审计员在询问PII控制时看到的内容
在GDPR监督机构审计或ISO 27001评估期间，标准问题之一是：“您对PII匿名化有什么技术控制？”
审计员希望得到一个清晰、可辩护的答案：一个特定的控制措施，持续应用，并有其工作原理的文档和有效性的证据。
造成合规风险的答案是：“我们根据上下文使用不同的工具。对于网页浏览，我们使用Chrome扩展，对于Word文档，我们使用宏，对于批量文件，我们的数据团队有一个他们编写的Python脚本，而对于紧急请求，我们使用网页应用。”
这个答案引发了后续问题：“这些工具之间的覆盖差异是什么？您如何确保工具之间结果的一致性？哪里是证明一致应用的审计轨迹？”
这些是碎片化工具无法清晰回答的问题。
覆盖一致性问题
不同的PII检测工具使用不同的基础检测方法：
仅限正则表达式的工具： 搜索特定模式（SSN格式、电子邮件格式、信用卡格式）。错过基于NER的实体（人名、未匹配已知列表的组织）、上下文标识符和非美国格式。
仅限NER的工具： 使用训练模型检测实体类型。错过基于模式的实体（IBAN、具有特定格式的账户号码）、自定义组织标识符以及不在训练数据中的实体。
工具A与工具B与工具C： 每个工具的实体类型覆盖不同，置信阈值不同，对边缘案例的处理不同。通过工具A和工具C处理的同一文档可能产生不同的检测结果。
合规问题：如果工具A（用于PDF）检测到出生日期，但工具B（用于Excel）未检测到，那么同一数据主体在PDF中的出生日期被匿名化，而在Excel电子表格中的出生日期则没有。系统性的合规控制存在一个依赖于文档格式的缺口。
对于数据保护机构的调查，这个缺口是可发现的。如果发生数据泄露，调查揭示数据主体记录的Excel电子表格版本未被匿名化，而PDF版本被匿名化，那么工具之间的不一致性是导致暴露的一个因素。
审计轨迹问题
合规文档要求提供证据，证明控制措施得到了持续应用。对于PII匿名化，证据就是审计轨迹：处理了什么，何时，由谁，使用了什么工具，结果是什么。
四种不同的工具产生四种不同的审计轨迹格式——或者根本没有审计轨迹。Word宏不产生审计日志。Python脚本可能写入一个与合规管理系统不集成的本地文件。Chrome扩展可能产生浏览器端的日志，这些日志无法用于合规文档。只有网页应用可能产生一个集中式的审计轨迹。
对于需要审计轨迹证据的数据保护机构调查，回答“我们在Word宏中处理了这个文档，这些日志在开发者的本地机器上”是不可接受的。回答“这是覆盖请求期间所有平台上所有匿名化处理的集中审计日志”是令人满意的。
单平台处理使单一审计轨迹覆盖成为可能。碎片化工具使集中审计轨迹变得不可能。
配置漂移问题
随着时间的推移，不同团队成员使用的不同工具会发展出不同的配置：
- Chrome扩展配置了组织的自定义实体类型
- Python脚本在添加自定义实体类型时没有更新
- Word宏由一位已经离开的团队成员配置，目前没有人知道当前设置
- 上个月更新的网页应用预设排除了承包商名称，但此更新未传播到其他工具
配置漂移反向创造了一致性问题：即使所有工具最初产生相似的结果，对一个工具的维护活动而不更新其他工具会随着时间的推移产生差异。
对于ISO 27001控制，配置文档要求使这一问题尤为严重。ISO审计员询问“给我看您的PII匿名化控制的配置”时，无法令人满意地回答“我们有四个工具，四种不同的配置，我们不确定它们是否都是最新的。”
ISO 27001发现
一家合规咨询公司的15人团队使用了四种不同的工具：用于在线数据的网页抓取工具、用于批量文件的独立Windows桌面工具、用于法律文件的Word宏，以及用于AI工具的Chrome扩展。
一次ISO 27001审计产生了一个发现：“跨平台的数据匿名化程序不一致。不同上下文使用不同工具产生不同的检测结果，并且没有集中审计轨迹。这在控制ISO/IEC 27001:2022附录A 8.11（数据掩码）中创造了一个缺口——该控制无法证明得到一致应用。”
审计发现要求制定纠正行动计划。实施的纠正行动：整合为一个单一的匿名化平台以适用于所有用例。
整合后的结果：
- 所有平台（网页应用、桌面应用、Office插件、Chrome扩展）使用相同的检测引擎
- 在不同上下文中应用相同的预设
- 所有处理的集中审计轨迹
- 在下次监督审计中关闭ISO 27001发现
为期6周的整合项目消除了需要12页纠正行动响应的审计发现。
合规叙述测试
评估PII工具碎片化的一个有用测试：您能否清楚地回答以下问题？
- 您团队用于PII匿名化的所有平台上检测到的实体类型是什么？
- 每种实体类型的检测阈值（置信水平）在所有平台上是否一致？
- 在过去12个月中，所有匿名化处理的集中审计轨迹在哪里？
- 您如何确保配置更改在所有平台上得到一致应用？
如果这些问题中的任何一个产生犹豫的答案，碎片化正在造成合规风险。所有四个问题的清晰答案是可以实现的——但仅在跨平台统一引擎的情况下。
来源：