অডিটররা PII নিয়ন্ত্রণ সম্পর্কে কী জিজ্ঞাসা করেন
GDPR এবং ISO 27001 অডিটররা একটি স্ট্যান্ডার্ড প্রশ্ন করেন। "PII অ্যানোনিমাইজেশনের জন্য আপনার কাছে কী নিয়ন্ত্রণ আছে?"
তারা একটি স্পষ্ট উত্তর চান। একটি নিয়ন্ত্রণ। প্রতিবার একইভাবে প্রয়োগ করা। ডকুমেন্টেশন এবং প্রমাণ সহ।
ঝুঁকিপূর্ণ উত্তর এরকম শোনায়: "এটি প্রসঙ্গের উপর নির্ভর করে। ওয়েব ব্রাউজিংয়ের জন্য Chrome Extension। আইনি ডকুমেন্টের জন্য একটি Word ম্যাক্রো। বাল্ক ফাইলের জন্য একটি Python স্ক্রিপ্ট। জরুরি অনুরোধের জন্য ওয়েব অ্যাপ।"
সেই উত্তর ফলো-আপ প্রশ্ন ট্রিগার করে। "এই টুলগুলোর মধ্যে কভারেজ গ্যাপ কোথায়? অডিট ট্রেইল কোথায়?"
খণ্ডিত টুলিং এই প্রশ্নের উত্তর দিতে পারে না। এটাই কমপ্লায়েন্স সমস্যা।
কভারেজ সামঞ্জস্যের সমস্যা
ভিন্ন PII টুল ভিন্ন ডিটেকশন পদ্ধতি ব্যবহার করে। তাদের ফলাফল আলাদা — কখনো কখনো অনেক বেশি।
Regex-মাত্র টুল নির্দিষ্ট প্যাটার্ন খোঁজে। SSN ফরম্যাট। ইমেইল ফরম্যাট। ক্রেডিট কার্ড ফরম্যাট। এগুলো NER-ভিত্তিক এন্টিটি মিস করে। ব্যক্তির নাম এবং মার্কিন-বিহীন ফরম্যাট শনাক্ত হয় না।
NER-মাত্র টুল প্রশিক্ষিত মডেল ব্যবহার করে এন্টিটি টাইপ শনাক্ত করে। এগুলো প্যাটার্ন-ভিত্তিক এন্টিটি মিস করে। প্রশিক্ষণ ডেটায় না থাকলে IBAN এবং কাস্টম শনাক্তকারী বাদ পড়ে।
প্রতিটি টুলের এন্টিটি কভারেজ আলাদা। প্রতিটি টুলের কনফিডেন্স থ্রেশহোল্ড আলাদা। একই ডকুমেন্ট Tool A এবং Tool C দিয়ে গেলে ভিন্ন ফলাফল দিতে পারে। VERIFIED.
এটি একটি সরাসরি কমপ্লায়েন্স গ্যাপ তৈরি করে। Tool A PDF-এর জন্য ব্যবহৃত হয়। Tool B Excel-এর জন্য। Tool A জন্মতারিখ শনাক্ত করে। Tool B করে না। একই ব্যক্তির জন্মতারিখ PDF-এ অ্যানোনিমাইজ হয় কিন্তু Excel ফাইলে উন্মুক্ত থাকে।
গ্যাপটি ফাইল ফরম্যাটের উপর নির্ভর করে — নীতির উপর নয়। উদ্দেশ্যের উপর নয়।
DPA তদন্তকারীরা লঙ্ঘনের তদন্তে এই গ্যাপ খুঁজে পেতে পারেন। টুল অসামঞ্জস্যতা এক্সপোজারে একটি কারণ হয়ে ওঠে। VERIFIED — GDPR Article 32 সিস্টেমেটিক প্রযুক্তিগত ব্যবস্থা প্রয়োজন।
