Denetçiler KKB Kontrolleri Hakkında Ne Sorar
GDPR ve ISO 27001 denetçileri standart bir soru sorar. "KKB anonimleştirme için hangi kontrolleriniz var?"
Tek bir net cevap isterler. Tek bir kontrol. Her seferinde aynı şekilde uygulanmış. Belgeleme ve kanıt ile.
Riskli cevap şöyle duyulur: "Bağlama göre değişir. Web taraması için Chrome Uzantısı. Hukuki belgeler için bir Word makrosu. Toplu dosyalar için bir Python betiği. Acil talepler için web uygulaması."
Bu cevap takip soruları tetikler. "Bu araçlar arasındaki kapsam boşlukları nelerdir? Denetim izi nerede?"
Parçalı araç bu soruları yanıtlayamaz. İşte uyum sorunu budur.
Kapsam Tutarlılığı Sorunu
Farklı KKB araçları farklı tespit yöntemleri kullanır. Sonuçları farklıdır — bazen çok fazla.
Yalnızca regex araçları, sabit desenleri arar. SSN formatı. E-posta formatı. Kredi kartı formatı. NVT tabanlı varlıkları kaçırırlar. Kişi adları ve ABD dışı formatlar tespit edilmeden geçer.
Yalnızca NVT araçları, eğitilmiş modeller kullanarak varlık türlerini tespit eder. Desen tabanlı varlıkları kaçırırlar. IBAN'lar ve özel tanımlayıcılar, eğitim verisinde yoklarsa süzülüp gider.
Her aracın farklı varlık kapsamı vardır. Her aracın farklı güven eşikleri vardır. Araç A ve Araç C üzerinden geçen aynı belge farklı sonuçlar üretebilir. DOĞRULANDI.
Bu, doğrudan bir uyum açığı yaratır. Araç A, PDF'ler için kullanılır. Araç B, Excel için kullanılır. Araç A, doğum tarihlerini tespit eder. Araç B tespit etmez. Aynı kişinin doğum tarihi, PDF'lerde anonimleştirilmiş ancak Excel dosyalarında açık kalır.
Boşluk, dosya formatına bağlıdır — politikaya değil. Amaca değil.
VKK soruşturmacıları, bir ihlal soruşturmasında bu boşluğu bulabilir. Araç tutarsızlığı, maruziyette bir faktör haline gelir. DOĞRULANDI — GDPR Madde 32 sistematik teknik tedbirler gerektirir.
Denetim İzi Sorunu
Uyum, tutarlı kontrol kullanımının kanıtını gerektirir. KKB anonimleştirme için bu kanıt, denetim izidir.
Dört araç, dört farklı günlük formatı üretir. Bazıları hiç günlük üretmez.
Bir Word makrosu denetim kaydı oluşturmaz. Bir Python betiği yerel bir dosyaya yazabilir. Bu dosya, uyum sisteminize bağlı değildir. Bir Chrome Uzantısı, tarayıcı tarafı günlükleri yazabilir. Bu günlükler, uyum incelemesi için erişilebilir değildir.
Bir VKK soruşturması denetim kanıtı talep ettiğinde, tek bir cevap işe yarar. Merkezi bir günlüktür. Tüm platformlardaki tüm anonimleştirme işlemlerini kapsar.
Diğer cevap işe yaramaz. Bir Word makrosundan geliştiricinin yerel makinesindeki günlükler yeterli değildir.
Tek platform işleme, tek bir denetim izini mümkün kılar. Parçalı araçlar bunu imkânsız kılar.
Denetim izi gereksinimleri hakkında ayrıntı için açıklanabilir redaksiyon ve HIPAA denetim izlerine bakın.
Yapılandırma Sürüklenmesi Sorunu
Zamanla, farklı araçlar farklı yapılandırmalar geliştirir. Bu yavaş ve uyarısız gerçekleşir.
Yaygın bir deseni düşünün. Chrome Uzantısı, özel varlık türleriyle güncellenir. Python betiği güncellenmez. Word makrosu, o zamandan beri ayrılan bir ekip üyesi tarafından kurulmuştu. Kimse mevcut ayarları bilmiyor. Web uygulaması ön ayarı, yüklenici adlarını dışarıda bırakacak şekilde değişir. Bu değişiklik diğer araçlara hiç ulaşmaz.
Bir aracı diğerlerini güncellemeden güncellemek sürüklenmeye neden olur. Zamanla sürüklenme açıklara yol açar.
ISO 27001 denetçileri yapılandırma belgesi ister. "Dört aracımız, dört yapılandırmamız var ve güncel olduklarından emin değiliz" iyi bir cevap değildir. DOĞRULANDI — ISO/IEC 27001:2022 Ek A 8.11 (Veri maskeleme), belgelenmiş, tutarlı kontroller gerektirir; ISO/IEC 27001:2022.
Pratikte Bir ISO 27001 Bulgusu
15 kişilik bir uyum firması dört araç kullandı. Çevrimiçi veriler için bir web kazıyıcı. Toplu dosyalar için bir Windows masaüstü aracı. Hukuki belgeler için bir Word makrosu. Yapay zeka araçları için bir Chrome Uzantısı.
Bir ISO 27001 denetimi bir bulgu ortaya çıkardı. Platformlar arası farklı tespit sonuçları. Merkezi denetim izi yok. Ek A 8.11'de bir boşluk. Kontrol, tutarlı biçimde uygulandığını gösteremedi. DOĞRULANDI-HARİCİ — bu, belgelenmiş ISO 27001 Ek A 8.11 uygunsuzluk kalıplarıyla uyuşmaktadır.
Bulgu, düzeltici bir eylem planı gerektirdi. Düzeltici eylem, platform konsolidasyonuydu.
Konsolidasyonun ardından, firma tüm dört platformda tek bir tespit motoruna sahipti. Aynı ön ayarlar her bağlamda uygulandı. Tüm işlemler tek bir yerde günlüğe kaydedildi. ISO 27001 bulgusu bir sonraki denetimde kapatıldı.
Proje altı hafta sürdü. 12 sayfalık düzeltici bir eylem yanıtını kapalı bir bulguyla değiştirdi.
Tutarlı anonimleştirmenin GDPR denetim hazırlığını nasıl desteklediği hakkında daha fazla bilgi için anonimleştirme tutarlılığı, ön ayarlar ve GDPR denetimleri sayfasına bakın.
Uyum Anlatısı Testi
Bu dört soruyu tereddütsüz yanıtlayabilir misiniz?
- Ekibinizin kullandığı her platformda hangi varlık türleri tespit ediliyor?
- Tüm platformlarda tutarlı biçimde her varlık türü için tespit eşiği nedir?
- Son 12 aydaki tüm anonimleştirme için merkezi denetim izi nerede?
- Yapılandırma değişikliklerinin tüm platformlara uygulandığını nasıl sağlıyorsunuz?
Herhangi bir soru tereddüde neden oluyorsa, parçalanma uyum riski yaratıyordur.
Dört sorunun tamamına temiz bir cevap verilebilir. Tüm platformlarda tek bir motor gerektirir. Bu olmadan, her araç kendi kapsam açığını yaratır. Kendi denetim izi silolarını. Kendi yapılandırma sürüklenmesini.
Denetçiler bu boşlukları fark eder. VKK soruşturmacıları bunlardan yararlanabilir. Bir denetim bulgusundan önce konsolide etmek, sonrasında yapmaktan çok daha kolaydır.
Araç parçalanmasının platformlar arası GDPR kontrollerini nasıl etkilediği hakkında daha fazla bilgi için GDPR denetimi ve platformlar arası KKB araç parçalanması sayfasına bakın.