Czego audytorzy oczekują w zakresie kontroli PII
Audytorzy RODO i ISO 27001 zadają standardowe pytanie: „Jakie kontrole stosujecie do anonimizacji danych osobowych?”
Oczekują jednej, jasnej odpowiedzi. Jednej kontroli. Stosowanej w ten sam sposób za każdym razem. Poparta dokumentacją i dowodami.
Ryzykowna odpowiedź brzmi tak: „Zależy od kontekstu. Rozszerzenie Chrome do przeglądania internetu. Makro Word do dokumentów prawnych. Skrypt Python do plików zbiorczych. Aplikacja webowa do pilnych przypadków.”
Taka odpowiedź natychmiast wywołuje kolejne pytania: „Jakie są luki w pokryciu między tymi narzędziami? Gdzie jest ścieżka audytu?”
Fragmentacja narzędzi nie potrafi odpowiedzieć na te pytania. To właśnie jest problem z compliance.
Problem spójności pokrycia
Różne narzędzia PII stosują różne metody wykrywania. Ich wyniki się różnią — czasami znacznie.
Narzędzia oparte wyłącznie na wyrażeniach regularnych szukają stałych wzorców: formatu numeru PESEL, adresu e-mail, numeru karty kredytowej. Omijają encje wykrywane przez NER. Imiona osób i formaty spoza danego kraju pozostają niewykryte.
Narzędzia oparte wyłącznie na NER wykrywają typy encji za pomocą wytrenowanych modeli. Omijają encje oparte na wzorcach. Numery IBAN i niestandardowe identyfikatory umykają, jeśli nie są w danych treningowych.
Każde narzędzie ma inny zakres encji i inne progi ufności. Ten sam dokument przetworzony przez Narzędzie A i Narzędzie C może dać różne wyniki — to fakt potwierdzony w praktyce.
Tworzy to bezpośrednią lukę w compliance. Narzędzie A jest używane do plików PDF. Narzędzie B do Excela. Narzędzie A wykrywa daty urodzenia. Narzędzie B — nie. Ta sama data urodzenia tej samej osoby jest anonimizowana w PDF-ach, ale ujawniana w plikach Excel.
Luka zależy od formatu pliku — nie od polityki. Nie od intencji.
Inspektorzy organów ochrony danych mogą tę lukę odkryć podczas dochodzenia po naruszeniu. Niespójność narzędzi staje się wówczas czynnikiem sprawczym. Jest to potwierdzone — art. 32 RODO wymaga systematycznych środków technicznych.
Problem ze ścieżką audytu
Zgodność z przepisami wymaga dowodów spójnego stosowania kontroli. Dla anonimizacji PII tym dowodem jest ścieżka audytu.
Cztery narzędzia generują cztery różne formaty logów. Niektóre nie generują żadnych logów.
Makro Word nie tworzy żadnego rekordu audytu. Skrypt Python może zapisywać do pliku lokalnego — plik ten nie jest powiązany z systemem compliance. Rozszerzenie Chrome może zapisywać logi po stronie przeglądarki, do których nie ma dostępu w ramach przeglądu zgodności.
Kiedy organ ochrony danych żąda dowodów audytu, tylko jedna odpowiedź jest właściwa: scentralizowany log obejmujący całe przetwarzanie anonimizacyjne na wszystkich platformach.
Druga odpowiedź jest nieakceptowalna: logi na komputerze lokalnym dewelopera z makra Word nie są wystarczającym dowodem.
Jednoplatformowe przetwarzanie umożliwia powstanie jednej ścieżki audytu. Fragmentacja narzędzi czyni to niemożliwym.
Więcej o wymaganiach dotyczących ścieżki audytu znajdziesz w artykule wyjaśniona redakcja i ścieżki audytu HIPAA.
Problem dryfowania konfiguracji
Z upływem czasu różne narzędzia wypracowują różne konfiguracje. Dzieje się to powoli i bez ostrzeżenia.
Rozważmy typowy scenariusz: Rozszerzenie Chrome zostaje zaktualizowane o niestandardowe typy encji. Skrypt Python nie zostaje zaktualizowany. Makro Word zostało skonfigurowane przez pracownika, który już odszedł z firmy — nikt nie zna bieżących ustawień. Preset aplikacji webowej zmienia się tak, by wykluczać nazwiska podwykonawców. Ta zmiana nigdy nie trafia do pozostałych narzędzi.
Aktualizacja jednego narzędzia bez aktualizacji pozostałych powoduje dryf. Z czasem dryf tworzy luki.
Audytorzy ISO 27001 żądają dokumentacji konfiguracji. Odpowiedź „mamy cztery narzędzia, cztery konfiguracje i nie jesteśmy pewni, czy są aktualne” jest niedopuszczalna. Potwierdza to standard ISO/IEC 27001:2022 — Załącznik A 8.11 (Maskowanie danych) wymaga udokumentowanych i spójnych kontroli; ISO/IEC 27001:2022.
Niezgodność ISO 27001 w praktyce
Firma consultingowa ds. compliance zatrudniająca 15 osób korzystała z czterech narzędzi: narzędzia do scrapowania internetu do danych online, aplikacji desktopowej dla systemu Windows do plików zbiorczych, makra Word do dokumentów prawnych i rozszerzenia Chrome do narzędzi AI.
Audit ISO 27001 ujawnił niezgodność: różne wyniki wykrywania na różnych platformach, brak scentralizowanej ścieżki audytu, luka w Załączniku A 8.11. Nie udało się wykazać spójnego stosowania kontroli. Odpowiada to udokumentowanym wzorcom niezgodności z Załącznikiem A 8.11 ISO 27001.
Niezgodność wymagała planu działań naprawczych. Działaniem naprawczym była konsolidacja platformy.
Po konsolidacji firma dysponowała jednym silnikiem wykrywania na wszystkich czterech platformach. Te same presety były stosowane w każdym kontekście. Całe przetwarzanie było rejestrowane w jednym miejscu. Niezgodność ISO 27001 została zamknięta przy kolejnym audycie.
Projekt zajął sześć tygodni. Zastąpił 12-stronicową odpowiedź w ramach działań naprawczych zamkniętą niezgodnością.
Więcej o tym, jak spójna anonimizacja wspiera gotowość do audytu RODO, znajdziesz w artykule spójność anonimizacji, presety i audyty RODO.
Test narracji compliance
Czy możesz odpowiedzieć na te cztery pytania bez wahania?
- Jakie typy encji są wykrywane na każdej platformie używanej przez Twój zespół?
- Jaki jest próg wykrywania dla każdego typu encji — spójnie na wszystkich platformach?
- Gdzie znajduje się scentralizowana ścieżka audytu dla całej anonimizacji z ostatnich 12 miesięcy?
- Jak zapewniasz, że zmiany konfiguracji są wdrażane na wszystkich platformach?
Jeśli którekolwiek z tych pytań budzi wahanie, fragmentacja tworzy ryzyko dla compliance.
Jasna odpowiedź na wszystkie cztery pytania jest możliwa do osiągnięcia. Wymaga jednego silnika na wszystkich platformach. Bez tego każde narzędzie tworzy własną lukę w pokryciu, własne silo ścieżki audytu i własny dryf konfiguracji.
Audytorzy dostrzegają te luki. Inspektorzy organów ochrony danych mogą je wykorzystać. Konsolidacja przed stwierdzeniem niezgodności jest o wiele łatwiejsza niż po jej stwierdzeniu.
Więcej o tym, jak fragmentacja narzędzi wpływa na wieloplatformowe kontrole RODO, znajdziesz w artykule audyt RODO a fragmentacja narzędzi PII na różnych platformach.