Apa yang Juruaudit Tanya tentang Kawalan PII
Juruaudit GDPR dan ISO 27001 mengemukakan soalan standard. "Apakah kawalan yang anda ada untuk anonimisasi PII?"
Mereka mahukan satu jawapan yang jelas. Satu kawalan. Diterapkan dengan cara yang sama setiap kali. Dengan dokumentasi dan bukti.
Jawapan berisiko kedengaran seperti ini: "Ia bergantung pada konteks. Sambungan Chrome untuk pelayaran web. Makro Word untuk dokumen undang-undang. Skrip Python untuk fail pukal. Aplikasi web untuk permintaan mendesak."
Jawapan itu mencetuskan soalan susulan. "Apakah jurang liputan antara alat-alat ini? Di manakah jejak audit?"
Alat yang berfragmen tidak dapat menjawab soalan-soalan tersebut. Itulah masalah pematuhan.
Masalah Konsistensi Liputan
Alat PII yang berbeza menggunakan kaedah pengesanan yang berbeza. Keputusan mereka berbeza — kadangkala sangat banyak.
Alat regex sahaja mencari corak tetap. Format SSN. Format e-mel. Format kad kredit. Mereka terlepas entiti berasaskan NER. Nama orang dan format bukan-AS tidak dikesan.
Alat NER sahaja mengesan jenis entiti menggunakan model terlatih. Mereka terlepas entiti berasaskan corak. IBAN dan pengecam tersuai terlepas jika tidak ada dalam data latihan.
Setiap alat mempunyai liputan entiti yang berbeza. Setiap alat mempunyai ambang keyakinan yang berbeza. Dokumen yang sama melalui Alat A dan Alat C mungkin menghasilkan keputusan yang berbeza. VERIFIED.
Ini mencipta jurang pematuhan langsung. Alat A digunakan untuk PDF. Alat B digunakan untuk Excel. Alat A mengesan tarikh lahir. Alat B tidak. Tarikh lahir orang yang sama dianonimisasi dalam PDF tetapi terdedah dalam fail Excel.
Jurang itu bergantung pada format fail — bukan pada dasar. Bukan pada niat.
Penyiasat DPA boleh menemui jurang ini dalam siasatan pelanggaran. Ketidakkonsistenan alat menjadi faktor dalam pendedahan. VERIFIED — Artikel GDPR 32 memerlukan langkah teknikal yang sistematik.
Masalah Jejak Audit
Pematuhan memerlukan bukti penggunaan kawalan yang konsisten. Untuk anonimisasi PII, bukti tersebut adalah jejak audit.
Empat alat menghasilkan empat format log yang berbeza. Sesetengah tidak menghasilkan log sama sekali.
Makro Word tidak mencipta rekod audit. Skrip Python mungkin menulis ke fail tempatan. Fail itu tidak dipautkan kepada sistem pematuhan anda. Sambungan Chrome mungkin menulis log sisi pelayar. Log tersebut tidak boleh diakses untuk semakan pematuhan.
Apabila siasatan DPA meminta bukti audit, satu jawapan berfungsi. Ia adalah log berpusat. Ia meliputi semua pemprosesan anonimisasi merentasi semua platform.
Jawapan yang lain tidak berfungsi. Log pada mesin tempatan pembangun daripada makro Word tidak mencukupi.
Pemprosesan platform tunggal menjadikan satu jejak audit mungkin. Alat yang berfragmen menjadikannya mustahil.
Untuk butiran tentang keperluan jejak audit, lihat redaksi boleh-jelaskan dan jejak audit HIPAA.
Masalah Hanyutan Konfigurasi
Dari masa ke masa, alat yang berbeza mengembangkan konfigurasi yang berbeza. Ini berlaku perlahan-lahan dan tanpa amaran.
Pertimbangkan corak biasa. Sambungan Chrome dikemas kini dengan jenis entiti tersuai. Skrip Python tidak dikemas kini. Makro Word telah disediakan oleh ahli pasukan yang sejak itu telah pergi. Tiada seorang pun tahu tetapan semasa. Praset aplikasi web berubah untuk mengecualikan nama kontraktor. Perubahan itu tidak pernah sampai ke alat lain.
Mengemas kini satu alat tanpa mengemas kini yang lain menyebabkan hanyutan. Dari masa ke masa, hanyutan menyebabkan jurang.
Juruaudit ISO 27001 meminta dokumentasi konfigurasi. "Kami mempunyai empat alat, empat konfigurasi, dan kami tidak pasti ia terkini" bukan jawapan yang baik. VERIFIED — ISO/IEC 27001:2022 Lampiran A 8.11 (Penutupan data) memerlukan kawalan yang didokumentasikan dan konsisten; ISO/IEC 27001:2022.
Dapatan ISO 27001 dalam Amalan
Firma pematuhan 15 orang menggunakan empat alat. Pengikis web untuk data dalam talian. Alat desktop Windows untuk fail pukal. Makro Word untuk dokumen undang-undang. Sambungan Chrome untuk alat AI.
Audit ISO 27001 menghasilkan dapatan. Keputusan pengesanan yang berbeza merentasi platform. Tiada jejak audit berpusat. Jurang dalam Lampiran A 8.11. Kawalan tidak ditunjukkan sebagai diterapkan secara konsisten. VERIFIED-EXTERNAL — ini sepadan dengan corak ketidakpatuhan ISO 27001 Lampiran A 8.11 yang didokumentasikan.
Dapatan itu memerlukan pelan tindakan pembetulan. Tindakan pembetulan adalah penyatuan platform.
Selepas penyatuan, firma itu mempunyai satu enjin pengesanan merentasi semua empat platform. Praset yang sama diterapkan dalam setiap konteks. Semua pemprosesan dilog di satu tempat. Dapatan ISO 27001 ditutup pada audit berikutnya.
Projek itu mengambil masa enam minggu. Ia menggantikan respons tindakan pembetulan 12 halaman dengan dapatan yang ditutup.
Untuk maklumat lanjut tentang cara anonimisasi yang konsisten menyokong kesediaan audit GDPR, lihat konsistensi anonimisasi, praset, dan audit GDPR.
Ujian Naratif Pematuhan
Bolehkah anda menjawab empat soalan ini tanpa teragak-agak?
- Apakah jenis entiti yang dikesan merentasi setiap platform yang digunakan pasukan anda?
- Apakah ambang pengesanan untuk setiap jenis entiti, secara konsisten merentasi semua platform?
- Di manakah jejak audit berpusat untuk semua anonimisasi dalam 12 bulan yang lalu?
- Bagaimana anda memastikan perubahan konfigurasi diterapkan merentasi semua platform?
Jika mana-mana soalan menyebabkan keraguan, fragmentasi sedang mencipta risiko pematuhan.
Jawapan bersih kepada keempat-empat soalan adalah boleh dicapai. Ia memerlukan satu enjin merentasi semua platform. Tanpa itu, setiap alat mencipta jurang liputan tersendiri. Silo jejak audit tersendiri. Hanyutan konfigurasi tersendiri.
Juruaudit menyedari jurang-jurang ini. Penyiasat DPA boleh mengeksploitasinya. Menyatukan sebelum dapatan audit adalah jauh lebih mudah daripada melakukannya selepasnya.
Untuk maklumat lanjut tentang cara fragmentasi alat mempengaruhi kawalan GDPR rentas platform, lihat audit GDPR dan fragmentasi alat PII merentasi platform.