Satu Alat, Tiga Rangka Kerja
Pasukan privasi memproses fail pelanggan EU di bawah GDPR pada hari Isnin. Rekod penjagaan kesihatan di bawah HIPAA pada hari Selasa. Data pengguna California di bawah CCPA pada hari Rabu.
Setiap undang-undang mempunyai peraturan berbeza. Setiap dokumen memerlukan persediaan berbeza.
Bertukar antara tiga set peraturan setiap hari mewujudkan kesilapan. Persediaan yang salah pada fail yang salah menyebabkan kegagalan pematuhan atau kehilangan data.
Profil pematuhan bernama membetulkan ini. Satu persediaan tersimpan per undang-undang. Tiada konfigurasi semula manual.
GDPR - Apa yang Dilindunginya
GDPR melindungi semua data peribadi. Ia terpakai kepada mana-mana individu EU yang boleh dikenal pasti. Tiada senarai tetap tentang apa yang dikira. Sebarang maklumat yang berkaitan dengan seseorang adalah dalam skop.
Kategori khas - data kesihatan, kepercayaan agama, pandangan politik - mendapat perlindungan tambahan di bawah Artikel 9.
Jenis entiti biasa untuk kerja dokumen: nama, alamat, ID kebangsaan, e-mel, nombor telefon, alamat IP, kad kredit.
Pilihan yang betul bergantung pada konteks. GDPR tiada senarai tetap.
HIPAA - Apa yang Dilindunginya
HIPAA Safe Harbor mendefinisikan tepat 18 jenis pengenal pasti. Kesemua 18 mesti dibuang dari rekod kesihatan.
Dua peraturan mengejutkan pasukan:
- Tarikh dikurangkan kepada tahun sahaja. Bulan dan hari dibuang. Tahun kekal.
- Kawasan geografi yang lebih kecil daripada sebuah negeri mesti dibuang.
Peraturan ini hanya terpakai kepada entiti yang dilindungi dan rakan kongsi perniagaan mereka.
CCPA - Apa yang Dilindunginya
CCPA melindungi maklumat peribadi yang dikaitkan dengan penduduk California. Skopnya luas. Ia termasuk pengenal pasti langsung, aktiviti internet, sejarah pembelian, data geolokasi, data biometrik, dan inferens profil.
Untuk kerja dokumen, fokus pada pengenal pasti langsung: nama, SSN, lesen pemandu, nombor pasport, e-mel, nombor akaun, alamat IP, ID peranti.
Sejarah pembelian dan log penyemakan imbas jarang muncul sebagai teks biasa dalam dokumen.
Mengapa Penukaran Manual Gagal
Penukaran manual mewujudkan kesilapan. Fail GDPR yang dijalankan dengan persediaan HIPAA mengambil peraturan tarikh yang tidak diperlukan GDPR. Fail HIPAA yang dijalankan dengan persediaan GDPR terlepas peraturan geografi yang diperlukan Safe Harbor.
Kajian menunjukkan penukaran rangka kerja manual menghasilkan kesilapan kira-kira 15% masa. Setiap kesilapan adalah ketinggalan pematuhan atau peristiwa kehilangan data.
Kakitangan mesti mengingati tiga set peraturan dan menerapkan yang betul setiap kali. Itu bukan proses. Ia adalah tekaan yang dibuat setiap hari.
Tiga Persediaan Bernama
"Standard GDPR - Pelanggan EU"
Mengesan: nama, alamat, ID kebangsaan, e-mel, nombor telefon, alamat IP, kad kredit.
Kaedah: Redact.
Kecualikan tarikh melainkan tarikh lahir dalam skop. Sertakan alamat IP untuk kerja data dalam talian.
"HIPAA Safe Harbor - Penjagaan Kesihatan"
Mengesan: nama orang, tarikh, lokasi sub-negeri, telefon, faks, e-mel, SSN, nombor rekod perubatan, ID pelan kesihatan, nombor akaun, nombor sijil, ID kenderaan, ID peranti, URL, alamat IP, ID biometrik. Itu merangkumi semua 18 jenis Safe Harbor.
Kaedah: Redact. Untuk tarikh: kekalkan tahun. Buang bulan dan hari.
Tambah corak tersuai untuk format nombor rekod perubatan kemudahan anda.
"CCPA - Pengguna California"
Mengesan: nama, alamat, nombor telefon, e-mel, SSN, lesen pemandu, nombor pasport, kad kredit, alamat IP, URL, nombor akaun, ID peranti.
Kaedah: Replace (terbaik untuk analitik) atau Redact.
Setiap persediaan tersimpan mengunci keputusan pematuhan. Pengendali memilih profil yang sesuai dengan konteks undang-undang dokumen. Tiada senarai entiti untuk dibina. Tiada kaedah untuk dipilih.
Kadar Kesilapan Sebelum dan Selepas
Sebelum profil bernama: Kakitangan mengkonfigurasi semula secara manual untuk setiap undang-undang. Kadar kesilapan hampir 15%. Audit tahunan mendapati penemuan penerapan rangka kerja setiap tahun.
Selepas profil bernama: Kakitangan memilih profil tersimpan. Persediaan adalah tetap. Kadar kesilapan turun di bawah 2%. Kesilapan yang tinggal datang daripada memilih profil yang salah. Semakan QA menangkapnya. Audit lulus tanpa penemuan.
Peralihan utama: keputusan pematuhan bergerak dari pelaksanaan harian ke penciptaan profil. Pakar memutuskan sekali. Setiap pengendali menerapkannya tanpa berfikir.
Menjalankan Pasukan Berbilang Rangka Kerja
Tetapkan pemilikan. Satu ketua per undang-undang. Ketua GDPR memiliki profil GDPR. Pegawai HIPAA memiliki persediaan HIPAA. Setiap ketua menyemak profil mereka setiap suku tahun.
Halakan mengikut sumber. Data pelanggan EU menggunakan profil GDPR. Data penjagaan kesihatan AS menggunakan profil HIPAA. Data pengguna California menggunakan profil CCPA.
Log setiap jalankan. Log pemprosesan merekodkan profil mana yang digunakan pada setiap kumpulan. Apabila juruaudit bertanya bagaimana fail dikendalikan, jawapannya adalah nama profil, tarikh, dan log konfigurasi.
Tolak kemas kini. Apabila EDPB mengeluarkan panduan baru, ketua GDPR mengemas kini persediaan yang dikongsi. Semua jalankan akan datang mengambil perubahan. Tiada sesiapa yang perlu diberitahu.
Untuk pandangan mendalam tentang tadbir urus profil dan bukti audit, lihat praset penanaman nama dan konsistensi audit GDPR. Untuk liputan entiti HIPAA Safe Harbor secara terperinci, lihat de-pengenalpastian HIPAA Safe Harbor untuk penyelidikan penjagaan kesihatan.
Kesimpulan
Tiga undang-undang. Tiga profil tersimpan. Satu alat.
Kompleksiti berada di peringkat definisi profil. Bukan dalam pemprosesan harian. Pengendali tidak perlu mengetahui peraturan tarikh HIPAA. Mereka perlu mengetahui profil mana yang sesuai dengan dokumen di hadapan mereka.
Persediaan bernama mengurangkan beban kognitif. Mereka mengurangkan kesilapan. Mereka menjadikan pematuhan boleh dibuktikan.