни конфигурации. Това се случва бавно и без предупреждение.
Разгледайте един общ модел. Chrome Extension се актуализира с персонализирани типове обекти. Python скриптът не се актуализира. Word макросът е настроен от член на екипа, напуснал оттогава. Никой не знае текущите настройки. Предварително зададените настройки на уеб приложението се променят, за да изключат имена на изпълнители. Тази промяна никога не достига другите инструменти.
Актуализирането на един инструмент без актуализиране на останалите причинява отклонение. С времето отклонението причинява пропуски.
Одиторите по ISO 27001 искат документация на конфигурацията. "Имаме четири инструмента, четири конфигурации и не сме сигурни дали са актуални" не е добър отговор. VERIFIED -- ISO/IEC 27001:2022 Приложение A 8.11 (Маскиране на данни) изисква документирани, последователни контроли; ISO/IEC 27001:2022.
Констатация по ISO 27001 на практика
Фирма за съответствие с 15 служители използваше четири инструмента. Уеб скрейпър за онлайн данни. Windows десктоп инструмент за пакетни файлове. Word макрос за правни документи. Chrome Extension за AI инструменти.
Одитът по ISO 27001 даде констатация. Различни резултати от засичане в различни платформи. Без централизирана одитна следа. Пропуск в Приложение A 8.11. Контролът не беше показан като последователно прилаган. VERIFIED-EXTERNAL -- това съответства на документирани модели на несъответствие по ISO 27001 Приложение A 8.11.
Констатацията изискваше план за коригиращи действия. Коригиращото действие беше консолидиране на платформата.
След консолидирането фирмата разполага с един двигател за засичане на всичките четири платформи. Едни и същи предварителни настройки се прилагат във всеки контекст. Цялото обработване е вписано на едно място. Констатацията по ISO 27001 беше затворена при следващия одит.
Проектът отне шест седмици. Той замени 12-странен отговор за коригиращи действия със затворена констатация.
За повече относно начина, по който последователното анонимизиране поддържа готовността за GDPR одит, вижте последователност на анонимизирането, предварителни настройки и GDPR одити.
Тестът за разказ за съответствие
Можете ли да отговорите на тези четири въпроса без колебание?
- Какви типове обекти се засичат на всяка платформа, използвана от вашия екип?
- Какъв е прагът на засичане за всеки тип обект, последователно на всички платформи?
- Къде е централизираната одитна следа за цялото анонимизиране за последните 12 месеца?
- Как гарантирате, че промените в конфигурацията се прилагат на всички платформи?
Ако някой въпрос предизвика колебание, фрагментацията създава риск за съответствие.
Чистият отговор на всичките четири въпроса е постижим. Изисква един двигател за всички платформи. Без това всеки инструмент създава собствен пропуск в покритието. Собствено сило на одитна следа. Собствено отклонение на конфигурацията.
Одиторите забелязват тези пропуски. Следователите на DPA могат да ги използват. Консолидирането преди констатация при одит е много по-лесно от направата му след такава.
За повече относно начина, по който фрагментацията на инструментите засяга крос-платформения контрол по GDPR, вижте GDPR одит и фрагментация на инструментите за лични данни в платформи.