Privātumu uzlabojošas tehnoloģijas ISO 27701 un GDPR prasību izpildei

Sāra, strauji augoša FinTech uzņēmuma informācijas drošības vadītāja, jau pirms sanāksmes sākuma zināja, kāds pieprasījums sekos.

Produkta komanda vēlējās ieviest AI balstītu finanšu konsultāciju funkcionalitāti. Modelim bija vajadzīga reālistiska klientu uzvedība, darījumu modeļi, atbalsta notikumi un abonēšanas vēsture. Datu zinātnes komanda apgalvoja, ka modelis darbosies labāk ar produkcijas datiem. Kvalitātes nodrošināšanas komanda vēlējās produkcijas videi līdzīgus maksājumu ierakstus, lai reproducētu robežgadījumus. Mākoņanalītikas piegādātājam bija vajadzīga parauga datu kopa ievades validācijai. Neviens nemēģināja apiet privātuma regulējumu. Neviens nevēlējās pakļaut klientus riskam. Visi vēlējās virzīties ātri.

Tad Sāra uzdeva jautājumu, kas mainīja sanāksmes gaitu.

“Kāpēc jums ir vajadzīgi identificējami PII?”

Telpā iestājās klusums.

Tieši šeit daudzas privātuma pārvaldības sistēmas praksē neiztur pārbaudi. Organizācijai var būt privātuma paziņojums, datu aizsardzības politika, DPIA veidne un juridiskās pārskatīšanas process, bet īstais lēmums tiek pieņemts Slack pavedienā, Jira pieteikumā, analītikas eksportā vai datubāzes klonā. Ja vienīgais privātuma kontroles pasākums ir “pajautāt Juridiskajam dienestam”, uzņēmums vai nu apstājas, vai sāk izmantot īsceļus.

Privātumu uzlabojošas tehnoloģijas, ko parasti apzīmē ar PET, novērš šo plaisu, ja tās tiek pārvaldītas kā darbības kontroles pasākumu kopums, nevis kā pētniecības tēma. Saskaņā ar ISO/IEC 27701:2025 PIMS prasībām un GDPR pienākumiem PET, piemēram, datu maskēšana, pseidonimizācija, anonimizācija, agregēšana, tokenizācija, šifrēšana un sintētiskie dati, samazina identificējamību, vienlaikus saglabājot biznesa vērtību. Tās pārvērš “nē, jūs šos datus izmantot nedrīkstat” par “jā, ja izmantojat drošo versiju un saglabājat dokumentētus pierādījumus”.

Clarysec pieeja ir paredzēta tieši šādiem brīžiem. Zenith Blueprint: auditora 30 soļu ceļvedis datu maskēšanu izvieto posmā “Kontroles pasākumi darbībā”, 19. solī: Tehnoloģiskie kontroles pasākumi I, bet testēšanas informāciju — 21. solī: Kontroles pasākumi 8.27 līdz 8.34. PET nav kosmētiskas privātuma funkcijas. Tie ir kontroles pasākumi, ko auditori var pārbaudīt, inženieri var ieviest un vadība var pārvaldīt.

Kā norāda Zenith Blueprint:

Datu maskēšana nav informācijas slēpšana no uzbrucējiem; tās mērķis ir novērst nevajadzīgu ekspozīciju organizācijas iekšienē. Izstrādes, testēšanas, apmācības vai analītikas scenārijos reāli produkcijas dati bieži tiek kopēti vidēs, kurām nav pilna produkcijas vides drošības kontroles pasākumu apjoma.

Šis viens teikums precīzi raksturo mūsdienu privātuma riska darbības realitāti. Bīstamākā PII ekspozīcija bieži nav dramatisks ārējs pārkāpums. Tā ir iekšēja kopija, testa datubāze, AI apmācības izvilkums, piegādātāja paraugs, aizmirsts atkļūdošanas žurnāls un analītikas informācijas panelis, kas atklāj vairāk, nekā kāds bija paredzējis.

PET pārvērš integrēto datu aizsardzību darbības pierādījumos

GDPR Article 25 prasa integrētu datu aizsardzību un datu aizsardzību pēc noklusējuma. GDPR Article 32 prasa atbilstošus tehniskos un organizatoriskos pasākumus, tostarp pseidonimizāciju un šifrēšanu, ja tas ir piemēroti. GDPR Article 5 prasa likumību, godprātību, pārredzamību, nolūka ierobežošanu, datu minimizēšanu, precizitāti, glabāšanas ierobežošanu, integritāti, konfidencialitāti un pārskatatbildību.

PET ir vieta, kur šie juridiskie principi kļūst par inženiertehniskiem lēmumiem.

Privātumu uzlabojoša tehnoloģija ir jebkurš tehnisks vai procesuāls mehānisms, kas samazina privātuma risku, ierobežojot personas datu ekspozīciju, identificējamību, sasaistāmību vai neatbilstošu izmantošanu. PIMS, kas saskaņota ar ISO/IEC 27701:2025, PET jāsasaista ar skaidri definētām lomām, privātuma riska apstrādi, apstrādes darbību ierakstiem, piegādātāju kontroles pasākumiem, piekļuves ierobežojumiem, glabāšanas lēmumiem un pierādījumiem.

Pārziņiem PET palīdz pierādīt, ka organizācija ir izvērtējusi minimizēšanu, privātumu pēc noklusējuma un aizsardzības pasākumus turpmākai apstrādei. Apstrādātājiem PET palīdz pierādīt, ka klienta norādījumi tiek ieviesti droši, apakšapstrādātāja ekspozīcija tiek samazināta un PII apstrāde mākoņvidē ir aizsargāta. Kopīgiem pārziņiem un apakšapstrādātājiem PET palīdz skaidri noteikt, kurš kontrolē atkārtotas identificēšanas atslēgas, kurš apstiprina deidentifikācijas pieņēmumus un kurš drīkst saņemt izmantojamas datu kopas.

Clarysec Integrētās datu aizsardzības un datu aizsardzības pēc noklusējuma politika padara to darbībā piemērojamu gan pārziņa, gan apstrādātāja kontekstā:

[Abiem] Procesa īpašniekam / biznesa īpašniekam REG04 jāreģistrē deidentifikācijas, pseidonimizācijas, agregēšanas vai neidentificējamas apstrādes īstenojamība, pirms tiek apstiprināta identificējamu PII izmantošana testēšanai, analītikai, pārskatu sagatavošanai vai sekundārai darbības izmantošanai.

Šis punkts maina sarunas sākumpunktu. Biznesa īpašnieks nesāk ar datubāzes kopijas pieprasīšanu. Viņš sāk ar biznesa nolūka, minimāli nepieciešamo datu un pamatojuma dokumentēšanu, kāpēc zemāka riska forma būs vai nebūs piemērota.

Tas ir pārvaldības solis, kas padara PET aizstāvamas. Pirms tiek apstiprināta identificējamu PII izmantošana, organizācijai jāspēj parādīt, kāpēc agregēšana, sintētiskie dati, maskēšana, pseidonimizācija vai anonimizācija nav pietiekama.

PET, kas auditos ir visnozīmīgākās

Ne katra PET der katram scenārijam. Lietderīgai privātuma inženierijas programmai ir vajadzīga praktiska taksonomija, ko saprot biznesa, inženierijas, privātuma, drošības un audita komandas.

P16 Datu maskēšanas un pseidonimizācijas politika definē PET tieši privātuma riska terminos:

Šī politika nosaka organizācijas pieeju datu maskēšanas un pseidonimizācijas ieviešanai kā privātumu uzlabojošām tehnoloģijām (PET), lai samazinātu personas datu vai sensitīvu datu identificējamību un ekspozīciju.

Mazākām organizācijām Clarysec to pašu kontroles mērķi atspoguļo vieglākā darbības modelī. P16S Datu maskēšanas un pseidonimizācijas politika — MVU nosaka:

Šī politika nosaka obligātās prasības datu maskēšanas un pseidonimizācijas izmantošanai, lai aizsargātu sensitīvus, personas un konfidenciālus datus mazos un vidējos uzņēmumos (MVU).

Pamatprincips ir samērīgums. Starptautiska korporācija var izmantot uzņēmuma mēroga tokenizāciju, datu zuduma novēršanu, nodalītas atslēgu glabātuves un privātuma inženierijas pārskatīšanas padomes. MVU var sākt ar apstiprinātiem maskēšanas skriptiem, ierobežotām marķieru tabulām un dokumentētiem apstiprinājumiem. Abām organizācijām jāspēj pierādīt, ka privātuma risks ir izvērtēts, apstrādāts un pamatots ar pierādījumiem.

Kāpēc ISO/IEC 27701:2025 vajadzīgs ISO/IEC 27001:2022 pamats

ISO/IEC 27701:2025 paplašina privātuma pārvaldību līdz privātuma informācijas pārvaldības sistēmai, taču privātuma kontroles pasākumi nedarbojas vakuumā. Tie ir atkarīgi no informācijas drošības pārvaldības sistēmas, uz kuras tie balstās.

ISO/IEC 27001:2022 prasa organizācijām izprast kontekstu, ieinteresēto pušu prasības, piemērošanas jomu, saskarnes un atkarības, pēc tam izveidot un nepārtraukti pilnveidot ISMS. Tā plānošanas prasības nodrošina atkārtojamu risku novērtēšanu, riska apstrādi, piemērojamības deklarāciju un atlikušā riska pieņemšanu. PET kontekstā tas nozīmē, ka kontroles pasākumus nedrīkstētu izvēlēties tāpēc vien, ka “privātuma funkcija tos vēlas”. Tie jāizvēlas tāpēc, ka risku novērtējums pierāda to spēju samazināt konfidencialitātes, privātuma, testēšanas, analītikas, piegādātāju vai mākoņvides ekspozīciju.

Zenith Blueprint to padara praktiski piemērojamu 23. solī, kur PII privātums un aizsardzība skaidrota kā dzīves cikla kontroles pasākums:

Šī kontroles pasākuma pamats ir datu apzināšanās. Organizācijai jāzina, kādus PII tā vāc, kur tie atrodas, kāpēc tie tiek apstrādāti un kam ir piekļuve tiem. Bez šāda pamatlīmeņa jebkuri privātuma solījumi ir tukši.

Tā ir saikne starp ISO/IEC 27701:2025 un GDPR. PET nepieciešama datu apzināšanās. Nevar maskēt to, kas nav klasificēts. Nevar atbildīgi pseidonimizēt, ja nav zināms, kurš tur atslēgu. Nevar droši anonimizēt, ja nav izvērtēts atkārtotas identificēšanas risks. Nevar aizstāvēt analītikas vai AI lietojuma gadījumu, ja to nevar sasaistīt ar tiesisko pamatu, nolūku, glabāšanas noteikumu un apstiprinājuma ierakstu.

PET kartēšana pret ISO/IEC 27002:2022 un Clarysec vadlīnijām

Nobriedusi PET pārvaldība ir atkarīga no integrētiem kontroles pasākumiem. Zenith Controls: savstarpējās atbilstības ceļvedis PII privātumu un aizsardzību, datu maskēšanu, kriptogrāfiju un testēšanas informāciju aplūko kā savstarpēji saistītu kontroles pasākumu saimi. Tas ir svarīgi, jo auditori reti pārbauda PET izolēti. Ja datu kopa ir maskēta, viņi jautās, kā tā tika klasificēta, kam ir piekļuve, vai ir iesaistīta kriptogrāfiska tokenizācija un vai tas pats noteikums attiecas uz testa vidēm.

Zenith Controls kartē ISO/IEC 27002:2022 kontroles pasākumu 5.34, PII privātums un aizsardzība, kā preventīvu kontroles pasākumu, kas atbalsta konfidencialitāti, integritāti un pieejamību ar darbības spējām informācijas aizsardzībā un tiesiskajā atbilstībā. Tas arī sasaista 5.34 ar aktīvu uzskaiti, datu maskēšanu un kriptogrāfiju. PET ir atkarīgas no zināšanām par to, kur PII atrodas, kā tiek ierobežota to ekspozīcija un kā tie tiek kriptogrāfiski aizsargāti, ja nepieciešams.

Attiecībā uz kontroles pasākumu 8.11, Datu maskēšana, Zenith Controls identificē maskēšanu kā preventīvu, uz konfidencialitāti vērstu un informācijas aizsardzībā ietilpstošu kontroles pasākumu. Tas sasaista maskēšanu ar informācijas klasifikāciju, PII privātumu un aizsardzību, informācijas piekļuves ierobežošanu, kriptogrāfiju un testēšanas informāciju.

Attiecībā uz kontroles pasākumu 8.24, Kriptogrāfijas izmantošana, Zenith Controls sasaista kriptogrāfiju ar klasifikāciju, PII aizsardzību, informācijas pārsūtīšanu, ievainojamību pārvaldību un drošu izstrādes dzīves ciklu. Tas arī sasaista kontroles pasākumu ar ISO/IEC 27018:2020 PII aizsardzībai mākoņvidē un ar NIST SP 800-53 Rev. 5 kontroles pasākumiem kriptogrāfiskai aizsardzībai, datu aizsardzībai glabāšanā un pārsūtīšanas konfidencialitātei.

Šis integrētais skatījums ir iemesls, kāpēc PET rada savstarpējās atbilstības ieguvumu. Maskēta testa datu kopa vienlaikus var atbalstīt GDPR minimizēšanu, ISO/IEC 27002:2022 testēšanas informācijas aizsardzību, DORA IKT riska samazināšanu, NIS2 kiberdrošības higiēnu un NIST CSF 2.0 datu drošības rezultātus.

Testa vide ir vieta, kur privātuma solījumi bieži sabrūk

Daudzos auditos ātrākais ceļš uz būtisku konstatējumu ir neprodukcijas vide.

Produkcijas videi var būt MFA, privileģētās piekļuves pārvaldība, šifrēšana, uzraudzība un stingra izmaiņu kontrole. Testa, izstrādes un sagatavošanas vides var saturēt koplietotus kontus, plašāku izstrādātāju piekļuvi, kopētus produkcijas datus, vājāku žurnalēšanu un aizmirstas rezerves kopijas. Clarysec tieši šī iemesla dēļ testēšanas datus uzskata par PET prioritāti.

P16 Datu maskēšanas un pseidonimizācijas politika ir nepārprotama:

Reālus personas datus nedrīkst izmantot izstrādes, testa vai sagatavošanas vidēs. To vietā jāizmanto maskēti vai pseidonimizēti dati, un tie jāģenerē no iepriekš apstiprinātām transformācijas veidnēm.

Testa datu un testa vides politika — MVU to pašu prasību nosaka praktiskā valodā:

Dati jāanonimizē vai jāpseidonimizē, izmantojot piemērotus rīkus

Zenith Blueprint 21. solī skaidro, kāpēc tas ir svarīgi:

Galu galā 8.33 kontroles pasākums atgādina, ka informācija nezaudē savu vērtību tikai tāpēc, ka tā atrodas smilškastē. Ja ar testēšanas datiem rīkojas tikpat rūpīgi kā ar produkcijas datiem, organizācijas samazina nejaušas ekspozīcijas, iekšējās ļaunprātīgas izmantošanas vai atbilstības neizpildes iespēju.

Tāpēc spēcīga PET programma sākas ar vienkāršu noteikumu: produkcijas PII nedrīkst pārvietot uz zemāka uzticamības līmeņa vidēm, ja vien dokumentēts izņēmums nepierāda tehnisku nepieciešamību, netiek piemēroti līdzvērtīgi aizsardzības pasākumi un netiek reģistrēts apstiprinājums.

Testa datu un testa vides politika to atbalsta ar kontrolētām testēšanas datu prasībām, savukārt MVU versija mazākām komandām nodrošina praktisku pamatlīmeni. Kopā tām jānodrošina:

• Noklusējuma prasība izmantot sintētiskus, anonimizētus vai maskētus datus
• Formāls izņēmumu process produkcijas PII izmantošanai
• Iepriekš apstiprinātas transformācijas veidnes
• Piekļuves kontrole un žurnalēšana testa datu kopām
• Laikā ierobežota glabāšana un dzēšana
• Pierādījumi, ka maskēšana piemērota pirms datu kopas nodošanas
• Periodiska atkārtotas identificēšanas riska pārskatīšana pseidonimizētiem datiem

Pseidonimizācija nav anonimizācija

Bieža kļūda ir izturēties pret pseidonimizētiem datiem tā, it kā tie būtu anonīmi. Tie tādi nav.

Pseidonimizācija samazina identificējamību, aizstājot tiešos identifikatorus ar marķieriem, hešiem vai alternatīvām vērtībām. Ja atslēga, uzziņu tabula, sāls vai papildu datu kopa var atjaunot identitāti, datiem joprojām ir vajadzīga pārvaldība. Tieši tāpēc GDPR pseidonimizāciju uzskata par aizsardzības pasākumu, nevis automātisku izslēgšanu no privātuma pienākumiem.

P16S Datu maskēšanas un pseidonimizācijas politika — MVU nosaka:

Pseidonimizācija jāizmanto gadījumos, kad nepieciešama datu sasaistāmība, neatklājot identitātes:

Šī frāze definē lietošanas gadījumu: sasaistāmība bez tiešas identitātes. Pseidonimizācija ir piemērota klientu aiziešanas analītikai, krāpšanas modeļu analīzei, atbalsta lietu korelācijai, longitudināliem pārskatiem un AI modeļu apmācībai, kur viena un tā pati persona jāatpazīst vairākos notikumos, bet modeļa lietotājam nav vajadzīga tās īstā identitāte.

Tomēr kontroles pasākums ir tik stiprs, cik stipra ir atslēgu pārvaldība. P16S Datu maskēšanas un pseidonimizācijas politika — MVU arī nosaka:

Piekļuve atslēgām jāšifrē, tai jāpiemēro piekļuves kontrole un tā jāžurnalē.

Tas tieši saskan ar ISO/IEC 27002:2022 kontroles pasākumu 8.24. Zenith Blueprint 20. solī par kriptogrāfijas izmantošanu brīdina:

Spēcīga šifrēšana neko nenozīmē, ja atslēgas ir atklātas, ar tām rīkojas neatbilstoši vai tās tiek aizmirstas. Atslēgas jāģenerē droši, jāglabā šifrētās atslēgu glabātuvēs vai Hardware Security Modules (HSM), jārotē pēc grafika un jāatsauc, ja tās ir kompromitētas vai vairs nav vajadzīgas.

CISO vai privātuma vadītājam praktiskais noteikums ir skaidrs: ja pseidonimizācija ir reversējama, piekļuve atslēgām ir kritiskākais aizsargājamais aktīvs. Marķieru tabula, sāls, atslēgu glabātuves piekļuves tiesības, atkārtotas identificēšanas darbplūsma un žurnāli jāuzskata par augsta riska aktīviem.

P16 Datu maskēšanas un pseidonimizācijas politika pievieno vēl vienu auditam kritisku prasību:

Periodiski jāveic atkārtotas identificēšanas riska izvērtēšana pseidonimizētām datu kopām.

Tas novērš pseidonimizācijas novecošanu. Datu kopa, kas pagājušajā gadā bija zema riska, var kļūt riskantāka pēc jaunu atribūtu pievienošanas, papildu datu nodošanas piegādātājam vai ārēju datu kopu vieglākas sasaistīšanas.

Praktiska PET darbplūsma AI un analītikai

Atgriezīsimies pie Sāras FinTech AI funkcijas. Bizness vēlas klientu datus modeļa apmācībai, bet Sārai vajadzīgs aizstāvams ceļš, kas aizsargā klientus, apmierina Juridiskā dienesta prasības un nebloķē inovāciju.

1. solis: izveidot integrētās datu aizsardzības lēmuma ierakstu

Biznesa īpašnieks atver REG04 — lēmuma ierakstu, uz kuru atsaucas Integrētās datu aizsardzības un datu aizsardzības pēc noklusējuma politika. Pieprasījumā tiek dokumentēts:

• Biznesa nolūks: AI balstīta konsultāciju funkcija un klientu aiziešanas vai iesaistes modelēšana
• Pieprasītā datu kopa: klienta profils, abonēšanas notikumi, darījumu kategorijas, lietošanas žurnāli un atbalsta notikumi
• Pārziņa vai apstrādātāja loma un tiesiskais pamats vai apstrādes norādījums
• Vai identificējami PII ir nepieciešami
• PET īstenojamība: agregēšana, pseidonimizācija, anonimizācija, sintētiskie dati vai maskēšana
• Saņēmēji: iekšējā analītikas komanda, lietojumprogrammu komanda un mākoņanalītikas platforma
• Glabāšanas termiņš un dzēšanas trigeris
• Apstiprinājuma īpašnieks un atlikušais risks

Politika prasa dokumentēt PET īstenojamību pirms identificējamu PII apstiprināšanas. Tas padara deidentifikāciju par noklusējuma ceļu, nevis pēcdarbību.

2. solis: klasificēt un minimizēt laukus

Datu īpašnieks no apmācības izvilkuma izņem tiešos identifikatorus, piemēram, vārdu, e-pasta adresi, tālruņa numuru, valsts izdotu identifikatoru un pilnu konta numuru. Klienta ID tiek aizstāts ar pseidonīmu marķieri. Atrašanās vieta tiek vispārināta. Brīvā teksta atbalsta piezīmes tiek izslēgtas vai rediģētas. Maksājumu informācija tiek izņemta, ja vien konkrētai apstiprinātai funkcijai tā nav nepieciešama.

Datu aizsardzības un privātuma politika — MVU pastiprina šo projektēšanas principu:

Sistēmu noklusējuma iestatījumiem jāminimizē personas datu ekspozīcija (piemēram, maskēti skati, ierobežotas atskaites)

Datu aizsardzības un privātuma politika nosaka plašāku sistēmas prasību:

Sistēmām attiecīgos gadījumos jāatbalsta anonimizācija vai pseidonimizācija.

3. solis: piemērot pseidonimizāciju un aizsargāt atslēgas

Inženierijas komanda izmanto apstiprinātu transformācijas veidni no maskēšanas politikas. Marķieri tiek ģenerēti ar apstiprinātu metodi. Atslēga vai uzziņu tabula tiek glabāta atsevišķi ierobežotā seifā. Tai var piekļūt tikai šauri definēta atkārtotas identificēšanas loma, un katra piekļuve tiek žurnalēta.

Ja datu kopa tiek nodota mākoņanalītikas pakalpojumu sniedzējam, tiek pārbaudīta šifrēšana pārsūtē un dati glabāšanā. PII drošības un piekļuves kontroles politika prasa:

[Abiem] Informācijas drošības vadītājam REG12 jānosaka šifrēšanas vai apstiprinātas kompensējošās aizsardzības prasības, pirms augstas ietekmes, sensitīvi vai ārēji pārsūtāmi PII tiek glabāti, pārsūtīti vai padarīti pieejami.

4. solis: pārskatīt atkārtotas identificēšanas risku

Datu aizsardzības speciālists vai privātuma konsultants pārskata, vai atlikušie atribūti var identificēt personas unikāluma, retu uzvedības modeļu vai sasaistes ar ārējiem datiem dēļ.

Personas datu glabāšanas, dzēšanas un likvidēšanas politika nosaka:

[Abiem] Datu aizsardzības speciālistam / privātuma konsultantam REG12 jāpārskata atkārtotas identificēšanas riska pieņēmumi pirms anonimizācijas vai deidentifikācijas apstiprināšanas augsta riska vai ārēji koplietotām datu kopām.

Šī pārskatīšana ir īpaši svarīga, ja dati atstāj organizāciju, nonāk apstrādātāja vidē vai tiek izmantoti AI apmācībā.

5. solis: kontrolēt AI specifisko datu risku

AI rada īpašus PET izaicinājumus, jo modeļu komandas bieži vēlas lielas, reālistiskas un atkārtoti izmantojamas datu kopas. AI un automatizētas lēmumu pieņemšanas privātuma politika skaidri nosaka darbības prasību:

[Abiem] Pirms produkcijas PII izmantošanas AI testēšanai, apmācībai, pielāgošanai, validācijai vai uzraudzībai sistēmas īpašniekam / lietotnes īpašniekam jāievieš apstiprināta minimizēšana, nodalīšana, piekļuves kontrole vai deidentifikācijas pasākumi un REG04 vai REG12 jāreģistrē ieviešanas pierādījumi.

AI projektos praktiskas PET iespējas ietver sintētiskos datus agrīnai testēšanai, pazīmju minimizēšanu, pseidonimizētus identifikatorus, brīvā teksta rediģēšanu, agregēšanu, diferencētu piekļuvi sensitīviem atribūtiem un nodalīšanu starp apmācības, validācijas un produkcijas uzraudzības datiem.

Pārskatīšanā jāuzdod šādi jautājumi:

• Vai modeļa mērķi var sasniegt bez tiešiem identifikatoriem?
• Vai brīvā teksta lauki ir nepieciešami, un vai tie ir rediģēti?
• Vai sensitīvi dati tiek izmantoti kā ievaddati, marķējums vai aizstājējpazīme?
• Vai sintētiskie dati var atbalstīt testēšanu pirms reālu datu apstiprināšanas?
• Vai modeļa izvaddati tiek pārbaudīti attiecībā uz iegaumēšanas vai atkārtotas identificēšanas risku?
• Vai apmācības izvilkumiem ir dzēšanas plāns?
• Vai pierādījumi ir reģistrēti REG04 vai REG12?

6. solis: reģistrēt glabāšanu un likvidēšanu

Ja AI izvaddatiem pēc apmācības vai validācijas vairs nav vajadzīgi ieraksta līmeņa dati, sākotnējā pseidonimizētā datu kopa pēc noteikta termiņa jādzēš. Ja galīgais rezultāts ir agregēts, tam var būt cits glabāšanas noteikums.

Personas datu glabāšanas, dzēšanas un likvidēšanas politika prasa:

[Abiem] Procesa īpašniekam / biznesa īpašniekam REG02 jādokumentē anonimizācija, deidentifikācija vai pseidonimizācija kā glabāšanas riska samazināšanas pasākums vai galīgās apstrādes rezultāts, pirms identificējami PII tiek transformēti.

7. solis: saglabāt audita pierakstu

Pierādījumu paketē jāiekļauj REG04, REG12, REG02, DPIA vai PIA, ja nepieciešams, maskēšanas konfigurācija, marķieru dizains, atslēgu piekļuves žurnāli, mākoņdrošības iestatījumi, piegādātāju apstiprinājumi, dzēšanas žurnāli un ierobežotu pārskatu ekrānattēli.

Tā PET kļūst auditējamas. Sāra var pierādīt ne tikai to, ka pseidonimizācija tika izmantota, bet arī kāpēc tā tika izvēlēta, kurš to apstiprināja, kā tā tika ieviesta, kā tika aizsargātas atslēgas un kā tika pārskatīts atlikušais risks.

Savstarpējās atbilstības kartēšana: GDPR, ISO 27701, NIS2, DORA, NIST un COBIT

PET mazina slodzi plašākā regulatīvajā vidē, jo tās atbalsta vienu un to pašu pamatmērķi: samazināt nevajadzīgu sensitīvu datu ekspozīciju, vienlaikus saglabājot pārskatatbildību un darbības noturību.

Saskaņā ar GDPR PET atbalsta pārskatatbildību, minimizēšanu, integrēto datu aizsardzību un apstrādes drošību. GDPR var būt piemērojams ārpus ES pārziņiem vai apstrādātājiem, kas piedāvā pakalpojumus Savienības personām vai uzrauga tās. SaaS, FinTech un mākoņanalītikas pakalpojumu sniedzējiem bieži nepieciešamas ar GDPR saskaņotas PET pat tad, ja to galvenā mītne atrodas citur.

Saskaņā ar NIS2 būtiskām un svarīgām vienībām jāievieš atbilstoši un samērīgi tehniski, darbības un organizatoriski pasākumi. Article 21 ietver riska analīzi, incidentu apstrādi, darbības nepārtrauktību, piegādes ķēdes drošību, drošu izstrādi, efektivitātes izvērtēšanu, kiberdrošības higiēnu, kriptogrāfiju, piekļuves kontroli un aktīvu pārvaldību.

Saskaņā ar DORA finanšu vienībām nepieciešams dokumentēts IKT risku pārvaldības ietvars un spēcīga datu konfidencialitātes, integritātes un pieejamības aizsardzība. Trešo pušu prasības Articles 28 to 30 padara PET īpaši vērtīgas gadījumos, kad dati pārvietojas caur IKT pakalpojumu sniedzējiem, mākoņplatformām, ārpakalpojuma izstrādātājiem vai testēšanas partneriem.

NIST CSF 2.0 pievieno darbības skatījumu. GOVERN rezultāti prasa tiesiskās, regulatīvās un līgumiskās prasības, privātuma pienākumus, riska apetīti un politiku pārraudzību. PROTECT ietver datu drošību datiem glabāšanā, pārsūtē un lietošanā. DETECT, RESPOND un RECOVER pievieno uzraudzību, incidenta paziņošanu, iesaistīto pušu informēšanu, izmeklēšanas integritāti un atjaunošanas verifikāciju.

Kā auditori pārbaudīs jūsu PET programmu

Politika ir tikai dokuments un rīks ir tikai kods, līdz auditors pieprasa pierādījumus. Dažādi vērtētāji PET aplūko no atšķirīgiem skatpunktiem, bet pierādījumi pārklājas.

Zenith Controls ietver audita metodoloģijas skatījumu, kas šeit ir īpaši noderīgs. PII privātumam un aizsardzībai tas auditorus virza uz privātuma politikām, datu uzskaitēm, DPIA vai PIA, mācību žurnāliem, šifrēšanas pierādījumiem, piekļuves kontroles pasākumiem un loģiskajiem drošības pasākumiem. Datu maskēšanai tas izceļ maskēšanas politikas, klasificēšanas shēmas, sistēmu paraugus, informācijas paneļus, žurnālus, neprodukcijas datu kopas un pierādījumus, ka maskēšana tiek piemērota pareizi. Kriptogrāfijai tas izceļ apstiprinātos algoritmus, atslēgu garumus, atslēgu pārvaldības procedūras, glabātāju lomas un pierādījumus, ka vāji šifri netiek izmantoti.

Secinājums ir vienkāršs: PET pierādījumiem jābūt gan tehniskiem, gan pārvaldības līmeņa pierādījumiem. Ar ekrānattēliem vien nepietiek. Ar politikām vien nepietiek. Nepieciešama pilna ķēde no prasības līdz riskam, ieviešanai, uzraudzībai, pārskatīšanai un pilnveidei.

Biežākās PET nepilnības, kas jānovērš pirms audita

Lielākā daļa organizāciju neizkrīt tāpēc, ka tām trūktu rīku. Tās neiztur tāpēc, ka PET tiek pārvaldītas nekonsekventi.

Biežākie konstatējumi ir:

• Maskēšana tiek piemērota datubāzēm, bet ne eksportiem, žurnāliem vai BI informācijas paneļiem
• Pseidonimizācijas atslēgas ir pieejamas pārāk daudziem administratoriem
• Testa vides satur vecas produkcijas kopijas bez glabāšanas īpašnieka
• Analītikas komandas izmanto e-pasta adreses kā ērtas sasaistes atslēgas
• Piegādātāji saņem parauga datus pirms privātuma pārskatīšanas
• Tiek apgalvota anonimizācija bez atkārtotas identificēšanas izvērtēšanas
• Datu minimizēšana ir dokumentēta DPIA, bet nav ieviesta vaicājumos
• Šifrēšana ir iespējota, bet atslēgu īpašumtiesības un rotācija nav skaidra
• AI komandas glabā apmācības izvilkumus ārpus apstiprinātiem repozitorijiem
• Izņēmumi tiek apstiprināti mutiski un nekad nezaudē spēku

Risinājums nav apjomīgāks politikas dokuments. Risinājums ir darbplūsma, kas padara drošo ceļu par vienkāršāko ceļu.

Izveidojiet PET darbības modeli 30 dienās

Praktisku PET programmu var sākt ātri, ja vispirms koncentrējaties uz augstākā riska datu pārvietošanu.

Šis ir arī pareizais brīdis sasaistīt PET ar plašāku Clarysec ceļvedi. Zenith Blueprint 19. solis aplūko maskēšanu, 20. solis — kriptogrāfiju, 21. solis — testēšanas informāciju un 23. solis — PII privātumu un aizsardzību. Kopā šie soļi veido praktiski īstenojamu ieviešanas secību ISO/IEC 27701:2025 un GDPR saskaņotai privātuma inženierijai.

Padariet PET auditējamas, pirms auditors to pieprasa

Sāras stāsts nebeidzas ar vienkāršu “jā” vai “nē”. Tas beidzas ar labāku jautājumu: kā organizācija var droši izmantot datus?

Izmantojot pārvaldības vadītu pieeju privātumu uzlabojošām tehnoloģijām, viņa var apmierināt Juridiskā dienesta prasības, atbalstīt produkta komandu, aizsargāt klientus un vienlaikus stiprināt atbilstību. AI funkcija var turpināties ar pseidonimizētiem, minimizētiem un ar piekļuves kontroli aizsargātiem datiem. Mākoņanalītikas pakalpojumu sniedzējs var saņemt tikai drošo datu kopu. Atslēga var palikt ierobežota. Glabāšanas noteikumu var dokumentēt. Pierādījumi var izturēt ISO, GDPR, DORA, NIS2 un klientu apliecinājuma pārskatīšanu.

PET ir vairāk nekā tehnisks risinājums atbilstības problēmai. Ja tās ir integrētas pārvaldības sistēmā, ko vada skaidras politikas, Zenith Blueprint un Zenith Controls savstarpējo ietvaru kartējums, tās kļūst par stratēģisku iespējinātāju. Tās ļauj organizācijām iegūt vērtību no datiem, vienlaikus samazinot ekspozīciju, veidojot uzticēšanos un pierādot pārskatatbildību.

Clarysec var palīdzēt pārvērst to darbības modelī.

Sāciet ar Zenith Blueprint, lai secīgi plānotu ieviešanu. Izmantojiet Zenith Controls, lai kartētu PET starp ISO/IEC 27002:2022, GDPR, NIS2, DORA, NIST un atbalstošajiem ISO standartiem. Pēc tam ieviesiet attiecīgās Clarysec politikas, tostarp P16 Datu maskēšanas un pseidonimizācijas politiku, Integrētās datu aizsardzības un datu aizsardzības pēc noklusējuma politiku, Personas datu glabāšanas, dzēšanas un likvidēšanas politiku, PII drošības un piekļuves kontroles politiku, Testa datu un testa vides politiku un AI un automatizētas lēmumu pieņemšanas privātuma politiku.

Jūsu tūlītējā darbība ir vienkārša: šonedēļ izvēlieties vienu augsta riska datu kopu un pajautājiet: “Vai biznesa rezultātu var sasniegt bez identificējamiem PII?” Ja atbilde ir “jā”, ieviesiet PET. Ja atbilde ir “nē”, dokumentējiet pamatojumu, pienācīgi aizsargājiet datus un saglabājiet pierādījumus.

Tā ir integrētā datu aizsardzība reālajā pasaulē.