إزالة تحديد البيانات: أفضل الممارسات في عصر التنظيم الجديد

هذه المقالة جزء من إصدار خاص لـ VB. اقرأ السلسلة الكاملة هنا: بناء الأساس لجودة بيانات العملاء.

نظرًا لأن المؤسسات تعمل على جمع أكبر قدر ممكن من المعرفة من المجموعة الهائلة من معلومات العملاء المتاحة اليوم ، فقد أصبح من المهم بشكل متزايد إلغاء تحديد تلك البيانات أثناء تنقلها بين المؤسسة والأطراف الثالثة التي تعمل معها والتطبيقات المختلفة التي تستهلك البيانات – لا سيما تلك الموجودة في السحابة.

بالطبع ، كان المتخصصون في الرعاية الصحية في الولايات المتحدة يدركون جيدًا هذه الضرورة لسنوات ، بعد أن عملوا بموجب معايير الخصوصية لقانون نقل المعلومات الصحية والمساءلة (HIPAA) منذ منتصف التسعينيات. في الآونة الأخيرة ، أصبحت مخاوف الخصوصية المماثلة بشأن معلومات التعريف الشخصية (PII) مصدر قلق كبير للمنظمين والمستهلكين والشركات في جميع أنحاء العالم.

تقدر شركة أبحاث تكنولوجيا المعلومات Gartner أنه بحلول نهاية عام 2024 ، ستخضع 75٪ من جميع معلومات المستهلك على مستوى العالم لنوع من التنظيم. من جانبها ، أصدرت كاليفورنيا مؤخرًا قانون خصوصية المستهلك في كاليفورنيا (CCPA) وقانون حقوق الخصوصية في كاليفورنيا (CPRA) ، وكلاهما يتعامل مع بيانات المستهلك والخصوصية. وبدأ تطبيق القانون العام لحماية البيانات (GDPR) للاتحاد الأوروبي بقوة.

الغرامة الأخيرة التي فرضها فيسبوك بقيمة 1.3 مليار دولار على نقل البيانات من الاتحاد الأوروبي إلى الولايات المتحدة هي تذكير مؤلم بأن المنظمين يأخذون القضية على محمل الجد. قال جوزيف ويليامز ، الشريك في ممارسات الأمن السيبراني في شركة إنفوسيس للاستشارات ، إنه لو تم إلغاء تحديد هذه البيانات ، فربما لم يتم فرض الغرامة على الإطلاق.

ثم هناك تهديد للسمعة للمنظمات التي لا تعطي على الأقل مظهر حماية المعلومات الشخصية لعملائها في حالة انتهاك الشركة في أي وقت وانتهى الأمر بالمعلومات في أيدي مجرمي الإنترنت. يعتقد متخصصو الأمن السيبراني أن معظم المستهلكين كانوا ضحايا غير مقصود لخرق البيانات في السنوات العشر الماضية. يتم بيع الكثير من هذه البيانات على شبكة الويب المظلمة.

قال ويليامز إن البعض قد يجادل بأن أي عمل لإزالة هوية البيانات هو في الحقيقة مجرد تمرين في الإشارة الفضيلة ، بالنظر إلى السهولة التي يمكن بها التعرف على الأفراد اليوم من خلال الارتباط المتبادل بين البيانات المتاحة للجمهور.

قال: “عندما تبدأ في مزج قوة المعالجة للذكاء الاصطناعي مع ما هو موجود على الويب المظلم والوسائط الاجتماعية … وفتح مجموعات البيانات ، يمكنهم فجأة وضع كل شيء في وضع الاكتشاف التلقائي والتوصل إلى جميع أنواع الأشياء المثيرة للاهتمام”. “وبالتالي فإن إلغاء تحديد البيانات كنهج تقني هو وسيلة [for regulators] لقول: “لقد فرضنا هذه الأعباء على هذه الشركات من أجل حماية خصوصيتك”.

تقنيات وممارسات إزالة تحديد البيانات

قال سمير أنصاري ، العضو المنتدب وقائد الممارسة لفريق خصوصية البيانات في شركة الاستشارات بروتيفيتي ، إن هناك الكثير من الطرق لإلغاء تحديد البيانات اليوم ، سواء كانت إشارات الفضيلة أم لا. التحدي الرئيسي ليس بالضرورة تقنيًا (على الرغم من أن الكميات الكبيرة من البيانات المنظمة وغير المهيكلة التي سيتم تحديدها ، فإن المهمة صعبة) ، إلا أنها تستخدم الأسلوب الأقل اضطرابًا لتحقيق النتائج المطلوبة.

قال الأنصاري: “بعض ذلك يعتمد على ماهية المشكلة في الواقع”. “لذا ، بدءًا من سبب البحث عن حل والصناعة التي تعمل فيها ، قد تكون هناك حالات استخدام حيث تقول ،” اسمع ، إخفاء [for example] ليس خيارا. سيكون هذا هو التحدي. لسوء الحظ ، سوف يعتمد الأمر كثيرًا على حالة الاستخدام “.

إحدى التقنيات التي يتم نشرها اليوم هي التنقيح. هذا هو المكان الذي يتم فيه إخفاء معلومات التعريف الشخصية (PII) مثل أرقام الضمان الاجتماعي والعناوين وعناوين البريد الإلكتروني برموز مثل علامة النجمة أو استبدالها ببيانات اصطناعية أو مزيفة ، كما أوضح أنشومالي شريفاستافا ، الأستاذ المشارك في علوم الكمبيوتر بجامعة رايس ومؤسس شركة ThirdAI Corp.

وقال إن التجميع ، حيث يتم تعميم مجموعات البيانات في مجموعات مثل الفئات العمرية ، هو أيضًا شائع وفعال.

قال Kayne McGladrey ، العضو البارز في IEEE ، أكبر منظمة مهنية تقنية في العالم ، إن الترميز هو طريقة تستبدل البيانات الحساسة بسلاسل استبدال متسقة ليس لها قيمة ذات مغزى إذا تم اختراقها.

وقال: “أحد أكثر المعايير شيوعًا في الولايات المتحدة هو طريقة HIPAA Safe Harbor ، والتي تتطلب إزالة جميع المعرفات الـ 18 للأفراد والأقارب وأصحاب العمل وأفراد الأسرة”.

الاتجاهات الناشئة في نزع الهوية

قال ويليامز من شركة إنفوسيس إن طريقة قبو الخصوصية ، حيث تمر البيانات عبر “قبو” ليتم الكشف عن هويتها ، تكتسب شعبية. يمكن للمخزن أن يطبق تقنيات مختلفة لإلغاء الهوية ويعتمد على مفاتيح التشفير لمنع إعادة التعرف على السجلات بعد مرورها عبر الخزنة.

“لن تفعل ذلك مع جميع البيانات ، لكن … خزينة الخصوصية ستخفي [PII] إلى شخص دعم العملاء [for example] من سيبحث في سجلي. [The real data] سيظل موجودًا ، وسيظل مفيدًا للشركة ، ولكن … لا يوجد سبب يجعل شخص دعم العملاء في ولاية واشنطن بحاجة إلى معرفة تاريخ ميلادي. “

قال ماكجلادري من IEEE إن الحوسبة السرية هي أيضًا تقنية ناشئة تهدف إلى حماية البيانات المستخدمة.

قال “الحوسبة السرية يمكن أن تسمح بمعالجة البيانات من أطراف متعددة دون مشاركة بيانات الإدخال مع تلك الأطراف الأخرى”. “على سبيل المثال ، إذا أرادت إحدى المؤسسات إجراء المعالجة على مجموعة كبيرة من بيانات الرعاية الصحية التي تم جمعها من عدة مؤسسات تابعة لجهات خارجية ، فمن المحتمل أن تسمح الحوسبة السرية المهيأة بشكل صحيح لتلك الأطراف الثالثة بتقديم بياناتها للمعالجة بشكل إجمالي. في هذا السيناريو ، لا يمكن حتى لموفر السحابة رؤية البيانات النصية الواضحة المقدمة من الأطراف الثالثة أو النتائج “.

وقال شريفاستافا إن المجال الآخر الذي يثير اهتمام دعاة إلغاء الهوية هو توليد البيانات التركيبية لأغراض البحث. في هذا النهج ، يتم إنشاء البيانات لتقليد البيانات الحقيقية التي تحل محلها. نظرًا لأن البيانات تحتفظ بنفس الخصائص والأنماط الإحصائية للمعلومات الأصلية ، لا يتم المساس بجودة البيانات. تقلل هذه الطريقة من مخاطر تعريض المعلومات الحساسة عند مشاركة مجموعات البيانات للدراسات والبحوث العلمية.

التحدي المقبل

بالنسبة لمعظم المؤسسات اليوم ، لن تحميهم عملية إزالة هوية البيانات من تداعيات خرق البيانات الخطير ، ولكنها ستساعدهم على ضمان حماية بيانات العملاء التي يشاركونها أثناء سير العمل العادي من سوء الاستخدام العرضي أو غير المتعمد. والتعرض.

لحسن الحظ ، من منظور تقني ، هناك العديد من الطرق للقيام بذلك ، بما في ذلك استخدام خدمة من بائع البرامج الحالي للمؤسسة ، مثل Salesforce أو Snowflake.

التحدي الرئيسي الذي ستواجهه معظم المؤسسات هو فهم أين ومتى تكون هناك حاجة إليها ، وعندما تكون ، ما هي طريقة إلغاء الهوية التي ستخدم الغرض المطروح دون التسبب في تأثير مضاعف يكسر العمليات التجارية الأخرى على طول الطريق.