สิ่งที่ผู้ตรวจสอบถามเกี่ยวกับการควบคุมข้อมูลส่วนบุคคล
ผู้ตรวจสอบ GDPR และ ISO 27001 ถามคำถามมาตรฐาน "คุณมีการควบคุมอะไรสำหรับการทำให้ข้อมูลส่วนบุคคลไม่ระบุตัวตน?"
พวกเขาต้องการคำตอบที่ชัดเจนหนึ่งคำ การควบคุมหนึ่งอย่าง ใช้ในลักษณะเดิมทุกครั้ง พร้อมเอกสารและหลักฐาน
คำตอบที่เสี่ยงฟังดูแบบนี้: "ขึ้นอยู่กับบริบท Chrome Extension สำหรับการท่องเว็บ มาโคร Word สำหรับเอกสารกฎหมาย สคริปต์ Python สำหรับไฟล์จำนวนมาก เว็บแอปสำหรับคำขอเร่งด่วน"
คำตอบนั้นกระตุ้นคำถามติดตาม "ช่องโหว่การครอบคลุมระหว่างเครื่องมือเหล่านี้คืออะไร? รายงานการตรวจสอบอยู่ที่ไหน?"
เครื่องมือที่กระจัดกระจายไม่สามารถตอบคำถามเหล่านั้นได้ นั่นคือปัญหาการปฏิบัติตามกฎระเบียบ
ปัญหาความสอดคล้องของการครอบคลุม
เครื่องมือข้อมูลส่วนบุคคลที่แตกต่างกันใช้วิธีการตรวจหาที่แตกต่างกัน ผลลัพธ์แตกต่างกัน — บางครั้งมาก
เครื่องมือ Regex-only ค้นหารูปแบบคงที่ รูปแบบ SSN รูปแบบอีเมล รูปแบบบัตรเครดิต พลาดเอนทิตีที่ใช้ NER ชื่อบุคคลและรูปแบบที่ไม่ใช่สหรัฐฯ ไม่ถูกตรวจพบ
เครื่องมือ NER-only ตรวจหาประเภทเอนทิตีโดยใช้โมเดลที่ฝึกอบรม พลาดเอนทิตีที่ใช้รูปแบบ IBAN และตัวระบุที่กำหนดเองหลุดรอดหากไม่อยู่ในข้อมูลการฝึกอบรม
ทุกเครื่องมือมีการครอบคลุมเอนทิตีที่แตกต่างกัน ทุกเครื่องมือมีเกณฑ์ความเชื่อมั่นที่แตกต่างกัน เอกสารเดียวกันผ่านเครื่องมือ A และ C อาจให้ผลลัพธ์ที่ต่างกัน
สิ่งนี้สร้างช่องโหว่การปฏิบัติตามกฎระเบียบโดยตรง เครื่องมือ A ใช้กับ PDF เครื่องมือ B ใช้กับ Excel เครื่องมือ A ตรวจหาวันเกิด เครื่องมือ B ไม่ตรวจ วันเกิดของบุคคลเดิมถูกทำให้ไม่ระบุตัวตนใน PDF แต่ถูกเปิดเผยในไฟล์ Excel
ช่องโหว่ขึ้นอยู่กับรูปแบบไฟล์ — ไม่ใช่นโยบาย ไม่ใช่เจตนา
ผู้สืบสวน DPA สามารถค้นพบช่องโหว่นี้ในการสอบสวนการละเมิด ความไม่สอดคล้องของเครื่องมือกลายเป็นปัจจัยในการเปิดเผย VERIFIED — GDPR Article 32 กำหนดให้มีมาตรการทางเทคนิคอย่างเป็นระบบ
ปัญหารายงานการตรวจสอบ
การปฏิบัติตามกฎระเบียบต้องการหลักฐานการใช้งานการควบคุมอย่างสม่ำเสมอ สำหรับการทำให้ข้อมูลส่วนบุคคลไม่ระบุตัวตน หลักฐานนั้นคือรายงานการตรวจสอบ
เครื่องมือสี่ตัวผลิตรูปแบบบันทึกที่แตกต่างกันสี่แบบ บางตัวไม่มีบันทึกเลย
มาโคร Word ไม่สร้างบันทึกการตรวจสอบ สคริปต์ Python อาจเขียนลงในไฟล์ในเครื่อง ไฟล์นั้นไม่ได้เชื่อมโยงกับระบบการปฏิบัติตาม Chrome Extension อาจเขียนบันทึกฝั่งเบราว์เซอร์ บันทึกเหล่านั้นไม่สามารถเข้าถึงได้สำหรับการตรวจสอบการปฏิบัติตาม
เมื่อการสืบสวน DPA ขอหลักฐานการตรวจสอบ คำตอบหนึ่งที่ได้ผล: บันทึกส่วนกลาง ครอบคลุมการประมวลผลทำให้ไม่ระบุตัวตนทั้งหมดในทุกแพลตฟอร์ม
คำตอบอื่นไม่ได้ผล บันทึกบนเครื่องของนักพัฒนาจากมาโคร Word ไม่เพียงพอ
การประมวลผลบนแพลตฟอร์มเดียวทำให้รายงานการตรวจสอบหนึ่งรายการเป็นไปได้ เครื่องมือที่กระจัดกระจายทำให้เป็นไปไม่ได้
ปัญหาการเบี่ยงเบนของการกำหนดค่า
เมื่อเวลาผ่านไป เครื่องมือที่แตกต่างกันพัฒนาการกำหนดค่าที่แตกต่างกัน สิ่งนี้เกิดขึ้นอย่างช้าๆ และโดยไม่มีการเตือน
พิจารณารูปแบบทั่วไป Chrome Extension ได้รับการอัปเดตพร้อมประเภทเอนทิตีที่กำหนดเอง สคริปต์ Python ไม่ได้รับการอัปเดต มาโคร Word ถูกตั้งค่าโดยสมาชิกทีมที่ลาออกไปแล้ว ไม่มีใครรู้การตั้งค่าปัจจุบัน การตั้งค่าเว็บแอปเปลี่ยนแปลงเพื่อไม่รวมชื่อผู้รับเหมา การเปลี่ยนแปลงนั้นไม่เคยไปถึงเครื่องมืออื่นๆ
การอัปเดตเครื่องมือหนึ่งโดยไม่อัปเดตเครื่องมืออื่นทำให้เกิดการเบี่ยงเบน เมื่อเวลาผ่านไป การเบี่ยงเบนทำให้เกิดช่องโหว่
ผู้ตรวจสอบ ISO 27001 ขอเอกสารการกำหนดค่า "เรามีเครื่องมือสี่ตัว การกำหนดค่าสี่แบบ และเราไม่แน่ใจว่าปัจจุบันยังใช้งานได้" ไม่ใช่คำตอบที่ดี VERIFIED — ISO/IEC 27001:2022 Annex A 8.11 (การมาสก์ข้อมูล) กำหนดให้มีการควบคุมที่บันทึกไว้และสม่ำเสมอ
การค้นพบ ISO 27001 ในทางปฏิบัติ
บริษัทการปฏิบัติตาม 15 คนใช้เครื่องมือสี่ตัว เครื่องขูดเว็บสำหรับข้อมูลออนไลน์ เครื่องมือ Windows สำหรับไฟล์จำนวนมาก มาโคร Word สำหรับเอกสารกฎหมาย Chrome Extension สำหรับเครื่องมือ AI
การตรวจสอบ ISO 27001 สร้างการค้นพบ ผลลัพธ์การตรวจหาที่แตกต่างกันในแพลตฟอร์ม ไม่มีรายงานการตรวจสอบส่วนกลาง ช่องโหว่ใน Annex A 8.11 การควบคุมไม่ได้แสดงให้เห็นว่าใช้งานอย่างสม่ำเสมอ
การค้นพบต้องการแผนปฏิบัติการแก้ไข การแก้ไขคือการรวมแพลตฟอร์ม
หลังการรวม บริษัทมีเครื่องมือตรวจหาเดียวในทุกสี่แพลตฟอร์ม การตั้งค่าเดิมถูกใช้ในทุกบริบท การประมวลผลทั้งหมดถูกบันทึกในที่เดียว การค้นพบ ISO 27001 ถูกปิดในการตรวจสอบครั้งถัดไป
โครงการใช้เวลาหกสัปดาห์ แทนที่คำตอบแผนปฏิบัติการ 12 หน้าด้วยการค้นพบที่ปิดแล้ว
การทดสอบเรื่องราวการปฏิบัติตาม
คุณสามารถตอบคำถามสี่ข้อเหล่านี้โดยไม่ลังเลได้ไหม?
- ประเภทเอนทิตีใดที่ถูกตรวจหาในทุกแพลตฟอร์มที่ทีมของคุณใช้?
- เกณฑ์การตรวจหาสำหรับแต่ละประเภทเอนทิตีคืออะไร อย่างสม่ำเสมอในทุกแพลตฟอร์ม?
- รายงานการตรวจสอบส่วนกลางสำหรับการทำให้ไม่ระบุตัวตนทั้งหมดในช่วง 12 เดือนที่ผ่านมาอยู่ที่ไหน?
- คุณแน่ใจได้อย่างไรว่าการเปลี่ยนแปลงการกำหนดค่าถูกใช้กับทุกแพลตฟอร์ม?
หากคำถามใดทำให้เกิดความลังเล การกระจายตัวกำลังสร้างความเสี่ยงการปฏิบัติตาม
คำตอบที่ชัดเจนสำหรับทั้งสี่คำถามเป็นสิ่งที่ทำได้ ต้องการเครื่องมือเดียวในทุกแพลตฟอร์ม โดยไม่มีสิ่งนั้น แต่ละเครื่องมือสร้างช่องโหว่การครอบคลุมของตัวเอง ไซโลรายงานการตรวจสอบของตัวเอง การเบี่ยงเบนการกำหนดค่าของตัวเอง
ผู้ตรวจสอบสังเกตเห็นช่องโหว่เหล่านี้ ผู้สืบสวน DPA สามารถใช้ประโยชน์จากมันได้ การรวมก่อนการค้นพบการตรวจสอบง่ายกว่าการทำหลังจากนั้นมาก