מה בוחני ביקורת שואלים על בקרות PII
בוחני ביקורת GDPR ו-ISO 27001 שואלים שאלה סטנדרטית. "אילו בקרות יש לכם לאנונימיזציית PII?"
הם רוצים תשובה ברורה אחת. בקרה אחת. מיושמת באותו אופן בכל פעם. עם תיעוד והוכחה.
התשובה המסוכנת נשמעת כך: "זה תלוי בהקשר. Chrome Extension לגלישה ברשת. מאקרו Word למסמכים משפטיים. סקריפט Python לקבצי אצווה. אפליקציית הרשת לבקשות דחופות."
תשובה זו מפעילה שאלות המשך. "מהם פערי הכיסוי בין כלים אלה? היכן שביל הביקורת?"
כלים מפורגמנטים לא יכולים לענות על שאלות אלה. זו בעיית התאימות.
בעיית עקביות הכיסוי
כלי PII שונים משתמשים בשיטות זיהוי שונות. תוצאותיהם שונות — לפעמים הרבה.
כלים מבוססי Regex בלבד מחפשים דפוסים קבועים. פורמט SSN. פורמט אימייל. פורמט כרטיס אשראי. הם מחמיצים ישויות מבוססות NER. שמות אנשים ופורמטים שאינם אמריקניים אינם מזוהים.
כלים מבוססי NER בלבד מזהים סוגי ישויות באמצעות מודלים מאומנים. הם מחמיצים ישויות מבוססות דפוס. IBAN ומזהים מותאמים אישית נופלים אם הם אינם בנתוני האימון.
לכל כלי כיסוי ישויות שונה. לכל כלי ספי ביטחון שונים. אותו מסמך דרך כלי A וכלי C עשוי לייצר תוצאות שונות.
זה יוצר פער תאימות ישיר. כלי A משמש ל-PDF. כלי B משמש ל-Excel. כלי A מזהה תאריכי לידה. כלי B לא. תאריך הלידה של אותו אדם מאונונם ב-PDF אך חשוף בקבצי Excel.
הפער תלוי בפורמט קובץ — לא במדיניות. לא בכוונה.
חוקרי DPA יכולים למצוא פער זה בחקירת הפרות. אי-עקביות כלים הופכת לגורם בחשיפה. סעיף 32 של GDPR דורש אמצעים טכניים שיטתיים.
בעיית שביל הביקורת
תאימות דורשת ראיות לשימוש עקבי בבקרה. לאנונימיזציית PII, ראיה זו היא שביל הביקורת.
ארבעה כלים מייצרים ארבעה פורמטי יומן שונים. חלקם אינם מייצרים כל יומן.
מאקרו Word לא יוצר רשומת ביקורת. סקריפט Python עשוי לכתוב לקובץ מקומי. קובץ זה אינו מקושר למערכת התאימות שלכם. Chrome Extension עשוי לכתוב יומנים בצד הדפדפן. אותם יומנים אינם נגישים לבדיקת תאימות.
כאשר חקירת DPA מבקשת ראיות ביקורת, תשובה אחת עובדת. זהו יומן מרוכז. הוא מכסה את כל עיבוד האנונימיזציה בכל הפלטפורמות.
התשובה האחרת לא עובדת. יומנים במחשב המקומי של המפתח ממאקרו Word אינם מספיקים.
עיבוד בפלטפורמה אחת הופך שביל ביקורת אחד לאפשרי. כלים מפורגמנטים הופכים זאת לבלתי אפשרי.
לפרטים על דרישות שביל ביקורת, ראו עריכה מוסברת ושבילי ביקורת של HIPAA.
בעיית סחף התצורה
עם הזמן, כלים שונים מפתחים תצורות שונות. זה קורה לאט וללא אזהרה.
שקלו תבנית נפוצה. ה-Chrome Extension מתעדכן עם סוגי ישויות מותאמים אישית. סקריפט ה-Python אינו מתעדכן. מאקרו ה-Word הוגדר על ידי חבר צוות שמאז עזב. אף אחד אינו יודע את ההגדרות הנוכחיות. הגדרת ה-preset של אפליקציית הרשת משתנה לאי-הכללת שמות קבלנים. שינוי זה לעולם אינו מגיע לכלים האחרים.
עדכון כלי אחד מבלי לעדכן את האחרים גורם לסחף. עם הזמן, סחף גורם לפערים.
בוחני ISO 27001 מבקשים תיעוד תצורה. "יש לנו ארבעה כלים, ארבע תצורות, ואיננו בטוחים שהן עדכניות" אינה תשובה טובה. ISO/IEC 27001:2022 נספח א' 8.11 (מיסוך נתונים) דורש בקרות מתועדות ועקביות; ISO/IEC 27001:2022.
ממצא ISO 27001 בפועל
חברת תאימות של 15 עובדים השתמשה בארבעה כלים. גרדן רשת לנתונים מקוונים. כלי שולחן עבודה Windows לקבצי אצווה. מאקרו Word למסמכים משפטיים. Chrome Extension לכלי AI.
ביקורת ISO 27001 הניבה ממצא. תוצאות זיהוי שונות בין פלטפורמות. אין שביל ביקורת מרוכז. פער בנספח א' 8.11. הבקרה לא הוצגה כמיושמת באופן עקבי. ממצא זה תאם דפוסים מתועדים של אי-התאמה ל-ISO 27001 נספח א' 8.11.
הממצא דרש תוכנית פעולה מתקנת. הפעולה המתקנת הייתה איחוד פלטפורמות.
לאחר האיחוד, לחברה היה מנוע זיהוי אחד על פני כל ארבע הפלטפורמות. אותם presets יושמו בכל הקשר. כל העיבוד תועד במקום אחד. ממצא ה-ISO 27001 נסגר בביקורת הבאה.
הפרויקט ארך שישה שבועות. הוא החליף תגובת פעולה מתקנת של 12 עמודים בממצא סגור.
למידע נוסף על האופן בו אנונימיזציה עקבית תומכת בנכונות ביקורת GDPR, ראו עקביות אנונימיזציה, presets וביקורות GDPR.
מבחן הנרטיב של התאימות
האם אתם יכולים לענות על ארבע השאלות הללו ללא היסוס?
- אילו סוגי ישויות מזוהים על פני כל פלטפורמה שהצוות שלכם משתמש בה?
- מהו סף הזיהוי לכל סוג ישות, באופן עקבי בכל הפלטפורמות?
- היכן שביל הביקורת המרוכז לכל האנונימיזציה ב-12 החודשים האחרונים?
- כיצד אתם מבטיחים שינויי תצורה מיושמים על פני כל הפלטפורמות?
אם שאלה כלשהי גורמת להיסוס, פרגמנטציה יוצרת סיכון תאימות.
התשובה הנקייה לכל ארבע השאלות ניתנת להשגה. היא דורשת מנוע אחד על פני כל הפלטפורמות. ללא זה, כל כלי יוצר את פער הכיסוי שלו. את שקע שביל הביקורת שלו. את סחף התצורה שלו.
בוחני ביקורת מבחינים בפערים אלה. חוקרי DPA יכולים לנצל אותם. איחוד לפני ממצא ביקורת קל בהרבה מאשר לאחריו.
למידע נוסף על האופן בו פרגמנטציית כלים משפיעה על בקרות GDPR חוצות פלטפורמות, ראו ביקורת GDPR ופרגמנטציית כלי PII על פני פלטפורמות.