Lo que preguntan los auditores sobre PII
Los auditores de RGPD e ISO 27001 hacen una pregunta fija. «¿Que controles tienen para anonimizar PII?»
Quieren una respuesta clara. Un control. Igual en cada caso. Con pruebas y documentacion.
La respuesta de riesgo suena asi: «Depende del contexto. Extension de Chrome para web. Macro de Word para contratos. Script Python para archivos. Web app para urgencias.»
Eso provoca mas preguntas. «¿Que brechas hay entre esas herramientas? ¿Donde esta la pista de auditoria?»
Herramientas fragmentadas no responden bien. Ese es el problema de cumplimiento.
El problema de coherencia en deteccion
Cada herramienta PII usa un metodo propio. Sus resultados difieren — a veces mucho.
Herramientas solo regex buscan patrones fijos. NSS. Correo. Tarjeta. No detectan entidades NER. Nombres y formatos no estadounidenses pasan sin detectarse.
Herramientas solo NER usan modelos entrenados. No detectan entidades de patron. IBAN y codigos propios se escapan si no estaban en el entrenamiento.
Cada herramienta cubre entidades distintas. Cada una tiene umbrales distintos. Un mismo documento en herramienta A y herramienta C puede dar resultados distintos. VERIFIED.
Eso crea una brecha directa. Herramienta A procesa PDF. Herramienta B procesa Excel. Herramienta A detecta fechas de nacimiento. Herramienta B no. La misma fecha esta anonimizada en PDF pero expuesta en Excel.
La brecha depende del formato del archivo. No de la politica. No de la intencion.
Una autoridad de proteccion puede hallar esa brecha en una investigacion. La incoherencia entre herramientas se convierte en factor de exposicion. VERIFIED — Art. 32 RGPD exige medidas tecnicas sistematicas.
El problema de la pista de auditoria
El cumplimiento requiere prueba de aplicacion coherente. Para anonimizar PII, esa prueba es la pista de auditoria.
Cuatro herramientas producen cuatro formatos de log distintos. Algunas no producen nada.
Una macro de Word no genera registro. Un script Python puede escribir en un archivo local. Ese archivo no esta en el sistema de cumplimiento. Una extension de Chrome puede escribir logs en el navegador. Esos logs no son accesibles para una revision de cumplimiento.
Cuando una autoridad pide pruebas de auditoria, una respuesta funciona. Es un log centralizado. Cubre todo el procesamiento de anonimizacion en todas las plataformas.
La otra no funciona. Un log en la maquina de un desarrollador no es suficiente.
Procesar en una sola plataforma hace posible una pista unica. Herramientas fragmentadas lo hacen imposible.
Para detalle sobre este requisito: Redaccion explicable y pistas de auditoria HIPAA.
El problema de deriva de configuracion
Con el tiempo, cada herramienta tiene su propia configuracion. Ocurre poco a poco y sin aviso.
Un patron tipico. La extension de Chrome se actualiza con tipos de entidades nuevas. El script Python no se actualiza. La macro de Word la configuro un colega que ya no esta. Nadie conoce sus ajustes actuales. La web app cambia para excluir nombres de proveedores. Ese cambio nunca llega a las demas herramientas.
Actualizar una herramienta sin las otras crea deriva. La deriva crea brechas.
Un auditor de ISO 27001 pide documentacion de configuracion. «Cuatro herramientas, cuatro configs, no sabemos si estan al dia» no es buena respuesta. VERIFIED — ISO/IEC 27001:2022 Anexo A 8.11 exige controles documentados y coherentes; ISO/IEC 27001:2022.
Un hallazgo ISO 27001 real
Una firma de cumplimiento de quince personas usaba cuatro herramientas. Scraper web para datos online. Escritorio Windows para archivos masivos. Macro de Word para contratos legales. Extension de Chrome para herramientas IA.
Un audit de ISO 27001 genero un hallazgo. Resultados distintos por plataforma. Sin pista de auditoria central. Brecha en Anexo A 8.11. El control no era coherente de forma demostrable. VERIFIED-EXTERNAL — esto coincide con patrones documentados de incumplimiento ISO 27001 para Anexo A 8.11.
El hallazgo requirio un plan de accion correctiva. La accion: consolidar en una sola plataforma.
Tras la consolidacion, la firma tenia un motor de deteccion en todas las plataformas. Mismos presets en cada contexto. Todo el procesamiento registrado en un solo lugar. El hallazgo ISO 27001 quedo cerrado en el siguiente audit.
El proyecto tomo seis semanas. Reemplazo una respuesta de doce paginas por un hallazgo cerrado.
Para mas informacion sobre coherencia y auditorias RGPD: Coherencia de anonimizacion, presets y auditorias RGPD.
La prueba de narrativa de cumplimiento
¿Puede responder estas cuatro preguntas sin dudar?
- ¿Que tipos de entidades se detectan en cada plataforma de su equipo?
- ¿Cual es el umbral de deteccion, coherente en todas las plataformas?
- ¿Donde esta la pista de auditoria centralizada para toda anonimizacion de los ultimos doce meses?
- ¿Como garantiza que sus cambios de configuracion se apliquen en todas las plataformas?
Si alguna pregunta genera duda, hay riesgo de cumplimiento.
Una respuesta clara es posible. Requiere un solo motor en todas las plataformas. Sin eso, cada herramienta crea su propia brecha. Su propio silo de auditoria. Su propia deriva de configuracion.
Auditores y autoridades notan estas brechas. Consolidar antes de un hallazgo es mucho mas facil que hacerlo despues.
Para mas detalle sobre fragmentacion y controles RGPD: Auditoria RGPD y fragmentacion de herramientas PII en plataformas.