ऑडिटर PII नियंत्रणों के बारे में पूछने पर क्या देखते हैं
GDPR पर्यवेक्षी प्राधिकरण ऑडिट या ISO 27001 मूल्यांकन के दौरान, मानक प्रश्नों में से एक है: "PII अनामीकरण के लिए आपके पास क्या तकनीकी नियंत्रण हैं?"
ऑडिटर एक स्पष्ट, रक्षनीय उत्तर की तलाश कर रहा है: एक विशिष्ट नियंत्रण, लगातार लागू, यह दस्तावेज़ीकरण के साथ कि यह कैसे काम करता है और इसकी प्रभावशीलता का प्रमाण।
जो उत्तर अनुपालन जोखिम बनाता है: "हम संदर्भ के आधार पर विभिन्न टूल का उपयोग करते हैं। वेब ब्राउज़िंग के लिए हम Chrome Extension का उपयोग करते हैं, Word दस्तावेज़ों के लिए एक macro, बल्क फाइलों के लिए हमारी डेटा टीम के पास एक Python स्क्रिप्ट है जो उन्होंने लिखी, और तत्काल अनुरोधों के लिए हम वेब app का उपयोग करते हैं।"
यह उत्तर एक अनुवर्ती प्रश्न सक्रिय करता है: "इन टूलों के बीच कवरेज में क्या अंतर हैं? आप टूलों में संगत परिणाम कैसे सुनिश्चित करते हैं? वह ऑडिट ट्रेल कहां है जो संगत अनुप्रयोग प्रदर्शित करता है?"
ये ऐसे प्रश्न हैं जिनका खंडित टूलिंग साफ-साफ जवाब नहीं दे सकती।
कवरेज संगति समस्या
विभिन्न PII पहचान टूल विभिन्न अंतर्निहित पहचान दृष्टिकोणों का उपयोग करते हैं:
केवल Regex टूल: विशिष्ट पैटर्न (SSN प्रारूप, ईमेल प्रारूप, क्रेडिट कार्ड प्रारूप) खोजते हैं। NER-आधारित निकायों (व्यक्ति के नाम, ज्ञात सूची से मेल न खाने वाले संगठन), प्रासंगिक पहचानकर्ता, और गैर-US प्रारूप चूक जाते हैं।
केवल NER टूल: प्रशिक्षित मॉडल का उपयोग करके निकाय प्रकार पहचानते हैं। पैटर्न-आधारित निकाय (IBAN, विशिष्ट प्रारूपों वाले खाता नंबर), कस्टम संगठनात्मक पहचानकर्ता, और प्रशिक्षण डेटा में नहीं होने वाले निकाय चूक जाते हैं।
टूल A बनाम टूल B बनाम टूल C: प्रत्येक के अलग-अलग निकाय प्रकार कवरेज, विभिन्न विश्वास सीमाएं, edge cases की विभिन्न हैंडलिंग हैं। टूल A और टूल C के माध्यम से संसाधित समान दस्तावेज़ अलग-अलग पहचान परिणाम उत्पन्न कर सकता है।
अनुपालन समस्या: यदि टूल A (PDF के लिए उपयोग किया गया) जन्म तिथि पहचानता है लेकिन टूल B (Excel के लिए उपयोग किया गया) नहीं, तो PDF में उसी डेटा विषय की जन्म तिथि अनामीकृत है जबकि Excel स्प्रेडशीट में उनकी जन्म तिथि नहीं है।
ऑडिट ट्रेल समस्या
अनुपालन दस्तावेज़ीकरण के लिए आवश्यक है कि नियंत्रण लगातार लागू होने का प्रमाण हो। PII अनामीकरण के लिए, प्रमाण ऑडिट ट्रेल है: क्या संसाधित किया गया, कब, किसके द्वारा, किस टूल के साथ, और परिणाम क्या था।
चार अलग-अलग टूल चार अलग-अलग ऑडिट ट्रेल प्रारूप उत्पन्न करते हैं — या कोई ऑडिट ट्रेल नहीं। एक Word macro कोई ऑडिट लॉग उत्पन्न नहीं करता। एक Python स्क्रिप्ट एक स्थानीय फाइल में लिख सकती है जो अनुपालन प्रबंधन प्रणाली के साथ एकीकृत नहीं है।
केंद्रीकृत ऑडिट ट्रेल डेटा के साथ एक DPA जांच के लिए प्रतिक्रिया "हमने यह दस्तावेज़ Word macro में संसाधित किया, वे लॉग डेवलपर की स्थानीय मशीन पर हैं" संतोषजनक नहीं है।
सिंगल-प्लेटफॉर्म प्रसंस्करण सिंगल ऑडिट ट्रेल कवरेज को सक्षम करता है। खंडित टूलिंग केंद्रीकृत ऑडिट ट्रेल को असंभव बनाती है।
कॉन्फ़िगरेशन बहाव समस्या
समय के साथ, विभिन्न टीम सदस्यों द्वारा उपयोग किए जाने वाले विभिन्न टूल विभिन्न कॉन्फ़िगरेशन विकसित करते हैं:
- Chrome Extension संगठन के कस्टम निकाय प्रकारों के साथ कॉन्फ़िगर किया गया है
- Python स्क्रिप्ट को कस्टम निकाय प्रकार जोड़े जाने पर अपडेट नहीं किया गया था
- Word macro एक टीम सदस्य द्वारा कॉन्फ़िगर किया गया था जो तब से छोड़ चुका है, और कोई नहीं जानता कि वर्तमान सेटिंग्स क्या हैं
- वेब app preset को पिछले महीने ठेकेदार के नाम बाहर करने के लिए अपडेट किया गया था, लेकिन यह अपडेट अन्य टूलों में नहीं फैलाया गया था
ISO 27001 नियंत्रणों के लिए, कॉन्फ़िगरेशन दस्तावेज़ीकरण आवश्यकता इसे विशेष रूप से समस्याग्रस्त बनाती है।
ISO 27001 खोज
एक अनुपालन परामर्श फर्म की 15-व्यक्ति टीम ने चार अलग-अलग टूल का उपयोग किया: ऑनलाइन डेटा के लिए एक वेब स्क्रेपर टूल, बल्क फाइलों के लिए एक स्टैंडअलोन Windows डेस्कटॉप टूल, कानूनी दस्तावेज़ों के लिए एक Word macro, और AI टूल के लिए एक Chrome extension।
एक ISO 27001 ऑडिट ने एक खोज उत्पन्न की: "प्लेटफ़ॉर्म में असंगत डेटा अनामीकरण प्रक्रियाएं। विभिन्न संदर्भों के लिए उपयोग किए जाने वाले विभिन्न टूल अलग-अलग पहचान परिणाम और कोई केंद्रीकृत ऑडिट ट्रेल उत्पन्न नहीं करते। यह ISO/IEC 27001:2022 Annex A 8.11 (डेटा मास्किंग) में एक अंतराल बनाता है।"
ऑडिट खोज के लिए एक सुधारात्मक कार्य योजना की आवश्यकता थी। लागू किया गया सुधारात्मक कार्य: सभी उपयोग मामलों के लिए एकल अनामीकरण प्लेटफॉर्म में समेकन।
समेकन के बाद परिणाम:
- सभी प्लेटफ़ॉर्म में समान पहचान इंजन (Web App, Desktop App, Office Add-in, Chrome Extension)
- सभी संदर्भों में समान presets लागू
- सभी प्रसंस्करण के लिए केंद्रीकृत ऑडिट ट्रेल
- ISO 27001 खोज अगले निगरानी ऑडिट में बंद
6-सप्ताह के समेकन प्रोजेक्ट ने वह ऑडिट खोज समाप्त की जिसके लिए 12-पृष्ठ सुधारात्मक कार्य प्रतिक्रिया की आवश्यकता थी।
अनुपालन कथन परीक्षण
PII टूल विखंडन का मूल्यांकन करने के लिए एक उपयोगी परीक्षण: क्या आप निम्नलिखित प्रश्नों का स्पष्ट रूप से उत्तर दे सकते हैं?
- आपकी टीम PII अनामीकरण के लिए जो सभी प्लेटफ़ॉर्म उपयोग करती है, उन पर कौन से निकाय प्रकार पहचाने जाते हैं?
- सभी प्लेटफ़ॉर्म में प्रत्येक निकाय प्रकार के लिए पहचान सीमा (विश्वास स्तर) क्या है?
- पिछले 12 महीनों में सभी अनामीकरण प्रसंस्करण के लिए केंद्रीकृत ऑडिट ट्रेल कहाँ है?
- आप कैसे सुनिश्चित करते हैं कि कॉन्फ़िगरेशन परिवर्तन सभी प्लेटफ़ॉर्म में लगातार लागू किए जाते हैं?
यदि इनमें से कोई भी प्रश्न अनिश्चित उत्तर उत्पन्न करता है, तो विखंडन अनुपालन जोखिम बना रहा है। इन चारों प्रश्नों का स्वच्छ उत्तर प्राप्त करने योग्य है — लेकिन केवल प्लेटफ़ॉर्म में एकीकृत इंजन के साथ।
स्रोत: