Những Gì Kiểm Toán Viên Thấy Khi Hỏi Về Kiểm Soát PII
Trong một cuộc kiểm tra của cơ quan giám sát GDPR hoặc đánh giá ISO 27001, một trong những câu hỏi tiêu chuẩn là: "Các kiểm soát kỹ thuật nào bạn có để ẩn danh hóa PII?"
Kiểm toán viên đang tìm kiếm một câu trả lời rõ ràng, có thể bảo vệ được: một kiểm soát cụ thể, được áp dụng nhất quán, với tài liệu về cách hoạt động và bằng chứng về hiệu quả của nó.
Câu trả lời tạo ra rủi ro tuân thủ: "Chúng tôi sử dụng các công cụ khác nhau tùy thuộc vào ngữ cảnh. Đối với duyệt web, chúng tôi sử dụng Chrome Extension, đối với tài liệu Word, chúng tôi sử dụng macro, đối với các tệp hàng loạt, nhóm dữ liệu của chúng tôi có một tập lệnh Python mà họ đã viết, và đối với các yêu cầu khẩn cấp, chúng tôi sử dụng ứng dụng web."
Câu trả lời này kích hoạt câu hỏi tiếp theo: "Sự khác biệt về phạm vi giữa các công cụ này là gì? Làm thế nào bạn đảm bảo kết quả nhất quán giữa các công cụ? Hồ sơ kiểm tra nào chứng minh ứng dụng nhất quán?"
Đây là những câu hỏi mà công cụ phân mảnh không thể trả lời gọn gàng.
Vấn Đề Nhất Quán Phạm Vi
Các công cụ phát hiện PII khác nhau sử dụng các phương pháp phát hiện cơ bản khác nhau:
Công cụ chỉ sử dụng Regex: Tìm kiếm các mẫu cụ thể (định dạng SSN, định dạng email, định dạng thẻ tín dụng). Bỏ lỡ các thực thể dựa trên NER (tên người, tổ chức không khớp với danh sách đã biết), số nhận dạng ngữ cảnh và các định dạng không phải Mỹ.
Công cụ chỉ sử dụng NER: Phát hiện các loại thực thể sử dụng các mô hình được đào tạo. Bỏ lỡ các thực thể dựa trên mẫu (IBAN, số tài khoản với các định dạng cụ thể), số nhận dạng tổ chức tùy chỉnh và các thực thể không có trong dữ liệu đào tạo.
Công cụ A so với Công cụ B so với Công cụ C: Mỗi công cụ có phạm vi loại thực thể khác nhau, ngưỡng tin cậy khác nhau, xử lý các trường hợp ngoại lệ khác nhau. Cùng một tài liệu được xử lý qua Công cụ A và Công cụ C có thể cho ra kết quả phát hiện khác nhau.
Vấn đề tuân thủ: nếu Công cụ A (được sử dụng cho PDF) phát hiện ngày sinh nhưng Công cụ B (được sử dụng cho Excel) không, thì ngày sinh của cùng chủ thể dữ liệu trong PDF được ẩn danh hóa trong khi ngày sinh của họ trong bảng tính Excel thì không. Kiểm soát tuân thủ có hệ thống có khoảng cách phụ thuộc vào định dạng tài liệu.
Đối với các điều tra DPA, khoảng cách này có thể phát hiện được. Nếu vi phạm dữ liệu xảy ra và cuộc điều tra tiết lộ rằng phiên bản bảng tính Excel của hồ sơ của một chủ thể dữ liệu không được ẩn danh hóa trong khi phiên bản PDF thì có, sự không nhất quán giữa các công cụ là yếu tố đóng góp vào việc tiếp xúc.
Vấn Đề Hồ Sơ Kiểm Tra
Tài liệu tuân thủ yêu cầu bằng chứng rằng các kiểm soát được áp dụng nhất quán. Đối với ẩn danh hóa PII, bằng chứng là hồ sơ kiểm tra: những gì được xử lý, khi nào, bởi ai, với công cụ nào và kết quả là gì.
Bốn công cụ khác nhau tạo ra bốn định dạng hồ sơ kiểm tra khác nhau — hoặc không có hồ sơ kiểm tra nào cả. Macro Word không tạo ra nhật ký kiểm tra. Tập lệnh Python có thể ghi vào một tệp cục bộ không được tích hợp với hệ thống quản lý tuân thủ. Chrome Extension có thể tạo ra các nhật ký phía trình duyệt không thể truy cập cho tài liệu tuân thủ. Chỉ ứng dụng web mới có thể tạo ra hồ sơ kiểm tra tập trung.
Đối với điều tra DPA yêu cầu bằng chứng hồ sơ kiểm tra, phản hồi "chúng tôi đã xử lý tài liệu này trong macro Word, những nhật ký đó nằm trên máy cục bộ của nhà phát triển" là không đủ. Phản hồi "đây là nhật ký kiểm tra tập trung bao gồm tất cả quá trình xử lý ẩn danh hóa trên tất cả các nền tảng cho giai đoạn được yêu cầu" là đủ.
Xử lý đơn nền tảng cho phép phạm vi hồ sơ kiểm tra đơn. Công cụ phân mảnh làm cho hồ sơ kiểm tra tập trung là không thể.
Vấn Đề Trôi Dạt Cấu Hình
Theo thời gian, các công cụ khác nhau được sử dụng bởi các thành viên nhóm khác nhau phát triển các cấu hình khác nhau:
- Chrome Extension được cấu hình với các loại thực thể tùy chỉnh của tổ chức
- Tập lệnh Python không được cập nhật khi các loại thực thể tùy chỉnh được thêm vào
- Macro Word được cấu hình bởi một thành viên nhóm đã rời đi kể từ đó, và không ai biết cài đặt hiện tại
- Preset ứng dụng web được cập nhật tháng trước để loại trừ tên nhà thầu, nhưng cập nhật này không được lan truyền sang các công cụ khác
Trôi dạt cấu hình tạo ra vấn đề không nhất quán ngược lại: ngay cả khi tất cả các công cụ ban đầu tạo ra kết quả tương tự, hoạt động bảo trì trên một công cụ mà không cập nhật các công cụ khác tạo ra sự phân kỳ theo thời gian.
Đối với kiểm soát ISO 27001, yêu cầu tài liệu cấu hình làm cho điều này đặc biệt có vấn đề. Kiểm toán viên ISO hỏi "cho tôi xem cấu hình cho kiểm soát ẩn danh hóa PII của bạn" không thể được trả lời thỏa đáng với "chúng tôi có bốn công cụ với bốn cấu hình khác nhau, và chúng tôi không chắc tất cả đều hiện tại."
Phát Hiện ISO 27001
Nhóm 15 người của công ty tư vấn tuân thủ đã sử dụng bốn công cụ khác nhau: công cụ thu thập web cho dữ liệu trực tuyến, công cụ Windows desktop độc lập cho các tệp hàng loạt, macro Word cho tài liệu pháp lý và tiện ích mở rộng Chrome cho các công cụ AI.
Một cuộc kiểm tra ISO 27001 đưa ra phát hiện: "Quy trình ẩn danh hóa dữ liệu không nhất quán trên các nền tảng. Các công cụ khác nhau được sử dụng cho các ngữ cảnh khác nhau tạo ra kết quả phát hiện khác nhau và không có hồ sơ kiểm tra tập trung. Điều này tạo ra khoảng cách trong kiểm soát ISO/IEC 27001:2022 Phụ lục A 8.11 (Che giấu dữ liệu) — kiểm soát không thể được chứng minh là được áp dụng nhất quán."
Phát hiện kiểm tra yêu cầu kế hoạch hành động khắc phục. Hành động khắc phục được triển khai: hợp nhất thành một nền tảng ẩn danh hóa duy nhất cho tất cả các trường hợp sử dụng.
Kết quả sau khi hợp nhất:
- Cùng một động cơ phát hiện trên tất cả các nền tảng (Ứng dụng Web, Ứng dụng Desktop, Office Add-in, Chrome Extension)
- Cùng preset được áp dụng trên các ngữ cảnh
- Hồ sơ kiểm tra tập trung cho tất cả quá trình xử lý
- Phát hiện ISO 27001 được đóng tại cuộc kiểm tra giám sát tiếp theo
Dự án hợp nhất 6 tuần đã loại bỏ phát hiện kiểm tra đã yêu cầu phản hồi hành động khắc phục 12 trang.
Bài Kiểm Tra Câu Chuyện Tuân Thủ
Một bài kiểm tra hữu ích để đánh giá phân mảnh công cụ PII: bạn có thể trả lời rõ ràng các câu hỏi sau không?
- Các loại thực thể nào được phát hiện trên tất cả các nền tảng mà nhóm của bạn sử dụng để ẩn danh hóa PII?
- Ngưỡng phát hiện (mức độ tin cậy) cho mỗi loại thực thể là gì, nhất quán trên tất cả các nền tảng?
- Hồ sơ kiểm tra tập trung cho tất cả quá trình xử lý ẩn danh hóa trong 12 tháng qua ở đâu?
- Làm thế nào bạn đảm bảo rằng các thay đổi cấu hình được áp dụng nhất quán trên tất cả các nền tảng?
Nếu bất kỳ câu hỏi nào trong số này tạo ra câu trả lời do dự, phân mảnh đang tạo ra rủi ro tuân thủ. Câu trả lời rõ ràng cho tất cả bốn câu hỏi là có thể đạt được — nhưng chỉ với một động cơ thống nhất trên các nền tảng.
Nguồn: