Обработка конфиденциальных данных: учебник для начинающих

Надлежащая защита конфиденциальных данных клиентов важна как никогда. Потребители все чаще настаивают на том, чтобы их данные были защищены и управлялись должным образом. Нормативная среда также ужесточается, а бизнес-требования становятся все более сложными. На компанию и ее команды разработчиков ложится бремя выполнения этих требований и одновременное удовлетворение пользователей.

Если это оставляет вас в безвыходном положении, мы здесь, чтобы помочь с кратким учебником по конфиденциальности данных! Во-первых, мы поможем вам разобраться в различных типах конфиденциальных данных клиентов и применимых к ним правилах. Далее мы поможем вам оценить вашу текущую обработку этих данных. Наконец, мы дадим указания о том, как правильно управлять этими данными.

Учиться

Первая задача — понять, с какими конфиденциальными данными клиентов вы уже работаете и какие правила применяются к ним. Три фактора определяют, какие правила применяются к данному набору данных:

• Сами данные

• Отраслевая вертикаль вашей компании

• Место (а), где работает ваш бизнес

Во-первых, рассмотрим сами данные. В зависимости от типа данных, которые хранятся в вашей системе, применяются различные правила.

Начнем с Личной информации (PI). Это, пожалуй, самая широкая категория регулируемых данных, относящаяся практически ко всему, что связано или может быть связано с человеком. PI регулируется Общим регламентом защиты данных (GDPR), Законом штата Калифорния о правах на неприкосновенность частной жизни (CRPA), NY SHIELD и другие. Примеры этих данных включают:

• IP-адреса

• Информация о геолокации

• Внутренние идентификационные номера

• Этническое или расовое происхождение

Личная информация (PII) является подкатегорией PI и относится к любым данным, которые могут быть использованы для идентификации или иного определения личности человека. Вообще говоря, те же правила, которые применяются к PI, также применяются к PII, хотя и с разным уровнем чувствительности. Примеры PII включают:

• Имена

• Телефонные номера

• Водительские права или другие идентификационные номера

• Номера социального страхования (SSN регулируются более строго, чем другие PII)

• Биометрические записи

Другие категории данных о частных потребителях, как правило, зависят от отрасли. Например, защищенная медицинская информация (PHI) относится ко всей «индивидуально идентифицируемой медицинской информации». В США это регулируется [HIPAA] (https://www.cdc.gov/phlp/publications/topic/hipaa.html) и определяется как любая информация, относящаяся к любому из следующего:

• Прошлое, настоящее или будущее физического или психического здоровья или состояния человека.

• Оказание медицинской помощи населению

• Прошлые, настоящие или будущие платежи за оказание медицинской помощи физическому лицу

Аналогичным образом Непубличная личная информация (NPI) относится к финансовой информации, позволяющей установить личность, которая предоставляется потребителем финансовому учреждению и, как таковая, относится к организациям, предоставляющим финансовые услуги. В США NPI регулируется [Законом Грэмма-Лича-Блайли] (https://www.ftc.gov/business-guidance/privacy-security/gramm-leach-bliley-act) (GLBA).

Наконец, некоторые типы личной информации регулируются местным законодательством. Конфиденциальная личная информация (SPI) определяется [CPRA] (https://thecpra.org/). Это относится к данным, которые не идентифицируют человека напрямую, но могут причинить вред, если будут обнародованы. Примеры включают идентификационные номера, геолокацию, информацию для входа в учетную запись и генетическую информацию.

Личная информация определяется [Законом NY SHIELD] (https://ag.ny.gov/internet/data-breach) и применяется к любым данным, относящимся к жителю Нью-Йорка. Кроме того, почти каждое регулирование конфиденциальности имеет какую-либо область действия (например, GDPR для ЕС, HIPAA для США и т. д.).

Это не исчерпывающий список правил или категорий конфиденциальных данных клиентов. С учетом этого, однако, мы можем увидеть несколько тенденций. Во-первых, многие из этих категорий пересекаются друг с другом. Одни и те же данные могут подпадать под действие нескольких правил и должны обрабатываться в соответствии с требованиями всех правил, имеющих отношение к вашему бизнесу. Во-вторых, соответствующие правила будут сильно зависеть от отраслевой вертикали вашей организации и регионов, в которых она работает. Наконец, даже в рамках одного регламента разные данные могут иметь разный уровень чувствительности.

Имея в виду различные типы конфиденциальных данных клиентов, мы теперь готовы начать процесс оценки. Эта оценка ответит на вопрос: «Как сейчас обрабатываются конфиденциальные данные моих клиентов?»

Оценивать

Прежде чем определить, как должны обрабатываться конфиденциальные данные клиентов, полезно уделить некоторое время оценке того, как они обрабатываются в настоящее время. Для начала составьте список данных клиентов, которые уже обрабатываются и хранятся. Затем вы должны провести две оценки: техническую оценку и оценку политики.

Техническая оценка сообщает вам, как данные проходят через систему. Начните с момента поступления данных в систему и проследите их через различные части вашего приложения. Обязательно учитывайте уровни приложений, служб и данных. Кроме того, обратите внимание на все места, где эти данные выходят из системы, и отметьте, куда эти данные попадают, например, в другое приложение или инструмент бизнес-отчетности. Сделайте это для каждой части конфиденциальных данных клиентов, которые в настоящее время находятся в системе. Продолжая делать это, отмечайте любые несоответствия или неправильное обращение, чтобы исправить их позже.

Пример: отслеживание потока PII пользователя через систему

С помощью оценки политики вы просматриваете текущие политики и элементы управления в отношении управления данными. Начните с составления внутренней документации вашей организации по конфиденциальным данным и пересмотра письменных политик и процедур. Исходя из этого, подумайте, адекватно ли эти политики охватывают типы и объемы конфиденциальных данных, которые в настоящее время обрабатывает ваша компания. Другой важной частью этой оценки является определение того, эффективно ли реализуются эти политики, или фактическое управление отклонилось от первоначального намерения.

Имея на руках обе оценки, вы должны быть в состоянии уверенно описать текущую обработку вашей организацией конфиденциальных данных клиентов. Кроме того, вы определите области для улучшения или области, требующие дальнейшего изучения. Теперь мы готовы определить, что должно быть сделано с вашими конфиденциальными данными клиентов.

Управление

Для надлежащего управления конфиденциальными данными клиентов мы рекомендуем трехэтапный процесс.

1. Сначала определите правила, которые применяются к вам, и к каким подмножествам данных они применяются.

1. Во-вторых, определите, какие политики необходимо применять к каждому подмножеству конфиденциальных данных.

1. Наконец, на основе необходимых политик спроектируйте или найдите техническое решение для реализации и усиления этих политик.

Надлежащее техническое управление конфиденциальными данными клиентов защищает конфиденциальные данные, не усложняя их использование без необходимости. Вместо того, чтобы просто хранить их рядом с остальными вашими данными, подумайте о том, чтобы изолировать ваши конфиденциальные данные в хранилище конфиденциальности данных с нулевым доверием. Такой подход позволяет правильно управлять вашими конфиденциальными данными с помощью отдельных элементов управления. Кроме того, ваше хранилище конфиденциальности данных может расти вместе с объемом конфиденциальных данных, которые обрабатывает ваша организация, что обеспечивает масштабируемость.

Если вы хотите добиться соблюдения правил конфиденциальности данных за несколько дней, а не недель, один из вариантов для специального хранилища конфиденциальности данных — [Skyflow] (https://www.skyflow.com/). Skyflow использует подход с нулевым доверием для хранения конфиденциальных данных всех типов. Данные изолированы, зашифрованы и защищены, но при этом их можно использовать в бизнес-процессах. Детальные политики доступа доступны для всех данных в хранилище и легко определяются с помощью Skyflow Data Governance Engine. Все действия протоколируются и доступны для аудита. У Skyflow есть решения для FinTech, Healthcare, PII и т. д., и он соответствует мировым нормам конфиденциальности.

Заворачивать

Мы использовали трехэтапный подход (обучение. оценка. управление.) для обработки конфиденциальных данных клиентов в вашей организации. Во-первых, мы рассмотрели различные типы конфиденциальных данных и применимые к ним правила. Далее мы описали, как вы можете оценить, как ваша организация обрабатывает конфиденциальные данные клиентов. Наконец, мы набросали схему правильного управления вашими конфиденциальными данными клиентов. Мы также рассмотрели, как в этом может помочь изолированное хранилище конфиденциальности данных, такое как Skyflow.

Ландшафт управления конфиденциальными данными постоянно меняется по мере создания новых правил и усиления существующих. Таким образом, этот процесс нельзя выполнить один раз; его необходимо постоянно обновлять по мере роста вашей организации и изменения правил.