অডিট ট্রেইলের সমস্যা
কমপ্লায়েন্সের জন্য সামঞ্জস্যপূর্ণ নিয়ন্ত্রণ ব্যবহারের প্রমাণ প্রয়োজন। PII অ্যানোনিমাইজেশনের জন্য, সেই প্রমাণ হলো অডিট ট্রেইল।
চারটি টুল চারটি ভিন্ন লগ ফরম্যাট তৈরি করে। কিছু কোনো লগই তৈরি করে না।
একটি Word ম্যাক্রো কোনো অডিট রেকর্ড তৈরি করে না। একটি Python স্ক্রিপ্ট একটি স্থানীয় ফাইলে লিখতে পারে। সেই ফাইল আপনার কমপ্লায়েন্স সিস্টেমের সাথে লিঙ্ক নেই। একটি Chrome Extension ব্রাউজার-সাইড লগ লিখতে পারে। সেই লগ কমপ্লায়েন্স পর্যালোচনার জন্য অ্যাক্সেসযোগ্য নয়।
যখন একটি DPA তদন্ত অডিট প্রমাণ চায়, একটি উত্তর কাজ করে। এটি একটি কেন্দ্রীভূত লগ। এটি সমস্ত প্ল্যাটফর্মে সমস্ত অ্যানোনিমাইজেশন প্রক্রিয়াকরণ কভার করে।
অন্য উত্তর কাজ করে না। একটি Word ম্যাক্রো থেকে ডেভেলপারের স্থানীয় মেশিনে লগ পর্যাপ্ত নয়।
সিঙ্গেল-প্ল্যাটফর্ম প্রক্রিয়াকরণ একটি অডিট ট্রেইল সম্ভব করে। খণ্ডিত টুলিং এটি অসম্ভব করে।
অডিট ট্রেইল প্রয়োজনীয়তার বিশদ জানতে, ব্যাখ্যাযোগ্য রিডেকশন এবং HIPAA অডিট ট্রেইল দেখুন।
কনফিগারেশন ড্রিফটের সমস্যা
সময়ের সাথে, ভিন্ন টুলে ভিন্ন কনফিগারেশন তৈরি হয়। এটি ধীরে এবং সতর্কতা ছাড়াই ঘটে।
একটি সাধারণ প্যাটার্ন বিবেচনা করুন। Chrome Extension কাস্টম এন্টিটি টাইপ দিয়ে আপডেট হয়। Python স্ক্রিপ্ট আপডেট হয় না। Word ম্যাক্রো সেট আপ করা হয়েছিল এমন একজন টিম সদস্য দ্বারা যিনি তখন থেকে চলে গেছেন। কেউ বর্তমান সেটিংস জানে না। ওয়েব অ্যাপ প্রিসেট ঠিকাদারের নাম বাদ দিতে পরিবর্তন হয়। সেই পরিবর্তন কখনো অন্য টুলে পৌঁছায় না।
অন্যগুলো আপডেট না করে একটি টুল আপডেট করলে ড্রিফট হয়। সময়ের সাথে, ড্রিফট গ্যাপ তৈরি করে।
ISO 27001 অডিটররা কনফিগারেশন ডকুমেন্টেশন চান। "আমাদের চারটি টুল, চারটি কনফিগ আছে এবং আমরা নিশ্চিত নই যে সেগুলো বর্তমান" একটি ভালো উত্তর নয়। VERIFIED — ISO/IEC 27001:2022 Annex A 8.11 (Data masking) ডকুমেন্টেড, সামঞ্জস্যপূর্ণ নিয়ন্ত্রণ প্রয়োজন; ISO/IEC 27001:2022.
ব্যবহারিক ISO 27001 ফাইন্ডিং
একটি ১৫ জনের কমপ্লায়েন্স ফার্ম চারটি টুল ব্যবহার করত। অনলাইন ডেটার জন্য একটি ওয়েব স্ক্র্যাপার। বাল্ক ফাইলের জন্য একটি Windows ডেস্কটপ টুল। আইনি ডকুমেন্টের জন্য একটি Word ম্যাক্রো। AI টুলের জন্য একটি Chrome Extension।
একটি ISO 27001 অডিট একটি ফাইন্ডিং তৈরি করেছিল। প্ল্যাটফর্ম জুড়ে ভিন্ন ডিটেকশন ফলাফল। কোনো কেন্দ্রীভূত অডিট ট্রেইল নেই। Annex A 8.11-এ একটি গ্যাপ। নিয়ন্ত্রণটি সামঞ্জস্যপূর্ণভাবে প্রয়োগ করা দেখানো হয়নি। VERIFIED-EXTERNAL — এটি ডকুমেন্টেড ISO 27001 Annex A 8.11 নন-কনফরমিটি প্যাটার্নের সাথে মেলে।
ফাইন্ডিংয়ের জন্য একটি সংশোধনমূলক কর্ম পরিকল্পনা প্রয়োজন ছিল। সংশোধনমূলক পদক্ষেপ ছিল প্ল্যাটফর্ম একত্রীকরণ।
একত্রীকরণের পরে, ফার্মের কাছে সমস্ত চারটি প্ল্যাটফর্মে একটি ডিটেকশন ইঞ্জিন ছিল। প্রতিটি প্রসঙ্গে একই প্রিসেট প্রয়োগ হয়েছিল। সমস্ত প্রক্রিয়াকরণ এক জায়গায় লগ করা হয়েছিল। ISO 27001 ফাইন্ডিং পরবর্তী অডিটে বন্ধ হয়েছিল।
প্রজেক্টটি ছয় সপ্তাহ নিয়েছিল। এটি একটি ১২ পৃষ্ঠার সংশোধনমূলক কর্ম প্রতিক্রিয়াকে একটি বন্ধ ফাইন্ডিং দিয়ে প্রতিস্থাপন করেছিল।
সামঞ্জস্যপূর্ণ অ্যানোনিমাইজেশন কীভাবে GDPR অডিট প্রস্তুতি সমর্থন করে সে সম্পর্কে আরও জানতে, অ্যানোনিমাইজেশন সামঞ্জস্যতা, প্রিসেট এবং GDPR অডিট দেখুন।
কমপ্লায়েন্স ন্যারেটিভ পরীক্ষা
আপনি কি দ্বিধা ছাড়াই এই চারটি প্রশ্নের উত্তর দিতে পারেন?
- আপনার টিম যে প্রতিটি প্ল্যাটফর্মে কী এন্টিটি টাইপ শনাক্ত হয়?
- প্রতিটি এন্টিটি টাইপের জন্য ডিটেকশন থ্রেশহোল্ড কত, সমস্ত প্ল্যাটফর্মে সামঞ্জস্যপূর্ণভাবে?
- গত ১২ মাসে সমস্ত অ্যানোনিমাইজেশনের কেন্দ্রীভূত অডিট ট্রেইল কোথায়?
- সমস্ত প্ল্যাটফর্মে কনফিগ পরিবর্তন প্রয়োগ হয় তা আপনি কীভাবে নিশ্চিত করেন?
যদি কোনো প্রশ্ন দ্বিধা তৈরি করে, ফ্র্যাগমেন্টেশন কমপ্লায়েন্স ঝুঁকি তৈরি করছে।
চারটি প্রশ্নের পরিষ্কার উত্তর অর্জনযোগ্য। এটির জন্য সমস্ত প্ল্যাটফর্মে একটি ইঞ্জিন প্রয়োজন। সেটি ছাড়া, প্রতিটি টুল নিজস্ব কভারেজ গ্যাপ তৈরি করে। নিজস্ব অডিট ট্রেইল সাইলো। নিজস্ব কনফিগ ড্রিফট।
অডিটররা এই গ্যাপ লক্ষ্য করেন। DPA তদন্তকারীরা এগুলো কাজে লাগাতে পারেন। অডিট ফাইন্ডিংয়ের আগে একত্রীকরণ করা পরে করার চেয়ে অনেক সহজ।
টুল ফ্র্যাগমেন্টেশন কীভাবে ক্রস-প্ল্যাটফর্ম GDPR নিয়ন্ত্রণকে প্রভাবিত করে সে সম্পর্কে আরও জানতে, GDPR অডিট এবং প্ল্যাটফর্মে PII টুল ফ্র্যাগমেন্টেশন দেখুন।