O Que os Auditores Veem Quando Perguntam Sobre Controles PII
Durante uma auditoria de autoridade supervisora GDPR ou avaliação ISO 27001, uma das perguntas padrão é: "Quais controles técnicos você tem para a anonimização de PII?"
O auditor está procurando uma resposta clara e defensável: um controle específico, aplicado de forma consistente, com documentação de como funciona e evidência de sua eficácia.
A resposta que cria risco de conformidade: "Usamos ferramentas diferentes dependendo do contexto. Para navegação na web, usamos a Extensão do Chrome, para documentos do Word usamos uma macro, para arquivos em massa nossa equipe de dados tem um script em Python que escreveu, e para solicitações urgentes usamos o aplicativo web."
Essa resposta desencadeia um acompanhamento: "Quais são as diferenças na cobertura entre essas ferramentas? Como você garante resultados consistentes entre as ferramentas? Onde está a trilha de auditoria que demonstra a aplicação consistente?"
Essas são perguntas que ferramentas fragmentadas não conseguem responder de forma clara.
O Problema da Consistência de Cobertura
Diferentes ferramentas de detecção de PII usam diferentes abordagens subjacentes de detecção:
Ferramentas apenas de Regex: Buscam padrões específicos (formato de SSN, formato de e-mail, formato de cartão de crédito). Perdem entidades baseadas em NER (nomes de pessoas, organizações que não correspondem a uma lista conhecida), identificadores contextuais e formatos não americanos.
Ferramentas apenas de NER: Detectam tipos de entidades usando modelos treinados. Perdem entidades baseadas em padrões (IBANs, números de contas com formatos específicos), identificadores organizacionais personalizados e entidades que não estão nos dados de treinamento.
Ferramenta A vs. Ferramenta B vs. Ferramenta C: Cada uma tem diferentes coberturas de tipos de entidades, diferentes limiares de confiança, diferentes tratamentos de casos extremos. O mesmo documento processado pela Ferramenta A e pela Ferramenta C pode produzir resultados de detecção diferentes.
O problema de conformidade: se a Ferramenta A (usada para PDFs) detecta datas de nascimento, mas a Ferramenta B (usada para Excel) não, então a data de nascimento do mesmo titular de dados em um PDF é anonimizada enquanto sua data de nascimento em uma planilha Excel não é. O controle de conformidade sistemático tem uma lacuna que depende do formato do documento.
Para investigações da DPA, essa lacuna é descobrível. Se ocorrer uma violação de dados e a investigação revelar que a versão da planilha Excel dos registros de um titular de dados não foi anonimizada enquanto a versão PDF foi, a inconsistência entre as ferramentas é um fator contribuinte para a exposição.
O Problema da Trilha de Auditoria
A documentação de conformidade requer evidências de que os controles são aplicados de forma consistente. Para a anonimização de PII, a evidência é a trilha de auditoria: o que foi processado, quando, por quem, com qual ferramenta e qual foi o resultado.
Quatro ferramentas diferentes produzem quatro formatos diferentes de trilha de auditoria — ou nenhuma trilha de auditoria. Uma macro do Word não produz nenhum log de auditoria. Um script em Python pode gravar em um arquivo local que não está integrado ao sistema de gerenciamento de conformidade. A Extensão do Chrome pode produzir logs do lado do navegador que não são acessíveis para documentação de conformidade. Apenas o aplicativo web pode produzir uma trilha de auditoria centralizada.
Para uma investigação da DPA que requer evidências de trilha de auditoria, a resposta "processamos este documento em uma macro do Word, esses logs estão na máquina local do desenvolvedor" não é satisfatória. A resposta "aqui está o log de auditoria centralizado cobrindo todo o processamento de anonimização em todas as plataformas para o período solicitado" é satisfatória.
O processamento em uma única plataforma permite uma cobertura de trilha de auditoria única. Ferramentas fragmentadas tornam a trilha de auditoria centralizada impossível.
O Problema do Drift de Configuração
Com o tempo, diferentes ferramentas usadas por diferentes membros da equipe desenvolvem configurações diferentes:
- A Extensão do Chrome está configurada com os tipos de entidades personalizados da organização
- O script em Python não foi atualizado quando os tipos de entidades personalizados foram adicionados
- A macro do Word foi configurada por um membro da equipe que já saiu, e ninguém sabe as configurações atuais
- O preset do aplicativo web foi atualizado no mês passado para excluir nomes de contratados, mas essa atualização não foi propagada para as outras ferramentas
O drift de configuração cria o problema de inconsistência ao contrário: mesmo que todas as ferramentas originalmente produzissem resultados semelhantes, a atividade de manutenção em uma ferramenta sem atualizar as outras cria divergência ao longo do tempo.
Para os controles ISO 27001, a exigência de documentação de configuração torna isso especialmente problemático. Um auditor ISO perguntando "mostre-me a configuração para seus controles de anonimização de PII" não pode ser respondido de forma satisfatória com "temos quatro ferramentas com quatro configurações diferentes, e não temos certeza de que todas estão atualizadas."
A Conclusão da ISO 27001
Uma equipe de 15 pessoas de uma empresa de consultoria em conformidade usou quatro ferramentas diferentes: uma ferramenta de raspagem da web para dados online, uma ferramenta de desktop Windows autônoma para arquivos em massa, uma macro do Word para documentos legais e uma extensão do Chrome para ferramentas de IA.
Uma auditoria ISO 27001 produziu uma conclusão: "Procedimentos de anonimização de dados inconsistentes entre plataformas. Ferramentas diferentes usadas para contextos diferentes produzem resultados de detecção diferentes e nenhuma trilha de auditoria centralizada. Isso cria uma lacuna no controle ISO/IEC 27001:2022 Anexo A 8.11 (Mascaramento de dados) — o controle não pode ser demonstrado como aplicado de forma consistente."
A conclusão da auditoria exigiu um plano de ação corretiva. A ação corretiva implementada: consolidação em uma única plataforma de anonimização para todos os casos de uso.
Resultados após a consolidação:
- Mesmo mecanismo de detecção em todas as plataformas (Aplicativo Web, Aplicativo Desktop, Complemento do Office, Extensão do Chrome)
- Mesmos presets aplicados em todos os contextos
- Trilha de auditoria centralizada para todo o processamento
- Conclusão da ISO 27001 fechada na próxima auditoria de vigilância
O projeto de consolidação de 6 semanas eliminou a conclusão da auditoria que exigia uma resposta corretiva de 12 páginas.
O Teste da Narrativa de Conformidade
Um teste útil para avaliar a fragmentação de ferramentas PII: você pode responder claramente às seguintes perguntas?
- Quais tipos de entidades são detectados em todas as plataformas que sua equipe usa para anonimização de PII?
- Qual é o limiar de detecção (nível de confiança) para cada tipo de entidade, de forma consistente em todas as plataformas?
- Onde está a trilha de auditoria centralizada para todo o processamento de anonimização nos últimos 12 meses?
- Como você garante que as mudanças de configuração sejam aplicadas de forma consistente em todas as plataformas?
Se alguma dessas perguntas produzir uma resposta hesitante, a fragmentação está criando risco de conformidade. A resposta clara a todas as quatro perguntas é alcançável — mas apenas com um mecanismo unificado entre as plataformas.
Fontes: