Tehnologije za izboljšanje zasebnosti za ISO 27701 in GDPR

Sarah, vodja informacijske varnosti v hitro rastočem fintech podjetju, je vedela, kakšna zahteva prihaja, še preden se je sestanek začel.

Produktna ekipa je želela uvesti funkcionalnost finančnega svetovanja, podprto z AI. Model je potreboval realistične podatke o vedenju strank, vzorcih transakcij, podpornih dogodkih in zgodovini naročnin. Ekipa za podatkovno znanost je trdila, da bo model bolje deloval s produkcijskimi podatki. Ekipa QA je želela evidence plačil, podobne produkcijskim, za reprodukcijo robnih primerov. Ponudnik analitike v oblaku je potreboval vzorčni podatkovni niz za preverjanje zajema podatkov. Nihče ni nameraval kršiti pravil varstva zasebnosti. Nihče ni želel izpostaviti strank. Vsi so želeli delovati hitro.

Nato je Sarah zastavila vprašanje, ki je spremenilo potek sestanka.

»Zakaj potrebujete določljive osebne podatke?«

Prostor je utihnil.

Tu v praksi odpove veliko sistemov upravljanja zasebnosti. Organizacija ima lahko obvestilo o zasebnosti, politiko varstva podatkov, predlogo DPIA in postopek pravnega pregleda, vendar se resnična odločitev pogosto sprejme v niti Slack, zahtevku Jira, izvozu za analitiko ali klonu podatkovne baze. Če je edina kontrola zasebnosti »vprašaj pravno službo«, se poslovanje ustavi ali pa začne uporabljati bližnjice.

Tehnologije za izboljšanje zasebnosti, običajno imenovane PET, zapolnijo to vrzel, kadar se obravnavajo kot operativni nabor kontrol in ne kot raziskovalna tema. V okviru pričakovanj ISO/IEC 27701:2025 za PIMS in obveznosti GDPR tehnologije PET, kot so maskiranje podatkov, psevdonimizacija, anonimizacija, agregacija, tokenizacija, šifriranje in sintetični podatki, zmanjšujejo določljivost posameznikov, hkrati pa ohranjajo poslovno vrednost podatkov. Iz pristopa »ne, teh podatkov ne smete uporabiti« ustvarijo pristop »da, če uporabite varno različico in dokumentirana dokazila«.

Pristop Clarysec je zasnovan prav za tak trenutek. Zenith Blueprint: 30-koračni časovni načrt za presojevalce umešča maskiranje podatkov v fazo Controls in Action, korak 19: Technological Controls I, testne informacije pa v korak 21: Controls 8.27 to 8.34. Tehnologije PET niso kozmetične funkcionalnosti zasebnosti. So kontrole, ki jih lahko pregledajo presojevalci, implementirajo inženirji in upravlja vodstvo.

Kot navaja Zenith Blueprint:

Pri maskiranju podatkov ne gre za skrivanje informacij pred napadalci, temveč za preprečevanje nepotrebne izpostavljenosti znotraj organizacije. V scenarijih, kot so razvoj, testiranje, usposabljanje ali analitika, se dejanski produkcijski podatki pogosto kopirajo v okolja, ki nimajo vseh varnostnih kontrol produkcije.

Ta en sam stavek zajame operativno realnost sodobnega tveganja za zasebnost. Najnevarnejša izpostavljenost osebnih podatkov pogosto ni dramatična zunanja kršitev. Pogosto gre za interno kopijo, testno podatkovno bazo, izvoz za učenje AI, vzorec za dobavitelja, pozabljen dnevnik za odpravljanje napak ali nadzorno ploščo za analitiko, ki razkrije več, kot je kdorkoli nameraval.

Tehnologije PET pretvorijo vgrajeno varstvo zasebnosti v operativna dokazila

GDPR Article 25 zahteva vgrajeno in privzeto varstvo podatkov. GDPR Article 32 zahteva ustrezne tehnične in organizacijske ukrepe, vključno s psevdonimizacijo in šifriranjem, kadar je to primerno. GDPR Article 5 zahteva zakonitost, poštenost, preglednost, omejitev namena, minimizacijo podatkov, točnost, omejitev hrambe, celovitost, zaupnost in odgovornost.

Tehnologije PET so točka, kjer se ta pravna načela pretvorijo v inženirske odločitve.

Tehnologija za izboljšanje zasebnosti je vsak tehnični ali procesni mehanizem, ki zmanjšuje tveganje za zasebnost z omejevanjem izpostavljenosti, določljivosti, povezljivosti ali neustrezne uporabe osebnih podatkov. V PIMS, usklajenem z ISO/IEC 27701:2025, morajo biti tehnologije PET povezane z jasnostjo vlog, obravnavo tveganj za zasebnost, evidencami dejavnosti obdelave, kontrolami dobaviteljev, omejitvami dostopa, odločitvami o hrambi in dokazili.

Za upravljavce tehnologije PET pomagajo dokazati, da je organizacija upoštevala minimizacijo, privzete nastavitve zasebnosti in zaščitne ukrepe za nadaljnjo obdelavo. Za obdelovalce tehnologije PET pomagajo dokazati, da so navodila naročnika varno implementirana, da je izpostavljenost podobdelovalcev zmanjšana in da je obdelava osebnih podatkov v oblaku zaščitena. Pri skupnih upravljavcih in podobdelovalcih tehnologije PET pomagajo razjasniti, kdo nadzoruje ključe za ponovno identifikacijo, kdo odobri predpostavke deidentifikacije in kdo sme prejeti uporabne podatkovne nize.

Clarysecova Politika vgrajenega in privzetega varstva zasebnosti to operacionalizira za vloge upravljavca in obdelovalca:

[Oba] Lastnik procesa / lastnik poslovnega procesa MORA v REG04 dokumentirati izvedljivost deidentifikacije, psevdonimizacije, agregacije ali obdelave brez možnosti identifikacije, preden odobri določljive osebne podatke za testiranje, analitiko, poročanje ali sekundarno operativno uporabo.

Ta določba spremeni pogovor. Lastnik poslovnega procesa ne začne z zahtevo za kopijo podatkovne baze. Začne z dokumentiranjem poslovnega namena, minimalno potrebnih podatkov in razlogov, zakaj oblika z nižjim tveganjem deluje ali ne deluje.

To je upravljavski premik, zaradi katerega so tehnologije PET zagovorljive. Pred odobritvijo določljivih osebnih podatkov mora organizacija pokazati, zakaj agregacija, sintetični podatki, maskiranje, psevdonimizacija ali anonimizacija niso zadostni.

Tehnologije PET, ki so pri presojah najpomembnejše

Vsaka tehnologija PET ni primerna za vsak scenarij. Uporaben program inženiringa zasebnosti potrebuje praktično taksonomijo, ki jo razumejo poslovne, inženirske, zasebnostne, varnostne in revizijske ekipe.

P16 Politika maskiranja podatkov in psevdonimizacije opredeli tehnologije PET neposredno v smislu tveganj za zasebnost:

Ta politika določa pristop organizacije k implementaciji maskiranja podatkov in psevdonimizacije kot tehnologij za izboljšanje zasebnosti (PET) za zmanjšanje določljivosti in izpostavljenosti osebnih ali občutljivih podatkov.

Za manjše organizacije Clarysec enak namen kontrole odraža v lažjem operativnem modelu. P16S Politika maskiranja podatkov in psevdonimizacije – MSP določa:

Ta politika vzpostavlja obvezne zahteve za uporabo maskiranja podatkov in psevdonimizacije za zaščito občutljivih, osebnih in zaupnih podatkov v malih in srednje velikih podjetjih (MSP).

Načelo je sorazmernost. Multinacionalna organizacija lahko uporablja tokenizacijo na ravni podjetja, preprečevanje izgube podatkov (DLP), ločene repozitorije ključev in odbore za pregled inženiringa zasebnosti. MSP lahko začne z odobrenimi skriptami za maskiranje, omejenimi tabelami žetonov in dokumentiranimi odobritvami. Obe organizaciji morata dokazati, da je bilo tveganje za zasebnost upoštevano, obravnavano in podprto z dokazili.

Zakaj ISO/IEC 27701:2025 potrebuje hrbtenico ISO/IEC 27001:2022

ISO/IEC 27701:2025 razširja upravljanje zasebnosti v sistem upravljanja informacij o zasebnosti, vendar kontrole zasebnosti ne delujejo v vakuumu. Odvisne so od sistema upravljanja informacijske varnosti, na katerem temeljijo.

ISO/IEC 27001:2022 od organizacij zahteva, da razumejo kontekst, zahteve zainteresiranih strani, obseg, vmesnike in odvisnosti ter nato vzpostavijo in nenehno izboljšujejo ISMS. Zahteve glede načrtovanja vodijo ponovljivo oceno tveganja, obravnavo tveganja, izjavo o uporabnosti in sprejem preostalega tveganja. Za tehnologije PET to pomeni, da se kontrole ne smejo izbrati zato, ker jih »želi zasebnost«. Izbrane morajo biti zato, ker ocena tveganja pokaže, da zmanjšujejo izpostavljenost v zvezi z zaupnostjo, zasebnostjo, testiranjem, analitiko, dobavitelji ali oblakom.

Zenith Blueprint to naredi praktično v koraku 23, kjer razloži zasebnost in varstvo PII kot kontrolo življenjskega cikla:

Temelj te kontrole je zavedanje o podatkih. Organizacija mora vedeti, katere osebne podatke zbira, kje se nahajajo, zakaj se obdelujejo in kdo lahko dostopa do njih. Brez tega izhodišča so vse obljube glede zasebnosti prazne.

To je most med ISO/IEC 27701:2025 in GDPR. Tehnologije PET zahtevajo zavedanje o podatkih. Ne morete maskirati podatkov, ki jih niste razvrstili. Ne morete odgovorno psevdonimizirati, če ne veste, kdo ima ključ. Ne morete varno anonimizirati, če niste ocenili tveganja ponovne identifikacije. Ne morete zagovarjati primera uporabe za analitiko ali AI, če ga ne morete povezati s pravno podlago, namenom, pravilom hrambe in zapisom odobritve.

Preslikava tehnologij PET na ISO/IEC 27002:2022 in smernice Clarysec

Zrelo upravljanje tehnologij PET je odvisno od integriranih kontrol. Zenith Controls: vodnik za skladnost med okviri obravnava zasebnost in varstvo PII, maskiranje podatkov, kriptografijo in testne informacije kot povezano družino kontrol. To je pomembno, ker presojevalci tehnologij PET redko pregledujejo ločeno. Če je podatkovni niz maskiran, bodo vprašali, kako je bil razvrščen, kdo lahko dostopa do njega, ali je vključena kriptografska tokenizacija in ali se isto pravilo uporablja v testnih okoljih.

Zenith Controls preslika kontrolo ISO/IEC 27002:2022 5.34, Zasebnost in varstvo PII, kot preventivno kontrolo, ki podpira zaupnost, celovitost in razpoložljivost, z operativnimi zmogljivostmi na področju varovanja informacij in pravne skladnosti. Kontrolo 5.34 povezuje tudi z evidenco sredstev, maskiranjem podatkov in kriptografijo. Tehnologije PET so odvisne od poznavanja lokacij osebnih podatkov, omejevanja njihove izpostavljenosti in kriptografske zaščite, kadar je potrebna.

Pri kontroli 8.11, Maskiranje podatkov, Zenith Controls opredeli maskiranje kot preventivno kontrolo, osredotočeno na zaupnost, in kot del varovanja informacij. Maskiranje povezuje z razvrščanjem informacij, zasebnostjo in varstvom PII, omejitvijo dostopa do informacij, kriptografijo in testnimi informacijami.

Pri kontroli 8.24, Uporaba kriptografije, Zenith Controls povezuje kriptografijo z razvrščanjem, varstvom PII, prenosom informacij, upravljanjem ranljivosti in življenjskim ciklom varnega razvoja. Kontrolo povezuje tudi z ISO/IEC 27018:2020 za zaščito PII v oblaku ter s kontrolami NIST SP 800-53 Rev. 5 za kriptografsko zaščito, zaščito podatkov v mirovanju in zaupnost prenosa.

Ta integrirani pogled je razlog, da tehnologije PET ustvarjajo koristi za skladnost v več okvirih hkrati. Maskiran testni podatkovni niz lahko hkrati podpira minimizacijo po GDPR, zaščito testnih informacij po ISO/IEC 27002:2022, zmanjšanje IKT-tveganj po DORA, kibernetsko higieno po NIS2 in izide varnosti podatkov po NIST CSF 2.0.

Testno okolje je mesto, kjer obljube glede zasebnosti pogosto odpovejo

Pri številnih presojah je najhitrejša pot do večje ugotovitve neprodukcijsko okolje.

Produkcija ima lahko večfaktorsko avtentikacijo, upravljanje privilegiranega dostopa, šifriranje, spremljanje in strog nadzor sprememb. Testna, razvojna in pripravljalna okolja imajo lahko skupne račune, širši dostop razvijalcev, kopirane produkcijske podatke, šibkejše beleženje in pozabljene varnostne kopije. Clarysec prav zato obravnava testne podatke kot prednostno področje tehnologij PET.

P16 Politika maskiranja podatkov in psevdonimizacije je izrecna:

Dejanski osebni podatki se ne smejo uporabljati v razvojnih, testnih ali pripravljalnih okoljih. Namesto tega se morajo uporabljati maskirani ali psevdonimizirani podatki, ustvarjeni iz vnaprej odobrenih predlog preoblikovanja.

Politika testnih podatkov in testnega okolja – MSP določa enako pričakovanje v praktičnem jeziku:

Podatki morajo biti anonimizirani ali psevdonimizirani z uporabo ustreznih orodij.

Zenith Blueprint v koraku 21 pojasni, zakaj je to pomembno:

Kontrola 8.33 nas navsezadnje opominja, da informacija ne izgubi svoje vrednosti samo zato, ker je v peskovniku. Kadar se s testnimi podatki ravna enako skrbno kot s produkcijskimi podatki, organizacije zmanjšajo verjetnost nenamerne izpostavljenosti, notranje neprimerne uporabe ali neskladnosti.

Močan program tehnologij PET se zato začne s preprostim pravilom: produkcijski osebni podatki se ne premaknejo v nižja okolja, razen če dokumentirana izjema dokaže tehnično nujnost, uporabi enakovredne zaščitne ukrepe in evidentira odobritev.

Politika testnih podatkov in testnega okolja to podpira z zahtevami za nadzorovane testne podatke, različica za MSP pa manjšim ekipam daje praktično izhodišče. Skupaj morata zagotoviti:

• privzeto zahtevo za sintetične, anonimizirane ali maskirane podatke;
• formalno pot izjeme za produkcijske osebne podatke;
• vnaprej odobrene predloge preoblikovanja;
• nadzor dostopa in beleženje za testne podatkovne nize;
• časovno omejeno hrambo in čiščenje;
• dokazila, da je bilo maskiranje uporabljeno pred sprostitvijo podatkovnega niza;
• periodični pregled tveganja ponovne identifikacije za psevdonimizirane podatke.

Psevdonimizacija ni anonimizacija

Pogosta napaka je obravnavanje psevdonimiziranih podatkov, kot da bi bili anonimni. Niso.

Psevdonimizacija zmanjšuje določljivost z zamenjavo neposrednih identifikatorjev z žetoni, zgoščenimi vrednostmi ali nadomestnimi vrednostmi. Če lahko ključ, iskalna tabela, sol ali dodaten podatkovni niz obnovi identiteto, podatki še vedno zahtevajo upravljanje. Zato GDPR obravnava psevdonimizacijo kot zaščitni ukrep in ne kot samodejni izstop iz obveznosti varstva podatkov.

P16S Politika maskiranja podatkov in psevdonimizacije – MSP določa:

Psevdonimizacija se mora uporabljati, kadar je potrebno povezovanje podatkov brez razkritja identitet.

Ta stavek opredeli primer uporabe: povezovanje brez neposredne identitete. Psevdonimizacija je idealna za analitiko odhoda strank, analizo vzorcev goljufij, korelacijo podpornih primerov, longitudinalno poročanje in učenje modelov AI, kjer je treba isto osebo prepoznati med dogodki, vendar uporabnik modela ne potrebuje njene dejanske identitete.

Toda kontrola je močna le toliko, kot je močno upravljanje ključev. P16S Politika maskiranja podatkov in psevdonimizacije – MSP določa tudi:

Dostop do ključev mora biti šifriran, nadzorovan z dostopom in zabeležen.

To je neposredno usklajeno s kontrolo ISO/IEC 27002:2022 8.24. V koraku 20 o uporabi kriptografije Zenith Blueprint opozarja:

Močno šifriranje ne pomeni nič, če so ključi izpostavljeni, nepravilno obravnavani ali pozabljeni. Ključi morajo biti varno generirani, shranjeni v šifriranih repozitorijih ključev ali Hardware Security Modules (HSM), periodično menjani in preklicani, kadar so kompromitirani ali niso več potrebni.

Za vodjo informacijske varnosti ali upravljavca zasebnosti je praktično pravilo jasno: če je psevdonimizacija reverzibilna, je dostop do ključev najkritičnejše sredstvo. Tabela žetonov, sol, dovoljenja repozitorija ključev, delovni tok ponovne identifikacije in dnevniki se morajo obravnavati kot sredstva z visokim tveganjem.

P16 Politika maskiranja podatkov in psevdonimizacije dodaja še eno zahtevo, ključno za presojo:

Na psevdonimiziranih podatkovnih nizih se morajo izvajati periodične ocene tveganja ponovne identifikacije.

To preprečuje, da bi psevdonimizacija zastarala. Podatkovni niz, ki je imel lani nizko tveganje, lahko postane bolj tvegan po dodajanju novih atributov, prejemu več podatkov od dobavitelja ali lažjem povezovanju z zunanjimi podatkovnimi nizi.

Praktični delovni tok PET za AI in analitiko

Vrnimo se k Sarahini funkcionalnosti fintech AI. Poslovanje želi podatke strank za učenje modela, Sarah pa potrebuje zagovorljiv postopek, ki varuje stranke, zadovolji pravno službo in ne blokira inovacij.

Korak 1: Ustvarite zapis odločitve za vgrajeno varstvo zasebnosti

Lastnik poslovnega procesa odpre REG04, zapis odločitve, na katerega se sklicuje Politika vgrajenega in privzetega varstva zasebnosti. Zahteva dokumentira:

• poslovni namen: funkcionalnost svetovanja, podprta z AI, ter modeliranje odhoda ali vključenosti strank;
• zahtevani podatkovni niz: profil stranke, naročniški dogodki, kategorije transakcij, dnevniki uporabe in podporni dogodki;
• vlogo upravljavca ali obdelovalca ter pravno podlago ali navodilo za obdelavo;
• ali so potrebni določljivi osebni podatki;
• izvedljivost tehnologij PET: agregacija, psevdonimizacija, anonimizacija, sintetični podatki ali maskiranje;
• prejemnike: interna ekipa za analitiko, aplikacijska ekipa in oblačna analitična platforma;
• obdobje hrambe in sprožilni dogodek za izbris;
• lastnika odobritve in preostalo tveganje.

Politika zahteva, da se izvedljivost tehnologij PET dokumentira pred odobritvijo določljivih osebnih podatkov. S tem deidentifikacija postane privzeta pot in ne naknadna misel.

Korak 2: Razvrstite in minimizirajte polja

Lastnik podatkov iz izvlečka za učenje odstrani neposredne identifikatorje, kot so ime, e-poštni naslov, telefonska številka, državna identifikacijska številka in celotna številka računa. ID stranke se nadomesti s psevdonimnim žetonom. Lokacija se posploši. Prosta besedilna podporna sporočila se izključijo ali obdelajo z redigiranjem. Plačilni podatki se odstranijo, razen če jih zahteva posebej odobrena funkcionalnost.

Politika varstva podatkov in zasebnosti – MSP krepi to načelo zasnove:

Privzete sistemske nastavitve morajo minimizirati izpostavljenost osebnih podatkov (npr. maskirani prikazi, omejena poročila).

Politika varstva podatkov in zasebnosti določa širšo sistemsko zahtevo:

Sistemi morajo podpirati anonimizacijo ali psevdonimizacijo, kadar je to primerno.

Korak 3: Uporabite psevdonimizacijo in zaščitite ključe

Inženiring uporabi odobreno predlogo preoblikovanja iz politike maskiranja. Žetoni se ustvarijo z odobreno metodo. Ključ ali iskalna tabela se shrani ločeno v omejenem repozitoriju. Dostop ima samo majhna vloga za ponovno identifikacijo, vsak dostop pa se zabeleži.

Če se podatkovni niz prenese ponudniku analitike v oblaku, se preveri šifriranje med prenosom in v mirovanju. Politika varnosti in nadzora dostopa do PII zahteva:

[Oba] Vodja informacijske varnosti MORA v REG12 določiti zahteve za šifriranje ali odobreno nadomestno zaščito, preden se PII z velikim vplivom, občutljivi PII ali PII, posredovani zunanjim stranem, shranijo, prenesejo ali omogočijo za dostop.

Korak 4: Preglejte tveganje ponovne identifikacije

Pooblaščena oseba za varstvo podatkov ali svetovalec za zasebnost pregleda, ali bi lahko preostali atributi identificirali posameznike zaradi enoličnosti, redkih vedenjskih vzorcev ali povezovanja z zunanjimi podatki.

Politika hrambe, izbrisa in odstranjevanja PII določa:

[Oba] Pooblaščena oseba za varstvo podatkov / svetovalec za zasebnost MORA v REG12 pregledati predpostavke tveganja ponovne identifikacije pred odobritvijo anonimizacije ali deidentifikacije za visoko tvegane ali zunanje deljene podatkovne nize.

Ta pregled je posebej pomemben, kadar podatki zapustijo organizacijo, vstopijo v okolje obdelovalca ali se uporabljajo pri učenju AI.

Korak 5: Nadzirajte podatkovna tveganja, značilna za AI

AI ustvarja posebne izzive za tehnologije PET, ker ekipe za modele pogosto želijo velike, realistične in ponovno uporabne podatkovne nize. Politika zasebnosti za AI in avtomatizirano sprejemanje odločitev jasno določa operativno pričakovanje:

[Oba] Pred uporabo produkcijskih PII za testiranje, učenje, uglaševanje, validacijo ali spremljanje AI mora lastnik sistema / lastnik aplikacije implementirati odobrene ukrepe minimizacije, ločevanja, nadzora dostopa ali deidentifikacije ter zapisati dokazila o implementaciji v REG04 ali REG12.

Pri projektih AI praktične možnosti PET vključujejo sintetične podatke za zgodnje testiranje, minimizacijo značilk, psevdonimizirane identifikatorje, redigiranje prostega besedila, agregacijo, diferenciran dostop do občutljivih atributov in ločevanje podatkov za učenje, validacijo in spremljanje produkcije.

Pregled mora zastaviti naslednja vprašanja:

• Ali je cilj modela mogoče doseči brez neposrednih identifikatorjev?
• Ali so prosta besedilna polja potrebna in ali so bila redigirana?
• Ali se občutljivi podatki uporabljajo kot vhod, oznaka ali približek?
• Ali lahko sintetični podatki podprejo testiranje pred odobritvijo dejanskih podatkov?
• Ali se izhodi modela preverjajo glede memoriranja ali tveganja ponovne identifikacije?
• Ali obstaja načrt izbrisa za izvlečke za učenje?
• Ali so dokazila zapisana v REG04 ali REG12?

Korak 6: Evidentirajte hrambo in odstranjevanje

Če izhod AI po učenju ali validaciji ne potrebuje več podatkov na ravni vrstic, je treba surovi psevdonimizirani podatkovni niz po določenem obdobju izbrisati. Če je končni izhod agregiran, ima lahko drugačno pravilo hrambe.

Politika hrambe, izbrisa in odstranjevanja PII zahteva:

[Oba] Lastnik procesa / lastnik poslovnega procesa MORA v REG02 dokumentirati anonimizacijo, deidentifikacijo ali psevdonimizacijo kot ukrep za zmanjšanje tveganja pri hrambi ali kot končni rezultat odstranitve, preden se določljivi osebni podatki preoblikujejo.

Korak 7: Ohranite revizijsko sled

Paket dokazil mora vključevati REG04, REG12, REG02, DPIA ali PIA, kadar je zahtevana, konfiguracijo maskiranja, zasnovo žetonov, dnevnike dostopa do ključev, varnostne nastavitve v oblaku, odobritve dobaviteljev, dnevnike brisanja in posnetke zaslona omejenih poročil.

Tako tehnologije PET postanejo preverljive. Sarah lahko pokaže ne le, da je bila uporabljena psevdonimizacija, temveč tudi, zakaj je bila izbrana, kdo jo je odobril, kako je bila implementirana, kako so bili zaščiteni ključi in kako je bilo pregledano preostalo tveganje.

Preslikava skladnosti med okviri: GDPR, ISO 27701, NIS2, DORA, NIST in COBIT

Tehnologije PET zmanjšujejo pritisk v širšem regulativnem okolju, ker podpirajo isti temeljni cilj: zmanjšati nepotrebno izpostavljenost občutljivih podatkov ob ohranjanju odgovornosti in operativne odpornosti.

Po GDPR tehnologije PET podpirajo odgovornost, minimizacijo, vgrajeno varstvo zasebnosti in varnost obdelave. GDPR se lahko ekstrateritorialno uporablja za upravljavce ali obdelovalce zunaj EU, ki ponujajo storitve posameznikom v Uniji ali spremljajo njihovo vedenje. Ponudniki SaaS, fintech podjetja in ponudniki analitike v oblaku pogosto potrebujejo tehnologije PET, usklajene z GDPR, tudi če imajo sedež drugje.

Po NIS2 morajo bistveni in pomembni subjekti implementirati ustrezne in sorazmerne tehnične, operativne in organizacijske ukrepe. Article 21 vključuje analizo tveganja, obravnavanje incidentov, neprekinjeno poslovanje, varnost dobavne verige, varen razvoj, oceno učinkovitosti, kibernetsko higieno, kriptografijo, nadzor dostopa in upravljanje sredstev.

Po DORA finančni subjekti potrebujejo dokumentiran okvir upravljanja IKT-tveganj in močno zaščito zaupnosti, celovitosti in razpoložljivosti podatkov. Zahteve za tretje osebe v Articles 28 to 30 naredijo tehnologije PET posebej dragocene, kadar se podatki premikajo prek ponudnikov IKT, oblačnih platform, zunanjih razvijalcev ali partnerjev za testiranje.

NIST CSF 2.0 doda operativni pogled. Izidi GOVERN zahtevajo pravne, regulativne in pogodbene zahteve, obveznosti zasebnosti, apetit po tveganju in nadzor politik. PROTECT vključuje varnost podatkov za podatke v mirovanju, med prenosom in med uporabo. DETECT, RESPOND in RECOVER dodajo spremljanje, razglasitev incidenta, obveščanje zainteresiranih strani, celovitost preiskave in preverjanje obnovitve.

Kako bodo presojevalci testirali vaš program PET

Politika je samo papir in orodje je samo koda, dokler presojevalec ne zahteva dokazil. Različni presojevalci pristopajo k tehnologijam PET z različnih vidikov, vendar se dokazila prekrivajo.

Zenith Controls vključuje pogled metodologije presoje, ki je tu posebej uporaben. Pri zasebnosti in varstvu PII usmerja presojevalce na politike zasebnosti, popise podatkov, DPIA ali PIA, dnevnike usposabljanja, dokazila o šifriranju, kontrole dostopa in logične zaščitne ukrepe. Pri maskiranju podatkov poudarja politike maskiranja, sheme razvrščanja, vzorce sistemov, nadzorne plošče, dnevnike, neprodukcijske podatkovne nize in dokazila, da je maskiranje pravilno uporabljeno. Pri kriptografiji poudarja odobrene algoritme, dolžine ključev, postopke upravljanja ključev, skrbniške vloge in dokazila, da se šibke šifre ne uporabljajo.

Nauk je preprost: dokazila o tehnologijah PET morajo biti tehnična in upravljavska. Samo posnetki zaslona niso dovolj. Samo politike niso dovolj. Potrebujete celotno verigo od zahteve do tveganja, implementacije, spremljanja, pregleda in izboljševanja.

Pogoste pomanjkljivosti PET, ki jih je treba odpraviti pred presojo

Večina organizacij ne odpove zato, ker nima orodij. Odpovejo zato, ker tehnologije PET niso dosledno upravljane.

Pogoste ugotovitve vključujejo:

• maskiranje se uporablja za podatkovne baze, ne pa za izvoze, dnevnike ali nadzorne plošče BI;
• ključi za psevdonimizacijo so dostopni prevelikemu številu administratorjev;
• testna okolja vsebujejo stare produkcijske kopije brez lastnika hrambe;
• analitične ekipe uporabljajo e-poštne naslove kot priročne ključe za združevanje;
• dobavitelji prejmejo vzorčne podatke pred pregledom zasebnosti;
• anonimizacija se zatrjuje brez ocene ponovne identifikacije;
• minimizacija podatkov je dokumentirana v DPIA, vendar ni implementirana v poizvedbah;
• šifriranje je omogočeno, vendar sta lastništvo ključev in menjava ključev nejasna;
• ekipe AI hranijo izvlečke za učenje zunaj odobrenih repozitorijev;
• izjeme so odobrene ustno in nikoli ne potečejo.

Rešitev ni obsežnejši dokument politike. Rešitev je delovni tok, v katerem je varna pot najlažja pot.

Vzpostavite operativni model PET v 30 dneh

Praktični program PET se lahko začne hitro, če se najprej osredotočite na premike podatkov z najvišjim tveganjem.

To je tudi pravi trenutek za povezavo tehnologij PET s širšim časovnim načrtom Clarysec. V Zenith Blueprint korak 19 obravnava maskiranje, korak 20 kriptografijo, korak 21 testne informacije in korak 23 zasebnost ter varstvo PII. Skupaj ti koraki ustvarijo izvedljivo zaporedje implementacije za inženiring zasebnosti, usklajen z ISO/IEC 27701:2025 in GDPR.

Poskrbite, da bodo tehnologije PET preverljive, preden vpraša presojevalec

Sarahina zgodba se ne konča s preprostim da ali ne. Konča se z boljšim vprašanjem: kako lahko organizacija varno uporablja podatke?

Z uporabo upravljavsko vodenega pristopa k tehnologijam za izboljšanje zasebnosti lahko zadovolji pravno službo, omogoči produktni ekipi, zaščiti stranke in hkrati okrepi skladnost. Funkcionalnost AI lahko napreduje na psevdonimiziranih, minimiziranih podatkih s kontroliranim dostopom. Ponudnik analitike v oblaku lahko prejme samo varen podatkovni niz. Ključ lahko ostane omejen. Pravilo hrambe je mogoče dokumentirati. Dokazila lahko vzdržijo pregled po ISO, GDPR, DORA, NIS2 in v okviru zagotavljanja zaupanja naročnikov.

Tehnologije PET so več kot tehnična rešitev za problem skladnosti. Ko so vključene v sistem upravljanja, ki ga vodijo jasne politike, Zenith Blueprint in preslikava med okviri iz Zenith Controls, postanejo strateški omogočevalec. Organizacijam omogočajo pridobivanje vrednosti iz podatkov ob zmanjševanju izpostavljenosti, gradnji zaupanja in dokazovanju odgovornosti.

Clarysec vam lahko pomaga to pretvoriti v operativni model.

Začnite z Zenith Blueprint, da zaporedno uredite implementacijo. Uporabite Zenith Controls za preslikavo tehnologij PET med ISO/IEC 27002:2022, GDPR, NIS2, DORA, NIST in podpornimi standardi ISO. Nato sprejmite ustrezne politike Clarysec, vključno s P16 Politiko maskiranja podatkov in psevdonimizacije, Politiko vgrajenega in privzetega varstva zasebnosti, Politiko hrambe, izbrisa in odstranjevanja PII, Politiko varnosti in nadzora dostopa do PII, Politiko testnih podatkov in testnega okolja ter Politiko zasebnosti za AI in avtomatizirano sprejemanje odločitev.

Vaše takojšnje dejanje je preprosto: ta teden izberite en podatkovni niz z visokim tveganjem in vprašajte: »Ali je poslovni rezultat mogoče doseči brez določljivih osebnih podatkov?« Če je odgovor da, implementirajte tehnologijo PET. Če je odgovor ne, dokumentirajte razlog, podatke ustrezno zaščitite in ohranite dokazila.

To je vgrajeno varstvo zasebnosti v resničnem svetu.