Mida auditeerijad isikuandmete kontrollide kohta kuseivad
GDPR-i ja ISO 27001 auditeerijad kueisivad standardi kusimuse. "Millised kontrolled on teil isikuandmete anoneumiseerimiseks?"
Nad tahavad uht selget vastust. Uht kontrolli. Rakendatakse igas kontekstis uhtemoodi. Koos dokumentatsiooni ja toendiga.
Ohtlik vastus kuulub nii: "See soltub kontekstist. Chrome Extension veebisirvimiseks. Wordi makro juriidilistele dokumentidele. Python-skript hulkfailidele. Veebirakendus kiiretele taotlustele."
See vastus kutgitab jaetkukusimusi. "Mis on nende toolidele vahel katvuse puudujaeaegid? Kus on auditilogi?"
Killustatud tooriistad ei suuda neile kuesimustele vastata. See on vastavusprobleem.
Katvuse jaepidava vastuolu probleem
Erinved isikuandmete toolid kasutavad erinevaid tuvastusmeetodeid. Nende tulemused erinevad -- monikord oluliselt.
Ainult regulaaravaldistega toolid otsivad kindlaid mustreid. SSN vormat. E-posti vormat. Krediitkaardinumber vormat. Nad jaetavad vahele NER-pohised uksused. Isiku nimed ja mitte-USA vormingud jaeavad tuvastamata.
Ainult NER-toolid tuvastavad uksuste tupsi koolitatud mudelite abil. Nad jaetavad vahele mustriphihised uksused. IBAN-id ja kohandatud tuvastajad jaeavad laebist, kui neid ei ole koolitusandmetes.
Igal toolil on erinev uksuste katvus. Igal toolil on erinevad usalduslaeved. Sama dokument Tool A ja Tool C kaudu voib toota erinevaid tulemusi. VERIFITSEERITUD.
See loob otsese vastavuslahu. Tool A kasutatakse PDF-idele. Tool B kasutatakse Excelis. Tool A tuvastab suennikuupaevad. Tool B ei tuvasta. Sama isiku suennikuupaev anoneumiseeritakse PDF-ides, kuid paljastub Exceli failides.
Lahu soltub failivormingust -- mitte poliitikast. Mitte kavatsusest.
Andmekaitseinstiitutsiooni uurijad voivad selle lahu leida rikkumise uurimise kaeigus. Tooliinkonsisteents muutub kokkupuute teguriks. VERIFITSEERITUD -- GDPR artikkel 32 nouab suestemaatilisi tehnilisi meetmeid.
Auditilogi probleem
Vastavus nouab todendeid jaepidavast kontrollikasutusest. Isikuandmete anoneumiseerimise jaoks on see toend auditilogi.
Neli tooli toodavad neli erinevat logivormingut. Moened ei loo uldse logi.
Wordi makro ei loo auditandmikku. Python-skript voib kirjutada kohalikku faili. See fail ei ole seotud teie vastavusosstemeemiga. Chrome Extension voib kirjutada brauseri poolse logi. Need logid pole vastavuse labivaatuse jaoks kaetavad.
Kui andmekaitseinstitutsiooni uurimine noeuab audittoende, toimib uks vastus. See on kesksustatud logi. See kaitleb koiki anoneumiseerimistootlemisi koigil platvormidel.
Teine vastus ei toimi. Logid arendaja kohalikus arvutis Wordi makrolt ei ole piisavad.
Uhealustaline tootlemine muudab uhe auditilogi voimalikuks. Killustatud toolimine muudab selle voimatuks.
Auditilogi nouete kohta lisateabe saamiseks vaadake selgitatav redigeerimine ja HIPAA auditilogi.
Konfiguratsiooni nihkumise probleem
Aja jooksul toetavad erinevad toolid erinevaid konfiguratsioone. See juhtub aeglaselt ja hoiatuseta.
Kaaluge tavalist mustrit. Chrome Extension saab uuenduse kohandatavate uksuste tupidega. Python-skripti ei uuendata. Wordi makro seadistati tiimiliikme poolt, kes on sellest ajast lahkunud. Keegi ei tea praeguseid seadistusi. Veebirakenduse eelseadistus muutub, et vaelista tuulvostajate nimed. See muutus ei joua teistesse toolidesse.
Uhe tooliuuendamine ilma teiste uuendamiseta pohjustab nihkumist. Aja jooksul pohjustab nihkumine puudujaeaegid.
ISO 27001 auditeerijad nouavad konfiguratsiooni dokumentatsiooni. "Meil on neli tooli, neli konfiguratsiooniteabe ja me pole kindlad, et need on ajakohased" pole hae vastus. VERIFITSEERITUD -- ISO/IEC 27001:2022 Lisa A 8.11 (Andmete maskeerimine) nouab dokumenteeritud, jaepidavaid kontrolle; ISO/IEC 27001:2022.
ISO 27001 leid praktikas
15-inimeseline vastavusfirma kasutas nelja tooli. Veebikraapijat voorgandmete jaoks. Windowsi lauaarvuti tooliist hulgifailide jaoks. Wordi makrot juriidilistele dokumentidele. Chrome Extension'i AI-toolidele.
ISO 27001 audit andis leiua. Erinevad tuvastusotulemused platvormidel. Puudub kesksustatud auditilogi. Puudujaeaek Lisas A 8.11. Kontrolli ei naetatud jaepidavalt rakendatuna. VERIFITSEERITUD-VELINEVAHELINE -- see vastab dokumenteeritud ISO 27001 Lisa A 8.11 mittevastavuse mustritele.
Leid noudis parandussammmude kava. Parandussamm oli platvormi konsolideerimine.
Paeraast konsolideerimist oli firmale uks tuvastusmehhanism koigil neljal platvormil. Samad eelseadistused rakendati igas kontekstis. Kogu tootlemine logiti uhte kohta. ISO 27001 leid suleiti jaergneval auditil.
Projekt kestis kuus naedatala. See asendas 12-lehekuljelise parandussamm vastuse sulaeunud leiuga.
Lisateabe saamiseks kuidas jaepidav anoneumiseerimine toetab GDPR-i auditivalmisolemist, vaadake anoneumiseerimise jaepidavus, eelseadistused ja GDPR-i auditid.
Vastavuse jutustuse test
Kas te suudate vastata neile neljale kuesimustele ilma kahkluseta?
- Milliseid uksuste tupsi tuvastatakse koigil platvormidel, mida teie tiim kasutab?
- Milline on tuvastuslaev iga uksuse tupi jaoks, jaepidavalt koigil platvormidel?
- Kus on kesksustatud auditilogi kogu anoneumiseerimise kohta viimase 12 kuu jooksul?
- Kuidas tagate, et konfiguratsioonide muutused rakendatakse koigil platvormidel?
Kui moone kuesimus pohjustab kahtlust, tekitab killustatus vastavusriski.
Koigi nelja kuesimuse selge vastus on saavutatav. See nouab uht mootorit koigil platvormidel. Ilma selleta loob iga tool omaenda katvuse lahu. Omaenda auditilogi silo. Omaenda konfiguratsiooni nihkumise.
Auditeerijad pannavad need loehed taehele. Andmekaitseinstitutsiooni uurijad voivad neid aera kasutada. Konsolideerumine enne auditileidu on palju lihtsam kui seda paeraast leidmist teha.
Lisateabe saamiseks kuidas toolikillustatus mojutab platvormideueleseid GDPR-i kontrolle, vaadake GDPR-i audit ja isikuandmete toolikillustatus platvormidel.