• 實現全面隱私合規的5個步驟

    首頁 / 業界 / 資訊 /  正文
    來源:安全419
    發布于:1天前
    盡管個人和企業普遍都希望能獲得真正的隱私,但這幾乎無法做到。在概念層面上,遵守隱私保護似乎很簡單,但實現這一目標的技術和管理挑戰令人生畏。要將隱私保護全面納入組織中,必須評估歷來阻礙合規工作的挑戰,并不斷重新評估隱私策略。
     
     
    合規的障礙
     
    歐盟通用數據保護條例 (GDPR) 規定的隱私要求與企業傳統上管理數據的方式是背道而馳的。幾十年來,數據治理一直處于管理官方公司記錄的有限狀態,而將大量企業數據置于黑盒之中。相比之下,隱私法規要求組織以任何方式在所有地方都要保障敏感信息的安全,這種高強度的數據管控是大多數組織不具備的。
     
    為了找到可識別的個人身份信息 (PII),企業必須理清現有的所有數據。很大一部分PII存在于員工創建的數據源中,例如電子郵件、文件和協作平臺,這些數據源長期以來一直是一個未定義權限的狀態。從本質上講,GDPR 合規性需要對企業數據治理進行全面改革,揭露所有暗數據,并在源頭上對其進行控制。
     
    步驟一:建隱私委員會
     
    GDPR 合規令人望而生畏,沒有任何個人或部門可以單獨實現。通過組建隱私委員會并將責任劃分為可管理的部分,組織可以減輕合規的負擔。一個隱私委員會中值得注意的利益相關者有:
     
    ·法律與合規部門:沒有人比法律專業人士更能指導組織了解 GDPR 合規的來龍去脈,他們將在確保所有措施符合監管標準方面發揮關鍵的作用。
    ·IT部門:大多數GDPR要求控制數據,這取決于IT部門是否有能力查找、管理和修復PII。
    ·人事部門:不合規的行為通常源于員工的意外行為,HR有責任教育員工并制定政策以限制不必要的PII收集。
    ·項目經理:公司不僅要對自己的行為負責,還要對與其共享敏感信息的供應商負責。通常由項目經理負責確保所有數據處理器和應用程序也能遵守GDPR的規定。
     
    總的來說,隱私委員會應該全面了解如何在整個企業中收集、管理和使用敏感信息。
     
    步驟二:評估現有能力
     
    為了評估組織是否有能力滿足GDPR的要求,組織應該就其現有的數據收集、安全和控制實踐向自己提出一系列問題。
     
    數據采集
    GDPR使用戶有權了解收集了哪些敏感信息,以及會如何使用這些信息。公司要正確披露這些信息,需要對以下內容有深刻的了解:
     
    ·主動和被動收集哪些用戶信息?
    ·如何使用 PII,從獲取到刪除的過程是怎樣的?
    ·數據處理者如何使用與他們共享的信息?
     
    數據安全
    數據一旦被獲取,GDPR就要求組織處理具有高度數據安全性的PII。為了評估您的組織是否能夠充分滿足這些要求,組織需要知道:
     
    ·企業數據(尤其是PII)是否在傳輸和靜止時加密?
    ·是否有數據丟失保護措施,例如數據冗余,以恢復意外破壞的信息?
    ·系統是否能夠識別數據是否已被破壞,信息是否被泄露?
     
    數據控制
    GDPR為用戶提供了許多補救選項,他們可以請求組織采?。篜II刪除、糾正以及限制處理和收集等操作。要完成這些補救請求,組織需要知道他們是否可以:
     
    ·跨數據源查找PII?
    ·將此信息發送給用戶?
    ·刪除用戶數據?
    ·糾正虛假信息?
    ·有選擇地停止收集特定用戶的信息?
    ·限制對已經獲取的PII進行處理?
     
    步驟三:彌補技術差距
     
    如果在查看此清單時,隱私委員會確定能夠在沒有幫助的情況下回答所有這些問題并滿足 GDPR要求,那就請繼續第四步和第五步。
     
    如果這些問題構成了挑戰,公司將不得不用技術彌補差距。例如,公司可能需要一個治理解決方案來協助數據控制,一個保護解決方案來提高數據安全性,或者需要新的專家來進行內部管理工作。
     
    步驟四:創建隱私熱力圖
     
    一旦配備了正確的工具和功能,組織就可以通過定位PII來進行合規流程。雖然PII分散在整個企業中,但某些數據源容易比其他數據源包含更敏感的信息。值得注意的是,文本、非結構化數據源(例如電子郵件、文件和協作平臺)的PII往往比結構化數據源多得多。組織應該首先繪制這些數據源,并創建一個隱私熱力圖,突出顯示最不受管理的PII區域。
     
    為了創建隱私熱力圖,組織需要一種在PII 進入系統時對其進行隔離的系統方法。這往往需要對文檔的元數據和內容進行分析。例如,模式識別可以注意到任何 3-2-4 位序列的數據是社會保險號,而 2-2-4 位序列是生日。然而,僅僅識別PII是不夠的。合規性要求組織知道PII屬于誰,以便他們請求補救措施時,通過臨時搜索來確定和檢索。只有在確定了敏感數據之后,組織才能開始積極的合規工作:補救修復。
     
    步驟五:建立技術基礎設施
     
    為了補救修復PII,組織必須篩選文檔,并在他們可以刪除的無關緊要的數據和他們必須保留的記錄之間進行分類。雖然銷毀所有帶有PII的文件將是實現GDPR合規的最快方法,但事實證明,PII也是業務中不可或缺的一部分。也就是說,絕大多數敏感信息都存在于冗余、過時和瑣碎 (ROT) 數據中,這些數據可以防御性地丟棄。好消息是分離PII所需的數據控制也可用來識別ROT,從而簡化刪除過程。
     
    對于必須維護的 PII,組織負責對其進行管理。因此,組織必須應用數據生命周期和安全策略,以確保及時安全地保留或刪除數據。在確定如何保存敏感記錄時,請將用戶隱私協議視為指導所有合規行動的燈塔。事實上,背離該協議是最常見的處罰原因之一。