Что видят аудиторы, когда спрашивают о мерах контроля PII
В ходе проверки надзорного органа GDPR или оценки ISO 27001 один из стандартных вопросов: «Какие технические меры контроля у вас есть для анонимизации PII?»
Аудитор ищет чёткий, обоснованный ответ: конкретную меру контроля, последовательно применяемую, с документацией о том, как она работает, и доказательствами её эффективности.
Ответ, создающий риск несоответствия: «Мы используем разные инструменты в зависимости от контекста. Для веб-браузинга используем расширение Chrome, для документов Word — макрос, для массовых файлов у нашей команды данных есть Python-скрипт, написанный ими самими, а для срочных запросов — веб-приложение».
Этот ответ вызывает уточняющий вопрос: «Каковы различия в охвате между этими инструментами? Как вы обеспечиваете согласованные результаты между инструментами? Где журнал аудита, демонстрирующий последовательное применение?»
Это вопросы, на которые фрагментированный инструментарий не может ответить чётко.
Проблема согласованности охвата
Разные инструменты обнаружения PII используют разные базовые подходы к обнаружению:
Инструменты только с регулярными выражениями: Поиск определённых шаблонов (формат SSN, формат электронной почты, формат кредитной карты). Пропускают сущности на основе NER (имена людей, организации, не соответствующие известному списку), контекстные идентификаторы и форматы, характерные не для США.
Инструменты только с NER: Обнаружение типов сущностей с использованием обученных моделей. Пропускают сущности на основе шаблонов (IBAN, номера счетов со специфическими форматами), пользовательские организационные идентификаторы и сущности, отсутствующие в обучающих данных.
Инструмент A против Инструмента B против Инструмента C: У каждого разный охват типов сущностей, разные пороги достоверности, разная обработка граничных случаев. Один и тот же документ, обработанный через Инструмент A и Инструмент C, может дать разные результаты обнаружения.
Проблема соответствия: если Инструмент A (используемый для PDF) обнаруживает даты рождения, а Инструмент B (используемый для Excel) — нет, то дата рождения одного и того же субъекта данных в PDF анонимизируется, а в таблице Excel — нет. Систематическая мера контроля соответствия имеет пробел, зависящий от формата документа.
В ходе расследований DPA этот пробел обнаруживаем. Если происходит утечка данных, и расследование показывает, что версия записей субъекта данных в таблице Excel не была анонимизирована, тогда как версия в PDF была, несоответствие между инструментами является способствующим фактором раскрытия.
Проблема журнала аудита
Документация о соответствии требует доказательств последовательного применения мер контроля. Для анонимизации PII доказательством является журнал аудита: что было обработано, когда, кем, с помощью какого инструмента, и каков был результат.
Четыре разных инструмента производят четыре разных формата журнала аудита — или вообще не ведут журнал. Макрос Word не создаёт журнал аудита. Python-скрипт может записывать в локальный файл, не интегрированный с системой управления соответствием. Расширение Chrome может создавать логи на стороне браузера, недоступные для документации соответствия. Только веб-приложение может создавать централизованный журнал аудита.
Для расследования DPA, требующего доказательства в виде журнала аудита, ответ «мы обработали этот документ в макросе Word, эти логи находятся на локальном компьютере разработчика» неудовлетворителен. Ответ «вот централизованный журнал аудита, охватывающий всю обработку анонимизации на всех платформах за запрошенный период» — удовлетворителен.
Единая платформенная обработка обеспечивает единый охват журнала аудита. Фрагментированный инструментарий делает централизованный журнал аудита невозможным.
Проблема дрейфа конфигурации
Со временем разные инструменты, используемые разными членами команды, приобретают разные конфигурации:
- Расширение Chrome настроено с пользовательскими типами сущностей организации
- Python-скрипт не был обновлён при добавлении пользовательских типов сущностей
- Макрос Word был настроен членом команды, который с тех пор уволился, и никто не знает текущих настроек
- Предустановка в веб-приложении была обновлена в прошлом месяце для исключения имён подрядчиков, но это обновление не было распространено на другие инструменты
Дрейф конфигурации создаёт обратную проблему непоследовательности: даже если все инструменты первоначально давали схожие результаты, обслуживание одного инструмента без обновления других создаёт расхождение со временем.
Для мер контроля ISO 27001 требование документации конфигурации делает это особенно проблематичным. Аудитор ISO, задающий вопрос «покажите мне конфигурацию для ваших мер контроля анонимизации PII», не получит удовлетворительного ответа: «у нас четыре инструмента с четырьмя разными конфигурациями, и мы не уверены, что все они актуальны».
Выявление ISO 27001
Команда консалтинговой фирмы по соответствию из 15 человек использовала четыре разных инструмента: инструмент для веб-скрейпинга онлайн-данных, автономное настольное приложение Windows для массовых файлов, макрос Word для юридических документов и расширение Chrome для ИИ-инструментов.
Аудит ISO 27001 выявил нарушение: «Непоследовательные процедуры анонимизации данных на разных платформах. Разные инструменты, используемые в разных контекстах, дают разные результаты обнаружения и не имеют централизованного журнала аудита. Это создаёт пробел в мере контроля ISO/IEC 27001:2022 Приложение A 8.11 (Маскировка данных) — мера контроля не может быть продемонстрирована как последовательно применяемая».
Выявление аудита потребовало плана корректирующих действий. Внедрённое корректирующее действие: консолидация на единую платформу анонимизации для всех случаев использования.
Результаты после консолидации:
- Одинаковый движок обнаружения на всех платформах (Веб-приложение, Настольное приложение, Office Add-in, Расширение Chrome)
- Одинаковые предустановки, применяемые во всех контекстах
- Централизованный журнал аудита для всей обработки
- Выявление ISO 27001 закрыто на следующем надзорном аудите
6-недельный проект консолидации устранил выявление аудита, потребовавшее 12-страничного ответа по корректирующим действиям.
Тест на соответствие нарратива
Полезный тест для оценки фрагментации инструментов PII: можете ли вы чётко ответить на следующие вопросы?
- Какие типы сущностей обнаруживаются на всех платформах, используемых вашей командой для анонимизации PII?
- Какой порог обнаружения (уровень достоверности) для каждого типа сущностей, последовательно на всех платформах?
- Где централизованный журнал аудита для всей обработки анонимизации за последние 12 месяцев?
- Как вы обеспечиваете последовательное применение изменений конфигурации на всех платформах?
Если хотя бы один из этих вопросов вызывает нерешительный ответ, фрагментация создаёт риск несоответствия. Чёткий ответ на все четыре вопроса достижим — но только с единым движком на всех платформах.
Источники: