Τι Ρωτούν οι Ελεγκτές για τους Ελέγχους PII
Οι ελεγκτές GDPR και ISO 27001 θέτουν μια τυπική ερώτηση. «Ποιους ελέγχους έχετε για την ανωνυμοποίηση PII;"
Θέλουν μια ξεκάθαρη απάντηση. Έναν έλεγχο. Εφαρμοσμένο με τον ίδιο τρόπο κάθε φορά. Με τεκμηρίωση και αποδείξεις.
Η επικίνδυνη απάντηση ακούγεται έτσι: «Εξαρτάται από το πλαίσιο. Chrome Extension για περιήγηση ιστού. Μια μακροεντολή Word για νομικά έγγραφα. Ένα Python script για μαζικά αρχεία. Η διαδικτυακή εφαρμογή για επείγοντα αιτήματα."
Αυτή η απάντηση πυροδοτεί ερωτήσεις συνέχειας. «Ποια είναι τα κενά κάλυψης μεταξύ αυτών των εργαλείων; Πού είναι το ίχνος ελέγχου;"
Ο κατακερματισμένος εξοπλισμός δεν μπορεί να απαντήσει σε αυτές τις ερωτήσεις. Αυτό είναι το πρόβλημα συμμόρφωσης.
Το Πρόβλημα Συνέπειας Κάλυψης
Διαφορετικά εργαλεία PII χρησιμοποιούν διαφορετικές μεθόδους ανίχνευσης. Τα αποτελέσματά τους διαφέρουν — μερικές φορές σημαντικά.
Εργαλεία μόνο regex αναζητούν σταθερά μοτίβα. Μορφή ΑΦΜ. Μορφή email. Μορφή πιστωτικής κάρτας. Χάνουν οντότητες βάσει NER. Ονόματα προσώπων και μη-αμερικανικές μορφές παραμένουν αναξιόπιστα.
Εργαλεία μόνο NER ανιχνεύουν τύπους οντοτήτων χρησιμοποιώντας εκπαιδευμένα μοντέλα. Χάνουν οντότητες βάσει μοτίβου. Τα IBANs και τα προσαρμοσμένα αναγνωριστικά δεν εντοπίζονται αν δεν υπάρχουν στα δεδομένα εκπαίδευσης.
Κάθε εργαλείο έχει διαφορετική κάλυψη οντοτήτων. Κάθε εργαλείο έχει διαφορετικά κατώφλια εμπιστοσύνης. Το ίδιο έγγραφο μέσω του Εργαλείου Α και του Εργαλείου Γ μπορεί να παράγει διαφορετικά αποτελέσματα. VERIFIED.
Αυτό δημιουργεί άμεσο κενό συμμόρφωσης. Το Εργαλείο Α χρησιμοποιείται για PDF. Το Εργαλείο Β για Excel. Το Εργαλείο Α ανιχνεύει ημερομηνίες γέννησης. Το Εργαλείο Β δεν το κάνει. Η ίδια ημερομηνία γέννησης ενός ατόμου ανωνυμοποιείται σε PDF αλλά εκτίθεται σε αρχεία Excel.
Το κενό εξαρτάται από τη μορφή αρχείου — όχι από την πολιτική. Όχι από την πρόθεση.
Οι ερευνητές DPA μπορούν να εντοπίσουν αυτό το κενό σε έρευνα παραβίασης. Η ασυνέπεια εργαλείων γίνεται παράγοντας στην έκθεση. VERIFIED — το GDPR Άρθρο 32 απαιτεί συστηματικά τεχνικά μέτρα.
Το Πρόβλημα του Ίχνους Ελέγχου
Η συμμόρφωση απαιτεί αποδείξεις συνεπούς χρήσης ελέγχου. Για την ανωνυμοποίηση PII, αυτή η απόδειξη είναι το ίχνος ελέγχου.
Τέσσερα εργαλεία παράγουν τέσσερις διαφορετικές μορφές καταγραφής. Ορισμένα δεν παράγουν καθόλου αρχείο καταγραφής.
Μια μακροεντολή Word δεν δημιουργεί κανένα αρχείο ελέγχου. Ένα Python script μπορεί να γράφει σε τοπικό αρχείο. Αυτό το αρχείο δεν συνδέεται με το σύστημα συμμόρφωσής σας. Μια Chrome Extension μπορεί να γράφει αρχεία καταγραφής στο πλευρό του προγράμματος περιήγησης. Αυτά τα αρχεία δεν είναι προσβάσιμα για αξιολόγηση συμμόρφωσης.
Όταν μια έρευνα DPA ζητά αποδείξεις ελέγχου, μια απάντηση λειτουργεί. Είναι ένα κεντρικό αρχείο καταγραφής. Καλύπτει όλη την επεξεργασία ανωνυμοποίησης σε όλες τις πλατφόρμες.
Η άλλη απάντηση δεν λειτουργεί. Αρχεία καταγραφής στον τοπικό υπολογιστή του προγραμματιστή από μια μακροεντολή Word δεν επαρκούν.
Η επεξεργασία μιας πλατφόρμας καθιστά εφικτό ένα ίχνος ελέγχου. Ο κατακερματισμένος εξοπλισμός το καθιστά αδύνατο.
Για λεπτομέρειες σχετικά με τις απαιτήσεις ίχνους ελέγχου, δείτε explainable redaction και ίχνη ελέγχου HIPAA.
Το Πρόβλημα της Αποκλίνουσας Διαμόρφωσης
Με τον καιρό, διαφορετικά εργαλεία αναπτύσσουν διαφορετικές διαμορφώσεις. Αυτό συμβαίνει αργά και χωρίς προειδοποίηση.
Σκεφτείτε ένα συνηθισμένο μοτίβο. Η Chrome Extension ενημερώνεται με προσαρμοσμένους τύπους οντοτήτων. Το Python script δεν ενημερώνεται. Η μακροεντολή Word ρυθμίστηκε από ένα μέλος της ομάδας που έχει αποχωρήσει. Κανείς δεν γνωρίζει τις τρέχουσες ρυθμίσεις. Η προεπιλογή της διαδικτυακής εφαρμογής αλλάζει για να εξαιρεί ονόματα συνεργατών. Αυτή η αλλαγή δεν φτάνει ποτέ στα άλλα εργαλεία.
Η ενημέρωση ενός εργαλείου χωρίς ενημέρωση των άλλων προκαλεί απόκλιση. Με τον καιρό, η απόκλιση δημιουργεί κενά.
Οι ελεγκτές ISO 27001 ζητούν τεκμηρίωση διαμόρφωσης. «Έχουμε τέσσερα εργαλεία, τέσσερις διαμορφώσεις και δεν είμαστε σίγουροι ότι είναι ενημερωμένες» δεν είναι καλή απάντηση. VERIFIED — το ISO/IEC 27001:2022 Παράρτημα Α 8.11 (Μάσκα δεδομένων) απαιτεί τεκμηριωμένους, συνεπείς ελέγχους· ISO/IEC 27001:2022.
Ένα Εύρημα ISO 27001 στην Πράξη
Μια εταιρεία συμμόρφωσης 15 ατόμων χρησιμοποιούσε τέσσερα εργαλεία. Ένα web scraper για διαδικτυακά δεδομένα. Ένα εργαλείο Windows για μαζικά αρχεία. Μια μακροεντολή Word για νομικά έγγραφα. Μια Chrome Extension για AI εργαλεία.
Ένας έλεγχος ISO 27001 παρήγαγε εύρημα. Διαφορετικά αποτελέσματα ανίχνευσης μεταξύ πλατφορμών. Κανένα κεντρικό ίχνος ελέγχου. Κενό στο Παράρτημα Α 8.11. Ο έλεγχος δεν αποδείχθηκε ως συνεπώς εφαρμοσμένος. VERIFIED-EXTERNAL — αυτό ταιριάζει με τεκμηριωμένα μοτίβα μη συμμόρφωσης ISO 27001 Παράρτημα Α 8.11.
Το εύρημα απαίτησε σχέδιο διορθωτικής δράσης. Η διορθωτική δράση ήταν ενοποίηση πλατφόρμας.
Μετά την ενοποίηση, η εταιρεία είχε μία μηχανή ανίχνευσης σε όλες τις τέσσερις πλατφόρμες. Οι ίδιες προεπιλογές εφαρμόζονταν σε κάθε πλαίσιο. Όλη η επεξεργασία καταγραφόταν σε ένα μέρος. Το εύρημα ISO 27001 έκλεισε στον επόμενο έλεγχο.
Το έργο διήρκεσε έξι εβδομάδες. Αντικατέστησε μια απάντηση διορθωτικής δράσης 12 σελίδων με ένα κλειστό εύρημα.
Για περισσότερες πληροφορίες σχετικά με το πώς η συνεπής ανωνυμοποίηση υποστηρίζει την ετοιμότητα ελέγχου GDPR, δείτε συνέπεια ανωνυμοποίησης, προεπιλογές και ελέγχους GDPR.
Το Τεστ Αφήγησης Συμμόρφωσης
Μπορείτε να απαντήσετε σε αυτές τις τέσσερις ερωτήσεις χωρίς δισταγμό;
- Ποιοι τύποι οντοτήτων ανιχνεύονται σε κάθε πλατφόρμα που χρησιμοποιεί η ομάδα σας;
- Ποιο είναι το κατώφλι ανίχνευσης για κάθε τύπο οντότητας, συνεπώς σε όλες τις πλατφόρμες;
- Πού βρίσκεται το κεντρικό ίχνος ελέγχου για όλη την ανωνυμοποίηση των τελευταίων 12 μηνών;
- Πώς διασφαλίζετε ότι οι αλλαγές διαμόρφωσης εφαρμόζονται σε όλες τις πλατφόρμες;
Αν οποιαδήποτε ερώτηση προκαλεί δισταγμό, ο κατακερματισμός δημιουργεί κίνδυνο συμμόρφωσης.
Η καθαρή απάντηση και στις τέσσερις ερωτήσεις είναι εφικτή. Απαιτεί μία μηχανή σε όλες τις πλατφόρμες. Χωρίς αυτό, κάθε εργαλείο δημιουργεί το δικό του κενό κάλυψης. Το δικό του σιλό ίχνους ελέγχου. Τη δική του αποκλίνουσα διαμόρφωση.
Οι ελεγκτές παρατηρούν αυτά τα κενά. Οι ερευνητές DPA μπορούν να τα εκμεταλλευτούν. Η ενοποίηση πριν από ένα εύρημα ελέγχου είναι πολύ πιο εύκολη από το να γίνει μετά.
Για περισσότερες πληροφορίες σχετικά με το πώς ο κατακερματισμός εργαλείων επηρεάζει τους ελέγχους GDPR σε πλατφόρμες, δείτε έλεγχο GDPR και κατακερματισμό εργαλείων PII σε πλατφόρμες.