Anonimizavimo ir pakartotinio identifikavimo rizikos valdysena

AI projektui reikėjo penkerių metų duomenų. Auditoriui reikėjo įrodymų.

Pasiūlymas atsidūrė ant CISO Marijos Kuznetsov stalo su tokiu užtikrintumu, lyg verslo prioritetas organizacijos viduje jau būtų patvirtintas. Duomenų mokslo komanda norėjo penkerių metų klientų operacijų ir elgsenos istorijos naujam AI pagrįstam personalizavimo varikliui mokyti. Produktų komanda norėjo tikslesnio klientų praradimo prognozavimo. Pardavimų komanda norėjo agreguotų klientų lyginamųjų rodiklių. Finansų komanda norėjo sumažinti saugojimo ekspoziciją ištrindama pirmines lenteles, bet išsaugodama tendencijų duomenis.

Patikinimas buvo trumpas ir užtikrintas: „Nesijaudinkite, duomenis anonimizuosime.“

Maria žinojo, kad toks sakinys nėra kontrolės priemonė. Pagal GDPR „anonimiška“ nėra duomenų bazės žyma, maskavimo scenarijus ar produkto komandos pažadas. Duomenys nepatenka į GDPR taikymo sritį tik tada, kai fiziniai asmenys nebėra identifikuojami pagrįstai tikėtinomis priemonėmis, atsižvelgiant į faktinį kontekstą, kuriame duomenys egzistuoja. Į šį kontekstą patenka vidiniai naudotojai, pagalbos sistemos, tiekėjų platformos, analitikos priemonės, debesijos paslaugos, viešieji įrašai, klientų eksportai ir būsimas duomenų papildymas.

Tada privatumo auditorius uždavė klausimą, kuris sustabdė visą posėdį:

„Parodykite, kaip įvertinote pakartotinio identifikavimo riziką, kas patvirtino anonimizavimo sprendimą ir iš kur žinote, kad duomenų rinkinys išlieka neidentifikuojantis pridėjus naujų duomenų šaltinių.“

Tai ir yra tikrasis anonimizavimo valdysenos iššūkis pagal ISO 27701:2025 ir GDPR. Nepakanka pašalinti vardus, el. pašto adresus ir paskyrų ID. Organizacija turi ilgainiui įrodyti, kad transformuoti duomenys jos verslo, techninėje, teisinėje ir tiekėjų aplinkoje nėra pagrįstai susiejami su asmeniu.

CISO, DAP, atitikties vadovams, auditoriams ir verslo savininkams anonimizavimas patrauklus, nes leidžia vykdyti analitiką, mažinti duomenų kiekį, saugiau testuoti, mažinti saugojimo riziką ir dalytis duomenimis išorėje. Tačiau jis pavojingas, kai laikomas magiška etikete. Silpną pseudonimizavimą galima atkurti. Agregatai vis tiek gali išskirti asmenis. Testavimo duomenų rinkiniai gali būti sujungti su produkcinės aplinkos žurnalais. AI ir BI komandos gali sujungti „saugius“ duomenų rinkinius į nesaugų rezultatą.

Clarysec pozicija paprasta: anonimizavimo ir pakartotinio identifikavimo rizika turi būti valdoma kaip privatumo rizikos tvarkymas tame pačiame integruotame ISVS ir PIMS įrodymų modelyje, kuris palaiko ISO/IEC 27001:2022, ISO 27701:2025, GDPR, NIS2, DORA, NIST CSF 2.0, COBIT 2019 ir klientų auditus.

Anonimizavimas yra valdysenos sprendimas, o ne duomenų apdorojimo konvejerio etapas

Daugelis organizacijų privatumo terminus vartoja kaip pakaitinius, todėl atsiranda teisinė ir audito ekspozicija. Pirmasis žingsnis – apibrėžti, ką reiškia kiekviena duomenų būsena ir kokį valdysenos klausimą ji kelia.

Pagal GDPR šis skirtumas yra kritiškai svarbus. Article 4 asmens duomenis apibrėžia plačiai – kaip informaciją, susijusią su nustatytu arba nustatomu fiziniu asmeniu. Article 4(5) pseudonimizavimą apibrėžia kaip asmens duomenų tvarkymą taip, kad jų nebebūtų galima priskirti konkrečiam asmeniui be papildomos informacijos, jeigu ši papildoma informacija laikoma atskirai ir yra apsaugota. Pseudonimizuoti duomenys išlieka asmens duomenimis.

Recital 26 paaiškina aukštą anonimizavimo kartelę. GDPR principai netaikomi informacijai, kuri paversta anonimine taip, kad duomenų subjektas nėra arba nebėra identifikuojamas. Testas nėra tai, ar pašalinti tiesioginiai identifikatoriai. Testas yra tai, ar identifikavimas išlieka pagrįstai įmanomas.

Article 5 dar labiau padidina atskaitomybės reikalavimą. Asmens duomenys turi būti tvarkomi teisėtai, sąžiningai, skaidriai, konkrečiais tikslais, tik tiek, kiek būtina, identifikuojama forma saugomi tik tiek, kiek būtina, ir tinkamai apsaugoti. Article 5(2) reikalauja, kad duomenų valdytojas galėtų įrodyti atitiktį.

Tai reiškia, kad anonimizavimo teiginiui reikia įrodymų. Jei vidiniai raktai, reti požymiai, laiko žymos, geografinė vieta, operacijų sekos, įrenginių atspaudai, klientų aptarnavimo užklausos, viešieji duomenų rinkiniai ar tiekėjų atliekamas duomenų papildymas gali vėl susieti duomenis su asmeniu, duomenų rinkinys vis dar gali būti asmens duomenys.

Clarysec Enterprise PII Retention, Deletion and Disposal Policy anonimizavimą traktuoja kaip kontroliuojamą saugojimo ir galutinio pašalinimo sprendimą, o ne kaip trumpą kelią ištrynimui apeiti:

[Both] Proceso savininkas / verslo savininkas PRIVALO REG02 dokumentuoti anonimizavimą, deidentifikavimą arba pseudonimizavimą kaip saugojimo rizikos mažinimo priemonę arba galutinio pašalinimo rezultatą prieš transformuojant identifikuojančią asmens identifikavimo informaciją (AII).

Iš skyriaus „Anonimizavimas, deidentifikavimas ir saugojimo minimizavimas“, politikos punktas 4.5.1.

Ta pati politika reikalauja patvirtinimo prieš anonimizavimą naudojant kaip alternatyvą ištrynimui:

[Both] Privatumo vadovas / PIMS vadovas PRIVALO REG02 patvirtinti anonimizavimo arba deidentifikavimo naudojimą kaip alternatyvą ištrynimui prieš pradinius identifikuojančius AII saugant ilgiau nei jų tikslas arba saugojimo terminas.

Iš skyriaus „Anonimizavimas, deidentifikavimas ir saugojimo minimizavimas“, politikos punktas 4.5.2.

Tai audito aspektas, kurio daugelis organizacijų nepastebi. Verslo savininkas negali sakyti: „Mes tai anonimizavome, todėl saugojimas nebetaikomas.“ Įrodymai turi parodyti, kodėl anonimizavimas buvo tinkamas, kas buvo transformuota, kas nutiko pradiniams identifikuojantiems AII, kas patvirtino sprendimą ir kada liekamoji rizika bus peržiūrėta.

GDPR atskaitomybės grandinė, susijusi su pakartotinio identifikavimo rizika

Pagrįsta anonimizavimo valdysenos programa prasideda nuo GDPR operacinės logikos.

Pirma, nustatoma, ar taikomas GDPR. Article 3 išplečia GDPR taikymą duomenų tvarkymui ES padalinio veiklos kontekste, taip pat ne ES organizacijoms, kurios siūlo prekes ar paslaugas fiziniams asmenims ES arba stebi jų elgseną ES. SaaS, fintech, analitikos, reklamos technologijų, personalo platformos, debesijos paslaugų teikėjai ir AI tiekėjai gali patekti į taikymo sritį net tada, kai jų būstinė ar infrastruktūra yra už ES ribų.

Antra, apibrėžiamas organizacijos vaidmuo. Duomenų valdytojas nustato tikslus ir priemones. Duomenų tvarkytojas veikia pagal dokumentuotus duomenų valdytojo nurodymus. Bendri duomenų valdytojai dalijasi sprendimų priėmimu ir atskaitomybe. Subtvarkytojams taikomi sutartiniai apribojimai ir techniniai įsipareigojimai. Tai svarbu, nes anonimizavimo sprendimai skiriasi pagal vaidmenį:

• Duomenų valdytojas privalo pagrįsti tikslą, teisinį pagrindą, saugojimą, skaidrumą ir tolesnį tvarkymą.
• Duomenų tvarkytojas privalo laikytis kliento nurodymų ir vengti savarankiško pakartotinio naudojimo, nebent turi teisėtą vaidmenį.
• Subtvarkytojas privalo laikytis toliau perduodamų apribojimų, ištrynimo pareigų ir tolesnio dalijimosi ribojimų.
• Bendri duomenų valdytojai privalo dokumentuoti bendras atsakomybes ir pateikti aiškią skaidrią informaciją.

Trečia, anonimizavimas susiejamas su Article 6. Jei duomenys pakartotinai naudojami analitikai, lyginamiesiems rodikliams, modelių mokymui arba antriniam operaciniam naudojimui, organizacija turi įvertinti teisinį pagrindą ir suderinamumą. Anonimizavimas gali sumažinti riziką, tačiau klausimas išlieka tas pats: ar rezultatas iš tikrųjų yra anoniminis, ar tai tik transformuoti asmens duomenys.

Ketvirta, nustatoma specialių kategorijų arba jautrių išvadų rizika. Article 9 nustato griežtesnes sąlygas sveikatos duomenims, biometriniams duomenims, naudojamiems unikaliam identifikavimui, genetiniams duomenims, politinėms pažiūroms, religijai, narystei profesinėse sąjungose, rasinei ar etninei kilmei, lytiniam gyvenimui ir seksualinei orientacijai. Net pašalinus akivaizdžius identifikatorius, retos kombinacijos ir numanomi požymiai gali pakenkti asmenims.

Clarysec Data Protection and Privacy Policy - SME tai nustato kaip praktinį rizikos tvarkymo lūkestį:

Turi būti įgyvendintos kontrolės priemonės nustatytoms rizikoms mažinti, įskaitant šifravimą, anonimizavimą, saugų sunaikinimą ir prieigos apribojimus

Iš skyriaus „Rizikos tvarkymas ir išimtys“, politikos punktas 7.2.1.

MVĮ skirta žinutė sąmoningai tiesi. Anonimizavimas yra viena iš kelių apsaugos priemonių. Jis turi veikti kartu su šifravimu, prieigos apribojimais, saugiu sunaikinimu, tiekėjų kontrolės priemonėmis, žurnalavimu ir peržiūra.

Kodėl ISO/IEC 27001:2022 vis dar svarbus ISO 27701:2025 PIMS įrodymams

ISO 27701:2025 privatumo valdysena priklauso nuo vadybos sistemos pagrindo. Standartas išplečia privatumo įsipareigojimus per PIMS, tačiau stiprūs įrodymai vis tiek remiasi ISO/IEC 27001:2022 ISVS disciplina.

Svarbiausi ISO/IEC 27001:2022 reikalavimai anonimizavimui nėra vien techniniai. Tai valdysenos reikalavimai:

• Clauses 4.1 to 4.4 nustato organizacijos kontekstą, suinteresuotąsias šalis, taikymo sritį, sąsajas, priklausomybes ir vadybos sistemos procesus.
• Clauses 5.1 to 5.3 reikalauja lyderystės, politikos, vaidmenų, atsakomybių, atskaitomybės ir ataskaitų teikimo.
• Clauses 6.1.1 to 6.1.3 reikalauja rizikos ir galimybių planavimo, informacijos saugumo rizikos vertinimo, rizikos tvarkymo, kontrolės priemonių parinkimo, Taikytinumo pareiškimo (SoA), tvarkymo planų ir liekamosios rizikos priėmimo.

Tai reiškia, kad anonimizavimo rizika turi būti rizikų registre, tvarkymo plane ir Taikytinumo pareiškime, o ne tik duomenų inžinerijos užklausoje.

Zenith Blueprint šį atsekamumą aiškiai parodo rizikos valdymo etape, 13 žingsnyje „Rizikos tvarkymo planavimas ir Taikytinumo pareiškimas“:

SoA iš esmės yra jungiamasis dokumentas: jis susieja jūsų rizikos vertinimą / tvarkymą su faktinėmis taikomomis kontrolės priemonėmis.

Iš rizikos valdymo etapo, 13 žingsnio „Rizikos tvarkymo planavimas ir Taikytinumo pareiškimas“.

Anonimizavimo ir pakartotinio identifikavimo rizikos atveju ši jungtis turėtų susieti:

• GDPR tvarkymo veiklą ir tikslą
• duomenų valdytojo, duomenų tvarkytojo, bendro duomenų valdytojo arba subtvarkytojo vaidmenį
• ISO 27701:2025 PIMS įsipareigojimą ir privatumo savininką
• pakartotinio identifikavimo rizikos scenarijų ir užpuoliko modelį
• duomenų kategorijas, sistemas, gavėjus ir tiekėjus
• taikomas apsaugos priemones, tokias kaip agregavimas, slopinimas, maskavimas, pseudonimizavimas, ištrynimas, prieigos kontrolė, sutartiniai apribojimai ir stebėsena
• ISO/IEC 27002:2022 kontrolės priemones, tokias kaip 5.9 informacijos ir kito susijusio turto apskaita, 5.12 informacijos klasifikavimas, 5.15 prieigos kontrolė, 5.18 prieigos teisės, 5.21 informacijos saugumo valdymas IRT tiekimo grandinėje, 5.23 informacijos saugumas naudojant debesijos paslaugas, 5.34 privatumas ir AII apsauga, 8.10 informacijos ištrynimas, 8.11 duomenų maskavimas, 8.12 duomenų nutekėjimo prevencija, 8.15 žurnalavimas, 8.24 kriptografijos naudojimas ir 8.33 testavimo informacija
• liekamosios rizikos priėmimą ir peržiūros periodiškumą

Jei klientas klausia, kodėl anonimizuota telemetrija saugoma po paskyros uždarymo, atsakymas neturėtų būti „nes to reikia produktui“. Atsakymas turėtų būti tvarkymo veiklos registro įrašas, privatumo rizikos vertinimas, anonimizavimo tinkamumo įrašas, saugojimo ir galutinio pašalinimo patvirtinimas, techniniai įrodymai, prieigos žurnalai, tiekėjų apribojimai ir vadovybės pritarimas.

Clarysec kontrolės priemonių žemėlapis privatumui, ištrynimui, maskavimui ir testavimo duomenims

Anonimizavimo valdysena tampa patikima, kai politika, rizika ir techninės kontrolės priemonės yra susietos tarpusavyje.

Zenith Controls ISO/IEC 27002:2022 kontrolės priemonę 5.34 „Privatumas ir AII apsauga“ traktuoja kaip prevencinę kontrolės priemonę, palaikančią konfidencialumą, vientisumą ir prieinamumą. Ji suderinta su IDENTIFY ir PROTECT funkcijomis ir veikia informacijos apsaugos bei teisės ir atitikties srityse.

Zenith Controls paaiškina, kad 5.34 priklauso nuo žinojimo, kur yra AII. Ji susieja 5.34 su 5.9 „Informacijos ir kito susijusio turto apskaita“, nes klientų duomenų bazės, personalo bylos, žurnalai, telemetrija, atsarginės kopijos, eksportai ir pagalbos įrašai turi būti įtraukti į turto apskaitą. Be apskaitos privatumo priemonės, tokios kaip sutikimų valdymas, šifravimas, maskavimas, ištrynimas, anonimizavimas ir tiekėjų apribojimai, neapims visų duomenų saugyklų.

Zenith Controls taip pat susieja 5.34 su 8.11 „Duomenų maskavimas“, nes maskavimas sumažina tikrų asmens duomenų ekspoziciją ataskaitose, neprodukcinėse aplinkose, analitikos platformose ir dalijimosi darbo eigose. 8.11 atveju Zenith Controls ją identifikuoja kaip prevencinę konfidencialumo kontrolės priemonę PROTECT funkcijoje, turinčią operacinį pajėgumą informacijos apsaugos srityje. Ji susieja 8.11 su:

• 5.12, informacijos klasifikavimu, nes maskavimas priklauso nuo jautrumo klasifikavimo.
• 5.34, privatumu ir AII apsauga, nes maskavimas įgyvendina privatumą pagal projektavimą.
• 8.33, testavimo informacija, nes saugūs testavimo duomenų rinkiniai turėtų būti sintetiniai, anonimizuoti arba maskuoti.

8.10 „Informacijos ištrynimas“ atveju Zenith Controls susieja ištrynimą su 8.11 „Duomenų maskavimas“ ir 8.12 „Duomenų nutekėjimo prevencija“, sudarydama gyvavimo ciklo strategiją: apsaugoti naudojamus duomenis, užkirsti kelią nutekėjimui ir užtikrinti, kad duomenys nebūtų atkuriami, kai jie nebėra reikalingi.

Zenith Blueprint tai sustiprina kontrolės priemonių taikymo etape, 21 žingsnyje „Kontrolės 8.27–8.34“:

Galiausiai kontrolė 8.33 primena, kad informacija nepraranda vertės vien todėl, kad ji yra smėliadėžėje.

Iš kontrolės priemonių taikymo etapo, 21 žingsnio „Kontrolės 8.27–8.34“.

Šis sakinys turėtų būti kiekvienoje testavimo duomenų, QA, analitikos, BI ir ML darbo eigoje.

Praktinė Clarysec darbo eiga anonimizuotam analitikos duomenų rinkiniui patvirtinti

Marijos AI projektui nereikia kategoriško „ne“. Jam reikia valdomo „taip, jeigu“. Clarysec vadovaujamas įgyvendinimas taikytų pakartojamą darbo eigą.

1. Užregistruoti tvarkymo veiklą

Privatumo koordinatorius arba PIMS vadovas atnaujina tvarkymo veiklos registrą, įtraukdamas duomenų kategorijas, tikslą, teisinį pagrindą, saugojimą, gavėjus, sistemas, tiekėjus ir PIMS vaidmenį.

Clarysec Data Protection and Privacy Policy - SME reikalauja šio bazinio įrašo:

Privatumo koordinatorius turi tvarkyti visų asmens duomenų tvarkymo veiklų registrą, įskaitant duomenų kategorijas, tikslą, teisinį pagrindą ir saugojimo terminus

Iš skyriaus „Valdysenos reikalavimai“, politikos punktas 5.2.1.

Įmonės PIMS įrodymams įraše taip pat turėtų būti nurodyta, ar organizacija veikia kaip duomenų valdytojas, duomenų tvarkytojas, bendras duomenų valdytojas ar subtvarkytojas. Jei SaaS paslaugų teikėjas yra kliento telemetrijos duomenų tvarkytojas, prieš kurdamas anonimizuotus išvestinius duomenų rinkinius jis gali turėti gauti kliento nurodymą. Jei produktų analitikos srityje jis yra duomenų valdytojas, jam reikia teisinio pagrindo ir tikslo dokumentacijos.

2. Įrodyti, kad identifikuojantis tvarkymas yra būtinas

Prieš patvirtinant identifikuojančią AII analitikai, ataskaitoms, testavimui arba antriniam naudojimui, verslo savininkas turi įvertinti, ar įmanomas neidentifikuojantis tvarkymas.

Enterprise Privacy by Design and Default Policy nustato:

[Both] Proceso savininkas / verslo savininkas PRIVALO REG04 dokumentuoti deidentifikavimo, pseudonimizavimo, agregavimo arba neidentifikuojančio tvarkymo galimybes prieš patvirtindamas identifikuojančią AII testavimui, analitikai, ataskaitų teikimui arba antriniam operaciniam naudojimui.

Iš skyriaus „Duomenų kiekio mažinimas ir privatumo pagal numatytuosius nustatymus projektavimas“, politikos punktas 4.2.5.

Čia valdysena užkerta kelią pertekliniam rinkimui. Duomenų mokslo komandai gali nereikėti neapdorotų laiko žymų, tikslių vietų, pilnų įvykių sekų, nemaskuotų domenų ar retų segmentų požymių. Datų grupavimas į intervalus, agregavimas, mažų kohortų slopinimas, sintetinių požymių generavimas ir unikalių įrenginių identifikatorių pašalinimas gali išsaugoti naudingumą esant mažesnei rizikai.

3. Įvertinti pakartotinio identifikavimo riziką

Privatumo rizikos vertinimas turėtų įvertinti asmens išskyrimą, susiejamumą, išvedimą, unikalumą, vidinę prieigą, išorinius duomenų rinkinius, tiekėjų prieigą ir būsimą duomenų papildymą. Jame turėtų būti apibrėžtas realistiškas užpuoliko modelis, įskaitant smalsų darbuotoją, tiekėjo analitiką, klientą, turintį dalinių žinių, arba ryžtingą išorinę šalį.

Enterprise PII Retention, Deletion and Disposal Policy reikalauja peržiūrėti didelės rizikos arba išorėje bendrinamų duomenų prielaidas:

[Both] Duomenų apsaugos pareigūnas / privatumo konsultantas PRIVALO REG12 peržiūrėti pakartotinio identifikavimo rizikos prielaidas prieš patvirtinant didelės rizikos arba išorėje bendrinamų duomenų rinkinių anonimizavimą arba deidentifikavimą.

Iš skyriaus „Anonimizavimas, deidentifikavimas ir saugojimo minimizavimas“, politikos punktas 4.5.4.

REG12 turėtų atsakyti į praktinius audito klausimus: kokie tiesioginiai identifikatoriai buvo pašalinti, kokie kvaziidentifikatoriai liko, kokie agregavimo slenksčiai taikomi, ar slopinamos mažos grupės, ar įvykių sekos gali identifikuoti asmenis, ar darbuotojai gali susieti rezultatą su produkcinėmis sistemomis, ar tiekėjai gali jį papildyti, ar yra specialių kategorijų išvedinių, kokia liekamoji rizika išlieka, kas ją priėmė ir kada ji bus peržiūrėta.

4. Taikyti kontrolės priemones ir saugoti techninius įrodymus

Techniniai įrodymai gali apimti transformacijos logiką, maskavimo scenarijus, anonimizavimo įrankių nustatymus, imčių rezultatus, unikalumo testavimą, agregavimo patikras, pirminių duomenų ištrynimo žurnalus, prieigos kontrolės sąrašus, eksporto patvirtinimus, raktų saugyklos žurnalus ir stebėsenos įspėjimus.

Zenith Blueprint kontrolės priemonių taikymo etapo 19 žingsnyje „Technologinės kontrolės priemonės I“ nurodo, kad duomenų maskavimas yra „nereikalingos ekspozicijos jūsų organizacijoje prevencija“, ir rekomenduoja apibrėžti naudojimo atvejus, kai maskavimas arba anonimizavimas privalomas, įskaitant testavimo aplinkas, ML arba BI platformas ir duomenis, bendrinamus su išoriniais tiekėjais. Taip pat nurodoma, kad įrodymai gali apimti saugomus maskavimo scenarijus ar konfigūracijas, įrankių nustatymus ar žurnalus ir rašytines procedūras, reglamentuojančias saugių duomenų rinkinių kūrimą.

Šie įrodymai turi būti PIMS įrodymų registre ir turi būti susieti su tvarkymo veikla, REG04 vertinimu, REG12 prielaidomis, rizikų registru, tvarkymo planu ir SoA.

5. Valdyti grįžtamumą ir raktus

Jei duomenų rinkinys pseudonimizuotas, o ne anonimizuotas, grįžtamumas turi būti išimtinis, patvirtintas, žurnaluojamas ir atskirtas.

Clarysec Enterprise Data Masking and Pseudonymization Policy nustato:

Pseudonimizuotų duomenų grįžtamumas niekada negali būti įjungtas pagal numatytuosius nustatymus ir turi būti griežtai valdomas, įskaitant audito pėdsakus ir vaidmenimis pagrįstos prieigos kontrolės taikymą.

Iš skyriaus „Rizikos tvarkymas ir išimtys“, politikos punktas 7.5.

MVĮ versija pabrėžia draudžiamą arba didelės rizikos elgseną. Data Masking and Pseudonymization Policy - SME kaip rizikos tvarkymo ir išimties scenarijų nurodo:

Pseudonimizuotų duomenų pakartotinis identifikavimas be dokumentuoto patvirtinimo.

Iš skyriaus „Rizikos tvarkymas ir išimtys“, politikos punktas 7.3.4.

Ji taip pat pažymi silpną grįžtamąjį projektavimą:

Silpnas arba grįžtamasis pseudonimizavimas dėl netinkamo raktų valdymo.

Iš skyriaus „Rizikos tvarkymas ir išimtys“, politikos punktas 7.1.1.3.

Auditoriams tai yra vieta, kur privatumas tampa saugumo kontrolės priemonių įrodymais: raktų valdymas, pareigų atskyrimas, prieigos patvirtinimai, žurnalavimas, įspėjimai ir išimčių peržiūra.

6. Užbaigti su liekamąja rizika ir peržiūros inicijavimo sąlygomis

Enterprise Privacy Risk Assessment and DPIA Policy reikalauja disciplinuoto užbaigimo:

[Both] Privatumo vadovas / PIMS vadovas PRIVALO užtikrinti, kad kiekviename REG04 vertinime prieš uždarymą būtų užregistruotas rizikos lygis, tvarkymo sprendimas, savininkas, įvykdymo terminas, liekamoji rizika, patvirtinimo būsena ir peržiūros data.

Iš skyriaus „Privatumo rizikos vertinimo ir DPIA vykdymas“, politikos punktas 4.3.7.

Jei duomenų rinkinys vėliau papildomas, bendrinamas išorėje, naudojamas modelių mokymui, susiejamas su pagalbos duomenimis, perkeliamas į kitą debesijos paslaugą arba sujungiamas su naujais klientų požymiais, peržiūros inicijavimo sąlyga turėtų iš naujo atverti vertinimą.

Testavimo duomenys – vieta, kur anonimizavimo programos dažnai žlunga

Produkcinės sistemos paprastai turi stipresnes kontrolės priemones nei testavimo aplinkos. Parengiamoji aplinka, QA, kūrimo aplinka ir analitikos smėliadėžės dažnai turi platesnę prieigą, silpnesnę stebėseną, bendrus prisijungimo duomenis, atlaisvintas tinklo taisykles, testavimą užsienyje, senas duomenų bazių kopijas ir neaiškią savininkystę.

Dėl to testavimo duomenys yra dažna pakartotinio identifikavimo rizikos zona.

Clarysec MVĮ Test Data and Test Environment Policy reikalauja:

Duomenys turi būti anonimizuoti arba pseudonimizuoti naudojant tinkamas priemones

Iš skyriaus „Politikos įgyvendinimo reikalavimai“, politikos punktas 6.1.2.2.

Enterprise Test Data and Test Environment Policy žengia toliau ir reikalauja, kad anonimizuoti arba maskuoti duomenų rinkiniai būtų:

Patikrinti siekiant užkirsti kelią pakartotiniam identifikavimui per kryžminį sugretinimą

Iš skyriaus „Politikos įgyvendinimo reikalavimai“, politikos punktas 6.2.1.2.

Tai reiškia, kad QA duomenys turėtų būti tikrinami pagal realistiškas susiejimo atakas. Ar kūrėjas gali identifikuoti VIP klientą pagal operacijos laiką ir miestą? Ar pagalbos užklausas galima sujungti su testavimo įrašais? Ar reti produkto naudojimo modeliai gali identifikuoti vieną įmonės nuomininką? Ar maskuoti el. pašto adresai atskleidžia naudotojų vardus arba domenus? Ar žurnalai, ekrano kopijos arba derinimo pėdsakai atskleidžia pradinius identifikatorius? Ar testavimo ir produkcinės duomenų bazės gali būti sujungtos per išsaugotus paskyrų numerius?

ISO 27701:2025 PIMS įrodymai turėtų parodyti taisyklę, išimtį, patvirtinimą, apsaugos priemonę ir išvalymą.

Kelių atitikties režimų lūkesčiai anonimizavimo valdysenai

Anonimizavimo valdysena kyla iš privatumo, bet nėra vien privatumo klausimas.

NIS2 Article 21 reikalauja, kad esminiai ir svarbūs subjektai įgyvendintų tinkamas ir proporcingas technines, operacines ir organizacines priemones tinklų ir informacinių sistemų rizikai valdyti ir incidentų poveikiui mažinti. Šios priemonės apima rizikos analizę, incidentų valdymą, veiklos tęstinumą, tiekimo grandinės saugumą, saugų kūrimą, kontrolės veiksmingumo vertinimą, mokymus, kriptografiją, prieigos kontrolę, turto valdymą ir autentifikavimą. NIS2 Article 23 taip pat svarbus, nes pakartotinio identifikavimo incidentas gali tapti praneštinas, jei sukelia reikšmingą veiklos sutrikimą, finansinius nuostolius arba materialinę ar nematerialinę žalą asmenims.

DORA daugeliui finansų sektoriaus subjektų taikomas nuo 2025 m. sausio 17 d. Articles 5 ir 6 nustato, kad IRT rizikos valdysena priklauso valdymo organui ir yra audituojama. Articles 17 to 19 reikalauja IRT incidentų aptikimo, klasifikavimo, eskalavimo, pranešimo, pagrindinės priežasties analizės ir klientų informavimo, kai paveikiami finansiniai interesai. Articles 28 to 30 reikalauja IRT trečiųjų šalių registrų, deramo rūpestingumo, sutartinių kontrolės priemonių, duomenų konfidencialumo, vientisumo, prieinamumo, prieigos ir atkūrimo teisių, audito teisių ir pasitraukimo planavimo. Jei fintech įmonė dalijasi deidentifikuotų operacijų duomenų rinkiniais su debesijos analitikos paslaugų teikėju, anonimizavimo valdysena kartu yra ir trečiųjų šalių atsparumo valdysena.

NIST CSF 2.0 padeda vadovams paversti privatumo riziką įmonės rizika. Jo GOVERN funkcija apima GV.OC-03 teisiniams, reglamentavimo, sutartiniams, privatumo ir pilietinių laisvių įsipareigojimams, GV.RM-03 kibernetinio saugumo rizikos integravimui į įmonės rizikos valdymą, GV.RM-06 standartizuotam rizikos skaičiavimui ir prioritetizavimui, taip pat GV.PO-01 ir GV.PO-02 politikos nustatymui, taikymui, peržiūrai ir atnaujinimui.

COBIT 2019 ir ISACA patikinimo perspektyvos orientuojasi į sprendimų priėmimo teises, kontrolės savininkystę, duomenų gyvavimo ciklo valdyseną, kontrolės priemonės veikimo veiksmingumą, rizikos priėmimą ir įrodymų patikimumą. COBIT požiūriu vertinantis asmuo klaus, ar vadovybė apibrėžė vaidmenis, veiklos tikslus, stebėsenos atsakomybes ir išimčių tvarkymą.

Įgyvendinimą gali sustiprinti pagalbiniai ISO standartai. Zenith Blueprint 19 žingsnyje nurodo ISO/IEC 27555 dėl AII ištrynimo ir pseudonimizavimo ar anonimizavimo, ISO/IEC 20889 dėl privatumą didinančių deidentifikavimo metodų, ISO/IEC 27018 dėl AII apsaugos viešosios debesijos aplinkose ir ISO/IEC 29134 dėl poveikio privatumui vertinimo gairių.

Kaip auditoriai testuos anonimizavimo ir pakartotinio identifikavimo valdyseną

Skirtingi auditoriai gali tikrinti tą patį duomenų rinkinį per skirtingas prizmes, tačiau įrodymų modelis yra nuoseklus.

Toliau pateikta lentelė susieja įprastas duomenų būsenas su GDPR statusu, rizika, būtinu valdysenos veiksmu ir atitinkamomis ISO/IEC 27002:2022 kontrolės priemonėmis.

Auditorius nepriims teiginio „pašalinome vardus“ kaip pakankamo. Tikėkitės atrankos, interviu, transformacijos logikos tikrinimo, prieigos kelių peržiūros, mažų kohortų slopinimo testavimo, tiekėjų sutarčių nagrinėjimo ir patikrinimo, ar anonimizavimas nenaudojamas ištrynimui apeiti be patvirtinimo.

Dažniausi nesuveikimo dėsningumai, kuriuos reikia pašalinti prieš auditą

Dažniausios anonimizavimo nesėkmės yra valdysenos nesėkmės, pridengtos inžineriniais trumpiniais:

1. Tiesioginiai identifikatoriai pašalinti, kvaziidentifikatoriai ignoruoti. Vardų ir el. pašto adresų nebėra, bet vieta, amžius, operacijos laikas, darbdavys, įrenginio ID ir įvykio seka išlieka unikalūs.
2. Pseudonimizavimas pateikiamas kaip anonimizavimas. Paieškos lentelė, žetonų saugykla arba grįžtamasis raktas egzistuoja, bet suinteresuotosios šalys rezultatą vadina anonimišku.
3. Apeinama saugojimo logika. Komandos anonimizuoja duomenis, kad juos saugotų neribotai, nedokumentuodamos, kodėl tolesnis saugojimas pagrįstas.
4. Produkciniai duomenys nukopijuojami į testavimą. Kūrėjai naudoja tikrus duomenis, nes „tai tik parengiamoji aplinka“, nors parengiamoji aplinka turi silpnesnes kontrolės priemones.
5. Neįvertintas tiekėjų atliekamas duomenų papildymas. Tiekėjas gauna deidentifikuotus duomenis, bet gali juos sujungti su savo duomenų rinkiniais.
6. Nėra peržiūros po naujų duomenų šaltinių pridėjimo. Kadaise mažos rizikos duomenų rinkinys tampa susiejamas pridėjus CRM, telemetrijos, pagalbos ar rinkodaros duomenis.
7. Nėra incidentų veiksmų plano pakartotiniam identifikavimui. Duomenų saugumo pažeidimų procedūros egzistuoja, bet kriterijai neapima neautorizuoto pakartotinio susiejimo, nepavykusio anonimizavimo ar privatumui poveikį darančio išvedimo.
8. Nėra audito pėdsako atkūrimui. Pseudonimizavimo raktai egzistuoja, bet prieiga nėra patvirtinama, žurnaluojama ar peržiūrima.

Taisymo modelis nuoseklus: registruoti, klasifikuoti, vertinti, tvarkyti, patvirtinti, rinkti įrodymus, stebėti ir peržiūrėti.

Praktinis anonimizavimo valdysenos kontrolinis sąrašas

Naudokite šį kontrolinį sąrašą prieš patvirtindami analitiką, AI mokymą, klientų lyginamuosius rodiklius, išorinį dalijimąsi, saugojimo transformaciją arba testavimo duomenų naudojimą:

• Patvirtinkite, ar organizacija veikia kaip duomenų valdytojas, duomenų tvarkytojas, bendras duomenų valdytojas ar subtvarkytojas.
• Nustatykite tvarkymo tikslą, teisinį pagrindą, suderinamumo vertinimą arba kliento nurodymą.
• Atnaujinkite tvarkymo veiklos registrą, įtraukdami duomenų kategorijas, sistemas, gavėjus, tiekėjus ir saugojimą.
• Suklasifikuokite duomenų rinkinį pagal AII, specialias kategorijas, konfidencialumą ir verslo jautrumą.
• Nuspręskite, ar identifikuojantis tvarkymas iš tikrųjų būtinas.
• Įvertinkite deidentifikavimo, agregavimo, maskavimo, pseudonimizavimo arba sintetinių duomenų galimybes.
• Dokumentuokite pakartotinio identifikavimo rizikos prielaidas, įskaitant vidinius ir išorinius užpuolikų modelius.
• Validuokite rezultatą pagal asmens išskyrimo, susiejamumo, išvedimo, unikalumo ir kryžminio sugretinimo riziką.
• Apibrėžkite minimalius agregavimo slenksčius ir mažų kohortų slopinimo taisykles.
• Pašalinkite, apibendrinkite arba sugrupuokite retus požymius, tikslias laiko žymas, vietas, įrenginių identifikatorius ir didelės rizikos įvykių sekas.
• Apribokite prieigą prie transformuoto duomenų rinkinio taikydami vaidmenimis pagrįstą prieigos kontrolę ir mažiausių privilegijų principą.
• Žurnaluokite prieigą, eksportus, atkūrimus, duomenų papildymą, administracinius pakeitimus ir raktų naudojimą.
• Patvirtinkite bet kokį grįžtamąjį pseudonimizavimą per dokumentuotą darbo eigą.
• Susiekite sprendimą su saugojimo terminais, pirminių duomenų ištrynimu ir galutinio pašalinimo įrodymais.
• Įpareigokite tiekėjus sutartiniais apribojimais dėl pakartotinio susiejimo, duomenų papildymo, pakartotinio naudojimo, tolesnio dalijimosi ir subrangos.
• Saugokite įrodymus PIMS įrodymų registre ir susiekite juos su SoA.
• Suplanuokite peržiūrą po duomenų papildymo, išorinio dalijimosi, naujų duomenų šaltinių, incidentų, modelio permokymo arba esminių produkto pakeitimų.

Šis kontrolinis sąrašas sąmoningai yra tarpfunkcinis. Verslo savininkas apibrėžia tikslą. Privatumo vadovas arba PIMS vadovas valdo riziką. DAP arba privatumo konsultantas peržiūri didelės rizikos prielaidas. CISO užtikrina saugumo kontrolės priemones. Teisės funkcija patvirtina įsipareigojimus. Inžinerija įgyvendina transformacijas. Vidaus auditas testuoja įrodymus.

Paverskite anonimizavimą iš teiginio audituojama kontrolės sistema

Spaudimas naudoti duomenis analitikai, AI, produkto tobulinimui, klientų lyginamiesiems rodikliams ir operaciniam efektyvumui tik didės. Atsakymas nėra stabdyti inovacijas. Atsakymas – jas valdyti.

Clarysec padeda organizacijoms kurti anonimizavimo ir pakartotinio identifikavimo rizikos valdyseną naudojant:

• Zenith Blueprint etapiniam įgyvendinimui, įskaitant 13 žingsnį rizikos tvarkymui ir SoA atsekamumui, 19 žingsnį duomenų maskavimui, 21 žingsnį testavimo informacijai ir 23 žingsnį privatumui bei AII apsaugai.
• Zenith Controls kelių atitikties režimų susiejimui per privatumo apsaugą, informacijos ištrynimą, duomenų maskavimą, testavimo informaciją, klasifikavimą, turto apskaitą, tiekėjų riziką, debesijos saugumą, žurnalavimą, kriptografiją ir audito perspektyvas.
• Clarysec įmonėms skirtus politikų šablonus, tokius kaip PII Retention, Deletion and Disposal Policy, Privacy by Design and Default Policy, Privacy Risk Assessment and DPIA Policy, Data Masking and Pseudonymization Policy ir Test Data and Test Environment Policy.
• MVĮ parengtus variantus, įskaitant Data Protection and Privacy Policy - SME, Data Masking and Pseudonymization Policy - SME ir Test Data and Test Environment Policy - SME.

Kitas jūsų veiksmas paprastas: pasirinkite vieną didelės vertės analitikos, AI, lyginamųjų rodiklių arba testavimo duomenų rinkinį ir pritaikykite jam Clarysec anonimizavimo valdysenos darbo eigą. Jei negalite parodyti tvarkymo veiklos registro, minimizavimo vertinimo, pakartotinio identifikavimo rizikos peržiūros, patvirtinimo įrašo, techninės transformacijos įrodymų, prieigos kontrolės priemonių, saugojimo sprendimo, tiekėjų apribojimų ir peržiūros inicijavimo sąlygos, duomenų rinkinys nėra tinkamas auditui.

Clarysec gali padėti jį parengti auditui.