Ne tik SSN: Organizacijos vidaus ID anonimizavimas
Jūsų BDAR įrankis pašalina el. pašto adresus. Jis pašalina telefono numerius. Jis pašalina vardus. Jūs paleidžiate palaikymo eksportus per ji. Tada dalinatės rezultatais su savo analitikos komanda.
Jūsų klientų paskyros numeriai vis dar yra kiekviename biliete. Jūsų užsakymų ID vis dar ten yra. Jūsų vidiniai vartotojų ID vis dar ten irgi.
Šie ID atrodo nekenksmingi patys savaime. Be paieškos lentelės, jie nenurodo asmens. Bet jūsų analitikos komanda turi tą lentelę. Jūsų CRM ją turi. Jūsų palaikymo duomenų bazė ją turi. Bet kuris, turintis prieigą, gali rasti asmenį per sekundes.
Tai BDAR nesėkmė. Įrankis nesugedojo. Jis niekada nebuvo pasakytas ieškoti jūsų ID.
Ką standartiniai ADA įrankiai aptinka
Standartiniai ADA įrankiai apima universalius formatus. Jie pagauna tai, ką naudoja kiekviena organizacija.
Standartiniai įrankiai aptinka:
- Socialinio draudimo numerius (JAV SSN, JK NINO, ES nacionaliniai ID formatai)
- El. pašto adresus
- Telefono numerius
- Kredito kortelių numerius
- Vardus
- Paso ir vairuotojo pažymėjimų numerius
Standartiniai įrankiai neaptinka:
- Darbuotojų ID jūsų EMP-XXXXX formate
- Klientų paskyros numerius jūsų ACC-XXXXXXXX-XX formate
- Užsakymų ID jūsų ORD-XXXXXXX formate
- Vidinius vartotojų ID UUID arba pasirinktiniais formatais
- Partnerių specifinius nuorodų kodus
Standartiniai įrankiai randa universalius modelius. Jūsų vidiniai ID nėra universalūs. Jiems reikia pasirinktinės sąrankos, kad buti rasti.
Pakartotinio identifikavimo rizika
Įmonė eksportuoja palaikymo bilietus kokybės peržiūrai. Standartinis ADA pašalinimas atima vardus, el. paštus ir telefono numerius. Paskyros numeriai ACC-XXXXXXXX-XX formate neliečiami.
Eksportas patenka i analitikos komandą. Analitikas sujungia bilietų lentelę su klientų duomenų baze pagal paskyros numerį. Asmuo randamas iš karto. Nereikia jokio specialaus triuko. Tai yra rutininis SQL sujungimas.
BDAR 4 straipsnio 5 dalis apibrėžia pseudonimizavimą kaip apdorojimą, kai duomenys "nebegali buti priskirti konkrečiam duomenų subjektui be papildomos informacijos naudojimo." Paskyros numeriai neišlaiko šio testo. Papildoma informacija - jūsų klientų duomenų bazė - yra čia pat jūsų organizacijoje.
"Anonimizuotas" eksportas nebuvo anoniminis.
Pasirinktinių esybių modelių kūrimas
Pasirinktinių esybių sąranka yra greita. Atitikties komandos gali tai padaryti be inžinerinės pagalbos.
1 žingsnis: Išvardinkite savo ID formatus.
Užrašykite kiekvieną. Pavyzdžiui: paskyra ACC-XXXXXXXX-XX, užsakymo ID ORD-XXXXXXX, darbuotojo ID EMP-XXXXX.
2 žingsnis: Apibūdinkite formatą paprastąja kalba.
"Paskyros numeriai prasideda nuo ACC, tada brūkšnelis, tada 8 skaitmenys, tada brūkšnelis, tada 2 didžiosios raidės."
DI padedamas modelio generavimas grąžina: ACC-\d{8}-[A-Z]{2}
3 žingsnis: Išbandykite su pavyzdiniais duomenimis.
Įkelkite 20-30 dokumentų. Patvirtinkite, kad visi atvejai yra rasti. Patvirtinkite, kad nera klaidingų atitikimų.
4 žingsnis: Pasirinkite metodą.
ID naudojamiems kaip sujungimo raktai, kur analizei reikia susieti irašus:
- Pseudonimizuokite. Pakeiskite ACC-00123456-AB i ACC-99876543-XY kaskart. Ta pati įvestis visada duoda tą patį rezultatą. Sujungimai vis dar veikia. Originalios reikšmės negalima rasti be rakto.
ID, nereikalingiems analizėje:
- Redaguokite. Pakeiskite su [REDACTED]. Paprasta. Pastovu.
5 žingsnis: Išsaugokite kaip bendrinamą išankstinę konfigūraciją.
Išsaugokite pasirinktinę esybę - arba jų rinkinį - i bendrinamą išankstinę konfigūraciją. Sąranka taikoma visam naudojimui: partijų įkėlimams, API skambučiams, naršyklės sąsajai. Nauji komandos nariai iš karto gauna pilną konfigūraciją.
Atvejo studija: 180 000 palaikymo bilietų
Įmonė rado 180 000 palaikymo bilietų savo analitikos saugykloje. Vardai ir el. paštai buvo pašalinti. Paskyros numeriai - ne. Kiekviename biliete vis dar buvo gyvas ACC-XXXXXXXX-XX.
Sprendimo laiko juosta:
- Atitikties pareigūnas apibrėžia ACC modelį - 15 minučių
- Išbando jį su 30 pavyzdžių bilietų - 20 minučių
- Patvirtina tikslumą - 10 minučių
- Apdoroja 180 000 bilietų nakties partijoje
- Pakeičia saugyklos lenteles švaromis versijomis
Bendras laikas atitikties pareigūnui: 45 minutės. Be pasirinktinių esybių palaikymo, taisymas reikalautų inžinerijos bilieto, kodo peržiūros ir diegimo. Tai trunka savaites, ne valandas.
Artimesniam žvilgsniui, kaip pasirinktiniai ID kuria riziką DI palaikymo įrankiuose, žr. BDAR ir palaikymo DI vadova.
Kur plinta pasirinktiniai ID
Vidiniai ID atsiranda daugiau vietų, nei dauguma komandų tikisi.
Vidiniai dokumentai:
- Susitikimų pastabos su paskyros arba užsakymo ID nuorodomis
- El. pašto gijos apie klientų bylas
- Pristatymai su atvejo studijų duomenimis
Bendrinami su trečiosiomis šalimis:
- Ataskaitos reguliatoriams su bylos nuorodų numeriais
- Audito failai su klientų nuorodomis
- Tiekėjų failai, turintys klientų ID
Tyrimas ir analizė:
- Klientų kelionės duomenų rinkiniai
- Palaikymo kokybės peržiūros eksportai
- Mokymo duomenys vidaus ML modeliams
Kiekvienas kontekstas reikalauja tos pačios pasirinktinių esybių sąrankos, kad būtų sukurta tikrai anoniminė išvestis.
Pseudonimizavimas vs. Anonimizavimas
BDAR brėžia aiškią ribą.
Pseudonimizavimas pakeičia ID pakaitiniais. Originalus asmuo gali buti rastas pakartotinai, jei kas nors turi paieškos lentelę. Šie duomenys vis dar yra asmens duomenys. Tai sumažina riziką. Tai nepanaikina jūsų BDAR pareigų.
Anonimizavimas pašalina galimybę pakartotinai identifikuoti. Anoniminiai duomenys nėra asmens duomenys. BDAR jiems netaikomas.
Paskyros numeriai ir užsakymų ID yra pseudoniminiai, kai egzistuoja paieškos lentelės. Jų keitimas fiksuotais pakaitalais sumažina riziką, bet BDAR vis dar taikomas. Jų keitimas atsitiktiniais žetonais - ir rakto ištrynimas - pašalina BDAR pareigą, bet laužo sujungimu pagrįstą analizę.
Dalinantis su trečiosiomis šalimis, kurios neturi jūsų paieškos lentelių: pseudonimizavimo gali pakakti. Vidinei analizei reikia visiško anonimizavimo arba griežtų prieigos kontrolių. Teisinės atitikties vadovas apima, kaip dokumentuoti kiekvieną metodą jūsų ROPA.
Išvada
Spraga nėra įrankio nesėkmė. Tai sąrankos spraga. Joks įrankis negali žinoti jūsų paskyros numerio formato, jei nepasakysite.
Pasirinktinių esybių sąranka uždaro spragą per valandas. Atitikties komandos apibrėžia formatus, išbando juos su pavyzdiniais duomenimis ir taiko visais naudojimo būdais. Nereikia inžinerijos pagalbos.
180 000 neredaguotų paskyros numerių nebuvo ten, nes įrankis sugedo. Jie buvo ten, nes įrankiui niekada nebuvo pasakyta jų ieškoti.