ما يسأل عنه المدققون بشأن ضوابط البيانات الشخصية
يطرح مدققو اللائحة GDPR وISO 27001 سؤالًا معياريًا: «ما الضوابط التي تمتلكونها لإخفاء هوية البيانات الشخصية؟»
يريدون إجابة واحدة واضحة. ضابط واحد. مُطبَّق بالطريقة ذاتها في كل مرة. مع توثيق ودليل.
الإجابة الخطرة تبدو هكذا: «يعتمد الأمر على السياق. Chrome Extension لتصفح الويب. ماكرو Word للوثائق القانونية. نص Python للملفات الكبيرة. تطبيق الويب للطلبات العاجلة."
تلك الإجابة تستفز أسئلة متابعة: «ما الثغرات في التغطية بين هذه الأدوات؟ أين سجل التدقيق؟»
الأدوات المتشتتة عاجزة عن الإجابة على تلك الأسئلة. هذه هي مشكلة الامتثال.
مشكلة اتساق التغطية
تستخدم أدوات البيانات الشخصية المختلفة طرق كشف مختلفة. ونتائجها تتباين — أحيانًا تباينًا كبيرًا.
الأدوات القائمة على التعبيرات المنتظمة فقط تبحث عن أنماط ثابتة: صيغة رقم الضمان الاجتماعي، وصيغة البريد الإلكتروني، وصيغة بطاقة الائتمان. وتُفوِّت الكيانات المبنية على نظام التعرف على الكيانات المُسمَّاة (NER). تمر أسماء الأشخاص والصيغ غير الأمريكية دون اكتشاف.
الأدوات القائمة على NER فقط تكشف أنواع الكيانات باستخدام نماذج مُدرَّبة. وتُفوِّت الكيانات المبنية على الأنماط. أرقام IBAN والمعرِّفات المخصصة تتساقط إذا لم تكن في بيانات التدريب.
كل أداة لها تغطية كيانات مختلفة. وكل أداة لها حدود ثقة مختلفة. قد تُنتج الوثيقة ذاتها نتائج مختلفة حين تمر عبر الأداة أ وعبر الأداة ج. مُتحقَّق منه.
هذا يُنشئ ثغرة امتثال مباشرة. تُستخدم الأداة أ لملفات PDF. وتُستخدم الأداة ب لملفات Excel. تكشف الأداة أ تواريخ الميلاد، لكن الأداة ب لا تكشفها. يُخفى تاريخ ميلاد الشخص ذاته في ملفات PDF لكن يظهر مكشوفًا في ملفات Excel.
الثغرة تعتمد على صيغة الملف — لا على السياسة. ولا على النية.
يمكن لمحققي سلطة حماية البيانات اكتشاف هذه الثغرة في التحقيق بالاختراق. وعدم اتساق الأداة يصبح عاملًا في التعرض. مُتحقَّق منه — تشترط المادة 32 من اللائحة GDPR اتخاذ تدابير تقنية منهجية.
مشكلة سجل التدقيق
يستلزم الامتثال أدلةً على الاستخدام المتسق للضوابط. وهذا الدليل لإخفاء هوية البيانات الشخصية هو سجل التدقيق.
أربع أدوات تُنتج أربعة صيغ سجل مختلفة. بعضها لا يُنتج سجلًا على الإطلاق.
ماكرو Word لا يُنشئ سجلًا. نص Python قد يكتب في ملف محلي. ذلك الملف غير مرتبط بنظام الامتثال لديك. Chrome Extension قد يكتب سجلات جانب المتصفح. تلك السجلات غير قابلة للوصول لمراجعة الامتثال.
حين يطلب تحقيق سلطة حماية البيانات أدلة التدقيق، إجابة واحدة تنجح: سجل مركزي يغطي جميع معالجة إخفاء الهوية عبر جميع المنصات.
الإجابة الأخرى لا تنجح. سجلات على الجهاز المحلي للمطور من ماكرو Word غير كافية.
المعالجة على منصة واحدة تجعل سجل تدقيق واحدًا ممكنًا. والأدوات المتشتتة تجعله مستحيلًا.
للاطلاع على متطلبات سجل التدقيق بالتفصيل، راجع التنقيح القابل للشرح ومسارات تدقيق HIPAA.
مشكلة الانحراف في الإعداد
مع مرور الوقت، تطور الأدوات المختلفة إعدادات مختلفة. يحدث ذلك ببطء ودون إنذار.
خذ نمطًا شائعًا: تُحدَّث Chrome Extension بأنواع كيانات مخصصة. ولا يُحدَّث نص Python. وأُعدَّ ماكرو Word من قِبَل عضو في الفريق غادر منذ ذلك الحين. لا أحد يعرف الإعدادات الحالية. يتغير الإعداد المسبق لتطبيق الويب لاستبعاد أسماء المتعاقدين. لا يصل هذا التغيير إلى الأدوات الأخرى.
تحديث أداة واحدة دون تحديث الأخريات يُسبِّب انحرافًا. ومع الوقت، يُفرز الانحراف ثغرات.
يطلب مدققو ISO 27001 وثائق الإعداد. «لدينا أربع أدوات وأربعة إعدادات ولسنا متأكدين من أنها حديثة» ليست إجابة جيدة. مُتحقَّق منه — يستلزم ISO/IEC 27001:2022 الملحق أ 8.11 (إخفاء بيانات) ضوابط موثَّقة ومتسقة؛ ISO/IEC 27001:2022.
نتيجة تدقيق ISO 27001 في الواقع العملي
استخدمت شركة امتثال مؤلفة من 15 شخصًا أربع أدوات: أداة تجميع ويب للبيانات الإلكترونية، وأداة سطح مكتب Windows للملفات الكبيرة، وماكرو Word للوثائق القانونية، وChrome Extension لأدوات الذكاء الاصطناعي.
أنتج تدقيق ISO 27001 نتيجة: نتائج كشف مختلفة عبر المنصات. لا سجل تدقيق مركزي. ثغرة في الملحق أ 8.11. لم يُثبت الضابط على أنه مُطبَّق باتساق. مُتحقَّق منه خارجيًا — يتطابق ذلك مع أنماط عدم المطابقة الموثَّقة في Annex A 8.11 لـISO 27001.
استلزمت النتيجة خطة إجراءات تصحيحية. وكان الإجراء التصحيحي توحيد المنصات.
بعد التوحيد، امتلكت الشركة محرك كشف واحد عبر جميع المنصات الأربع. الإعدادات المسبقة ذاتها مُطبَّقة في كل سياق. جميع المعالجة مُسجَّلة في مكان واحد. أُغلقت نتيجة ISO 27001 في التدقيق التالي.
استغرق المشروع ستة أسابيع. استبدل ردًّا من 12 صفحة على إجراء تصحيحي بنتيجة مغلقة.
للمزيد حول كيفية دعم إخفاء الهوية المتسق لاستعداد تدقيق اللائحة GDPR، راجع اتساق إخفاء الهوية والإعدادات المسبقة وعمليات تدقيق اللائحة GDPR.
اختبار الرواية الامتثالية
هل يمكنك الإجابة على هذه الأسئلة الأربعة دون تردد؟
- ما أنواع الكيانات المكتشفة عبر كل منصة يستخدمها فريقك؟
- ما حد الكشف لكل نوع كيان، باتساق عبر جميع المنصات؟
- أين سجل التدقيق المركزي لجميع عمليات إخفاء الهوية في الاثني عشر شهرًا الماضية؟
- كيف تضمن تطبيق تغييرات الإعداد عبر جميع المنصات؟
إن أثار أي سؤال ترددًا، فالتشتت يُفرز مخاطر امتثال.
الإجابة الواضحة على الأسئلة الأربعة قابلة للتحقيق. تستلزم محركًا واحدًا عبر جميع المنصات. بدون ذلك، تُفرز كل أداة ثغرة تغطية خاصة بها. وصومعة سجل تدقيق خاصة بها. وانحراف إعداد خاص بها.
يلاحظ المدققون هذه الثغرات. ويمكن لمحققي سلطة حماية البيانات استغلالها. التوحيد قبل نتيجة التدقيق أيسر بكثير من فعله بعدها.
للمزيد حول تأثير تشتت الأدوات على ضوابط اللائحة GDPR عبر المنصات، راجع تدقيق اللائحة GDPR وتشتت أدوات البيانات الشخصية عبر المنصات.