Aplikacje do zarządzania danymi osobowymi w firmie zgodnie z RODO
Większość organizacji zaczyna od rejestru czynności przetwarzania, ale sam rejestr nie zapewnia zgodności z RODO bez wiedzy o faktycznych danych. Jakie klasy aplikacji tworzą kompletne zarządzanie danymi osobowymi?
Większość organizacji zaczyna budowę własnego zestawu narzędzi do RODO od aplikacji do prowadzenia rejestru czynności przetwarzania. Wybór jest zrozumiały: art. 30 RODO to obowiązek nazwany wprost, a rejestr bywa pierwszym dokumentem, o który pyta UODO; w Polsce formalne wymogi tego rozporządzenia obowiązują od 25 maja 2018 roku. Problem polega na tym, że rejestr opisuje, co organizacja zadeklarowała, a nie co faktycznie leży w jej bazach, repozytoriach plików i kopiach zapasowych. Aplikacja, która porządkuje wyłącznie warstwę deklaratywną, poprawia jakość dokumentacji, ale sama nie zapewnia zgodności z RODO, jeśli nie obejmuje faktycznych danych i ryzyk. Dla kierownictwa podmiotów kluczowych i ważnych objętych znowelizowaną ustawą o KSC oraz dla instytucji finansowych działających pod DORA ta różnica przestała być teoretyczna. Rozbieżność między rejestrem a stanem faktycznym systemów jest najczęstszym ustaleniem kontroli, a przy naruszeniu ochrony danych decyduje o tym, czy organizacja jest w stanie ustalić zakres incydentu w wymaganym terminie. Poniżej pięć klas aplikacji, z których w praktyce składa się zarządzanie danymi osobowymi w średniej i dużej organizacji, oraz kryteria, które faktycznie je różnicują.
Pięć klas aplikacji przetwarzania danych osobowych i problem, który każda z nich rozwiązuje
Wykrywanie i klasyfikacja danych. Narzędzia, które łączą się ze źródłami danych, analizują strukturę i próbki, a następnie wskazują, w których tabelach, kolumnach czy plikach znajdują się dane osobowe, w tym dane szczególnych kategorii. To warstwa faktyczna - jedyna, która pozwala zweryfikować pozostałe. Kluczowe rozróżnienie przebiega tu między danymi ustrukturyzowanymi (bazy, hurtownie, systemy dziedzinowe) a nieustrukturyzowanymi (dokumenty, skany, załączniki w repozytoriach i na dyskach współdzielonych). To dwie różne technologie i w praktyce dwa różne produkty; organizacja, która wdrożyła tylko jedną z nich, ma połowę mapy, a pełna mapa wspiera zasadę minimalizacji i pomaga ograniczać zbędne zbiory bez uzasadnionego zastosowania. Dokumentacja i rozliczalność. Rejestr czynności przetwarzania i rejestr kategorii czynności, ocena skutków dla ochrony danych (DPIA), rejestr naruszeń, upoważnienia, ewidencja umów powierzenia i podwykonawców. Ta klasa realizuje zasadę rozliczalności RODO i jest wartościowa dokładnie w takim stopniu, w jakim jej zawartość odpowiada wynikom wykrywania danych. Aplikacja GRC zasilana wyłącznie ankietami wypełnianymi przez właścicieli procesów odtwarza w nowym interfejsie ten sam problem, który miała rozwiązać. Firmy muszą przeprowadzać audyt RODO, a jego analiza ryzyka i szersza analiza powinny odnosić się do rzeczywistych czynności przetwarzania, nie tylko do dokumentacji. Retencja i usuwanie. Zadeklarowany okres przechowywania danych bez mechanizmu, który wymusza usunięcie lub anonimizację po jego upływie, jest fikcją proceduralną. Ta klasa narzędzi konfiguruje reguły retencji oparte o czas, zdarzenia biznesowe lub wyzwalacze zewnętrzne i wykonuje je w wielu systemach jednocześnie - wraz z obsługą żądań usunięcia danych RODO. Trudność nie leży w samym skasowaniu rekordu, lecz w utrzymaniu spójności: ten sam podmiot danych bywa jednocześnie objęty obowiązkiem usunięcia w jednym systemie i obowiązkiem archiwizacji, wynikającym z przepisów podatkowych czy sektorowych, w innym. Anonimizacja i pseudonimizacja. Osobna kategoria, obsługująca przede wszystkim środowiska nieprodukcyjne. Kopie produkcji w środowiskach testowych, deweloperskich i szkoleniowych to jedno z najczęściej pomijanych źródeł ekspozycji - zwykle mają słabsze zabezpieczenia i szerszy krąg dostępu niż system, z którego pochodzą. Wymaganie, które eliminuje większość prostych rozwiązań, to zachowanie spójności referencyjnej: dane muszą pozostać użyteczne do testów wydajnościowych i integracyjnych, a ten sam identyfikator musi zostać zastąpiony konsekwentnie we wszystkich powiązanych systemach. Obsługa żądań podmiotów danych. Realizacja praw z art. 15-22 RODO w terminie miesiąca wymaga odnalezienia wszystkich wystąpień danych jednej osoby. Bez prawidłowo działającego wykrywania każde żądanie dostępu jest ręcznym śledztwem po systemach, a odpowiedź - niekompletna w sposób, którego organizacja nie potrafi wykluczyć. W praktyce chodzi tu o udzielanie odpowiedzi na żądania osób, których dane dotyczą, w ramach ochrony danych osobowych, także przy obsłudze skarg, wniosków i pytań pracowników.
Kryteria ochrony danych osobowych, które faktycznie różnicują narzędzia
Pokrycie źródeł danych. Pierwsze pytanie do dostawcy nie brzmi „jakie funkcje", tylko „do czego się podłącza": jakie silniki baz danych, jakie repozytoria plików, jakie systemy ERP, CRM i HR, czy obejmuje archiwa i kopie zapasowe. Narzędzie, które nie widzi połowy środowiska, produkuje iluzoryczne poczucie kontroli nad jego drugą połową, a wybór rozwiązania zależy od specyfiki działalności w twojej firmie i od tego, gdzie dane są przechowywane. Rozliczalność operacji. Dziennik zdarzeń jest tu produktem końcowym równie ważnym jak sama operacja. To on stanowi dowód, że usunięcie nastąpiło w terminie, na właściwej podstawie i w zatwierdzonym zakresie - a w postępowaniu kontrolnym dowód jest tym, co organizacja przedstawia zamiast deklaracji. Zabezpieczenie przed nadmiarowym działaniem. Narzędzie, które usuwa dane automatycznie, potrafi też naruszyć integralność systemów źródłowych i skasować rekordy objęte obowiązkiem przechowywania. Mechanizmy kontrolne po stronie aplikacji - walidacja reguł, tryb symulacji, możliwość wycofania - są kryterium oceny ryzyka operacyjnego, nie dodatkiem. Taka automatyzacja procedury powinna wspierać bezpieczeństwo i poufność, a nie tylko szybkość procesu. Integracja między klasami. Cztery osobne aplikacje od czterech dostawców oznaczają cztery osobne inwentaryzacje, które trzeba ręcznie uzgadniać - a rozjazd między nimi pojawia się przy pierwszej większej zmianie w systemach źródłowych. Zdolność narzędzia retencyjnego do korzystania z wyników wykrywania danych, zamiast utrzymywania własnej, niezależnej listy tabel i pól, jest różnicą między procesem samoaktualizującym się a kolejnym dokumentem do corocznego przeglądu. Model wdrożenia i status dostawcy. Każda z tych aplikacji ma z definicji uprzywilejowany dostęp do najwrażliwszych zbiorów danych w organizacji. W modelu SaaS dostawca jest podmiotem przetwarzającym w rozumieniu art. 28 RODO, co uruchamia obowiązki umowne, w tym właściwe umowy z podmiotami przetwarzającymi, ocenę łańcucha dostaw wymaganą przez ustawę o KSC oraz weryfikację lokalizacji przetwarzania i ewentualnych transferów poza EOG; przy danych w chmurze kluczowe są też szyfrowanie, lokalizacja serwerów w UE i poziom zabezpieczeń. W modelu on-premise ten problem znika, a pojawia się odpowiedzialność za utrzymanie. Przy wyborze aplikacji warto uwzględnić wsparcie dla Inspektora Ochrony Danych, którego powołanie bywa obowiązkowe dla niektórych administratorów danych osobowych. W terminologii ISO 27001 mówimy tu o zabezpieczeniach z Załącznika A - m.in. usuwaniu informacji i maskowaniu danych - którym w SZBI trzeba przypisać właścicieli i poddać je przeglądowi skuteczności. Narzędzie jest wykonawcą zabezpieczenia, nie jego zamiennikiem. Warto dodać uwagę, która rzadko pada na etapie zakupu: mapa danych wrażliwych wygenerowana przez narzędzie wykrywania danych jest jednocześnie gotowym wykazem najważniejszych celów w organizacji. Sama aplikacja do zarządzania danymi osobowymi staje się aktywem o wysokiej krytyczności, wymagającym własnego właściciela ryzyka, kontroli dostępu i miejsca w planie postępowania z ryzykiem.
Jak tym klasom narzędzi odpowiada portfolio Wizards
Cztery produkty Wizards odpowiadają opisanym wyżej funkcjom i są ze sobą zintegrowane. Taki układ wspiera automatyzację procesów zarządzania danymi osobowymi. Detecto wykrywa dane osobowe i wrażliwe w bazach danych - klasyfikuje kolumny na podstawie reguł, wyrażeń regularnych, słowników i heurystyk, a także sygnalizuje zmiany w schemacie bazy, zanim nowa tabela stanie się aktywem poza kontrolą. Działa jako skan jednorazowy lub monitoring ciągły. Revelio realizuje te same cele w danych nieustrukturyzowanych, wykrywając dane osobowe w dokumentach i repozytoriach plików. Oblivio realizuje retencję i prawo do bycia zapomnianym: konfiguruje źródła i reguły oparte o czas, zdarzenia biznesowe lub wyzwalacze zewnętrzne, wykonuje usunięcie lub anonimizację według harmonogramu bądź na żądanie, z pełną rozliczalnością operacji i zabezpieczeniem przed nadmiarowym usuwaniem. Korzysta z wyników Detecto i Revelio do zlokalizowania danych podlegających retencji. Nocturno automatyzuje anonimizację i pseudonimizację danych osobowych w wielu systemach jednocześnie z zachowaniem spójności referencyjnej i generuje dane syntetyczne - dla środowisk testowych, analityki, uczenia modeli i szkoleń. Ten układ ma znaczenie praktyczne: warstwa dokumentacyjna jest wtedy zasilana wynikami z systemów, a nie deklaracjami właścicieli procesów, a takie wdrożenie ułatwia IOD realizację procedur zapewniających zgodność z RODO oraz późniejsze aktualizowanie dokumentów i ewidencji po audycie RODO. Dla zarządu, który po nowelizacji ustawy o KSC odpowiada za cyberbezpieczeństwo osobiście, wniosek jest jeden. Kolejność zakupów nie jest bez znaczenia. Po audycie RODO konieczne jest wprowadzenie zmian w systemach, upoważnieniach i dokumentacji, a nie pozostanie przy samych deklaracjach. Aplikacja do dokumentacji kupiona przed narzędziem do wykrywania danych porządkuje opis rzeczywistości, której organizacja wciąż nie zna - i to właśnie ta luka ujawnia się przy pierwszym poważnym incydencie, gdy trzeba w ciągu 72 godzin określić zakres naruszenia.