Ikuskaritzek PII Kontrolei Buruz Zer Galdetzen Duten
GDPR eta ISO 27001 ikuskaritzek galdera estandar bat egiten dute. "Zer kontrol dituzu PII anonimizaziorako?"
Erantzun argi bakarra nahi dute. Kontrol bakarra. Aldi bakoitzean modu berdinean aplikatua. Dokumentazio eta frogarekin.
Erantzun arriskutsua honela doa: "Testuinguruaren araberakoa da. Chrome Extension web nabigaziorako. Word makro lege-dokumentuetarako. Python script fitxategi masiboentzat. Web aplikazioa urgentziak eskaeretarako."
Erantzun horrek jarraipeneko galderak pizten ditu. "Zeintzuk dira tresna hauen arteko estaldura-hutsuneak? Non dago ikuskaritza-pista?"
Tresna zatikatuak galdera horiei ezin die erantzun. Hori da betetze-arazoa.
Estaldura Koherentziaren Arazoa
PII tresna ezberdinek detekzio-metodo ezberdinak erabiltzen dituzte. Haien emaitzak aldatzen dira - batzuetan asko.
Regex-soilik tresnak eredu finkoak bilatzen dituzte. SSN formatua. Posta elektroniko formatua. Txartel kreditua formatua. NER-oinarriko entitateak galtzen dituzte. Pertsona-izenak eta AEB-ez-ko formatuak ez dira detektatzen.
NER-soilik tresnak entitate-motak entrenamendu-ereduen bidez detektatzen dituzte. Eredu-oinarriko entitateak galtzen dituzte. IBANak eta identifikatzaile pertsonalizatuak erori egiten dira entrenamendu-datuetan ez badaude.
Tresna bakoitzak entitate-estaldura ezberdina du. Tresna bakoitzak konfiantza-atalase ezberdina du. Dokumentu bera A tresnaren eta C tresnaren bidez emaitza ezberdinak sor ditzake.
Honek betetze-hutsune zuzenak sortzen ditu. A tresna PDFetarako erabiltzen da. B tresna Excelentzako. A tresnak jaiotze-datak detektatzen ditu. B tresnak ez. Pertsona beraren jaiotze-data PDFetan anonimizatzen da baina Excel fitxategietan esposatzen da.
Hutsunea fitxategi-formatuaren araberakoa da - ez politikaren. Ez asmoaren.
DPA ikertzaileek hutsune hau urrakte-ikerketan aurkitu dezakete. Tresna inkonsistentziak esposizioaren faktore bihurtzen da. GDPR 32. artikuluak neurri tekniko sistematikoak eskatzen ditu.
Ikuskaritza-Pistaren Arazoa
Betetzeak kontrol-erabilera koherentearen froga eskatzen du. PII anonimizaziorako, froga hori ikuskaritza-pista da.
Lau tresnak lau erregistro-formatu ezberdin sortzen dituzte. Batzuek ez dute erregistrorik ere sortzen.
Word makro batek ez du ikuskaritza-erregistrorik sortzen. Python script batek fitxategi lokalean idatz dezake. Fitxategi hori ez dago zure betetze-sistemari lotuta. Chrome Extension-ek arakatzaile-aldetik logak idatz ditzake. Log horiek ez dira ikuskaritza-berrikusketarako eskuragarriak.
DPA ikerketa batek ikuskaritza-froga eskatzen duenean, erantzun batek funtzionatzen du. Erregistro zentralizatua da. Plataforma guztietako anonimizazio-prozesatze guztia estaltzen du.
Besteak ez du funtzionatzen. Word makrotik garatzailearen makina lokaleko logak ez dira nahikoak.
Plataforma bakarreko prozesatzeak ikuskaritza-pista bakarra ahalbidetzen du. Tresna zatikatuak ezinezkoa egiten du.
Ikuskaritza-pista eskakizunei buruz xehetasunetan, ikusi azalgarria ezabaketa eta HIPAA ikuskaritza-pistak.
Konfigurazio Driftearen Arazoa
Denboran zehar, tresna ezberdinek konfigurazio ezberdina garatzen dute. Hau poliki-poliki eta ohartarazpenik gabe gertatzen da.
Eredua arrunta da. Chrome Extension-ek entitate-mota pertsonalizatuak dituen eguneraketa jasotzen du. Python scriptak ez da eguneratzen. Word makroa aspaldi alde egin duen talde-kide batek konfiguratu zuen. Inork ez daki egungo ezarpenak. Web aplikazioko aurre-konfigurazioa kontratisten izenak kanpoan uzteko aldatzen da. Aldaketa hori ez da gainerako tresnetara iristen.
Tresna bat eguneratzeak beste guztiak eguneratu gabe uzten duela drifta sortzen du. Denboran zehar, driftak hutsuneak sortzen ditu.
ISO 27001 ikuskaritzek konfigurazio-dokumentazioa eskatzen dute. "Lau tresna, lau konfigurazio dauzkagu eta ez gaude ziur egunerakoak diren" ez da erantzun ona. ISO/IEC 27001:2022 Annex A 8.11 (Datu maskaratzea) dokumentatutako, koherenteak diren kontrolak eskatzen ditu.
ISO 27001 Aurkikuntza Praktikan
15 pertsonako betetze-enpresak lau tresna erabili zituen. Web scraper datu online etarako. Windows mahaigaineko tresna fitxategi masiboentzat. Word makro lege-dokumentuetarako. Chrome Extension AI tresnetarako.
ISO 27001 ikuskaritzak aurkikuntza bat ekoitzi zuen. Plataforma anitzetan detekzio emaitza ezberdina. Ez zegoen ikuskaritza-pista zentralizaturik. Hutsune bat Annex A 8.11n. Kontrola koherenteki aplikatua ez zen erakutsi.
Aurkikuntzak ekintza-plan zuzentzaile bat behar zuen. Ekintza zuzentzailea plataforma finkapena zen.
Finkapen ondoren, enpresak detekzio-motor bakarra zeukan lau plataforma guztietan. Aurre-konfigurazio berdinak testuinguru bakoitzean aplikatzen ziren. Prozesatze guztia toki batean erregistratzen zen. ISO 27001 aurkikuntza hurrengo ikuskaritzen itxi zen.
Proiektuak sei aste iraun zuen. 12 orrialdeko ekintza zuzentzaile erantzuna itxitako aurkikuntzarekin ordezkatu zuen.
GDPR ikuskaritza prest-tasunari laguntzen dion anonimizazio koherentziari buruz gehiago jakiteko, ikusi anonimizazio koherentzia, aurre-konfigurazioak eta GDPR ikuskaritzak.
Betetze Narrazioaren Proba
Zalantzarik gabe lau galdera haiei erantzun al diezaiezu?
- Zeintzuk dira entitate-motak taldeak erabiltzen dituen plataforma guztietan detektatu?
- Zein da detekzio-atalasea entitate-mota bakoitzarentzat, koherenteki plataforma guztietan?
- Non dago azken 12 hilabeteetako anonimizazio guztirako ikuskaritza-pista zentralizatua?
- Nola bermatzen duzu konfigurazio-aldaketak plataforma guztietan aplikatzen direla?
Edozein galderak zalantzarik sortzen badu, zatikatzeak betetze-arriskua sortzen du.
Lau galdera guztien erantzun garbia lorgarria da. Motor bakarra plataforma guztietan eskatzen du. Horrik gabe, tresna bakoitzak bere estaldura-hutsunea sortzen du. Bere ikuskaritza-pista siloa. Bere konfigurazio drifta.
Ikuskaritzek hutsune hauek nabaritzen dituzte. DPA ikertzaileek aprobetxatu ditzakete. Ikuskaritza aurkikuntza baten aurretik finkatzea ondoren egitea baino askoz errazagoa da.
Tresna zatikatzeak plataformen arteko GDPR kontroletan nola eragiten duen jakiteko, ikusi GDPR ikuskaritza eta PII tresna zatikatzea plataforma anitzetan.