Cosa Vedono gli Auditor Quando Chiedono dei Controlli PII
Durante un audit da parte di un'autorità di supervisione GDPR o una valutazione ISO 27001, una delle domande standard è: "Quali controlli tecnici avete per l'anonimizzazione dei PII?"
L'auditor cerca una risposta chiara e difendibile: un controllo specifico, applicato in modo coerente, con documentazione su come funziona e prove della sua efficacia.
La risposta che crea rischio di conformità: "Usiamo strumenti diversi a seconda del contesto. Per la navigazione web usiamo l'estensione di Chrome, per i documenti Word usiamo una macro, per i file in massa il nostro team dati ha uno script Python che hanno scritto, e per richieste urgenti usiamo l'app web."
Questa risposta provoca un follow-up: "Quali sono le differenze nella copertura tra questi strumenti? Come garantite risultati coerenti tra gli strumenti? Dove si trova la traccia di audit che dimostra l'applicazione coerente?"
Queste sono domande a cui gli strumenti frammentati non possono rispondere in modo chiaro.
Il Problema della Coerenza della Copertura
Diversi strumenti di rilevamento PII utilizzano approcci di rilevamento sottostanti diversi:
Strumenti solo Regex: Cercano schemi specifici (formato SSN, formato email, formato carta di credito). Mancano entità basate su NER (nomi di persone, organizzazioni che non corrispondono a un elenco noto), identificatori contestuali e formati non statunitensi.
Strumenti solo NER: Rilevano tipi di entità utilizzando modelli addestrati. Mancano entità basate su schemi (IBAN, numeri di conto con formati specifici), identificatori organizzativi personalizzati e entità non presenti nei dati di addestramento.
Strumento A vs. Strumento B vs. Strumento C: Ognuno ha una copertura di tipo di entità diversa, soglie di confidenza diverse, gestione diversa dei casi limite. Lo stesso documento elaborato tramite Strumento A e Strumento C può produrre risultati di rilevamento diversi.
Il problema di conformità: se lo Strumento A (utilizzato per i PDF) rileva le date di nascita ma lo Strumento B (utilizzato per Excel) no, allora la data di nascita dello stesso soggetto in un PDF è anonimizzata mentre la loro data di nascita in un foglio di calcolo Excel non lo è. Il controllo sistematico di conformità ha un gap che dipende dal formato del documento.
Per le indagini DPA, questo gap è scopribile. Se si verifica una violazione dei dati e l'indagine rivela che la versione del foglio di calcolo Excel dei registri di un soggetto dati non è stata anonimizzata mentre la versione PDF lo era, l'incoerenza tra gli strumenti è un fattore che contribuisce all'esposizione.
Il Problema della Traccia di Audit
La documentazione di conformità richiede prove che i controlli siano applicati in modo coerente. Per l'anonimizzazione dei PII, la prova è la traccia di audit: cosa è stato elaborato, quando, da chi, con quale strumento e quale è stato il risultato.
Quattro strumenti diversi producono quattro formati di traccia di audit diversi — o nessuna traccia di audit. Una macro di Word non produce alcun registro di audit. Uno script Python può scrivere su un file locale che non è integrato con il sistema di gestione della conformità. L'estensione di Chrome può produrre registri lato browser non accessibili per la documentazione di conformità. Solo l'app web può produrre una traccia di audit centralizzata.
Per un'indagine DPA che richiede prove della traccia di audit, la risposta "abbiamo elaborato questo documento in una macro di Word, quei registri sono sulla macchina locale dello sviluppatore" non è soddisfacente. La risposta "ecco il registro di audit centralizzato che copre tutto il processo di anonimizzazione su tutte le piattaforme per il periodo richiesto" è soddisfacente.
L'elaborazione su una singola piattaforma consente una copertura della traccia di audit unica. Gli strumenti frammentati rendono impossibile una traccia di audit centralizzata.
Il Problema della Deriva di Configurazione
Nel tempo, diversi strumenti utilizzati da membri diversi del team sviluppano configurazioni diverse:
- L'estensione di Chrome è configurata con i tipi di entità personalizzati dell'organizzazione
- Lo script Python non è stato aggiornato quando sono stati aggiunti i tipi di entità personalizzati
- La macro di Word è stata configurata da un membro del team che se n'è andato, e nessuno conosce le impostazioni attuali
- Il preset dell'app web è stato aggiornato il mese scorso per escludere i nomi dei contrattisti, ma questo aggiornamento non è stato propagato agli altri strumenti
La deriva di configurazione crea il problema di incoerenza al contrario: anche se tutti gli strumenti inizialmente producevano risultati simili, l'attività di manutenzione su uno strumento senza aggiornare gli altri crea divergenza nel tempo.
Per i controlli ISO 27001, il requisito di documentazione della configurazione rende questo particolarmente problematico. Un auditor ISO che chiede "mostrami la configurazione per i tuoi controlli di anonimizzazione PII" non può ricevere una risposta soddisfacente con "abbiamo quattro strumenti con quattro configurazioni diverse, e non siamo sicuri che siano tutte attuali."
La Scoperta ISO 27001
Un team di 15 persone di una società di consulenza per la conformità ha utilizzato quattro strumenti diversi: uno strumento di scraping web per dati online, uno strumento desktop Windows autonomo per file in massa, una macro di Word per documenti legali e un'estensione di Chrome per strumenti AI.
Un audit ISO 27001 ha prodotto una scoperta: "Procedure di anonimizzazione dei dati incoerenti tra le piattaforme. Strumenti diversi utilizzati per contesti diversi producono risultati di rilevamento diversi e nessuna traccia di audit centralizzata. Questo crea un gap nel controllo ISO/IEC 27001:2022 Allegato A 8.11 (Mascheramento dei dati) — il controllo non può essere dimostrato come applicato in modo coerente."
La scoperta dell'audit ha richiesto un piano di azione correttiva. L'azione correttiva implementata: consolidamento su una singola piattaforma di anonimizzazione per tutti i casi d'uso.
Risultati dopo il consolidamento:
- Stesso motore di rilevamento su tutte le piattaforme (App Web, App Desktop, Add-in Office, Estensione Chrome)
- Stessi preset applicati tra i contesti
- Traccia di audit centralizzata per tutto il processo
- Scoperta ISO 27001 chiusa al successivo audit di sorveglianza
Il progetto di consolidamento di 6 settimane ha eliminato la scoperta di audit che aveva richiesto una risposta correttiva di 12 pagine.
Il Test della Narrazione di Conformità
Un test utile per valutare la frammentazione degli strumenti PII: puoi rispondere chiaramente alle seguenti domande?
- Quali tipi di entità sono rilevati su tutte le piattaforme che il tuo team utilizza per l'anonimizzazione dei PII?
- Qual è la soglia di rilevamento (livello di confidenza) per ciascun tipo di entità, in modo coerente su tutte le piattaforme?
- Dove si trova la traccia di audit centralizzata per tutto il processo di anonimizzazione negli ultimi 12 mesi?
- Come garantite che le modifiche di configurazione siano applicate in modo coerente su tutte le piattaforme?
Se una di queste domande produce una risposta esitante, la frammentazione sta creando rischio di conformità. La risposta chiara a tutte e quattro le domande è raggiungibile — ma solo con un motore unificato su tutte le piattaforme.
Fonti: