Mitä tarkastajat näkevät, kun he kysyvät PII-ohjauskeinoista
GDPR-valvontaviranomaisen tarkastuksen tai ISO 27001 -arvioinnin aikana yksi standardikysymyksistä on: "Mitä teknisiä ohjauskeinoja sinulla on PII-anonymisointiin?"
Tarkastaja etsii puhdasta, puolustettavaa vastausta: erityistä ohjauskeinoa, jota sovelletaan johdonmukaisesti, asiakirjalla siitä, miten se toimii, ja todisteita sen tehokkuudesta.
Vastaus, joka luo vaatimustenmukaisuuden riskiä: "Käytämme erilaisia työkaluja kontekstista riippuen. Verkkoselaamiseen käytämme Chrome-laajennusta, Word-asiakirjoihin käytämme makroa, suurille tiedostoille datatiimimme on kirjoittanut Python-skriptin, ja kiireellisiin pyyntöihin käytämme verkkosovellusta."
Tämä vastaus laukaisee lisäkysymyksen: "Mitkä ovat näiden työkalujen kattavuuden erot? Miten varmistat johdonmukaiset tulokset työkalujen välillä? Missä on tarkastuspolku, joka osoittaa johdonmukaisen soveltamisen?"
Nämä ovat kysymyksiä, joihin fragmentoidut työkalut eivät voi vastata selkeästi.
Kattavuuden johdonmukaisuuden ongelma
Eri PII-tunnistustyökalut käyttävät erilaisia taustatunnistusmenetelmiä:
Vain regex-työkalut: Etsivät erityisiä malleja (SSN-muoto, sähköpostimuoto, luottokorttimuoto). Jättävät huomiotta NER-pohjaiset entiteetit (henkilön nimet, organisaatiot, jotka eivät vastaa tunnettua luetteloa), kontekstuaaliset tunnisteet ja ei-Yhdysvaltalaiset muodot.
Vain NER-työkalut: Tunnistavat entiteettityyppejä koulutettujen mallien avulla. Jättävät huomiotta mallipohjaiset entiteetit (IBANit, tilinumerot tietyissä muodoissa), mukautetut organisaatiotunnisteet ja entiteetit, joita ei ole koulutusdatassa.
Työkalu A vs. Työkalu B vs. Työkalu C: Jokaisella on erilainen entiteettityypin kattavuus, erilaiset luottamuskynnykset, erilainen käsittely äärimmäisissä tapauksissa. Sama asiakirja, jota käsitellään Työkalun A ja Työkalun C kautta, voi tuottaa erilaisia tunnistustuloksia.
Vaatimustenmukaisuuden ongelma: jos Työkalu A (käytetään PDF-tiedostoille) tunnistaa syntymäpäivät, mutta Työkalu B (käytetään Excelille) ei, niin saman rekisteröidyn syntymäpäivä PDF:ssä on anonymisoitu, kun taas heidän syntymäpäivänsä Excel-taulukossa ei ole. Systemaattisella vaatimustenmukaisuuden ohjauksella on aukko, joka riippuu asiakirjan muodosta.
DPA-tutkimuksille tämä aukko on löydettävissä. Jos tietoturvaloukkaus tapahtuu ja tutkimus paljastaa, että rekisteröidyn tietojen Excel-taulukon versio ei ollut anonymisoitu, kun PDF-versio oli, työkalujen välinen epäjohdonmukaisuus on myötävaikuttava tekijä altistumiseen.
Tarkastuspolkuongelma
Vaatimustenmukaisuuden asiakirjat vaativat todisteita siitä, että ohjauskeinoja sovelletaan johdonmukaisesti. PII-anonymisoinnissa todiste on tarkastuspolku: mitä käsiteltiin, milloin, kuka, millä työkalulla ja mikä oli tulos.
Neljä eri työkalua tuottaa neljä eri tarkastuspolkuformaattia — tai ei tarkastuspolkua lainkaan. Word-makro ei tuota tarkastuslokia. Python-skripti voi kirjoittaa paikalliseen tiedostoon, joka ei ole integroitu vaatimustenmukaisuuden hallintajärjestelmään. Chrome-laajennus voi tuottaa selaimen puoleisia lokeja, joita ei ole saatavilla vaatimustenmukaisuuden asiakirjoissa. Vain verkkosovellus voi tuottaa keskitetyn tarkastuspolun.
DPA-tutkimuksessa, joka vaatii tarkastuspolkutodisteita, vastaus "käsittelimme tämän asiakirjan Word-makrossa, nuo lokit ovat kehittäjän paikallisella koneella" ei ole tyydyttävä. Vastaus "tässä on keskitetty tarkastusloki, joka kattaa kaikki anonymisointikäsittelyt kaikilla alustoilla pyydetyllä ajanjaksolla" on tyydyttävä.
Yhden alustan käsittely mahdollistaa yhden tarkastuspolun kattavuuden. Fragmentoidut työkalut tekevät keskitetyn tarkastuspolun mahdottomaksi.
Konfiguraatioerojen ongelma
Ajan myötä eri työkalut, joita eri tiimin jäsenet käyttävät, kehittävät erilaisia konfiguraatioita:
- Chrome-laajennus on konfiguroitu organisaation mukautetuilla entiteettityypeillä
- Python-skriptiä ei päivitetty, kun mukautetut entiteettityypit lisättiin
- Word-makro oli konfiguroitu tiimin jäsenen toimesta, joka on sittemmin lähtenyt, eikä kukaan tiedä nykyisiä asetuksia
- Verkkosovelluksen esiasetus päivitettiin viime kuussa sulkemaan urakoitsijoiden nimet, mutta tätä päivitystä ei siirretty muihin työkaluihin
Konfiguraatioerojen ongelma luo epäjohdonmukaisuuden ongelman käänteisesti: vaikka kaikki työkalut alun perin tuottivat samanlaisia tuloksia, yhden työkalun ylläpitotoimet ilman muiden päivittämistä luovat eroja ajan myötä.
ISO 27001 -ohjauskeinojen osalta konfiguraatiodokumentaatiovaatimus tekee tästä erityisen ongelmallista. ISO-tarkastaja, joka kysyy "näytä minulle konfiguraatio PII-anonymisointiohjauskeinoillesi", ei voi saada tyydyttävää vastausta "meillä on neljä työkalua, joilla on neljä eri konfiguraatiota, emmekä ole varmoja, ovatko ne kaikki ajantasaisia."
ISO 27001 -havainto
Vaatimustenmukaisuuden konsultointiyrityksen 15 hengen tiimi käytti neljää eri työkalua: verkkosivustojen tietojen keruutyökalu, itsenäinen Windows-työpöytäväline suurille tiedostoille, Word-makro oikeudellisiin asiakirjoihin ja Chrome-laajennus AI-työkaluille.
ISO 27001 -tarkastus tuotti havainnon: "Epäjohdonmukaiset tietojen anonymisointimenettelyt eri alustoilla. Eri työkaluja käytetään eri konteksteissa, mikä tuottaa erilaisia tunnistustuloksia eikä keskitettyä tarkastuspolkua. Tämä luo aukon ohjauksessa ISO/IEC 27001:2022 Liite A 8.11 (Tietojen peittäminen) — ohjausta ei voida osoittaa johdonmukaisesti sovelletuksi."
Tarkastushavainto vaati korjaussuunnitelman. Toteutettu korjaustoimenpide: konsolidointi yhdeksi anonymisointialustaksi kaikille käyttötapauksille.
Tulokset konsolidoinnin jälkeen:
- Sama tunnistuskone kaikilla alustoilla (Verkkosovellus, Työpöytäsovellus, Office-lisäosa, Chrome-laajennus)
- Samat esiasetukset sovelletaan eri konteksteissa
- Keskitetty tarkastuspolku kaikelle käsittelylle
- ISO 27001 -havainto suljettu seuraavassa valvontatarkastuksessa
Kuuden viikon konsolidointiprojekti poisti tarkastushavainnon, joka oli vaatinut 12-sivuisen korjaustoimenpiteen vastauksen.
Vaatimustenmukaisuuden kertomustesti
Hyvä testi PII-työkalujen fragmentoinnin arvioimiseksi: voitko vastata selkeästi seuraaviin kysymyksiin?
- Mitkä entiteettityypit tunnistetaan kaikilla alustoilla, joita tiimisi käyttää PII-anonymisointiin?
- Mikä on tunnistuskynnys (luottamustaso) jokaiselle entiteettityypille, johdonmukaisesti kaikilla alustoilla?
- Missä on keskitetty tarkastuspolku kaikelle anonymisointikäsittelylle viimeisten 12 kuukauden aikana?
- Miten varmistat, että konfiguraatiomuutokset sovelletaan johdonmukaisesti kaikilla alustoilla?
Jos jokin näistä kysymyksistä tuottaa epäröivän vastauksen, fragmentaatio luo vaatimustenmukaisuuden riskiä. Puhdas vastaus kaikkiin neljään kysymykseen on saavutettavissa — mutta vain yhdistetyllä koneella eri alustoilla.
Lähteet: