Adatvédelmet erősítő technológiák ISO/IEC 27701 és GDPR megfelelőséghez

Sarah, egy gyorsan növekvő fintech vállalat információbiztonsági vezetője (CISO), már az értekezlet kezdete előtt tudta, milyen kérés fog érkezni.

A termékcsapat AI-alapú pénzügyi tanácsadási funkciót akart bevezetni. A modellnek valósághű ügyfélviselkedésre, tranzakciós mintázatokra, támogatási eseményekre és előfizetési előzményekre volt szüksége. Az adattudományi csapat szerint a modell éles adatokkal jobban teljesítene. A QA-csapat az éles környezethez hasonló fizetési nyilvántartásokat kért a szélső esetek reprodukálásához. Egy felhőalapú analitikai beszállítónak mintaadatkészletre volt szüksége az adatbetöltés ellenőrzéséhez. Senki nem akart adatvédelmi jogszabályt sérteni. Senki nem akarta kitenni az ügyfeleket. Mindenki gyorsan akart haladni.

Ekkor Sarah feltette azt a kérdést, amely megváltoztatta az értekezlet irányát.

„Miért van szükségetek azonosítható PII-re?”

A terem elcsendesedett.

A gyakorlatban itt bukik el sok adatvédelmi irányítási rendszer. A szervezetnek lehet adatvédelmi tájékoztatója, adatvédelmi szabályzata, DPIA-sablonja és jogi felülvizsgálati folyamata, de a tényleges döntés egy Slack-beszélgetésben, Jira-jegyben, analitikai exportban vagy adatbázis-klónban születik meg. Ha az egyetlen adatvédelmi kontroll az, hogy „kérdezd meg a jogi osztályt”, az üzlet vagy lelassul, vagy kerülőutakat választ.

Az adatvédelmet erősítő technológiák, amelyeket általában PET-eknek nevezünk, ezt a hiányosságot akkor kezelik, ha operatív kontrollkészletként alkalmazzák őket, nem kutatási témaként. Az ISO/IEC 27701:2025 szerinti PIMS-elvárások és a GDPR-kötelezettségek alapján az olyan PET-ek, mint az adatmaszkolás, az álnevesítés, az anonimizálás, az aggregálás, a tokenizáció, a titkosítás és a szintetikus adatok, csökkentik az azonosíthatóságot, miközben megőrzik az üzleti értéket. A „nem, nem használhatod az adatot” helyett azt teszik lehetővé, hogy „igen, ha a biztonságos verziót használod, dokumentált bizonyítékokkal”.

A Clarysec megközelítése pontosan erre a helyzetre készült. A Zenith Blueprint: az auditor 30 lépéses ütemterve az adatmaszkolást a Controls in Action fázisba helyezi, a 19. lépésbe: Technological Controls I, a tesztinformációt pedig a 21. lépésbe: Controls 8.27 to 8.34. A PET-ek nem kozmetikai adatvédelmi funkciók. Olyan kontrollok, amelyeket az auditorok ellenőrizhetnek, a mérnökök bevezethetnek, a vezetés pedig irányíthat.

Ahogyan a Zenith Blueprint fogalmaz:

Az adatmaszkolás nem arról szól, hogy információt rejtsünk el a támadók elől, hanem arról, hogy megelőzzük a szükségtelen kitettséget a szervezeten belül. Fejlesztési, tesztelési, képzési vagy analitikai helyzetekben a valós éles adatokat gyakran olyan környezetekbe másolják, amelyek nem rendelkeznek az éles környezet teljes biztonsági kontrollkészletével.

Ez az egy mondat pontosan leírja a modern adatvédelmi kockázat működési valóságát. A legveszélyesebb PII-kitettség gyakran nem látványos külső adatsértés. Hanem a belső másolat, a tesztadatbázis, az AI-tanítási kivonat, a beszállítói minta, az elfelejtett hibakeresési napló és az analitikai irányítópult, amely többet fed fel, mint amennyit bárki szándékozott.

A PET-ek a beépített adatvédelmet operatív bizonyítékká alakítják

A GDPR Article 25 beépített és alapértelmezett adatvédelmet ír elő. A GDPR Article 32 megfelelő technikai és szervezési intézkedéseket követel meg, ideértve adott esetben az álnevesítést és a titkosítást. A GDPR Article 5 a jogszerűséget, tisztességességet, átláthatóságot, célhoz kötöttséget, adattakarékosságot, pontosságot, korlátozott tárolhatóságot, integritást, bizalmasságot és elszámoltathatóságot írja elő.

A PET-eknél válnak ezek a jogi alapelvek mérnöki döntésekké.

Az adatvédelmet erősítő technológia minden olyan technikai vagy eljárási mechanizmus, amely a személyes adatok kitettségének, azonosíthatóságának, összekapcsolhatóságának vagy visszaélési lehetőségének korlátozásával csökkenti az adatvédelmi kockázatot. Az ISO/IEC 27701:2025 szabvánnyal összhangban álló PIMS-ben a PET-eknek kapcsolódniuk kell a szerepkörök egyértelműségéhez, az adatvédelmi kockázatkezeléshez, az adatkezelési nyilvántartásokhoz, a beszállítói kontrollokhoz, a hozzáférési korlátozásokhoz, a megőrzési döntésekhez és a bizonyítékokhoz.

Az adatkezelők számára a PET-ek segítenek igazolni, hogy a szervezet mérlegelte az adattakarékosságot, az alapértelmezett adatvédelmi beállításokat és a további adatkezelés védelmi intézkedéseit. Az adatfeldolgozók számára a PET-ek segítenek bizonyítani, hogy az ügyfélutasításokat biztonságosan hajtják végre, az al-adatfeldolgozói kitettség csökken, és a felhőalapú PII-kezelés védett. A közös adatkezelők és al-adatfeldolgozók esetében a PET-ek segítenek tisztázni, ki kezeli az újraazonosítást lehetővé tevő kulcsokat, ki hagyja jóvá az azonosíthatóság megszüntetésére vonatkozó feltételezéseket, és ki kaphat használható adatkészleteket.

A Clarysec Beépített és alapértelmezett adatvédelem szabályzata ezt mind adatkezelői, mind adatfeldolgozói helyzetben működőképessé teszi:

[Mindkettő] A folyamatgazda / üzlettulajdonos KÖTELES dokumentálni az azonosíthatóság megszüntetése, az álnevesítés, az aggregálás vagy a nem azonosítható adatkezelés megvalósíthatóságát a REG04-ben, mielőtt azonosítható PII-t hagy jóvá tesztelésre, analitikára, jelentéskészítésre vagy másodlagos operatív felhasználásra.

Ez a pont megváltoztatja a beszélgetést. Az üzlettulajdonos nem adatbázismásolat kérésével kezd. Először dokumentálja az üzleti célt, a minimálisan szükséges adatokat, valamint azt, hogy az alacsonyabb kockázatú forma miért működik vagy miért nem működik.

Ez az a vezetői döntés, amely a PET-eket igazolhatóvá teszi. Mielőtt az azonosítható PII jóváhagyásra kerülne, a szervezetnek be kell mutatnia, miért nem elegendő az aggregálás, a szintetikus adat, az adatmaszkolás, az álnevesítés vagy az anonimizálás.

Az auditokban legfontosabb PET-ek

Nem minden PET illeszkedik minden helyzethez. Egy hasznos adatvédelmi mérnöki programhoz olyan gyakorlati taxonómiára van szükség, amelyet az üzleti, mérnöki, adatvédelmi, biztonsági és auditcsapatok egyaránt értenek.

A P16 Adatmaszkolási és álnevesítési szabályzat közvetlenül adatvédelmi kockázati fogalmakkal határozza meg a PET-eket:

Ez a szabályzat meghatározza a szervezet megközelítését az adatmaszkolás és az álnevesítés adatvédelmet erősítő technológiaként (PET) történő bevezetésére, a személyes vagy érzékeny adatok azonosíthatóságának és kitettségének csökkentése érdekében.

Kisebb szervezetek számára a Clarysec ugyanezt a kontrollcélt egyszerűbb működési modellben tükrözi. A P16S Adatmaszkolási és álnevesítési szabályzat – KKV kimondja:

Ez a szabályzat kötelező követelményeket állapít meg az adatmaszkolás és az álnevesítés alkalmazására az érzékeny, személyes és bizalmas adatok védelme érdekében kis- és középvállalkozásoknál (KKV-k).

Az alapelv az arányosság. Egy multinacionális szervezet vállalati tokenizációt, adatvesztés-megelőzést, elkülönített kulcstárakat és adatvédelmi mérnöki felülvizsgálati testületeket alkalmazhat. Egy KKV kezdhet jóváhagyott maszkolási szkriptekkel, korlátozott tokentáblákkal és dokumentált jóváhagyásokkal. Mindkettőnek igazolnia kell, hogy az adatvédelmi kockázatot mérlegelték, kezelték és bizonyítékokkal alátámasztották.

Miért van szüksége az ISO/IEC 27701:2025-nek ISO/IEC 27001:2022 alapokra

Az ISO/IEC 27701:2025 az adatvédelmi irányítást adatvédelmi információkezelési rendszerré terjeszti ki, de az adatvédelmi kontrollok nem légüres térben működnek. Az alattuk lévő információbiztonság-irányítási rendszertől függnek.

Az ISO/IEC 27001:2022 megköveteli, hogy a szervezetek megértsék a kontextust, az érdekelt felek követelményeit, a hatályt, az interfészeket és a függőségeket, majd létrehozzák és folyamatosan fejlesszék az IBIR-t. Tervezési követelményei ismételhető kockázatértékelést, kockázatkezelést, alkalmazhatósági nyilatkozatot és maradványkockázat-elfogadást eredményeznek. A PET-ek esetében ez azt jelenti, hogy a kontrollokat nem azért kell kiválasztani, mert „az adatvédelem ezt kéri”. Azért kell kiválasztani őket, mert a kockázatértékelés kimutatja, hogy csökkentik a bizalmassági, adatvédelmi, tesztelési, analitikai, beszállítói vagy felhőkitettséget.

A Zenith Blueprint ezt a 23. lépésben teszi gyakorlativá, ahol a PII adatvédelmét és védelmét életciklus-kontrollként magyarázza:

Ennek a kontrollnak az alapja az adattudatosság. A szervezetnek tudnia kell, milyen PII-t gyűjt, hol található, miért kezelik, és ki férhet hozzá. E nélkül az alap nélkül minden adatvédelmi ígéret üres marad.

Ez a híd az ISO/IEC 27701:2025 és a GDPR között. A PET-ekhez adattudatosság szükséges. Nem lehet maszkolni azt, amit nem osztályoztak. Nem lehet felelősen álnevesíteni, ha nem ismert, ki birtokolja a kulcsot. Nem lehet biztonságosan anonimizálni, ha nem történt újraazonosítási kockázatértékelés. Nem védhető meg egy analitikai vagy AI-felhasználási eset, ha nem kapcsolható jogalaphoz, célhoz, megőrzési szabályhoz és jóváhagyási bejegyzéshez.

A PET-ek megfeleltetése az ISO/IEC 27002:2022 és a Clarysec útmutatásaihoz

Az érett PET-irányítás integrált kontrollokon alapul. A Zenith Controls: megfelelőségi keretrendszerek közötti útmutató a PII adatvédelmét és védelmét, az adatmaszkolást, a kriptográfiát és a tesztinformációt összekapcsolt kontrollcsaládként kezeli. Ez azért fontos, mert az auditorok ritkán vizsgálják a PET-eket elszigetelten. Ha egy adatkészlet maszkolt, meg fogják kérdezni, hogyan osztályozták, ki férhet hozzá, érintett-e kriptográfiai tokenizáció, és ugyanaz a szabály érvényes-e a tesztkörnyezetekben.

A Zenith Controls az ISO/IEC 27002:2022 5.34 kontrollját, a PII adatvédelmét és védelmét, megelőző kontrollként térképezi fel, amely a bizalmasságot, sértetlenséget és rendelkezésre állást támogatja, információvédelmi és jogszabályi megfelelési operatív képességekkel. A 5.34 kontrollt az eszköznyilvántartáshoz, az adatmaszkoláshoz és a kriptográfiához is kapcsolja. A PET-ek attól függenek, hogy a szervezet tudja-e, hol található a PII, korlátozza-e annak kitettségét, és szükség esetén kriptográfiailag védi-e.

A 8.11 Adatmaszkolás kontroll esetében a Zenith Controls a maszkolást megelőző, bizalmasságközpontú és információvédelmi kontrollként azonosítja. A maszkolást az információk osztályozásához, a PII adatvédelméhez és védelméhez, az információhozzáférés korlátozásához, a kriptográfiához és a tesztinformációhoz kapcsolja.

A 8.24 Kriptográfia alkalmazása kontroll esetében a Zenith Controls a kriptográfiát az osztályozáshoz, a PII-védelemhez, az információátvitelhez, a sérülékenységkezeléshez és a biztonságos fejlesztési életciklushoz kapcsolja. A kontrollt az ISO/IEC 27018:2020 szabványhoz is köti a felhőalapú PII-védelem tekintetében, valamint a NIST SP 800-53 Rev. 5 kriptográfiai védelemre, tárolt adatok védelmére és továbbítási bizalmasságra vonatkozó kontrolljaihoz.

Ez az integrált nézőpont az oka annak, hogy a PET-ek megfelelőségi keretrendszerek közötti többletértéket hoznak létre. Egy maszkolt tesztadatkészlet egyszerre támogathatja a GDPR szerinti adattakarékosságot, az ISO/IEC 27002:2022 szerinti tesztinformáció-védelmet, a DORA szerinti IKT-kockázatcsökkentést, a NIS2 szerinti kiberhigiéniát és a NIST CSF 2.0 adatbiztonsági eredményeit.

A tesztkörnyezet az a hely, ahol az adatvédelmi ígéretek gyakran elbuknak

Sok auditban a jelentős megállapításhoz vezető leggyorsabb út a nem éles környezet.

Az éles környezetben lehet többtényezős hitelesítés, emelt jogosultságú hozzáférések kezelése, titkosítás, felügyelet és szigorú változáskezelés. A teszt-, fejlesztési és előéles környezetekben viszont lehetnek megosztott fiókok, szélesebb fejlesztői hozzáférés, átmásolt éles adatok, gyengébb naplózás és elfelejtett biztonsági mentések. A Clarysec pontosan ezért kezeli a tesztadatokat PET-prioritásként.

A P16 Adatmaszkolási és álnevesítési szabályzat egyértelmű:

Valós személyes adat nem használható fejlesztési, teszt- vagy előéles környezetekben. Helyette maszkolt vagy álnevesített adatot kell használni, amelyet előzetesen jóváhagyott átalakítási sablonokból kell előállítani.

A Tesztadat- és tesztkörnyezet-kezelési szabályzat – KKV ugyanezt az elvárást gyakorlati nyelven fogalmazza meg:

Az adatokat megfelelő eszközökkel anonimizálni vagy álnevesíteni kell.

A Zenith Blueprint a 21. lépésben magyarázza el, miért fontos ez:

Végső soron a 8.33 kontroll arra emlékeztet, hogy az információ nem veszíti el az értékét csak azért, mert sandbox környezetben van. Ha a tesztadatokat ugyanolyan gondossággal kezelik, mint az éles adatokat, a szervezetek csökkentik a véletlen kitettség, a belső visszaélés vagy a megfelelőségi hiba esélyét.

Egy erős PET-program ezért egyszerű szabállyal indul: éles PII nem kerülhet alacsonyabb biztonsági szintű környezetekbe, kivéve, ha dokumentált kivétel igazolja a technikai szükségességet, egyenértékű védelmi intézkedéseket alkalmaz, és rögzíti a jóváhagyást.

A Tesztadat- és tesztkörnyezet-kezelési szabályzat ezt szabályozott tesztadat-követelményekkel támogatja, míg a KKV-verzió gyakorlati alapkövetelményeket ad a kisebb csapatoknak. Együtt a következőket kell biztosítaniuk:

• Alapértelmezett követelmény szintetikus, anonimizált vagy maszkolt adatokra
• Formális kivételi útvonal éles PII használatához
• Előzetesen jóváhagyott átalakítási sablonok
• Hozzáférés-szabályozás és naplózás tesztadatkészletekhez
• Időkorlátozott megőrzés és törlés
• Bizonyíték arra, hogy a maszkolást az adatkészlet kiadása előtt alkalmazták
• Az álnevesített adatok újraazonosítási kockázatának időszakos felülvizsgálata

Az álnevesítés nem anonimizálás

Gyakori hiba, hogy az álnevesített adatot anonim adatként kezelik. Nem az.

Az álnevesítés közvetlen azonosítók tokenekkel, hash-ekkel vagy alternatív értékekkel történő helyettesítésével csökkenti az azonosíthatóságot. Ha egy kulcs, leképezési tábla, sóérték (salt) vagy további adatkészlet vissza tudja állítani az identitást, az adat továbbra is irányítást igényel. Ezért kezeli a GDPR az álnevesítést védelmi intézkedésként, nem pedig az adatvédelmi kötelezettségekből való automatikus kilépésként.

A P16S Adatmaszkolási és álnevesítési szabályzat – KKV kimondja:

Álnevesítést kell alkalmazni, ha az adatok összekapcsolása szükséges az identitások felfedése nélkül:

Ez a megfogalmazás meghatározza a felhasználási esetet: összekapcsolás közvetlen identitás nélkül. Az álnevesítés ideális lemorzsolódási analitikához, csalásmintázat-elemzéshez, támogatási ügyek korrelációjához, longitudinális jelentéskészítéshez és AI-modelltanításhoz, amikor ugyanazt a személyt több eseményen keresztül fel kell ismerni, de a valós identitására nincs szüksége a modell felhasználójának.

A kontroll azonban csak annyira erős, amennyire a kulcskezelés. A P16S Adatmaszkolási és álnevesítési szabályzat – KKV azt is kimondja:

A kulcsokhoz való hozzáférést titkosítani, hozzáférés-szabályozással védeni és naplózni kell.

Ez közvetlenül összhangban áll az ISO/IEC 27002:2022 8.24 kontrolljával. A Zenith Blueprint a kriptográfia alkalmazásáról szóló 20. lépésben figyelmeztet:

Az erős titkosítás semmit sem ér, ha a kulcsok kitettségbe kerülnek, nem megfelelően kezelik őket, vagy megfeledkeznek róluk. A kulcsokat biztonságosan kell generálni, titkosított kulcstárakban vagy hardveres biztonsági modulokban (HSM) kell tárolni, ütemezetten rotálni kell, és kompromittálódás vagy szükségtelenné válás esetén vissza kell vonni.

Egy CISO vagy adatvédelmi vezető számára a gyakorlati szabály egyértelmű: ha az álnevesítés visszafordítható, a kulcshozzáférés a legértékesebb védendő elem. A tokentáblát, a sóértéket, a kulcstár-jogosultságokat, az újraazonosítási munkafolyamatot és a naplókat magas kockázatú vagyonelemként kell kezelni.

A P16 Adatmaszkolási és álnevesítési szabályzat további auditkritikus követelményt ad:

Az álnevesített adatkészleteken időszakos újraazonosítási kockázatértékeléseket kell végezni.

Ez megakadályozza, hogy az álnevesítés elavuljon. Egy tavaly alacsony kockázatú adatkészlet magasabb kockázatúvá válhat, ha új attribútumokat adnak hozzá, egy beszállító több adatot kap, vagy a külső adatkészletek könnyebben összekapcsolhatóvá válnak.

Gyakorlati PET-munkafolyamat AI-hoz és analitikához

Térjünk vissza Sarah fintech AI-funkciójához. Az üzlet ügyféladatokat szeretne a modell tanításához, Sarah-nak viszont olyan igazolható útra van szüksége, amely védi az ügyfeleket, megfelel a jogi követelményeknek, és nem blokkolja az innovációt.

1. lépés: Hozd létre a beépített adatvédelmi döntési bejegyzést

Az üzlettulajdonos megnyitja a REG04-et, a Beépített és alapértelmezett adatvédelem szabályzata által hivatkozott döntési bejegyzést. A kérelem dokumentálja:

• Üzleti cél: AI-alapú tanácsadási funkció és lemorzsolódási vagy elköteleződési modellezés
• Kért adatkészlet: ügyfélprofil, előfizetési események, tranzakciós kategóriák, használati naplók és támogatási események
• Adatkezelői vagy adatfeldolgozói szerep, valamint jogalap vagy adatkezelési utasítás
• Szükséges-e azonosítható PII
• PET-megvalósíthatóság: aggregálás, álnevesítés, anonimizálás, szintetikus adatok vagy maszkolás
• Címzettek: belső analitikai csapat, alkalmazáscsapat és felhőalapú analitikai platform
• Megőrzési idő és törlési kiváltó esemény
• Jóváhagyó felelős és maradványkockázat

A szabályzat előírja, hogy az azonosítható PII jóváhagyása előtt dokumentálni kell a PET-ek megvalósíthatóságát. Ez az azonosíthatóság megszüntetését alapértelmezett úttá teszi, nem utólagos szemponttá.

2. lépés: Osztályozd és minimalizáld a mezőket

Az adatgazda eltávolítja a tanítási kivonatból a közvetlen azonosítókat, például a nevet, e-mail címet, telefonszámot, állami azonosítót és teljes számlaszámot. Az ügyfél-azonosítót álneves token váltja fel. A helyadatot általánosítják. A szabad szöveges támogatási megjegyzéseket kizárják vagy kitakarják. A fizetési részleteket eltávolítják, kivéve, ha egy konkrét jóváhagyott funkció megköveteli őket.

A Adatvédelmi és személyesadat-kezelési szabályzat – KKV megerősíti ezt a tervezési elvet:

Az alapértelmezett rendszerbeállításoknak minimalizálniuk kell a személyes adatok kitettségét (például maszkolt nézetekkel, korlátozott jelentésekkel).

Az Adatvédelmi és személyesadat-kezelési szabályzat a tágabb rendszerkövetelményt rögzíti:

A rendszereknek támogatniuk kell az anonimizálást vagy az álnevesítést, ahol ez megfelelő.

3. lépés: Alkalmazz álnevesítést, és védd a kulcsokat

A mérnöki csapat a maszkolási szabályzatból származó jóváhagyott átalakítási sablont használ. A tokeneket jóváhagyott módszerrel állítják elő. A kulcsot vagy leképezési táblát elkülönítetten, korlátozott hozzáférésű kulcstárban tárolják. Csak szűk újraazonosítási szerepkör férhet hozzá, és minden hozzáférést naplózni kell.

Ha az adatkészletet felhőalapú analitikai szolgáltatóhoz továbbítják, ellenőrizni kell a továbbított adatok és a tárolt adatok titkosítását. A PII-biztonsági és hozzáférés-szabályozási szabályzat előírja:

[Mindkettő] Az információbiztonsági vezető KÖTELES a titkosítási vagy jóváhagyott kompenzáló védelmi követelményeket meghatározni a REG12-ben, mielőtt nagy hatású, érzékeny vagy külső továbbítású PII-t tárolnak, továbbítanak vagy hozzáférhetővé tesznek.

4. lépés: Vizsgáld felül az újraazonosítási kockázatot

A DPO vagy adatvédelmi tanácsadó felülvizsgálja, hogy a fennmaradó attribútumok egyediség, ritka viselkedési mintázatok vagy külső adatokkal való összekapcsolás révén azonosíthatnak-e személyeket.

A PII-megőrzési, törlési és megsemmisítési szabályzat kimondja:

[Mindkettő] Az adatvédelmi tisztviselő / adatvédelmi tanácsadó KÖTELES felülvizsgálni az újraazonosítási kockázatra vonatkozó feltételezéseket a REG12-ben, mielőtt jóváhagyná a magas kockázatú vagy külsőleg megosztott adatkészletek anonimizálását vagy azonosíthatóságának megszüntetését.

Ez a felülvizsgálat különösen fontos, amikor az adat elhagyja a szervezetet, adatfeldolgozói környezetbe kerül, vagy AI-tanításhoz használják.

5. lépés: Kezeld az AI-specifikus adatkockázatot

Az AI sajátos PET-kihívásokat teremt, mert a modellcsapatok gyakran nagy, valósághű és újrahasználható adatkészleteket szeretnének. Az AI- és automatizált döntéshozatali adatvédelmi szabályzat egyértelművé teszi az operatív elvárást:

[Mindkettő] Mielőtt éles PII-t AI-teszteléshez, tanításhoz, finomhangoláshoz, ellenőrzéshez vagy megfigyeléshez használnak, a rendszergazda / alkalmazástulajdonos köteles jóváhagyott adattakarékossági, elkülönítési, hozzáférés-szabályozási vagy azonosíthatóságot megszüntető intézkedéseket bevezetni, és a megvalósítási bizonyítékokat rögzíteni a REG04-ben vagy a REG12-ben.

AI-projektekben gyakorlati PET-lehetőség a korai teszteléshez használt szintetikus adat, a jellemzők minimalizálása, az álnevesített azonosítók, a szabad szövegek kitakarása, az aggregálás, az érzékeny attribútumokhoz való differenciált hozzáférés, valamint a tanítási, ellenőrzési és éles megfigyelési adatok elkülönítése.

A felülvizsgálat során a következő kérdéseket kell feltenni:

• Elérhető-e a modell célja közvetlen azonosítók nélkül?
• Szükségesek-e a szabad szöveges mezők, és megtörtént-e a kitakarásuk?
• Használnak-e érzékeny adatot bemenetként, címkeként vagy proxyként?
• Támogathatja-e szintetikus adat a tesztelést a valós adatok jóváhagyása előtt?
• Ellenőrzik-e a modellkimeneteket memorizáció vagy újraazonosítási kockázat szempontjából?
• Van-e törlési terv a tanítási kivonatokra?
• Rögzítették-e a bizonyítékokat a REG04-ben vagy a REG12-ben?

6. lépés: Rögzítsd a megőrzést és a megsemmisítést

Ha az AI-kimenetnek a tanítás vagy ellenőrzés után már nincs szüksége sorszintű adatokra, a nyers álnevesített adatkészletet meghatározott idő után törölni kell. Ha a végső kimenet aggregált, eltérő megőrzési szabály vonatkozhat rá.

A PII-megőrzési, törlési és megsemmisítési szabályzat előírja:

[Mindkettő] A folyamatgazda / üzlettulajdonos KÖTELES az anonimizálást, az azonosíthatóság megszüntetését vagy az álnevesítést megőrzési kockázatcsökkentő intézkedésként vagy végső kezelési módként dokumentálni a REG02-ben, mielőtt az azonosítható PII átalakításra kerül.

7. lépés: Őrizd meg az auditnyomot

A bizonyítékcsomagnak tartalmaznia kell a REG04-et, REG12-t, REG02-t, szükség esetén DPIA-t vagy PIA-t, a maszkolási konfigurációt, a tokenkialakítást, a kulcshozzáférési naplókat, a felhőbiztonsági beállításokat, a beszállítói jóváhagyásokat, a törlési naplókat és a korlátozott jelentések képernyőképeit.

Így válnak a PET-ek auditálhatóvá. Sarah nemcsak azt tudja bemutatni, hogy álnevesítést használtak, hanem azt is, miért ezt választották, ki hagyta jóvá, hogyan vezették be, hogyan védték a kulcsokat, és hogyan vizsgálták felül a maradványkockázatot.

Megfelelőségi keretrendszerek közötti megfeleltetés: GDPR, ISO 27701, NIS2, DORA, NIST és COBIT

A PET-ek csökkentik a nyomást a tágabb szabályozási környezetben, mert ugyanazt az alapvető célt támogatják: az érzékeny adatok szükségtelen kitettségének csökkentését az elszámoltathatóság és az operatív reziliencia megőrzése mellett.

A GDPR alapján a PET-ek támogatják az elszámoltathatóságot, az adattakarékosságot, a beépített adatvédelmet és az adatkezelés biztonságát. A GDPR területen kívül is alkalmazható olyan nem EU-s adatkezelőkre vagy adatfeldolgozókra, amelyek szolgáltatásokat kínálnak az Unióban tartózkodó személyeknek, vagy megfigyelik őket. A SaaS-, fintech- és felhőalapú analitikai szolgáltatóknak gyakran akkor is GDPR-hoz igazodó PET-ekre van szükségük, ha máshol van a székhelyük.

A NIS2 szerint az alapvető és fontos szervezeteknek megfelelő és arányos technikai, működési és szervezeti intézkedéseket kell bevezetniük. Az Article 21 kiterjed a kockázatelemzésre, az incidenskezelésre, az üzletmenet-folytonosságra, az ellátási lánc biztonságára, a biztonságos fejlesztésre, a hatékonyság értékelésére, a kiberhigiéniára, a kriptográfiára, a hozzáférés-szabályozásra és az eszközkezelésre.

A DORA alapján a pénzügyi szervezeteknek dokumentált IKT-kockázatkezelési keretrendszerre, valamint az adatok bizalmasságának, sértetlenségének és rendelkezésre állásának erős védelmére van szükségük. Az Articles 28 to 30 harmadik felekre vonatkozó követelményei különösen értékessé teszik a PET-eket, amikor az adatok IKT-szolgáltatókon, felhőplatformokon, kiszervezett fejlesztőkön vagy tesztelési partnereken keresztül mozognak.

A NIST CSF 2.0 működési nézőpontot ad. A GOVERN eredmények megkövetelik a jogi, szabályozási és szerződéses követelményeket, az adatvédelmi kötelezettségeket, a kockázatvállalási hajlandóságot és a szabályzati felügyeletet. A PROTECT magában foglalja a tárolt adatok, a továbbított adatok és a használatban lévő adatok biztonságát. A DETECT, RESPOND és RECOVER hozzáadja a felügyeletet, az incidens bejelentését, az érdekelt felek értesítését, a vizsgálat sértetlenségét és a helyreállítás ellenőrzését.

Hogyan fogják az auditorok tesztelni a PET-programodat

A szabályzat csak papír, az eszköz pedig csak kód mindaddig, amíg az auditor bizonyítékot nem kér. A különböző értékelők eltérő irányból közelítik meg a PET-eket, de a bizonyítékok átfedik egymást.

A Zenith Controls olyan auditmódszertani nézetet is tartalmaz, amely itt különösen hasznos. A PII adatvédelme és védelme esetében az auditorokat adatvédelmi szabályzatok, adatnyilvántartások, DPIA-k vagy PIA-k, képzési naplók, titkosítási bizonyítékok, hozzáférés-szabályozások és logikai védelmi intézkedések felé irányítja. Az adatmaszkolásnál kiemeli a maszkolási szabályzatokat, osztályozási rendszereket, rendszermintákat, irányítópultokat, naplókat, nem éles adatkészleteket és annak bizonyítékát, hogy a maszkolást helyesen alkalmazzák. A kriptográfiánál a jóváhagyott algoritmusokat, kulcshosszokat, kulcskezelési eljárásokat, kulcsőrzési szerepköröket és annak bizonyítékát emeli ki, hogy a gyenge titkosítási algoritmusokat kerülik.

A tanulság egyszerű: a PET-bizonyítékoknak technikaiaknak és vezetői jellegűeknek is kell lenniük. A képernyőképek önmagukban nem elegendők. A szabályzatok önmagukban nem elegendők. A teljes láncra szükség van a követelménytől a kockázaton, a bevezetésen, a felügyeleten, a felülvizsgálaton és a fejlesztésen át.

Gyakori PET-hibák, amelyeket az audit előtt javítani kell

A legtöbb szervezet nem azért bukik el, mert nincsenek eszközei. Azért bukik el, mert a PET-ek irányítása következetlen.

Gyakori megállapítások:

• Az adatmaszkolást adatbázisokra alkalmazzák, de exportokra, naplókra vagy BI-irányítópultokra nem
• Az álnevesítési kulcsok túl sok rendszergazda számára hozzáférhetők
• A tesztkörnyezetek régi éles másolatokat tartalmaznak megőrzési felelős nélkül
• Az analitikai csapatok az e-mail címeket kényelmes összekapcsolási kulcsként használják
• A beszállítók adatvédelmi felülvizsgálat előtt kapnak mintaadatokat
• Anonimizálást állítanak, újraazonosítási értékelés nélkül
• Az adattakarékosság dokumentálva van a DPIA-ban, de a lekérdezésekben nincs megvalósítva
• A titkosítás be van kapcsolva, de a kulcstulajdonosi felelősség és a kulcsrotáció nem egyértelmű
• Az AI-csapatok a tanítási kivonatokat jóváhagyott adattárakon kívül tárolják
• A kivételeket szóban hagyják jóvá, és soha nem járnak le

A megoldás nem egy nagyobb szabályzatdokumentum. A megoldás olyan munkafolyamat, amelyben a biztonságos út a legegyszerűbb út.

Építsd fel a PET működési modelledet 30 nap alatt

Egy gyakorlati PET-program gyorsan elindítható, ha először a legmagasabb kockázatú adatmozgásokra összpontosítasz.

Ez az a pont is, ahol a PET-eket érdemes összekapcsolni a tágabb Clarysec-ütemtervvel. A Zenith Blueprint 19. lépése az adatmaszkolással, a 20. lépése a kriptográfiával, a 21. lépése a tesztinformációval, a 23. lépése pedig a PII adatvédelmével és védelmével foglalkozik. Ezek a lépések együtt végrehajtható bevezetési sorrendet adnak az ISO/IEC 27701:2025 és GDPR szerint igazított adatvédelmi mérnöki működéshez.

Tedd auditálhatóvá a PET-eket, mielőtt az auditor kérné

Sarah története nem egyszerű igennel vagy nemmel ér véget. Egy jobb kérdéssel zárul: hogyan használhatja a szervezet biztonságosan az adatokat?

Az adatvédelmet erősítő technológiák irányításvezérelt megközelítésével Sarah egyszerre tud megfelelni a jogi elvárásoknak, támogatni a termékcsapatot, védeni az ügyfeleket és erősíteni a megfelelőséget. Az AI-funkció álnevesített, minimalizált és hozzáférés-szabályozott adatokkal folytatódhat. A felhőalapú analitikai szolgáltató csak a biztonságos adatkészletet kaphatja meg. A kulcs korlátozott maradhat. A megőrzési szabály dokumentálható. A bizonyítékok megállják a helyüket ISO, GDPR, DORA, NIS2 és ügyfélbizonyossági felülvizsgálaton.

A PET-ek többet jelentenek egy megfelelőségi probléma technikai javításánál. Ha világos szabályzatokkal, a Zenith Blueprint útmutatásával és a Zenith Controls megfelelőségi keretrendszerek közötti megfeleltetésével integrálják őket egy irányítási rendszerbe, stratégiai képességgé válnak. Lehetővé teszik, hogy a szervezetek értéket nyerjenek ki az adatokból, miközben csökkentik a kitettséget, bizalmat építenek és bizonyítják az elszámoltathatóságot.

A Clarysec segíthet ezt működési modellé alakítani.

Kezdd a Zenith Blueprint használatával a bevezetés ütemezéséhez. Használd a Zenith Controls útmutatót a PET-ek megfeleltetésére ISO/IEC 27002:2022, GDPR, NIS2, DORA, NIST és kapcsolódó ISO szabványok között. Ezután vezesd be a releváns Clarysec szabályzatokat, köztük a P16 Adatmaszkolási és álnevesítési szabályzatot, a Beépített és alapértelmezett adatvédelem szabályzatát, a PII-megőrzési, törlési és megsemmisítési szabályzatot, a PII-biztonsági és hozzáférés-szabályozási szabályzatot, a Tesztadat- és tesztkörnyezet-kezelési szabályzatot, valamint az AI- és automatizált döntéshozatali adatvédelmi szabályzatot.

Az azonnali teendőd egyszerű: válassz ki ezen a héten egy magas kockázatú adatkészletet, és tedd fel a kérdést: „Elérhető-e az üzleti eredmény azonosítható PII nélkül?” Ha a válasz igen, vezesd be a PET-et. Ha a válasz nem, dokumentáld az indokot, védd megfelelően, és őrizd meg a bizonyítékokat.

Ez a beépített adatvédelem a valós működésben.