Privatumą didinančios technologijos ISO 27701 ir GDPR kontekste

Sarah, sparčiai augančios finansinių technologijų įmonės CISO, dar prieš prasidedant susitikimui žinojo, koks prašymas bus pateiktas.

Produkto komanda norėjo paleisti DI grindžiamą finansinio konsultavimo funkciją. Modeliui reikėjo realistiškos klientų elgsenos, operacijų dėsningumų, pagalbos tarnybos įvykių ir prenumeratų istorijos. Duomenų mokslo komanda teigė, kad modelis veiks geriau naudojant produkcinius duomenis. QA komanda norėjo į produkcinę aplinką panašių mokėjimų įrašų, kad galėtų atkurti ribinius atvejus. Debesijos analitikos tiekėjui reikėjo pavyzdinio duomenų rinkinio duomenų surinkimo procesui validuoti. Niekas nebandė pažeisti privatumo teisės aktų. Niekas nenorėjo atskleisti klientų duomenų. Visi norėjo veikti greitai.

Tada Sarah uždavė klausimą, pakeitusį susitikimo eigą.

„Kodėl jums reikia identifikuojamos AII?“

Kambaryje įsivyravo tyla.

Būtent čia praktikoje dažnai nesuveikia privatumo valdymo sistemos. Organizacija gali turėti privatumo pranešimą, duomenų apsaugos politiką, DPIA šabloną ir teisinės peržiūros procesą, tačiau realus sprendimas priimamas Slack gijoje, Jira užduotyje, analitikos eksporte arba duomenų bazės klone. Jeigu vienintelė privatumo kontrolės priemonė yra „paklausti Teisės skyriaus“, veikla arba sustoja, arba pasirenkami trumpesni keliai.

Privatumą didinančios technologijos, paprastai vadinamos PET, šią spragą užpildo tada, kai jos laikomos operacinių kontrolės priemonių rinkiniu, o ne tyrimų tema. Pagal ISO/IEC 27701:2025 PIMS lūkesčius ir GDPR įpareigojimus tokios PET kaip duomenų maskavimas, pseudonimizavimas, anonimizavimas, agregavimas, tokenizavimas, šifravimas ir sintetiniai duomenys mažina identifikuojamumą, kartu išlaikydamos verslo vertę. Jos paverčia „ne, šių duomenų naudoti negalite“ į „taip, jeigu naudosite saugią versiją ir turėsite dokumentuotus įrodymus“.

Clarysec požiūris sukurtas būtent tokiam momentui. Zenith Blueprint: auditoriaus 30 žingsnių veiksmų planas duomenų maskavimą priskiria etapui „Kontrolės priemonės veikia“, 19 žingsniui: „Technologinės kontrolės priemonės I“, o testavimo informaciją – 21 žingsniui: „Kontrolės priemonės 8.27–8.34“. PET nėra kosmetinės privatumo funkcijos. Tai kontrolės priemonės, kurias auditoriai gali tikrinti, inžinieriai – įgyvendinti, o vadovybė – valdyti.

Kaip nurodoma Zenith Blueprint:

Duomenų maskavimas nėra informacijos slėpimas nuo užpuolikų; jo paskirtis – užkirsti kelią nereikalingam atskleidimui organizacijos viduje. Tokiuose scenarijuose kaip kūrimas, testavimas, mokymai ar analitika tikri produkciniai duomenys dažnai nukopijuojami į aplinkas, kuriose nėra visų produkcinės aplinkos saugumo kontrolės priemonių.

Šis vienas sakinys tiksliai apibūdina šiuolaikinės privatumo rizikos veikimo realybę. Pavojingiausias AII atskleidimas dažnai nėra dramatiškas išorinis pažeidimas. Tai vidinė kopija, testavimo duomenų bazė, DI mokymo išrašas, tiekėjo pavyzdys, pamirštas derinimo žurnalas ir analitikos suvestinė, kurioje atskleidžiama daugiau, nei kas nors ketino.

PET privatumą pagal projektą paverčia operaciniais įrodymais

GDPR Article 25 reikalauja duomenų apsaugos pagal projektą ir pagal numatytuosius nustatymus. GDPR Article 32 reikalauja tinkamų techninių ir organizacinių priemonių, įskaitant pseudonimizavimą ir šifravimą, kai tai tinkama. GDPR Article 5 reikalauja teisėtumo, sąžiningumo, skaidrumo, tikslo apribojimo, duomenų minimizavimo, tikslumo, saugojimo trukmės ribojimo, vientisumo, konfidencialumo ir atskaitomybės.

PET yra vieta, kur šie teisiniai principai tampa inžineriniais sprendimais.

Privatumą didinanti technologija – tai bet koks techninis arba procedūrinis mechanizmas, mažinantis privatumo riziką ribojant asmens duomenų atskleidimą, identifikuojamumą, susiejimo galimybes arba netinkamą naudojimą. Su ISO/IEC 27701:2025 suderintoje PIMS PET turi būti susietos su vaidmenų aiškumu, privatumo rizikos tvarkymu, duomenų tvarkymo veiklos įrašais, tiekėjų kontrolės priemonėmis, prieigos apribojimais, saugojimo sprendimais ir įrodymais.

Duomenų valdytojams PET padeda pagrįsti, kad organizacija įvertino minimizavimą, numatytuosius privatumo nustatymus ir apsaugos priemones tolesniam tvarkymui. Duomenų tvarkytojams PET padeda parodyti, kad kliento nurodymai įgyvendinami saugiai, pasitelktų duomenų tvarkytojų atskleidimo rizika mažinama, o AII tvarkymas debesijoje yra apsaugotas. Bendriems duomenų valdytojams ir pasitelktiems duomenų tvarkytojams PET padeda aiškiai nustatyti, kas kontroliuoja pakartotinio identifikavimo raktus, kas tvirtina deidentifikavimo prielaidas ir kas gali gauti naudojimui tinkamus duomenų rinkinius.

Clarysec Privatumo pagal projektą ir pagal numatytuosius nustatymus politika tai paverčia operacine praktika tiek duomenų valdytojo, tiek duomenų tvarkytojo kontekstuose:

[Abu] Proceso savininkas / verslo savininkas PRIVALO REG04 dokumentuoti deidentifikavimo, pseudonimizavimo, agregavimo arba neidentifikuojamo tvarkymo įgyvendinamumą prieš patvirtindamas identifikuojamą AII testavimui, analitikai, ataskaitų teikimui arba antriniam operaciniam naudojimui.

Ši nuostata pakeičia diskusiją. Verslo savininkas nepradeda nuo prašymo pateikti duomenų bazės kopiją. Jis pradeda dokumentuodamas verslo tikslą, minimalius reikalingus duomenis ir kodėl mažesnės rizikos forma tiks arba netiks.

Tai yra valdysenos veiksmas, dėl kurio PET tampa pagrindžiamos. Prieš patvirtindama identifikuojamą AII, organizacija turi parodyti, kodėl agregavimas, sintetiniai duomenys, maskavimas, pseudonimizavimas arba anonimizavimas yra nepakankami.

Audituose svarbiausios PET

Ne kiekviena PET tinka kiekvienam scenarijui. Naudingai privatumo inžinerijos programai reikia praktinės taksonomijos, kurią vienodai suprastų verslo, inžinerijos, privatumo, saugumo ir audito komandos.

P16 Duomenų maskavimo ir pseudonimizavimo politika PET apibrėžia tiesiogiai per privatumo riziką:

Ši politika apibrėžia organizacijos požiūrį į duomenų maskavimo ir pseudonimizavimo kaip privatumą didinančių technologijų (PET) įgyvendinimą, siekiant sumažinti asmens arba jautrių duomenų identifikuojamumą ir atskleidimą.

Mažesnėms organizacijoms Clarysec tą patį kontrolės tikslą atspindi lengvesniame veiklos modelyje. P16S Duomenų maskavimo ir pseudonimizavimo politika – MVĮ nurodo:

Ši politika nustato privalomus duomenų maskavimo ir pseudonimizavimo naudojimo reikalavimus, skirtus apsaugoti jautrius, asmens ir konfidencialius duomenis mažose ir vidutinėse įmonėse (MVĮ).

Principas – proporcingumas. Tarptautinė įmonė gali naudoti įmonės masto tokenizavimą, duomenų praradimo prevenciją, atskirtas raktų saugyklas ir privatumo inžinerijos peržiūros tarybas. MVĮ gali pradėti nuo patvirtintų maskavimo scenarijų, ribotos prieigos tokenų lentelių ir dokumentuotų patvirtinimų. Abi turi gebėti įrodyti, kad privatumo rizika buvo įvertinta, sutvarkyta ir pagrįsta įrodymais.

Kodėl ISO/IEC 27701:2025 reikia ISO/IEC 27001:2022 pagrindo

ISO/IEC 27701:2025 išplečia privatumo valdyseną į privatumo informacijos valdymo sistemą, tačiau privatumo kontrolės priemonės neveikia vakuume. Jos priklauso nuo po jomis esančios informacijos saugumo valdymo sistemos.

ISO/IEC 27001:2022 reikalauja, kad organizacijos suprastų kontekstą, suinteresuotųjų šalių reikalavimus, taikymo sritį, sąsajas ir priklausomybes, tada sukurtų ir nuolat tobulintų ISVS. Planavimo reikalavimai užtikrina pakartojamą rizikos vertinimą, rizikos tvarkymą, Taikomumo pareiškimą ir liekamosios rizikos priėmimą. PET atveju tai reiškia, kad kontrolės priemonės neturi būti pasirenkamos todėl, kad „to nori privatumo funkcija“. Jos turi būti pasirenkamos todėl, kad rizikos vertinimas rodo jų poveikį mažinant konfidencialumo, privatumo, testavimo, analitikos, tiekėjų arba debesijos atskleidimo riziką.

Zenith Blueprint tai praktiškai paaiškina 23 žingsnyje, kuriame privatumas ir AII apsauga aprašomi kaip gyvavimo ciklo kontrolės priemonė:

Šios kontrolės priemonės pagrindas yra duomenų suvokimas. Organizacija turi žinoti, kokią AII renka, kur ji yra, kodėl ji tvarkoma ir kas gali prie jos prieiti. Be tokio bazinio vaizdo bet kokie privatumo pažadai yra tušti.

Tai yra tiltas tarp ISO/IEC 27701:2025 ir GDPR. PET reikia duomenų suvokimo. Negalite maskuoti to, ko nesuklasifikavote. Negalite atsakingai pseudonimizuoti, jei nežinote, kas turi raktą. Negalite saugiai anonimizuoti, jei neįvertinote pakartotinio identifikavimo rizikos. Negalite pagrįsti analitikos arba DI naudojimo atvejo, jei negalite jo susieti su teisiniu pagrindu, tikslu, saugojimo taisykle ir patvirtinimo įrašu.

PET susiejimas su ISO/IEC 27002:2022 ir Clarysec gairėmis

Brandžiai PET valdysenai reikia integruotų kontrolės priemonių. Zenith Controls: kelių atitikties reikalavimų gidas privatumo ir AII apsaugą, duomenų maskavimą, kriptografiją ir testavimo informaciją traktuoja kaip susietą kontrolės priemonių grupę. Tai svarbu, nes auditoriai retai tikrina PET izoliuotai. Jeigu duomenų rinkinys yra maskuotas, jie klaus, kaip jis buvo suklasifikuotas, kas gali prie jo prieiti, ar taikomas kriptografinis tokenizavimas ir ar ta pati taisyklė galioja testavimo aplinkose.

Zenith Controls ISO/IEC 27002:2022 kontrolės priemonę 5.34, Privatumas ir AII apsauga, susieja kaip prevencinę kontrolės priemonę, palaikančią konfidencialumą, vientisumą ir prieinamumą, su operacinėmis galimybėmis informacijos apsaugos ir teisinės atitikties srityse. Ji taip pat sieja 5.34 su turto apskaita, duomenų maskavimu ir kriptografija. PET priklauso nuo žinojimo, kur yra AII, nuo ribojimo, kaip ji atskleidžiama, ir nuo kriptografinės apsaugos, kai jos reikia.

Kontrolės priemonei 8.11, Duomenų maskavimas, Zenith Controls maskavimą apibrėžia kaip prevencinę, į konfidencialumą orientuotą informacijos apsaugos dalį. Maskavimas susiejamas su informacijos klasifikavimu, privatumu ir AII apsauga, informacijos prieigos ribojimu, kriptografija ir testavimo informacija.

Kontrolės priemonei 8.24, Kriptografijos naudojimas, Zenith Controls kriptografiją sieja su klasifikavimu, AII apsauga, informacijos perdavimu, pažeidžiamumų valdymu ir saugaus programinės įrangos kūrimo gyvavimo ciklu. Ji taip pat sieja šią kontrolės priemonę su ISO/IEC 27018:2020 dėl AII apsaugos debesijoje ir su NIST SP 800-53 Rev. 5 kontrolės priemonėmis, skirtomis kriptografinei apsaugai, saugomų duomenų apsaugai ir perdavimo konfidencialumui.

Šis integruotas požiūris paaiškina, kodėl PET sukuria naudą kelių atitikties reikalavimų kontekste. Maskuotas testavimo duomenų rinkinys vienu metu gali palaikyti GDPR minimizavimą, ISO/IEC 27002:2022 testavimo informacijos apsaugą, DORA IRT rizikos mažinimą, NIS2 kibernetinę higieną ir NIST CSF 2.0 duomenų saugumo rezultatus.

Testavimo aplinka – vieta, kur privatumo pažadai dažnai nesuveikia

Daugelyje auditų greičiausias kelias į reikšmingą išvadą yra neprodukcinė aplinka.

Produkcinėje aplinkoje gali būti MFA, privilegijuotosios prieigos valdymas, šifravimas, stebėsena ir griežta pakeitimų kontrolė. Testavimo, kūrimo ir parengiamosiose aplinkose gali būti bendros paskyros, platesnė kūrėjų prieiga, nukopijuoti produkciniai duomenys, silpnesnis žurnalavimas ir pamirštos atsarginės kopijos. Būtent dėl šios priežasties Clarysec testavimo duomenis laiko PET prioritetu.

P16 Duomenų maskavimo ir pseudonimizavimo politika tai aiškiai nustato:

Tikri asmens duomenys negali būti naudojami kūrimo, testavimo arba parengiamosiose aplinkose. Vietoj jų turi būti naudojami maskuoti arba pseudonimizuoti duomenys, sugeneruoti pagal iš anksto patvirtintus transformavimo šablonus.

Testavimo duomenų ir testavimo aplinkos politika – MVĮ tą patį lūkestį pateikia praktine kalba:

Duomenys turi būti anonimizuoti arba pseudonimizuoti naudojant tinkamas priemones.

Zenith Blueprint 21 žingsnyje paaiškina, kodėl tai svarbu:

Galiausiai kontrolės priemonė 8.33 primena, kad informacija nepraranda vertės vien todėl, kad ji yra smėliadėžėje. Kai testavimo duomenys tvarkomi taip pat rūpestingai kaip produkciniai duomenys, organizacijos sumažina atsitiktinio atskleidimo, vidinio netinkamo naudojimo arba atitikties nesėkmės tikimybę.

Todėl stipri PET programa prasideda paprasta taisykle: produkcinė AII neperkeliama į žemesnes aplinkas, nebent dokumentuota išimtis pagrindžia techninę būtinybę, taiko lygiavertes apsaugos priemones ir fiksuoja patvirtinimą.

Testavimo duomenų ir testavimo aplinkos politika tai palaiko per kontroliuojamus testavimo duomenų reikalavimus, o MVĮ versija suteikia mažesnėms komandoms praktinį bazinį lygį. Kartu jos turėtų užtikrinti:

• Numatytąjį reikalavimą naudoti sintetinius, anonimizuotus arba maskuotus duomenis
• Formalų išimties kelią produkcinei AII
• Iš anksto patvirtintus transformavimo šablonus
• Testavimo duomenų rinkinių prieigos kontrolę ir žurnalavimą
• Ribotos trukmės saugojimą ir išvalymą
• Įrodymus, kad maskavimas buvo pritaikytas prieš išleidžiant duomenų rinkinį
• Periodinę pseudonimizuotų duomenų pakartotinio identifikavimo rizikos peržiūrą

Pseudonimizavimas nėra anonimizavimas

Dažna klaida – pseudonimizuotus duomenis laikyti anoniminiais. Jie tokie nėra.

Pseudonimizavimas mažina identifikuojamumą tiesioginius identifikatorius pakeičiant tokenais, maišomis arba alternatyviomis reikšmėmis. Jeigu raktas, susiejimo lentelė, druska arba papildomas duomenų rinkinys gali atkurti tapatybę, duomenims vis dar reikalinga valdysena. Todėl GDPR pseudonimizavimą laiko apsaugos priemone, o ne automatiniu privatumo įpareigojimų netaikymo pagrindu.

P16S Duomenų maskavimo ir pseudonimizavimo politika – MVĮ nurodo:

Pseudonimizavimas turi būti naudojamas, kai reikia duomenų susiejimo neatskleidžiant tapatybių:

Ši frazė apibrėžia naudojimo atvejį: susiejimas be tiesioginės tapatybės. Pseudonimizavimas idealiai tinka klientų praradimo analitikai, sukčiavimo dėsningumų analizei, pagalbos atvejų koreliacijai, ilgalaikiam ataskaitų teikimui ir DI modelių mokymui, kai tas pats asmuo turi būti atpažįstamas keliuose įvykiuose, tačiau tikroji jo tapatybė modelio naudotojui nereikalinga.

Tačiau kontrolės priemonė yra tokia stipri, kokia stipri yra raktų valdymo praktika. P16S Duomenų maskavimo ir pseudonimizavimo politika – MVĮ taip pat nurodo:

Prieiga prie raktų turi būti šifruojama, valdoma prieigos kontrolės priemonėmis ir registruojama žurnaluose.

Tai tiesiogiai atitinka ISO/IEC 27002:2022 kontrolės priemonę 8.24. 20 žingsnyje dėl kriptografijos naudojimo Zenith Blueprint įspėja:

Stiprus šifravimas nieko nereiškia, jei raktai yra atskleisti, netinkamai tvarkomi arba pamiršti. Raktai turi būti generuojami saugiai, laikomi šifruotose raktų saugyklose arba aparatinės saugos moduliuose, periodiškai keičiami pagal grafiką ir atšaukiami, kai kompromituojami arba nebėra reikalingi.

CISO arba privatumo vadovui praktinė taisyklė aiški: jeigu pseudonimizavimas yra grįžtamasis, prieiga prie raktų yra kritiškiausias turtas. Tokenų lentelė, druska, raktų saugyklos leidimai, pakartotinio identifikavimo darbo eiga ir žurnalai turi būti traktuojami kaip didelės rizikos turtas.

P16 Duomenų maskavimo ir pseudonimizavimo politika prideda dar vieną auditui kritinį reikalavimą:

Pseudonimizuotų duomenų rinkiniams turi būti periodiškai atliekami pakartotinio identifikavimo rizikos vertinimai.

Tai neleidžia pseudonimizavimui pasenti. Duomenų rinkinys, kuris pernai buvo mažos rizikos, gali tapti didesnės rizikos, kai pridedami nauji atributai, tiekėjas gauna daugiau duomenų arba išorinius duomenų rinkinius tampa lengviau susieti.

Praktinė PET darbo eiga DI ir analitikai

Grįžkime prie Sarah finansinių technologijų DI funkcijos. Verslui reikia klientų duomenų modelio mokymui, tačiau Sarah reikia pagrindžiamo kelio, kuris apsaugotų klientus, tenkintų Teisės skyriaus reikalavimus ir neblokuotų inovacijų.

1 žingsnis: sukurkite privatumo pagal projektą sprendimo įrašą

Verslo savininkas atidaro REG04 – sprendimo įrašą, nurodytą Privatumo pagal projektą ir pagal numatytuosius nustatymus politikoje. Prašyme dokumentuojama:

• Verslo tikslas: DI grindžiama konsultavimo funkcija ir klientų praradimo arba įsitraukimo modeliavimas
• Prašomas duomenų rinkinys: kliento profilis, prenumeratos įvykiai, operacijų kategorijos, naudojimo žurnalai ir pagalbos įvykiai
• Duomenų valdytojo arba duomenų tvarkytojo vaidmuo ir teisinis pagrindas arba tvarkymo nurodymas
• Ar identifikuojama AII yra būtina
• PET įgyvendinamumas: agregavimas, pseudonimizavimas, anonimizavimas, sintetiniai duomenys arba maskavimas
• Gavėjai: vidinė analitikos komanda, taikomųjų programų komanda ir debesijos analitikos platforma
• Saugojimo laikotarpis ir ištrynimo paleidiklis
• Patvirtinimo savininkas ir likutinė rizika

Politika reikalauja, kad PET įgyvendinamumas būtų dokumentuotas prieš patvirtinant identifikuojamą AII. Tai deidentifikavimą paverčia numatytuoju keliu, o ne vėlesne mintimi.

2 žingsnis: suklasifikuokite ir minimizuokite laukus

Duomenų savininkas iš mokymo išrašo pašalina tiesioginius identifikatorius, pavyzdžiui, vardą ir pavardę, el. pašto adresą, telefono numerį, valstybės išduotą identifikatorių ir visą sąskaitos numerį. Kliento ID pakeičiamas pseudoniminiu tokenu. Vietovė apibendrinama. Laisvo teksto pagalbos pastabos pašalinamos arba perleidžiamos per redagavimą. Mokėjimo duomenys pašalinami, nebent jų reikia konkrečiai patvirtintai funkcijai.

Duomenų apsaugos ir privatumo politika – MVĮ sustiprina šį projektavimo principą:

Numatytieji sistemos nustatymai turi minimizuoti asmens duomenų atskleidimą (pvz., maskuoti rodiniai, ribotos prieigos ataskaitos).

Duomenų apsaugos ir privatumo politika nustato platesnį sistemos reikalavimą:

Sistemos turi palaikyti anonimizavimą arba pseudonimizavimą, kai tai tinkama.

3 žingsnis: pritaikykite pseudonimizavimą ir apsaugokite raktus

Inžinerijos komanda naudoja patvirtintą transformavimo šabloną iš maskavimo politikos. Tokenai generuojami patvirtintu metodu. Raktas arba susiejimo lentelė saugomi atskirai ribotos prieigos saugykloje. Prieigą turi tik nedidelė pakartotinio identifikavimo funkcija, o kiekviena prieiga registruojama žurnaluose.

Jeigu duomenų rinkinys perduodamas debesijos analitikos teikėjui, patikrinamas šifravimas perduodant duomenis ir juos saugant. AII saugumo ir prieigos kontrolės politika reikalauja:

[Abu] Informacijos saugumo vadovas PRIVALO REG12 apibrėžti šifravimo arba patvirtintos kompensuojančios apsaugos reikalavimus prieš didelio poveikio, jautrios arba išorėje perduodamos AII saugojimą, perdavimą arba padarymą prieinamą.

4 žingsnis: peržiūrėkite pakartotinio identifikavimo riziką

Duomenų apsaugos pareigūnas arba privatumo konsultantas peržiūri, ar likę atributai galėtų identifikuoti fizinius asmenis dėl unikalumo, retų elgsenos dėsningumų arba susiejimo su išoriniais duomenimis.

AII saugojimo, ištrynimo ir sunaikinimo politika nurodo:

[Abu] Duomenų apsaugos pareigūnas / privatumo konsultantas PRIVALO REG12 peržiūrėti pakartotinio identifikavimo rizikos prielaidas prieš patvirtinant anonimizavimą arba deidentifikavimą didelės rizikos arba išorėje bendrinamiems duomenų rinkiniams.

Ši peržiūra ypač svarbi, kai duomenys palieka organizaciją, patenka į duomenų tvarkytojo aplinką arba naudojami DI mokymui.

5 žingsnis: valdykite DI būdingą duomenų riziką

DI sukuria specifinių PET iššūkių, nes modelių komandos dažnai nori didelių, realistiškų ir pakartotinai naudojamų duomenų rinkinių. DI ir automatizuoto sprendimų priėmimo privatumo politika aiškiai nustato operacinį lūkestį:

[Abu] Prieš naudojant produkcinę AII DI testavimui, mokymui, derinimui, validavimui arba stebėsenai, sistemos savininkas / taikomosios programos savininkas turi įgyvendinti patvirtintas minimizavimo, atskyrimo, prieigos kontrolės arba deidentifikavimo priemones ir užregistruoti įgyvendinimo įrodymus REG04 arba REG12.

DI projektams praktinės PET parinktys apima sintetinius duomenis ankstyvajam testavimui, požymių minimizavimą, pseudonimizuotus identifikatorius, laisvo teksto redagavimą, agregavimą, diferencijuotą prieigą prie jautrių atributų ir mokymo, validavimo bei produkcinės stebėsenos duomenų atskyrimą.

Peržiūroje turi būti klausiama:

• Ar modelio tikslą galima pasiekti be tiesioginių identifikatorių?
• Ar laisvo teksto laukai būtini ir ar jie buvo redaguoti?
• Ar jautrūs duomenys naudojami kaip įvestis, žyma arba pakaitinis rodiklis?
• Ar sintetiniai duomenys gali palaikyti testavimą prieš patvirtinant tikrus duomenis?
• Ar modelio išvestys tikrinamos dėl įsiminimo arba pakartotinio identifikavimo rizikos?
• Ar yra mokymo išrašų ištrynimo planas?
• Ar įrodymai užregistruoti REG04 arba REG12?

6 žingsnis: užfiksuokite saugojimą ir sunaikinimą

Jeigu po mokymo arba validavimo DI išvesčiai nebereikia eilučių lygmens duomenų, pradinis pseudonimizuotas duomenų rinkinys turi būti ištrintas pasibaigus nustatytam laikotarpiui. Jeigu galutinė išvestis yra agreguota, jai gali būti taikoma kita saugojimo taisyklė.

AII saugojimo, ištrynimo ir sunaikinimo politika reikalauja:

[Abu] Proceso savininkas / verslo savininkas PRIVALO REG02 dokumentuoti anonimizavimą, deidentifikavimą arba pseudonimizavimą kaip saugojimo rizikos mažinimo priemonę arba galutinio sutvarkymo rezultatą prieš transformuojant identifikuojamą AII.

7 žingsnis: išsaugokite audito pėdsaką

Įrodymų pakete turi būti REG04, REG12, REG02, DPIA arba PIA, kai reikia, maskavimo konfigūracija, tokenų schemos aprašas, raktų prieigos žurnalai, debesijos saugumo nustatymai, tiekėjų patvirtinimai, ištrynimo žurnalai ir ribotos prieigos ataskaitų ekrano kopijos.

Taip PET tampa audituojamos. Sarah gali parodyti ne tik tai, kad pseudonimizavimas buvo panaudotas, bet ir kodėl jis pasirinktas, kas jį patvirtino, kaip jis įgyvendintas, kaip apsaugoti raktai ir kaip peržiūrėta likutinė rizika.

Kelių atitikties reikalavimų susiejimas: GDPR, ISO 27701, NIS2, DORA, NIST ir COBIT

PET mažina spaudimą platesnėje reglamentavimo aplinkoje, nes palaiko tą patį pagrindinį tikslą: mažinti nereikalingą jautrių duomenų atskleidimą, kartu išlaikant atskaitomybę ir veiklos atsparumą.

Pagal GDPR PET palaiko atskaitomybę, minimizavimą, privatumą pagal projektą ir tvarkymo saugumą. GDPR gali būti taikomas eksteritoriniu pagrindu ne ES duomenų valdytojams arba duomenų tvarkytojams, kurie siūlo paslaugas Sąjungos fiziniams asmenims arba stebi jų elgesį. SaaS, finansinių technologijų ir debesijos analitikos paslaugų teikėjams dažnai reikia su GDPR suderintų PET, net jeigu jų būstinė yra kitur.

Pagal NIS2 esminiai ir svarbūs subjektai turi įgyvendinti tinkamas ir proporcingas technines, operacines ir organizacines priemones. Article 21 apima rizikos analizę, incidentų valdymą, veiklos tęstinumą, tiekimo grandinės saugumą, saugų kūrimą, veiksmingumo vertinimą, kibernetinę higieną, kriptografiją, prieigos kontrolę ir turto valdymą.

Pagal DORA finansų sektoriaus subjektams reikia dokumentuotos IRT rizikos valdymo sistemos ir stiprios duomenų konfidencialumo, vientisumo ir prieinamumo apsaugos. Trečiųjų šalių reikalavimai Articles 28 to 30 daro PET ypač vertingas, kai duomenys juda per IRT paslaugų teikėjus, debesijos platformas, išorės kūrėjus arba testavimo partnerius.

NIST CSF 2.0 suteikia veiklos perspektyvą. GOVERN rezultatai reikalauja teisinių, reglamentavimo ir sutartinių reikalavimų, privatumo įpareigojimų, rizikos apetito ir politikos priežiūros. PROTECT apima saugomų, perduodamų ir naudojamų duomenų saugumą. DETECT, RESPOND ir RECOVER prideda stebėseną, incidento paskelbimą, suinteresuotųjų šalių informavimą, tyrimo vientisumą ir atkūrimo patikrinimą.

Kaip auditoriai tikrins jūsų PET programą

Politika yra tik dokumentas, o priemonė – tik kodas, kol auditorius paprašo įrodymų. Skirtingi vertintojai į PET žiūri skirtingais kampais, tačiau įrodymai persidengia.

Zenith Controls apima audito metodikos perspektyvą, kuri čia ypač naudinga. Privatumo ir AII apsaugos atveju ji nukreipia auditorius į privatumo politikas, duomenų apskaitą, DPIA arba PIA, mokymų žurnalus, šifravimo įrodymus, prieigos kontrolės priemones ir logines apsaugos priemones. Duomenų maskavimo atveju ji išryškina maskavimo politikas, klasifikavimo schemas, sistemų pavyzdžius, suvestines, žurnalus, neprodukcinius duomenų rinkinius ir įrodymus, kad maskavimas taikomas teisingai. Kriptografijos atveju ji išryškina patvirtintus algoritmus, raktų ilgius, raktų valdymo procedūras, saugotojų vaidmenis ir įrodymus, kad vengiama silpnų šifrų.

Pamoka paprasta: PET įrodymai turi būti ir techniniai, ir vadybiniai. Vien ekrano kopijų nepakanka. Vien politikų nepakanka. Reikia visos grandinės nuo reikalavimo iki rizikos, įgyvendinimo, stebėsenos, peržiūros ir tobulinimo.

Dažni PET trūkumai, kuriuos reikia pašalinti prieš auditą

Dauguma organizacijų nesuklumpa dėl to, kad neturi priemonių. Jos suklumpa todėl, kad PET valdomos nenuosekliai.

Dažnos išvados:

• Maskavimas taikomas duomenų bazėms, bet ne eksportams, žurnalams ar BI suvestinėms
• Pseudonimizavimo raktai prieinami per daug administratorių
• Testavimo aplinkose yra senų produkcinių kopijų be saugojimo savininko
• Analitikos komandos el. pašto adresus naudoja kaip patogius jungimo raktus
• Tiekėjai pavyzdinius duomenis gauna prieš privatumo peržiūrą
• Teigiama, kad duomenys anonimizuoti, tačiau neatliktas pakartotinio identifikavimo vertinimas
• Duomenų minimizavimas dokumentuotas DPIA, bet neįgyvendintas užklausose
• Šifravimas įjungtas, tačiau raktų savininkystė ir periodinis raktų keitimas neaiškūs
• DI komandos mokymo išrašus saugo už patvirtintų saugyklų ribų
• Išimtys patvirtinamos žodžiu ir niekada nesibaigia

Sprendimas nėra ilgesnis politikos dokumentas. Sprendimas – darbo eiga, kuri saugų kelią padaro lengviausiu keliu.

Sukurkite PET veiklos modelį per 30 dienų

Praktinė PET programa gali būti pradėta greitai, jeigu pirmiausia sutelksite dėmesį į didžiausios rizikos duomenų judėjimą.

Tai taip pat tinkamas momentas susieti PET su platesniu Clarysec veiksmų planu. Zenith Blueprint 19 žingsnis apima maskavimą, 20 žingsnis – kriptografiją, 21 žingsnis – testavimo informaciją, o 23 žingsnis – privatumą ir AII apsaugą. Kartu šie žingsniai sukuria įgyvendinamą seką ISO/IEC 27701:2025 ir su GDPR suderintai privatumo inžinerijai.

Padarykite PET audituojamas prieš auditoriui paklausiant

Sarah istorija nesibaigia paprastu „taip“ arba „ne“. Ji baigiasi geresniu klausimu: kaip organizacija gali saugiai naudoti duomenis?

Taikydama valdysena grindžiamą požiūrį į privatumą didinančias technologijas, ji gali tenkinti Teisės skyriaus lūkesčius, įgalinti produkto komandą, apsaugoti klientus ir kartu sustiprinti atitiktį. DI funkcija gali būti vystoma naudojant pseudonimizuotus, minimizuotus ir prieigos kontrolės priemonėmis apsaugotus duomenis. Debesijos analitikos teikėjas gali gauti tik saugų duomenų rinkinį. Raktas gali likti ribotos prieigos. Saugojimo taisyklė gali būti dokumentuota. Įrodymai gali atlaikyti ISO, GDPR, DORA, NIS2 ir klientų užtikrinimo peržiūrą.

PET yra daugiau nei techninis atitikties problemos sprendimas. Kai jos integruojamos į valdymo sistemą, paremtą aiškiomis politikomis, Zenith Blueprint ir Zenith Controls kelių sistemų susiejimu, jos tampa strateginiu įgalintoju. Jos leidžia organizacijoms gauti vertę iš duomenų, kartu mažinant atskleidimo riziką, kuriant pasitikėjimą ir įrodant atskaitomybę.

Clarysec gali padėti tai paversti veiklos modeliu.

Pradėkite nuo Zenith Blueprint, kad nustatytumėte įgyvendinimo seką. Naudokite Zenith Controls, kad susietumėte PET pagal ISO/IEC 27002:2022, GDPR, NIS2, DORA, NIST ir palaikomuosius ISO standartus. Tada pritaikykite atitinkamas Clarysec politikas, įskaitant P16 Duomenų maskavimo ir pseudonimizavimo politiką, Privatumo pagal projektą ir pagal numatytuosius nustatymus politiką, AII saugojimo, ištrynimo ir sunaikinimo politiką, AII saugumo ir prieigos kontrolės politiką, Testavimo duomenų ir testavimo aplinkos politiką ir DI bei automatizuoto sprendimų priėmimo privatumo politiką.

Jūsų neatidėliotinas veiksmas paprastas: šią savaitę pasirinkite vieną didelės rizikos duomenų rinkinį ir paklauskite: „Ar verslo rezultatą galima pasiekti be identifikuojamos AII?“ Jei atsakymas „taip“, įgyvendinkite PET. Jei atsakymas „ne“, dokumentuokite kodėl, tinkamai apsaugokite duomenis ir išsaugokite įrodymus.

Tai ir yra privatumas pagal projektą realiame pasaulyje.