Apa yang Dilihat Auditor Ketika Mereka Bertanya tentang Kontrol PII
Selama audit otoritas pengawas GDPR atau penilaian ISO 27001, salah satu pertanyaan standar adalah: "Kontrol teknis apa yang Anda miliki untuk anonimisasi PII?"
Auditor mencari jawaban yang jelas dan dapat dipertahankan: kontrol tertentu, diterapkan secara konsisten, dengan dokumentasi tentang cara kerjanya dan bukti efektivitasnya.
Jawaban yang menciptakan risiko kepatuhan: "Kami menggunakan alat yang berbeda tergantung konteksnya. Untuk penjelajahan web kami menggunakan Ekstensi Chrome, untuk dokumen Word kami menggunakan makro, untuk file massal tim data kami memiliki skrip Python yang mereka tulis, dan untuk permintaan mendesak kami menggunakan aplikasi web."
Jawaban ini memicu tindak lanjut: "Apa perbedaan cakupan antara alat-alat ini? Bagaimana Anda memastikan hasil yang konsisten di seluruh alat? Di mana jejak audit yang menunjukkan penerapan yang konsisten?"
Ini adalah pertanyaan yang tidak dapat dijawab dengan bersih oleh tooling yang terfragmentasi.
Masalah Konsistensi Cakupan
Alat deteksi PII yang berbeda menggunakan pendekatan deteksi yang berbeda:
Alat hanya-regex: Mencari pola tertentu (format NIK, format email, format kartu kredit). Melewatkan entitas berbasis NER (nama orang, organisasi yang tidak cocok dengan daftar yang diketahui), pengidentifikasi kontekstual, dan format non-AS.
Alat hanya-NER: Mendeteksi jenis entitas menggunakan model terlatih. Melewatkan entitas berbasis pola (IBAN, nomor rekening dengan format tertentu), pengidentifikasi organisasi kustom, dan entitas yang tidak ada dalam data pelatihan.
Alat A vs. Alat B vs. Alat C: Masing-masing memiliki cakupan jenis entitas yang berbeda, ambang kepercayaan yang berbeda, penanganan kasus tepi yang berbeda. Dokumen yang sama yang diproses melalui Alat A dan Alat C mungkin menghasilkan hasil deteksi yang berbeda.
Masalah kepatuhan: jika Alat A (digunakan untuk PDF) mendeteksi tanggal lahir tetapi Alat B (digunakan untuk Excel) tidak, maka tanggal lahir subjek data yang sama dalam PDF dianonimkan sementara tanggal lahir mereka dalam spreadsheet Excel tidak. Kontrol kepatuhan sistematis memiliki kesenjangan yang bergantung pada format dokumen.
Untuk investigasi DPA, kesenjangan ini dapat ditemukan. Jika pelanggaran data terjadi dan investigasi mengungkapkan bahwa versi spreadsheet Excel catatan subjek data tidak dianonimkan sementara versi PDF dianonimkan, inkonsistensi antara alat adalah faktor yang berkontribusi terhadap paparan tersebut.
Masalah Jejak Audit
Dokumentasi kepatuhan memerlukan bukti bahwa kontrol diterapkan secara konsisten. Untuk anonimisasi PII, buktinya adalah jejak audit: apa yang diproses, kapan, oleh siapa, dengan alat apa, dan apa hasilnya.
Empat alat berbeda menghasilkan empat format jejak audit yang berbeda — atau tidak ada jejak audit sama sekali. Makro Word tidak menghasilkan log audit. Skrip Python mungkin menulis ke file lokal yang tidak terintegrasi dengan sistem manajemen kepatuhan. Ekstensi Chrome mungkin menghasilkan log sisi browser yang tidak dapat diakses untuk dokumentasi kepatuhan. Hanya aplikasi web yang mungkin menghasilkan jejak audit terpusat.
Untuk investigasi DPA yang memerlukan bukti jejak audit, respons "kami memproses dokumen ini dalam makro Word, log tersebut ada di mesin lokal developer" tidak memuaskan. Respons "inilah log audit terpusat yang mencakup semua pemrosesan anonimisasi di semua platform untuk periode yang diminta" adalah memuaskan.
Pemrosesan platform tunggal memungkinkan cakupan jejak audit tunggal. Tooling yang terfragmentasi membuat jejak audit terpusat tidak mungkin dilakukan.
Masalah Pergeseran Konfigurasi
Seiring waktu, alat berbeda yang digunakan oleh anggota tim berbeda mengembangkan konfigurasi yang berbeda:
- Ekstensi Chrome dikonfigurasi dengan jenis entitas kustom organisasi
- Skrip Python tidak diperbarui ketika jenis entitas kustom ditambahkan
- Makro Word dikonfigurasi oleh anggota tim yang telah pergi, dan tidak ada yang tahu pengaturan saat ini
- Preset aplikasi web diperbarui bulan lalu untuk mengecualikan nama kontraktor, tetapi pembaruan ini tidak disebarkan ke alat lain
Pergeseran konfigurasi menciptakan masalah inkonsistensi secara terbalik: bahkan jika semua alat awalnya menghasilkan hasil yang serupa, aktivitas pemeliharaan pada satu alat tanpa memperbarui yang lain menciptakan divergensi seiring waktu.
Untuk kontrol ISO 27001, persyaratan dokumentasi konfigurasi membuat ini sangat bermasalah. Auditor ISO yang bertanya "tunjukkan konfigurasi untuk kontrol anonimisasi PII Anda" tidak dapat dijawab dengan memuaskan dengan "kami memiliki empat alat dengan empat konfigurasi berbeda, dan kami tidak yakin semuanya sudah terkini."
Temuan ISO 27001
Tim 15 orang dari firma konsultasi kepatuhan menggunakan empat alat berbeda: alat web scraper untuk data online, alat desktop Windows mandiri untuk file massal, makro Word untuk dokumen hukum, dan ekstensi Chrome untuk alat AI.
Audit ISO 27001 menghasilkan temuan: "Prosedur anonimisasi data yang tidak konsisten di seluruh platform. Alat berbeda yang digunakan untuk konteks berbeda menghasilkan hasil deteksi yang berbeda dan tidak ada jejak audit terpusat. Ini menciptakan kesenjangan dalam kontrol ISO/IEC 27001:2022 Lampiran A 8.11 (Penyembunyian data) — kontrol tidak dapat dibuktikan sebagai diterapkan secara konsisten."
Temuan audit memerlukan rencana tindakan korektif. Tindakan korektif yang diterapkan: konsolidasi ke platform anonimisasi tunggal untuk semua kasus penggunaan.
Hasil setelah konsolidasi:
- Mesin deteksi yang sama di semua platform (Aplikasi Web, Aplikasi Desktop, Add-in Office, Ekstensi Chrome)
- Preset yang sama diterapkan di semua konteks
- Jejak audit terpusat untuk semua pemrosesan
- Temuan ISO 27001 ditutup pada audit pengawasan berikutnya
Proyek konsolidasi 6 minggu menghilangkan temuan audit yang memerlukan respons tindakan korektif 12 halaman.
Uji Narasi Kepatuhan
Uji yang berguna untuk mengevaluasi fragmentasi alat PII: dapatkah Anda dengan jelas menjawab pertanyaan-pertanyaan berikut?
- Jenis entitas apa yang terdeteksi di semua platform yang digunakan tim Anda untuk anonimisasi PII?
- Apa ambang deteksi (tingkat kepercayaan) untuk setiap jenis entitas, secara konsisten di semua platform?
- Di mana jejak audit terpusat untuk semua pemrosesan anonimisasi dalam 12 bulan terakhir?
- Bagaimana Anda memastikan bahwa perubahan konfigurasi diterapkan secara konsisten di semua platform?
Jika salah satu dari pertanyaan ini menghasilkan jawaban yang ragu-ragu, fragmentasi menciptakan risiko kepatuhan. Jawaban bersih untuk keempat pertanyaan dapat dicapai — tetapi hanya dengan mesin terpadu di seluruh platform.
Sumber: