Tietosuojaa parantavat teknologiat ISO/IEC 27701:n ja GDPR:n tukena

Sarah, nopeasti kasvavan fintech-yhtiön tietoturvajohtaja, tiesi pyynnön olevan tulossa jo ennen kokouksen alkua.

Tuotetiimi halusi julkaista tekoälypohjaisen taloudellisen neuvontatoiminnon. Malli tarvitsi realistista asiakaskäyttäytymistä, tapahtumamalleja, tukitapauksia ja tilaushistoriaa. Datatiedetiimi perusteli, että malli toimisi paremmin tuotantodatalla. Laadunvarmistustiimi halusi tuotannon kaltaisia maksutietueita reunatapausten toistamiseen. Pilvianalytiikan toimittaja tarvitsi esimerkkitietoaineiston tiedonkeruun validointiin. Kukaan ei yrittänyt rikkoa tietosuojalainsäädäntöä. Kukaan ei halunnut altistaa asiakkaita. Kaikki halusivat edetä nopeasti.

Sitten Sarah kysyi kysymyksen, joka muutti kokouksen suunnan.

”Miksi tarvitsette tunnistettavia henkilötietoja?”

Huone hiljeni.

Tässä moni tietosuojan hallintajärjestelmä epäonnistuu käytännössä. Organisaatiolla voi olla tietosuojaseloste, tietosuojapolitiikka, DPIA-pohja ja oikeudellinen katselmointiprosessi, mutta todellinen päätös tehdään Slack-keskustelussa, Jira-tiketissä, analytiikkaviennissä tai tietokantakloonissa. Jos ainoa tietosuojakontrolli on ”kysy lakiosastolta”, liiketoiminta joko pysähtyy tai alkaa käyttää oikopolkuja.

Tietosuojaa parantavat teknologiat, joista käytetään yleisesti lyhennettä PET, ratkaisevat tämän aukon, kun niitä käsitellään operatiivisena kontrollikokonaisuutena eikä tutkimusaiheena. ISO/IEC 27701:2025:n PIMS-vaatimusten ja GDPR-velvoitteiden mukaisesti PET-teknologiat, kuten tietojen maskaus, pseudonymisointi, anonymisointi, aggregointi, tokenisointi, salaus ja synteettinen data, vähentävät tunnistettavuutta säilyttäen samalla liiketoiminta-arvon. Ne muuttavat vastauksen ”ei, ette voi käyttää dataa” muotoon ”kyllä, jos käytätte turvallista versiota ja dokumentoitte todentavan aineiston”.

Clarysecin lähestymistapa on rakennettu juuri tätä tilannetta varten. Zenith Blueprint: auditoijan 30 askeleen tiekartta sijoittaa tietojen maskauksen vaiheeseen Controls in Action, vaihe 19: tekniset kontrollit I, ja testitiedot vaiheeseen 21: kontrollit 8.27–8.34. PET-teknologiat eivät ole kosmeettisia tietosuojaominaisuuksia. Ne ovat kontrolleja, joita auditoijat voivat tarkastaa, asiantuntijat voivat toteuttaa ja johto voi ohjata.

Kuten Zenith Blueprint toteaa:

Tietojen maskauksessa ei ole kyse tietojen piilottamisesta hyökkääjiltä, vaan tarpeettoman altistumisen estämisestä organisaation sisällä. Kehitys-, testaus-, koulutus- ja analytiikkatilanteissa aitoa tuotantodataa kopioidaan usein ympäristöihin, joissa ei ole kaikkia tuotannon tietoturvakontrolleja.

Tämä yksi lause kiteyttää modernin tietosuojariskin operatiivisen todellisuuden. Vaarallisin henkilötietojen altistuminen ei usein ole dramaattinen ulkoinen tietomurto. Se on sisäinen kopio, testitietokanta, tekoälyn koulutusaineiston poiminta, toimittajalle annettu esimerkkiaineisto, unohtunut debug-loki tai analytiikkamittaristo, joka paljastaa enemmän kuin kukaan tarkoitti.

PET-teknologiat muuttavat sisäänrakennetun tietosuojan operatiiviseksi näytöksi

GDPR Article 25 edellyttää sisäänrakennettua ja oletusarvoista tietosuojaa. GDPR Article 32 edellyttää asianmukaisia teknisiä ja organisatorisia toimenpiteitä, mukaan lukien pseudonymisointi ja salaus silloin, kun ne ovat tarkoituksenmukaisia. GDPR Article 5 edellyttää lainmukaisuutta, kohtuullisuutta, läpinäkyvyyttä, käyttötarkoitussidonnaisuutta, tietojen minimointia, täsmällisyyttä, säilytyksen rajoittamista, eheyttä, luottamuksellisuutta ja osoitusvelvollisuutta.

PET-teknologiat ovat kohta, jossa nämä oikeudelliset periaatteet muuttuvat teknisiksi suunnittelupäätöksiksi.

Tietosuojaa parantava teknologia on mikä tahansa tekninen tai menettelyllinen mekanismi, joka vähentää tietosuojariskiä rajoittamalla henkilötietojen altistumista, tunnistettavuutta, yhdisteltävyyttä tai väärinkäyttöä. ISO/IEC 27701:2025:n mukaiseen PIMS-järjestelmään sovitettuna PET-teknologioiden tulee kytkeytyä roolien selkeyteen, tietosuojariskien käsittelyyn, käsittelytoimien selosteisiin, toimittajakontrolleihin, pääsyrajoituksiin, säilytyspäätöksiin ja todentavaan aineistoon.

Rekisterinpitäjille PET-teknologiat auttavat osoittamaan, että organisaatio on arvioinut minimointia, oletusarvoisen tietosuojan asetuksia ja jatkokäsittelyn suojatoimia. Henkilötietojen käsittelijöille PET-teknologiat auttavat osoittamaan, että asiakkaan ohjeet toteutetaan turvallisesti, alikäsittelijöiden aiheuttamaa altistumista vähennetään ja pilvessä tapahtuva henkilötietojen käsittely suojataan. Yhteisrekisterinpitäjille ja alikäsittelijöille PET-teknologiat auttavat selkeyttämään, kuka hallitsee uudelleentunnistamisen avaimia, kuka hyväksyy tunnisteiden poistamista koskevat oletukset ja kuka voi saada käyttökelpoisia tietoaineistoja.

Clarysecin Sisäänrakennetun ja oletusarvoisen tietosuojan politiikka tekee tästä operatiivista sekä rekisterinpitäjän että henkilötietojen käsittelijän näkökulmasta:

[Molemmat] Prosessin omistajan / liiketoimintavastaavan TULEE dokumentoida tunnisteiden poistamisen, pseudonymisoinnin, aggregoinnin tai ei-tunnistettavan käsittelyn toteutettavuus REG04:ään ennen tunnistettavien henkilötietojen hyväksymistä testaukseen, analytiikkaan, raportointiin tai toissijaiseen operatiiviseen käyttöön.

Tämä lauseke muuttaa keskustelun. Liiketoimintavastaava ei aloita pyytämällä tietokantakopiota. Hän aloittaa dokumentoimalla liiketoimintatarkoituksen, tarvittavan vähimmäisdatan ja sen, miksi matalamman riskin muoto toimii tai ei toimi.

Tämä on johtamisen kannalta ratkaiseva muutos, joka tekee PET-teknologioista puolustettavia. Ennen kuin tunnistettavat henkilötiedot hyväksytään, organisaation on osoitettava, miksi aggregointi, synteettinen data, maskaus, pseudonymisointi tai anonymisointi ei riitä.

Auditoinneissa olennaisimmat PET-teknologiat

Kaikki PET-teknologiat eivät sovi jokaiseen tilanteeseen. Hyödyllinen tietosuojatekninen ohjelma tarvitsee käytännöllisen luokittelun, jonka liiketoiminta, tekniset tiimit, tietosuoja, tietoturva ja auditointi ymmärtävät samalla tavalla.

P16 Tietojen maskauksen ja pseudonymisoinnin politiikka määrittää PET-teknologiat suoraan tietosuojariskin näkökulmasta:

Tämä politiikka määrittää organisaation lähestymistavan tietojen maskauksen ja pseudonymisoinnin toteuttamiseen tietosuojaa parantavina teknologioina (PET), jotta henkilötietojen tai arkaluonteisten tietojen tunnistettavuutta ja altistumista vähennetään.

Pienemmille organisaatioille Clarysec tuo saman kontrollitarkoituksen kevyempään toimintamalliin. P16S Tietojen maskauksen ja pseudonymisoinnin politiikka - pk-yrityksille toteaa:

Tämä politiikka asettaa pakolliset vaatimukset tietojen maskauksen ja pseudonymisoinnin käytölle arkaluonteisten, henkilökohtaisten ja luottamuksellisten tietojen suojaamiseksi pienissä ja keskisuurissa yrityksissä (SME).

Periaate on suhteellisuus. Monikansallinen organisaatio voi käyttää yritystason tokenisointia, tiedonvuodon estämistä, eriytettyjä avainholveja ja tietosuojateknisiä katselmointilautakuntia. Pk-yritys voi aloittaa hyväksytyillä maskausskripteillä, rajoitetuilla token-taulukoilla ja dokumentoiduilla hyväksynnöillä. Molempien on pystyttävä osoittamaan, että tietosuojariski on arvioitu, käsitelty ja todennettu.

Miksi ISO/IEC 27701:2025 tarvitsee ISO/IEC 27001:2022 -selkärangan

ISO/IEC 27701:2025 laajentaa tietosuojan hallinnan henkilötietojen hallintajärjestelmäksi, mutta tietosuojakontrollit eivät toimi tyhjiössä. Ne riippuvat taustalla olevasta tietoturvallisuuden hallintajärjestelmästä.

ISO/IEC 27001:2022 edellyttää, että organisaatiot ymmärtävät toimintaympäristönsä, sidosryhmien vaatimukset, soveltamisalan, rajapinnat ja riippuvuudet sekä luovat ISMS-järjestelmän ja parantavat sitä jatkuvasti. Sen suunnitteluvaatimukset ohjaavat toistettavaa riskien arviointia, riskien käsittelyä, soveltuvuuslausuntoa ja jäännösriskin hyväksyntää. PET-teknologioiden osalta tämä tarkoittaa, ettei kontrolleja valita siksi, että ”tietosuoja haluaa niitä”. Ne valitaan siksi, että riskien arviointi osoittaa niiden vähentävän luottamuksellisuuteen, tietosuojaan, testaukseen, analytiikkaan, toimittajiin tai pilvipalveluihin liittyvää altistumista.

Zenith Blueprint tekee tämän käytännölliseksi vaiheessa 23, jossa se selittää yksityisyyden ja henkilötietojen suojan elinkaarikontrollina:

Tämän kontrollin perusta on datan tunteminen. Organisaation on tiedettävä, mitä henkilötietoja se kerää, missä ne sijaitsevat, miksi niitä käsitellään ja kuka voi käyttää niitä. Ilman tätä perustasoa kaikki tietosuojalupaukset ovat tyhjiä.

Tämä on silta ISO/IEC 27701:2025:n ja GDPR:n välillä. PET-teknologiat edellyttävät datan tuntemista. Et voi maskata sitä, mitä et ole luokitellut. Et voi pseudonymisoida vastuullisesti, jos et tiedä, kuka hallitsee avainta. Et voi anonymisoida turvallisesti, jos et ole arvioinut uudelleentunnistamisen riskiä. Et voi puolustaa analytiikka- tai tekoälykäyttötapausta, jos et voi kytkeä sitä oikeusperusteeseen, tarkoitukseen, säilytyssääntöön ja hyväksymiskirjaukseen.

PET-teknologioiden kartoitus ISO/IEC 27002:2022 -standardiin ja Clarysec-ohjeistukseen

Kypsä PET-hallinnointi riippuu integroiduista kontrolleista. Zenith Controls: vaatimustenmukaisuuden vastaavuusopas käsittelee yksityisyyttä ja henkilötietojen suojaa, tietojen maskausta, kryptografiaa ja testitietoja yhtenä toisiinsa kytkeytyvänä kontrolliperheenä. Tämä on tärkeää, koska auditoijat tarkastavat PET-teknologioita harvoin erillään muusta ympäristöstä. Jos tietoaineisto on maskattu, he kysyvät, miten se on luokiteltu, kuka voi käyttää sitä, liittyykö siihen kryptografista tokenisointia ja sovelletaanko samaa sääntöä testiympäristöissä.

Zenith Controls kartoittaa ISO/IEC 27002:2022 -kontrollin 5.34, yksityisyys ja henkilötietojen suoja, ennaltaehkäiseväksi kontrolliksi, joka tukee luottamuksellisuutta, eheyttä ja saatavuutta sekä sisältää operatiivisia kyvykkyyksiä tietojen suojaamisessa ja lakisääteisten vaatimusten noudattamisessa. Se kytkee 5.34:n myös omaisuusluetteloon, tietojen maskaukseen ja kryptografiaan. PET-teknologiat riippuvat siitä, että organisaatio tietää, missä henkilötiedot sijaitsevat, rajoittaa niiden altistumista ja suojaa niitä tarvittaessa kryptografisesti.

Kontrollin 8.11, tietojen maskaus, osalta Zenith Controls tunnistaa maskauksen ennaltaehkäiseväksi, luottamuksellisuuteen keskittyväksi ja tietojen suojaamiseen kuuluvaksi kontrolliksi. Se kytkee maskauksen tiedon luokitteluun, yksityisyyteen ja henkilötietojen suojaan, tietojen pääsyrajoituksiin, kryptografiaan ja testitietoihin.

Kontrollin 8.24, kryptografian käyttö, osalta Zenith Controls yhdistää kryptografian luokitteluun, henkilötietojen suojaan, tietojen siirtoon, haavoittuvuuksien hallintaan ja turvallisen kehityksen elinkaareen. Se kytkee kontrollin myös ISO/IEC 27018:2020 -standardiin pilvessä käsiteltävien henkilötietojen suojan osalta sekä NIST SP 800-53 Rev. 5 -kontrolleihin kryptografisesta suojauksesta, lepotilassa olevien tietojen suojauksesta ja siirron luottamuksellisuudesta.

Tämä integroitu näkymä selittää, miksi PET-teknologiat tuottavat vaatimustenmukaisuuden yhteishyötyä. Maskattu testitietoaineisto voi samanaikaisesti tukea GDPR:n minimointia, ISO/IEC 27002:2022:n testitietojen suojausta, DORA:n mukaista ICT-riskien vähentämistä, NIS2:n kyberhygieniaa ja NIST CSF 2.0:n dataturvallisuuden lopputuloksia.

Testiympäristö on paikka, jossa tietosuojalupaukset usein epäonnistuvat

Monissa auditoinneissa nopein tie merkittävään havaintoon on ei-tuotantoympäristö.

Tuotannossa voi olla MFA, etuoikeutetun pääsyn hallinta (PAM), salaus, seuranta ja tiukka muutoksenhallinta. Testi-, kehitys- ja staging-ympäristöissä voi olla jaetut tunnukset, laajemmat kehittäjäoikeudet, kopioitua tuotantodataa, heikompi lokitus ja unohtuneita varmuuskopioita. Clarysec käsittelee testidataa PET-teknologioiden ensisijaisena kohteena juuri tästä syystä.

P16 Tietojen maskauksen ja pseudonymisoinnin politiikka on tältä osin yksiselitteinen:

Aitoja henkilötietoja ei saa käyttää kehitys-, testi- tai staging-ympäristöissä. Sen sijaan tulee käyttää maskattua tai pseudonymisoitua dataa, joka on tuotettu ennakolta hyväksytyistä muunnosmalleista.

Testidata- ja testiympäristöpolitiikka - pk-yrityksille asettaa saman odotuksen käytännönläheisesti:

Data tulee anonymisoida tai pseudonymisoida asianmukaisilla työkaluilla.

Zenith Blueprint selittää vaiheessa 21, miksi tällä on merkitystä:

Lopulta Control 8.33 muistuttaa, ettei tieto menetä arvoaan vain siksi, että se on sandbox-ympäristössä. Kun testidataa käsitellään samalla huolellisuudella kuin tuotantodataa, organisaatiot vähentävät vahingossa tapahtuvan altistumisen, sisäisen väärinkäytön ja vaatimustenmukaisuuden epäonnistumisen todennäköisyyttä.

Vahva PET-ohjelma alkaa siksi yksinkertaisesta säännöstä: tuotannon henkilötiedot eivät siirry alempiin ympäristöihin, ellei dokumentoitu poikkeus osoita teknistä välttämättömyyttä, sovella vastaavia suojatoimia ja kirjaa hyväksyntää.

Testidata- ja testiympäristöpolitiikka tukee tätä hallittujen testidatavaatimusten kautta, ja pk-yritysversio antaa pienemmille tiimeille käytännöllisen perustason. Yhdessä niiden tulee ohjata seuraavia käytäntöjä:

• Oletusvaatimus synteettiselle, anonymisoidulle tai maskatulle datalle
• Muodollinen poikkeuspolku tuotannon henkilötiedoille
• Ennakolta hyväksytyt muunnosmallit
• Testitietoaineistojen pääsynhallinta ja lokitus
• Aikarajoitettu säilytys ja siivous
• Todentava aineisto siitä, että maskaus on tehty ennen tietoaineiston luovutusta
• Pseudonymisoidun datan uudelleentunnistamisen riskin säännöllinen katselmointi

Pseudonymisointi ei ole anonymisointia

Yleinen virhe on käsitellä pseudonymisoitua dataa ikään kuin se olisi anonyymiä. Sitä se ei ole.

Pseudonymisointi vähentää tunnistettavuutta korvaamalla suorat tunnisteet tokeneilla, tiivisteillä tai vaihtoehtoisilla arvoilla. Jos avain, hakutaulukko, suola tai lisätietoaineisto voi palauttaa henkilöllisyyden, data edellyttää edelleen hallinnointia. Tämän vuoksi GDPR käsittelee pseudonymisointia suojatoimena, ei automaattisena poistumisena tietosuojavelvoitteiden piiristä.

P16S Tietojen maskauksen ja pseudonymisoinnin politiikka - pk-yrityksille toteaa:

Pseudonymisointia tulee käyttää, kun datan linkittäminen on tarpeen ilman henkilöllisyyksien paljastamista:

Tämä ilmaus määrittää käyttötapauksen: linkitettävyys ilman suoraa henkilöllisyyttä. Pseudonymisointi sopii hyvin asiakaspoistuman analytiikkaan, petosmallien analyysiin, tukitapausten korrelointiin, pitkittäisraportointiin ja tekoälymallien koulutukseen, jossa sama henkilö on tunnistettava tapahtumien välillä, mutta mallin käyttäjä ei tarvitse todellista henkilöllisyyttä.

Kontrolli on kuitenkin vain niin vahva kuin avaintenhallinta. P16S Tietojen maskauksen ja pseudonymisoinnin politiikka - pk-yrityksille toteaa myös:

Avainten käyttö tulee salata, asettaa pääsynhallinnan piiriin ja kirjata lokiin.

Tämä vastaa suoraan ISO/IEC 27002:2022 -kontrollia 8.24. Kryptografian käyttöä käsittelevässä vaiheessa 20 Zenith Blueprint varoittaa:

Vahva salaus ei merkitse mitään, jos avaimet altistuvat, niitä käsitellään virheellisesti tai ne unohtuvat. Avaimet tulee luoda turvallisesti, säilyttää salatuissa avainholveissa tai laitteistoturvamoduuleissa, kierrättää aikataulun mukaisesti ja peruuttaa, kun ne vaarantuvat tai niitä ei enää tarvita.

Tietoturvajohtajalle tai tietosuojavastaavalle käytännön sääntö on selvä: jos pseudonymisointi on palautettavissa, pääsy avaimeen on kruununjalokivi. Token-taulukkoa, suolaa, avainholvin käyttöoikeuksia, uudelleentunnistamisen työnkulkua ja lokeja on käsiteltävä korkean riskin omaisuuserinä.

P16 Tietojen maskauksen ja pseudonymisoinnin politiikka lisää toisen auditoinnin kannalta kriittisen vaatimuksen:

Pseudonymisoiduille tietoaineistoille tulee tehdä säännöllisiä uudelleentunnistamisen riskinarviointeja.

Tämä estää pseudonymisoinnin vanhentumisen. Tietoaineisto, jonka riski oli viime vuonna matala, voi muuttua korkeamman riskin aineistoksi, kun siihen lisätään uusia attribuutteja, toimittaja saa enemmän dataa tai ulkoisia tietoaineistoja on helpompi yhdistää siihen.

Käytännön PET-työnkulku tekoälylle ja analytiikalle

Palataan Sarahin fintech-yhtiön tekoälytoimintoon. Liiketoiminta haluaa asiakasdataa mallin koulutukseen, mutta Sarah tarvitsee puolustettavan etenemistavan, joka suojaa asiakkaita, täyttää lakiosaston vaatimukset eikä estä innovointia.

Vaihe 1: Luo sisäänrakennetun tietosuojan päätöskirjaus

Liiketoimintavastaava avaa REG04:n, päätöskirjauksen, johon Sisäänrakennetun ja oletusarvoisen tietosuojan politiikka viittaa. Pyyntö dokumentoi:

• Liiketoimintatarkoitus: tekoälypohjainen neuvontatoiminto sekä asiakaspoistuman tai sitoutumisen mallinnus
• Pyydetty tietoaineisto: asiakasprofiili, tilaustapahtumat, tapahtumakategoriat, käyttölokit ja tukitapahtumat
• Rooli rekisterinpitäjänä tai henkilötietojen käsittelijänä sekä oikeusperuste tai käsittelyohje
• Ovatko tunnistettavat henkilötiedot välttämättömiä
• PET-teknologioiden toteutettavuus: aggregointi, pseudonymisointi, anonymisointi, synteettinen data tai maskaus
• Vastaanottajat: sisäinen analytiikkatiimi, sovellustiimi ja pilvianalytiikka-alusta
• Säilytysaika ja poistamisen käynnistävä ehto
• Hyväksynnän omistaja ja jäännösriski

Politiikka edellyttää, että PET-teknologioiden toteutettavuus dokumentoidaan ennen tunnistettavien henkilötietojen hyväksymistä. Tämä tekee tunnisteiden poistamisesta oletuspolun eikä jälkikäteistä ajatusta.

Vaihe 2: Luokittele ja minimoi kentät

Tiedon omistaja poistaa koulutuspoiminnasta suorat tunnisteet, kuten nimen, sähköpostiosoitteen, puhelinnumeron, viranomaisen myöntämän tunnisteen ja koko tilinumeron. Asiakastunnus korvataan pseudonyymillä tokenilla. Sijainti yleistetään. Vapaamuotoiset tukimuistiinpanot jätetään pois tai käsitellään maskauksen kautta. Maksutiedot poistetaan, ellei tietty hyväksytty ominaisuus edellytä niitä.

Tietosuoja- ja yksityisyydensuojapolitiikka - pk-yrityksille vahvistaa tätä suunnitteluperiaatetta:

Järjestelmien oletusasetusten tulee minimoida henkilötietojen altistuminen (esim. maskatut näkymät, rajoitetut raportit).

Tietosuoja- ja yksityisyydensuojapolitiikka asettaa laajemman järjestelmävaatimuksen:

Järjestelmien tulee tukea anonymisointia tai pseudonymisointia silloin, kun se on tarkoituksenmukaista.

Vaihe 3: Toteuta pseudonymisointi ja suojaa avaimet

Tekninen tiimi käyttää hyväksyttyä muunnosmallia maskauspolitiikasta. Tokenit luodaan hyväksytyllä menetelmällä. Avain tai hakutaulukko säilytetään erillään rajoitetussa avainholvissa. Vain pieni uudelleentunnistamisesta vastaava rooli voi käyttää sitä, ja jokainen käyttö kirjataan lokiin.

Jos tietoaineisto siirretään pilvianalytiikan palveluntarjoajalle, siirron aikainen ja lepotilan salaus varmistetaan. Henkilötietojen tietoturva- ja pääsynhallintapolitiikka edellyttää:

[Molemmat] Tietoturvavastaavan TULEE määrittää salauksen tai hyväksyttyjen korvaavien suojausvaatimusten käyttö REG12:ssa ennen kuin vaikutuksiltaan merkittäviä, arkaluonteisia tai ulkoisesti siirrettäviä henkilötietoja tallennetaan, siirretään tai asetetaan saataville.

Vaihe 4: Katselmoi uudelleentunnistamisen riski

Tietosuojavastaava tai tietosuojaneuvonantaja arvioi, voivatko jäljellä olevat attribuutit tunnistaa henkilöitä yksilöllisyyden, harvinaisten käyttäytymismallien tai ulkoiseen dataan yhdistämisen kautta.

Henkilötietojen säilytys-, poisto- ja hävityspolitiikka toteaa:

[Molemmat] Tietosuojavastaavan / tietosuojaneuvonantajan TULEE katselmoida uudelleentunnistamisen riskiä koskevat oletukset REG12:ssa ennen anonymisoinnin tai tunnisteiden poistamisen hyväksymistä korkean riskin tai ulkoisesti jaettaville tietoaineistoille.

Tämä katselmointi on erityisen tärkeää, kun data poistuu organisaatiosta, siirtyy henkilötietojen käsittelijän ympäristöön tai sitä käytetään tekoälyn koulutuksessa.

Vaihe 5: Hallitse tekoälykohtaista datariskiä

Tekoäly luo PET-teknologioille erityisiä haasteita, koska mallitiimit haluavat usein suuria, realistisia ja uudelleenkäytettäviä tietoaineistoja. Tekoälyn ja automaattisen päätöksenteon tietosuojapolitiikka tekee operatiivisen odotuksen selväksi:

[Molemmat] Ennen kuin tuotannon henkilötietoja käytetään AI-testaukseen, koulutukseen, virittämiseen, validointiin tai seurantaan, järjestelmäomistajan / sovellusomistajan tulee toteuttaa hyväksytyt minimointi-, eriyttämis-, pääsynhallinta- tai tunnisteiden poistamisen toimenpiteet ja kirjata toteutusnäyttö REG04:ään tai REG12:een.

Tekoälyprojekteissa käytännöllisiä PET-vaihtoehtoja ovat synteettinen data varhaiseen testaukseen, ominaisuuksien minimointi, pseudonymisoidut tunnisteet, vapaatekstin maskaus, aggregointi, eriytetty pääsy arkaluonteisiin attribuutteihin sekä koulutus-, validointi- ja tuotantoseurantadatan erottaminen toisistaan.

Katselmoinnissa tulee kysyä:

• Voidaanko mallin tavoite saavuttaa ilman suoria tunnisteita?
• Ovatko vapaatekstikentät tarpeellisia, ja onko ne maskattu?
• Käytetäänkö arkaluonteista dataa syötteenä, luokkana tai välillisenä muuttujana?
• Voiko synteettinen data tukea testausta ennen aidon datan hyväksymistä?
• Tarkistetaanko mallin tuotokset muistamisen tai uudelleentunnistamisen riskin varalta?
• Onko koulutuspoiminnoille poistamissuunnitelma?
• Kirjataanko todentava aineisto REG04:ään tai REG12:een?

Vaihe 6: Kirjaa säilytys ja hävittäminen

Jos tekoälyn tuotos ei enää tarvitse rivitason dataa koulutuksen tai validoinnin jälkeen, raaka pseudonymisoitu tietoaineisto tulee poistaa määritetyn ajan kuluttua. Jos lopputulos on aggregoitu, siihen voi soveltua eri säilytyssääntö.

Henkilötietojen säilytys-, poisto- ja hävityspolitiikka edellyttää:

[Molemmat] Prosessin omistajan / liiketoimintavastaavan TULEE dokumentoida anonymisointi, tunnisteiden poistaminen tai pseudonymisointi säilytykseen liittyvänä riskien vähentämistoimenpiteenä tai lopputoimenpiteenä REG02:ssa ennen tunnistettavien henkilötietojen muuntamista.

Vaihe 7: Säilytä auditointijälki

Näyttöpaketin tulee sisältää REG04, REG12, REG02, DPIA tai PIA silloin kun niitä vaaditaan, maskauskonfiguraatio, token-rakenne, avainten käyttölokit, pilviturvallisuusasetukset, toimittajien hyväksynnät, poistamislokit ja kuvakaappaukset rajoitetuista raporteista.

Näin PET-teknologioista tulee auditoitavia. Sarah voi osoittaa paitsi sen, että pseudonymisointia käytettiin, myös miksi se valittiin, kuka sen hyväksyi, miten se toteutettiin, miten avaimet suojattiin ja miten jäännösriski katselmoitiin.

Vaatimustenmukaisuuden kartoitus: GDPR, ISO/IEC 27701, NIS2, DORA, NIST ja COBIT

PET-teknologiat vähentävät painetta laajemmassa sääntely-ympäristössä, koska ne tukevat samaa ydintavoitetta: arkaluonteisen datan tarpeettoman altistumisen vähentämistä samalla kun osoitusvelvollisuus ja operatiivinen häiriönsietokyky säilyvät.

GDPR:n nojalla PET-teknologiat tukevat osoitusvelvollisuutta, minimointia, sisäänrakennettua tietosuojaa ja käsittelyn turvallisuutta. GDPR voi soveltua alueellisesti EU:n ulkopuolisiin rekisterinpitäjiin tai henkilötietojen käsittelijöihin, jotka tarjoavat palveluja unionissa oleville henkilöille tai seuraavat heitä. SaaS-, fintech- ja pilvianalytiikkapalveluntarjoajat tarvitsevat usein GDPR:n mukaisia PET-teknologioita, vaikka niiden päätoimipaikka olisi muualla.

NIS2:n nojalla keskeisten ja tärkeiden toimijoiden on toteutettava asianmukaiset ja oikeasuhtaiset tekniset, operatiiviset ja organisatoriset toimenpiteet. Article 21 sisältää riskianalyysin, poikkeamien käsittelyn, liiketoiminnan jatkuvuuden, toimitusketjun tietoturvan, turvallisen kehityksen, vaikuttavuuden arvioinnin, kyberhygienian, kryptografian, pääsynhallinnan ja omaisuudenhallinnan.

DORA:n nojalla finanssialan toimijat tarvitsevat dokumentoidun ICT-riskienhallinnan viitekehyksen ja vahvan suojan datan luottamuksellisuudelle, eheydelle ja saatavuudelle. Articles 28 to 30:n kolmansia osapuolia koskevat vaatimukset tekevät PET-teknologioista erityisen arvokkaita, kun data liikkuu ICT-palveluntarjoajien, pilvialustojen, ulkoistettujen kehittäjien tai testauskumppanien kautta.

NIST CSF 2.0 lisää operatiivisen näkökulman. GOVERN-lopputulokset edellyttävät lakisääteisiä, sääntelyyn perustuvia ja sopimusperusteisia vaatimuksia, tietosuojavelvoitteita, riskinottohalukkuutta ja politiikkojen valvontaa. PROTECT sisältää dataturvallisuuden lepotilassa oleville, siirrettäville ja käytössä oleville tiedoille. DETECT, RESPOND ja RECOVER lisäävät seurannan, poikkeamien julistamisen, sidosryhmien tiedottamisen, tutkinnan eheyden ja palautumisen varmennuksen.

Miten auditoijat testaavat PET-ohjelmanne

Politiikka on vain paperia ja työkalu vain koodia, kunnes auditoija pyytää näyttöä. Eri arvioijat lähestyvät PET-teknologioita eri kulmista, mutta todentava aineisto on pitkälti päällekkäistä.

Zenith Controls sisältää auditointimenetelmän näkymän, joka on tässä erityisen hyödyllinen. Yksityisyyden ja henkilötietojen suojan osalta se ohjaa auditoijat tietosuojapolitiikkoihin, tietoaineistoluetteloihin, DPIA- tai PIA-arviointeihin, koulutuslokeihin, salausnäyttöön, pääsynhallintaan ja loogisiin suojatoimiin. Tietojen maskauksen osalta se korostaa maskauspolitiikkoja, luokittelumalleja, järjestelmänäytteitä, mittaristoja, lokeja, ei-tuotantotietoaineistoja ja näyttöä siitä, että maskaus on sovellettu oikein. Kryptografian osalta se korostaa hyväksyttyjä algoritmeja, avainpituuksia, avaintenhallintamenettelyjä, hallussapitorooleja ja näyttöä siitä, että heikkoja salausalgoritmeja vältetään.

Opetus on yksinkertainen: PET-näytön on oltava sekä teknistä että hallinnollista. Pelkät kuvakaappaukset eivät riitä. Pelkät politiikat eivät riitä. Tarvitsette koko ketjun vaatimuksesta riskiin, toteutukseen, seurantaan, katselmointiin ja parantamiseen.

Yleiset PET-puutteet, jotka tulee korjata ennen auditointia

Useimmat organisaatiot eivät epäonnistu siksi, että niiltä puuttuu työkaluja. Ne epäonnistuvat siksi, että PET-teknologioita hallinnoidaan epäyhtenäisesti.

Yleisiä havaintoja ovat:

• Maskaus on käytössä tietokannoissa mutta ei vienneissä, lokeissa tai BI-mittaristoissa
• Pseudonymisointiavaimet ovat liian monen järjestelmänvalvojan käytettävissä
• Testiympäristöissä on vanhoja tuotantokopioita ilman säilytyksen omistajaa
• Analytiikkatiimit käyttävät sähköpostiosoitteita kätevinä liitosavaimina
• Toimittajat saavat esimerkkidataa ennen tietosuojakatselmointia
• Anonymisointia väitetään tehdyksi ilman uudelleentunnistamisen arviointia
• Tietojen minimointi on dokumentoitu DPIA:ssa mutta sitä ei ole toteutettu kyselyissä
• Salaus on käytössä, mutta avainten omistajuus ja kierto ovat epäselviä
• Tekoälytiimit tallentavat koulutuspoimintoja hyväksyttyjen tietovarastojen ulkopuolelle
• Poikkeukset hyväksytään suullisesti eivätkä ne koskaan vanhene

Ratkaisu ei ole laajempi politiikka-asiakirja. Ratkaisu on työnkulku, joka tekee turvallisesta polusta helpoimman polun.

Rakenna PET-toimintamalli 30 päivässä

Käytännöllinen PET-ohjelma voidaan käynnistää nopeasti, kun keskitytään ensin suurimman riskin dataliikkeisiin.

Tässä vaiheessa on myös oikea hetki kytkeä PET-teknologiat Clarysecin laajempaan tiekarttaan. Zenith Blueprint käsittelee vaiheessa 19 maskausta, vaiheessa 20 kryptografiaa, vaiheessa 21 testitietoja ja vaiheessa 23 yksityisyyttä ja henkilötietojen suojaa. Yhdessä nämä askeleet muodostavat toteuttamiskelpoisen käyttöönottojärjestyksen ISO/IEC 27701:2025:n ja GDPR:n mukaiseen tietosuojatekniseen toteutukseen.

Tee PET-teknologioista auditoitavia ennen kuin auditoija kysyy

Sarahin tarina ei pääty yksinkertaiseen kyllä- tai ei-vastaukseen. Se päättyy parempaan kysymykseen: miten organisaatio voi käyttää dataa turvallisesti?

Kun hän käyttää hallinnointivetoista lähestymistapaa tietosuojaa parantaviin teknologioihin, hän voi täyttää lakiosaston vaatimukset, mahdollistaa tuotetiimin työn, suojata asiakkaita ja vahvistaa vaatimustenmukaisuutta samanaikaisesti. Tekoälytoiminto voi edetä pseudonymisoidulla, minimoidulla ja pääsynhallinnan piirissä olevalla datalla. Pilvianalytiikan palveluntarjoaja voi saada vain turvallisen tietoaineiston. Avain voi pysyä rajoitettuna. Säilytyssääntö voidaan dokumentoida. Todentava aineisto kestää ISO-, GDPR-, DORA-, NIS2- ja asiakasvarmennuksen katselmoinnin.

PET-teknologiat ovat enemmän kuin tekninen korjaus vaatimustenmukaisuusongelmaan. Kun ne integroidaan hallintajärjestelmään, jota ohjaavat selkeät politiikat, Zenith Blueprint ja Zenith Controls -oppaan moniviitekehyskartoitus, niistä tulee strateginen mahdollistaja. Ne antavat organisaatioille mahdollisuuden saada datasta arvoa samalla kun altistumista vähennetään, luottamusta rakennetaan ja osoitusvelvollisuus todistetaan.

Clarysec voi auttaa muuttamaan tämän toimintamalliksi.

Aloita Zenith Blueprint -oppaasta toteutuksen jaksottamiseksi. Käytä Zenith Controls -opasta PET-teknologioiden kartoittamiseen viitekehysten ISO/IEC 27002:2022, GDPR, NIS2, DORA, NIST ja tukevien ISO-standardien välillä. Ota sen jälkeen käyttöön asiaankuuluvat Clarysec-politiikat, mukaan lukien P16 Tietojen maskauksen ja pseudonymisoinnin politiikka, Sisäänrakennetun ja oletusarvoisen tietosuojan politiikka, Henkilötietojen säilytys-, poisto- ja hävityspolitiikka, Henkilötietojen tietoturva- ja pääsynhallintapolitiikka, Testidata- ja testiympäristöpolitiikka ja Tekoälyn ja automaattisen päätöksenteon tietosuojapolitiikka.

Välitön toimenpide on yksinkertainen: valitse tällä viikolla yksi korkean riskin tietoaineisto ja kysy: ”Voidaanko liiketoimintatavoite saavuttaa ilman tunnistettavia henkilötietoja?” Jos vastaus on kyllä, toteuta PET-teknologia. Jos vastaus on ei, dokumentoi miksi, suojaa data asianmukaisesti ja säilytä todentava aineisto.

Tätä sisäänrakennettu tietosuoja tarkoittaa todellisessa toimintaympäristössä.