Ko auditori jautā par PII kontrolēm
GDPR un ISO 27001 auditori uzdod standarta jautājumu. "Kādas kontroles jums ir PII anonimizācijai?"
Viņi vēlas vienu skaidru atbildi. Vienu kontroli. Piemērot vienādi katru reizi. Ar dokumentāciju un pierādījumiem.
Riskantā atbilde izklausās šādi: "Tas ir atkarīgs no konteksta. Chrome paplašinājums tīmekļa pārlūkošanai. Word makro juridiskiem dokumentiem. Python skripts lielajiem failiem. Tīmekļa lietotne steidzamiem pieprasījumiem."
Šī atbilde aktivizē papildu jautājumus. "Kādas ir pārklājuma atšķirības starp šiem rīkiem? Kur ir audita ceļš?"
Sadrumstaloti rīki nevar atbildēt uz šiem jautājumiem. Tā ir atbilstības problēma.
Pārklājuma konsekvences problēma
Dažādi PII rīki izmanto dažādas noteikšanas metodes. Viņu rezultāti atšķiras — dažreiz ļoti.
Tikai regex rīki meklē fiksētus rakstus. SSN formāts. E-pasta formāts. Kredītkartes formāts. Tie palaiž garām NER bāzētas entītijas. Personu vārdi un ārpusamerikāņu formāti netiek atklāti.
Tikai NER rīki atklāj entītiju veidus, izmantojot apmācītus modeļus. Tie palaiž garām rakstbāzētas entītijas. IBAN un pielāgotie identifikatori izkrīt, ja tie nav apmācības datos.
Katram rīkam ir atšķirīgs entītiju pārklājums. Katram rīkam ir atšķirīgi ticamības sliekšņi. Tas pats dokuments caur Rīku A un Rīku C var radīt dažādus rezultātus. PĀRBAUDĪTS.
Tas rada tiešu atbilstības plaisu. Rīku A izmanto PDF failiem. Rīku B izmanto Excel. Rīks A atklāj dzimšanas datumus. Rīks B — ne. Tās pašas personas dzimšanas datums ir anonimizēts PDF failos, bet atklāts Excel failos.
Plaisa ir atkarīga no faila formāta — ne no politikas. Ne no nolūka.
DPA izmeklētāji var atrast šo plaisu pārkāpumu izmeklēšanā. Rīku neatbilstība kļūst par faktoru iedarbībā. PĀRBAUDĪTS — GDPR 32. pants prasa sistemātiskus tehniskos pasākumus.
Audita ceļa problēma
Atbilstība prasa pierādījumus par konsekventu kontroles lietošanu. PII anonimizācijai šis pierādījums ir audita ceļš.
Četri rīki ražo četrus dažādus žurnālu formātus. Daži neražo žurnālu vispār.
Word makro neizveido audita ierakstu. Python skripts var rakstīt lokālajā failā. Šis fails nav saistīts ar jūsu atbilstības sistēmu. Chrome paplašinājums var rakstīt pārlūkprogrammas puses žurnālus. Šie žurnāli nav pieejami atbilstības pārskatam.
Kad DPA izmeklēšana prasa audita pierādījumus, viena atbilde darbojas. Tā ir centralizēts žurnāls. Tas aptver visu anonimizācijas apstrādi visās platformās.
Cita atbilde nedarbojas. Žurnāli izstrādātāja lokālajā datorā no Word makro nav pietiekami.
Vienas platformas apstrāde padara vienu audita ceļu iespējamu. Sadrumstaloti rīki padara to neiespējamu.
Sīkāk par audita ceļa prasībām skatiet izskaidrojamu rediģēšanu un HIPAA audita ceļiem.
Konfigurācijas novirzes problēma
Laika gaitā dažādi rīki attīsta dažādas konfigurācijas. Tas notiek lēnām un bez brīdinājuma.
Apsveriet izplatītu modeli. Chrome paplašinājums tiek atjaunināts ar pielāgotiem entītiju veidiem. Python skripts netiek atjaunināts. Word makro tika iestatīts komandas loceklis, kurš kopš tā laika ir aizgājis. Neviens nezina pašreizējos iestatījumus. Tīmekļa lietotnes priekšiestatījums mainās, lai izslēgtu darbuzņēmēju vārdus. Šīs izmaiņas nekad nesasniedz citus rīkus.
Viena rīka atjaunināšana, neatjauninot citus, izraisa novirzi. Laika gaitā novirze rada plaisas.
ISO 27001 auditori prasa konfigurācijas dokumentāciju. "Mums ir četri rīki, četras konfigurācijas, un mēs neesam pārliecināti, vai tās ir aktuālas" nav laba atbilde. PĀRBAUDĪTS — ISO/IEC 27001:2022 A pielikums 8.11 (Datu maskēšana) prasa dokumentētas, konsekventas kontroles; ISO/IEC 27001:2022.
ISO 27001 konstatējums praksē
15 cilvēku atbilstības firma izmantoja četrus rīkus. Tīmekļa skrāpētājs tiešsaistes datiem. Windows darbvirsmas rīks lielajiem failiem. Word makro juridiskiem dokumentiem. Chrome paplašinājums AI rīkiem.
ISO 27001 audits radīja konstatējumu. Atšķirīgi noteikšanas rezultāti dažādās platformās. Nav centralizēta audita ceļa. Plaisa A pielikumā 8.11. Kontrole netika parādīta kā konsekventi piemērota. PĀRBAUDĪTS-ĀRĒJS — tas atbilst dokumentētajiem ISO 27001 A pielikuma 8.11 neatbilstības modeļiem.
Konstatējums prasīja korektīvu darbību plānu. Korektīvā darbība bija platformas konsolidācija.
Pēc konsolidācijas firmai bija viens noteikšanas dzinējs visās četrās platformās. Vieni un tie paši priekšiestatījumi tika piemēroti katrā kontekstā. Visa apstrāde tika reģistrēta vienuviet. ISO 27001 konstatējums tika slēgts nākamajā auditā.
Projekts aizņēma sešas nedēļas. Tas aizstāja 12 lappušu korektīvo darbību atbildi ar slēgtu konstatējumu.
Plašāk par to, kā konsekventa anonimizācija atbalsta GDPR audita gatavību, skatiet anonimizācijas konsekvenci, priekšiestatījumus un GDPR auditus.
Atbilstības naratīva tests
Vai varat atbildēt uz šiem četriem jautājumiem bez vilcināšanās?
- Kādi entītiju veidi tiek atklāti visās platformās, ko izmanto jūsu komanda?
- Kāds ir noteikšanas slieksnis katram entītiju veidam, konsekventi visās platformās?
- Kur atrodas centralizētais audita ceļš visai anonimizācijai pēdējos 12 mēnešos?
- Kā jūs nodrošināt, ka konfigurācijas izmaiņas tiek piemērotas visās platformās?
Ja kāds jautājums rada vilcināšanos, sadrumstalotība rada atbilstības risku.
Tīra atbilde uz visiem četriem jautājumiem ir sasniedzama. Tas prasa vienu dzinēju visās platformās. Bez tā katrs rīks rada savu pārklājuma plaisu. Savu audita ceļa silo. Savu konfigurācijas novirzi.
Auditori pamana šīs plaisas. DPA izmeklētāji var tās izmantot. Konsolidācija pirms audita konstatējuma ir daudz vieglāka nekā pēc tā.
Plašāk par to, kā rīku sadrumstalotība ietekmē starpplatformu GDPR kontroles, skatiet GDPR auditu un PII rīku sadrumstalotību dažādās platformās.