بیانیه بنیانگذار
چرا این اکوسیستم را آغاز کردم — یک اعتقاد حرفهای پس از ۲۸ سال
دادههای شما. کلیدهای شما. قوانین شما.
هر محصول در این اکوسیستم بر اساس یک تعهد معماری واحد ساخته شده است: دادههای شما، کلیدهای شما، کنترل شما. رمز عبور شما هرگز از دستگاه شما خارج نمیشود. اسناد شما هرگز ذخیره نمیشوند. کلید رمزنگاری شما تنها متعلق به شماست. هیچ قانونی از ایالات متحده، هیچ احضاریهای از فروشنده، هیچ دلال دادهای — نمیتواند به آنچه هرگز به اشتراک گذاشته نشده است، دسترسی پیدا کند.
زمینه
به مدت ۲۸ سال در تقاطع فناوری، امنیت و انطباق سازمانی کار کردهام. من curta.solutions را در سال ۱۹۹۸ تأسیس کردم. از آن زمان به عنوان شریک در معماری IT، امنیت، تحول دیجیتال و انطباق به سازمانهای تحت نظارت در ۲۶ کشور خدمت کردهام — در خدمات مالی، بهداشت و درمان، حقوقی، دولت، تولید و فناوری.
آنچه در طول ۲۸ سال مشاهده کردهام، یک تکامل کند نیست. این یک بحران در حال حرکت آهسته است — بحرانی که با ورود هوش مصنوعی تولیدی و گسترش جهانی قوانین حریم خصوصی همپوشانی به نقطه شکست رسید.
اعتقاد من
من معتقدم که هر شخص، سازمان و نهادی حق دارد اطلاعات را بهطور انتخابی به اشتراک بگذارد — برای افشای آنچه یک نهاد نظارتی حق دارد ببیند، برای همکاری با یک شریک تنها بر روی دادههایی که بهطور صریح مجاز شدهاند، برای شرکت در زندگی تجاری و عمومی بدون تسلیم آنچه که باید خصوصی بماند.
من معتقدم که این حق باید بهطور عملی برای همه قابل اجرا باشد — نه تنها برای سازمانهایی که دپارتمانهای انطباق و بودجه نرمافزار سازمانی دارند. حریم خصوصی نمیتواند یک امتیاز مقیاس باشد.
من معتقدم که در دنیایی که قانون ایالات متحده میتواند به هر دادهای که توسط هر شرکت آمریکایی در هر نقطه از زمین نگهداری میشود، دسترسی پیدا کند، و جایی که ۷۷٪ از کارکنان دادههای حساس را به ابزارهای هوش مصنوعی که کنترل نمیکنند، وارد میکنند، تنها معماری که میتواند یک ضمانت حریم خصوصی معنادار ارائه دهد، جایی است که داده هرگز از کنترل کاربر خارج نمیشود. نه ضمانتهای قراردادی. نه سیاستهای حریم خصوصی. معماری فنی.
احراز هویت بدون دانش. پردازش محلی اول. رمزنگاری قابل برگشت که کلید آن متعلق به کاربر است. عملیات با قابلیت آفلاین. حوزه قضایی اتحادیه اروپا، بدون استثنا. اینها ویژگیهای محصول نیستند. آنها حداقل استاندارد برای هر ابزاری هستند که ادعا میکند از دادههای شخصی محافظت میکند.
و من معتقدم که ۲۸ سال کار در داخل سازمانهایی که با حساسترین اطلاعات جهان سر و کار دارند — ۲۸ سال مشاهده شکاف بین نیت نظارتی و واقعیت فنی — به من هم درک و هم مسئولیت آغاز آنچه که اکوسیستم هنوز کم دارد، داده است. برای تعریف چشمانداز، گردآوری تیم مناسب و اطمینان از ساخت آن به استانداردی که مشکل ایجاب میکند.
حق ناشناسسازی اطلاعات شخصی یک ویژگی فنی نیست. این یک حق بنیادی است. و حق که نمیتواند بهطور عملی اجرا شود، هیچ حقی نیست.
مشکلاتی که مشاهده کردهام
تجزیه و تحلیل مقررات: قوانین بیش از حد، زبان مشترک وجود ندارد
یک سازمان متوسط که بهطور جهانی فعالیت میکند باید بهطور همزمان از ۴۸+ قانون حریم خصوصی ملی و منطقهای عبور کند — GDPR، UK GDPR، CCPA، LGPD، PDPA، PIPL، DPDPA، APPI، PIPEDA و دهها مورد دیگر. ۲۴ NPA ملی در اتحادیه اروپا بهتنهایی راهنماییهای الزامآوری صادر میکنند که از نظر اصول یکسان و از نظر عمل متفاوت است. آنچه رضایت BfDI آلمان را جلب میکند بهطور خودکار رضایت CNIL فرانسه، DPC ایرلند یا AP هلند را جلب نمیکند. لایهبندی خاص بخش — HIPAA، PCI-DSS، NIS2، قانون هوش مصنوعی — الزامات را اضافه میکند که به ندرت با یکدیگر هماهنگ هستند.
نتیجه یک چارچوب انطباق نیست. این یک هدف متحرک با ۴۸ هدف مختلف است.
هیولای کاغذی: توافقنامههایی که هیچکس نمیخواند، کنترلهایی که هیچکس تأیید نمیکند
سازمانها توافقنامههای پردازش داده با صدها زیرمجموعه نگه میدارند، بندهای قراردادی استاندارد که به ۳۰+ صفحه در هر رابطه انتقال میرسد، سوابق فعالیتهای پردازش، DPIAs، TIAs، LIAs — هر کدام نیاز به ورودی فنی دارند که بیشتر تیمهای حقوقی نمیتوانند بهطور مستقل تأیید کنند. در عمل: سازمانها آنچه را که باید امضا کنند، امضا میکنند، آنچه را که باید بایگانی کنند، بایگانی میکنند و امیدوارند واقعیت فنی با توصیف قراردادی مطابقت داشته باشد. هیولای کاغذی ظاهری از انطباق ایجاد میکند. به ندرت جوهر آن را تولید میکند.
نقص فنی: ابزارها با الزامات مطابقت ندارند
شناسایی PII مبتنی بر هوش مصنوعی تولیدی غیرقطعی است. همان سند که دو بار پردازش میشود، نتایج متفاوتی تولید میکند. بهطور بنیادی با انطباق ناسازگار است — جایی که شما باید بهطور قابل بازتولید و قابل تأیید نشان دهید که دادههای خاص شناسایی و بهدرستی مدیریت شدهاند.
Microsoft Presidio، spaCy، Stanza — پلتفرمهای مهندسی، نه ابزارهای انطباق. استقرار در تولید نیاز به نوشتن شناساییکنندههای سفارشی برای هر نوع موجودیت و زبان، ساخت خطوط لوله پیش/پسپردازش، ادغام با فرمتهای سند، و نگهداری همه چیز بهعنوان قوانین تکامل مییابند. معمولاً ۳۰–۸۰ ساعت زمان مهندسی متخصص قبل از پردازش یک سند واحد. بیشتر سازمانها این تخصص را درونسازمانی ندارند.
یک شماره شخصی در یک قرارداد استخدام سوئدی، یک Steuer-ID در یک فرم مالیاتی آلمانی، یک PESEL در یک سند بیمه لهستانی، یک Codice Fiscale در یک فاکتور ایتالیایی — هر کدام نیاز به شناسایی موجودیت آگاه به نوع سند دارند، نه فقط شناسایی زبان. مدلهای زبانی که عمدتاً بر روی انگلیسی آموزش دیدهاند، نرخ از دست دادن PII ۶۹٪ را در متنهای غیرانگلیسی تولید میکنند. قانون هیچ تمایزی بر اساس زبان قائل نمیشود.
Microsoft Purview، AWS Macie، Google Cloud DLP — گرانقیمت، نیاز به اتصال ابری، سازمانها را قفل میکنند. بهطور بحرانی: همه آنها در ایالات متحده مستقر هستند. قانون CLOUD در سال ۲۰۱۸ آنها را ملزم به افشای دادهها در هر نقطه از جهان بر اساس درخواست معتبر دولت ایالات متحده میکند. بخش ۷۰۲ قانون FISA جمعآوری اطلاعات را بدون احضاریههای فردی امکانپذیر میسازد. Schrems II سپر حریم خصوصی اتحادیه اروپا-ایالات متحده را به همین دلیل باطل کرد. یک قرارداد سالانه با یک ارائهدهنده ابری ایالات متحده بهطور خودکار پردازش دادههای مطابق با GDPR را تولید نمیکند.
مشکل هوش مصنوعی غیرقابل کنترل: بازار پاسخی ندارد
۷۷٪ از کارکنان اطلاعات حساس کاری را حداقل هفتهای یک بار با ابزارهای هوش مصنوعی به اشتراک میگذارند. ۳۴.۸٪ از تمام ورودیهای ابزارهای هوش مصنوعی حاوی اطلاعاتی هستند که تحت حداقل یک چارچوب حریم خصوصی حساس محسوب میشوند. کارکنان از ChatGPT، Copilot، Claude، Gemini برای نوشتن قراردادها، خلاصهسازی یادداشتها، تحلیل صفحات گسترده استفاده میکنند — بهطور مداوم، بهطور خودکار، بدون آگاهی از آنچه که در یک درخواست میچسبند.
سیستمهای DLP سنتی نمیتوانند محتوای معنایی یک درخواست به زبان طبیعی را درک کنند. آنها نمیتوانند یک توسعهدهنده را که از هوش مصنوعی میخواهد یک الگوی کد را توضیح دهد از یک توسعهدهنده که یک پایگاه داده تولیدی ۵۰,۰۰۰ رکوردی را در همان پنجره میچسباند، تشخیص دهند. مدلهای هوش مصنوعی همه چیز را پردازش میکنند. آنها هیچ حفاظتی، هیچ هشداری، هیچ سابقهای که یک DPO بتواند به آن اعتماد کند، ارائه نمیدهند.
آنچه که کمبود دارد، لایه فنی است که سیاست را در عمل قابل اجرا میسازد. آن لایه در بازار در هیچ نقطه قیمتی که یک سازمان متوسط بتواند تحمل کند، به هیچ شکلی وجود ندارد که در ابزارهای هوش مصنوعی که کارکنان واقعاً استفاده میکنند، کار کند. این یکی از شکافهایی است که این اکوسیستم برای پر کردن آن ساخته شده است.
شکاف دسترسی: انطباق به عنوان یک امتیاز مقیاس
یک وکیل مستقل، یک سازمان اجتماعی، یک نهاد عمومی کوچک، یک مؤسسه تحقیقاتی — هر کدام تحت همان GDPR، همان حق حذف، همان الزام اطلاعرسانی در صورت نقض به عنوان یک بانک جهانی — اما بدون تیم حقوقی، منابع مهندسی، یا بودجه نرمافزار سازمانی برای پیادهسازی صحیح آنها. اکوسیستم انطباق بهطور کافی، اگر با هزینه بالا، به سازمانهای بزرگ خدمت کرده است. این اکوسیستم به همه دیگران با یک دستور و بدون وسایل عملی برای برآورده کردن آن خدمت کرده است.
پاسخ اکوسیستم — یک پلتفرم، چندین بیان
پلتفرم چتر و نقطه دسترسی اصلی. شناسایی PII با لایه دوگانه هیبریدی (۲۶۰+ موجودیت، ۴۸ زبان، ۱۲۱ پیشتنظیم انطباق) در تمام مدلهای استقرار — SaaS، ابر خصوصی مدیریتشده و خودمدیریت. تمام محصولات مشتق شده از یک موتور شناسایی و یک اصل بنیانی مشترک بهره میبرند: قدرت در دستان کاربر.
نسخه سازمانی با فاصله هوایی. ۳۹۰+ موجودیت، ۳۱۷ الگوی regex سفارشی، پردازش ۱۰۰٪ آفلاین، OCR تصویر در ۳۷ زبان. عدم وابستگی به ابر — داده هرگز از دستگاه خارج نمیشود.
پلتفرم PII مبتنی بر ابر با بیشترین دسترسی. افزونه Chrome برای قطع هوش مصنوعی در زمان واقعی، سرور MCP، افزونه Office، رمزنگاری قابل برگشت. رایگان تا ۲۹ یورو در ماه — انطباق برای هر بودجه.
محلی اول، کاملاً محلی. Presidio sidecar بر روی دستگاه، ۷ فرمت سند + OCR، پردازش دستهای، خزانه رمزنگاری شده. مجوز دائمی یکباره — بدون اشتراک، بدون ابر، کاملاً آفلاین پس از فعالسازی.
پلتفرم دمو عمومی فوری. نیازی به حساب نیست — متن را بچسبانید، بلافاصله ناشناس کنید، موتور را در عمل ببینید. سریعترین راه برای تجربه آنچه اکوسیستم انجام میدهد.
پلتفرم چتر — SaaS · خصوصی مدیریتشده · خودمدیریت · ۳ مدل استقرار
- //سازمانها گزارش میدهند که ۶۷٪ از توسعهدهندگان بهطور تصادفی اسرار را در کد افشا کردهاند — regex قطعی آنچه را که NLP از دست میدهد، شناسایی میکند و بالعکس
- //شناسایی هوش مصنوعی عمومی ۶۹٪ نرخ از دست دادن در متنهای غیرانگلیسی را بهدست میآورد — لایه دوگانه با spaCy + XLM-RoBERTa شکاف را در تمام ۴۸ زبان میبندد
- //حذف ناهماهنگ در تیمها بهعنوان شماره ۱ در یافتههای حسابرسی ICO و DPA ذکر شده است — پیشتنظیمها رفتار شناسایی یکسانی را در هر کاربر، هر جلسه تحمیل میکنند
- //۹۵٪ از نقضهای داده در سال ۲۰۲۴ به خطای انسانی مرتبط است — پیشتنظیمهای مشترک تصمیمات پیکربندی فردی را که ایجاد کننده تنوع هستند، حذف میکنند
- //پشتههای PII چندفروشندهای شکافهای سابقه حسابرسی ایجاد میکنند — بیش از ۶۰٪ از سازمانها که از ۳+ ابزار PII استفاده میکنند، گزارش میدهند که شکستهای تطبیق بین ابزارها وجود دارد
- //تجزیه و تحلیل فرمت: سازمانها بهطور همزمان PDF، DOCX، XLSX، CSV، JSON را پردازش میکنند — هر فرمت قبلاً نیاز به یک رویکرد جداگانه، یک ابزار جداگانه، یک سابقه حسابرسی جداگانه داشت
- //ابزارهای PII سازمانی هزینهای بین ۵۰,۰۰۰ تا ۵۰۰,۰۰۰ دلار در سال دارند — سازمانهایی که با محدودیتهای هزینه مواجه هستند، بهطور تاریخی هیچ گزینهای نداشتهاند
- //قانون CLOUD + بخش ۷۰۲ قانون FISA به این معنی است که پردازش "مطابق با GDPR" مستقر در ایالات متحده یک خیال قراردادی است — میزبانی فقط در اتحادیه اروپا این خطر را بهطور کامل حذف میکند
نسخه سازمانی با فاصله هوایی — ۳۹۰+ موجودیت · ۳۱۷ regex سفارشی · ۱۰۰٪ آفلاین · OCR تصویر
- //PII خاص صنعت — کدهای تأسیسات هستهای، شمارههای خدمات نظامی، شناسههای داخلی اختصاصی — تحت پوشش هیچ ابزار تجاری نیستند؛ شناساییکنندههای سفارشی نیاز به هفتهها مهندسی متخصص در Presidio خام دارند
- //نقص پوشش سقف شناسایی است: هیچ ابزار عمومی همه انواع PII، همه زبانها، همه فرمتها را پوشش نمیدهد — ۳۱۷ الگوی گردآوری شده شکافهایی را که چارچوبهای آماده از دست میدهند، میبندند
- //پارادوکس فروشنده: برای محافظت از PII باید آن را با یک فروشنده به اشتراک بگذارید. پردازش ابری نیاز به اعتماد به پردازشگر دارد — یک تناقض معماری برای سازمانهایی که با حساسترین دادهها سر و کار دارند
- //محیطهای با فاصله هوایی (دفاع، اطلاعات، زیرساختهای حیاتی، آزمایشگاههای تحقیقاتی) نمیتوانند از ابزارهای وابسته به ابر به هیچ قیمتی استفاده کنند — اولویت آفلاین بهطور کامل مانع معماری را حذف میکند
- //Microsoft Purview بهطور صریح نمیتواند JPEG/PNG را اسکن کند — PII متنی در اسکرینشاتها بهطور کامل برای پشته DLP سازمانی بهطور طراحی شده نامرئی است
- //بدافزار SparkCat (iOS/Android، دسامبر ۲۰۲۵) از OCR برای سرقت عبارات بازیابی کیف پول رمزنگاری از اسکرینشاتها استفاده کرد — PII متنی مبتنی بر تصویر یک هدف حمله فعال است، نه یک خطر نظری
- //افزایش ۳۰۰٪ در نقض دادههای مبتنی بر ابر بین ۲۰۲۲ و ۲۰۲۴ — عدم دانش به این معنی است که نقض سرورهای ما هیچ چیزی را افشا نمیکند، زیرا هیچ چیزی ذخیره نمیشود
- //گواهی ISO 27001:2022 با تست نفوذ کامل منظم — وضعیت امنیتی که تأمین مالی تنظیمشده نیاز دارد، مستند، تأیید و بهطور مستقل حسابرسی شده است
پلتفرم PII مبتنی بر ابر — رایگان تا ۲۹ یورو در ماه · افزونه Chrome · سرور MCP · افزونه Office
- //۸.۵٪ از تمام درخواستهای LLM حاوی PII هستند — قطع هوش مصنوعی در زمان واقعی قبل از ارسال تنها پیشگیری است که مؤثر است؛ شناسایی پس از آن تنها پنجرهای را که مهم است از دست میدهد
- //DLP سنتی بعد از خروج دادهها از سازمان فعال میشود — افزونه Chrome در نقطه ورودی قطع میکند، قبل از اینکه هر مدل محتوای حساس را دریافت یا پردازش کند
- //شناسایی هوش مصنوعی تولیدی غیرقطعی است — همان سند در اجراهای مختلف نتایج متفاوتی تولید میکند؛ هیچ سیستم احتمالی نمیتواند مبنای دفاعی نظارتی باشد
- //تنها Presidio موجودیتهای وابسته به زمینه را از دست میدهد؛ XLM-RoBERTa بهتنهایی در زبان حقوقی رسمی مثبتهای کاذب تولید میکند — یک لایه طبقهبندی stance سوم مثبتهای کاذب را که باعث بیاعتمادی تیمهای انطباق به ابزارهای خودکار میشود، حذف میکند
- //کشف قانونی، درخواستهای دسترسی به سوابق پزشکی، حسابرسیهای نظارتی — دادههای ناشناسسازی شده گاهی باید توسط طرف مجاز و تنها توسط آنها دوباره شناسایی شوند؛ روشهای غیرقابل برگشت این را غیرممکن میسازند
- //کلید جلسه کاربر هرگز از دستگاه آنها خارج نمیشود — نه سرورهای ما، نه هیچ ابر، نه هیچ زیرمجموعه. حق معکوسسازی ناشناسسازی متعلق به کاربر است، نه به ما.
- //یک وکیل مستقل با همان الزام حق حذف GDPR به عنوان یک بانک جهانی مواجه است — اما بدون یک دپارتمان انطباق یا بودجه نرمافزار سازمانی ۵۰۰,۰۰۰ یورویی
- //۷۶۴ سازمان اتحادیه اروپا بهطور همزمان تحت تحقیق برای نقض حق حذف هستند — نه به این دلیل که قصد نقض داشتهاند؛ بلکه به این دلیل که ابزارهای انطباق قیمتگذاری شدهاند که فراتر از دسترس آنهاست
محلی اول · پردازش ۱۰۰٪ محلی · ۷ فرمت سند + OCR · مجوز یکباره
- //افزایش ۳۰۰٪ در نقض دادههای مبتنی بر ابر بین ۲۰۲۲ و ۲۰۲۴ — دادهای که هرگز وارد ابر نمیشود نمیتواند در یک نقض ابری افشا شود
- //قانون CLOUD + FISA پردازش مستقر در ایالات متحده را از نظر قانونی برای سازمانهای اتحادیه اروپا نامشخص میکند — پردازش محلی کل مشکل انتقال مرزی را با اطمینان از عدم وقوع انتقال حذف میکند
- //تجزیه و تحلیل فرمت سازمانها را مجبور به نگهداری چندین ابزار میکند — هر ابزار یک سیاست شناسایی جداگانه، یک سابقه حسابرسی جداگانه، یک حالت شکست جداگانه ایجاد میکند
- //فایلهای لاگ سطح PII نادیده گرفته شدهاند — توسعهدهندگان بر روی پایگاههای داده تمرکز میکنند اما لاگها شامل کلیدهای API، شناسههای کاربری، آدرسهای IP هستند؛ CSV و JSON بهطور بومی در کنار اسناد ساختاری پشتیبانی میشوند
- //محیطهای تولید با فاصله هوایی — کفهای تولید، تأسیسات دولتی امن، آزمایشگاههای تحقیقاتی — نمیتوانند چک مجوزی که نیاز به دسترسی به شبکه دارد را تحمل کنند؛ فعالسازی یکباره سپس عملیات کاملاً آفلاین تنها معماری قابل قبول است
- //مجوزهای دائمی بدون وابستگی به SaaS تکراری: کاربر مالک نصب خود است؛ لغو اشتراک یک فروشنده نمیتواند ابزاری را در یک لحظه پردازش بحرانی غیرفعال کند
- //بازسازی خط لوله dbt سیاستهای پوشش را در دادههای CSV/JSON از بین میبرد — EDPB ۲۰۲۴ این را نقض ماده ۵(۱)(الف) GDPR میداند؛ ذخیرهسازی خزانه با تاریخچه رمزنگاری شده به این معنی است که هر فایل پردازش شده دارای سابقه قابل حسابرسی و قابل بازیابی است
- //سازمانهایی که هزاران سند قدیمی را برای انطباق با حق حذف GDPR پردازش میکنند به قابلیت دستهای نیاز دارند — نه محدودیت ۵ فایلی در روز که انجام این کار را غیرممکن میسازد
مقیاس مشکل
اینها شکستهای غیرعادی نیستند. آنها نتایج سیستمی از یک محیط انطباق هستند که از زیرساخت خود پیشی گرفته است.