GDPR-комплаенс: почему сопротивление бесполезно и как защитить компанию

25 мая 2018 года General Data Protection Regulation (GDPR) официально вступил в силу, оставив многие организации в суматохе для встречи его строгих требований. Даже с четырехгодизным предварительным уведомлением IT-лидеры все еще борются с тем, как интегрировать надежные меры защиты данных в их планы устойчивости. Syncsort 2018 State of Resilience Report показывает, что безопасность и приватность остаются топ-приоритетами для IT-департаментов, особенно по мере ускорения облачной адаптации сбора, хранения и аналитики данных.

Длинная рука закона

Архитекторы GDPR заявляли, что «обработка персональных данных должна быть спроектирована для служения человечеству». Регуляция заменяет Директиву 95/46/EC, стандартизируя правила приватности по ЕС и устанавливая более высокую планку для как европейских, так и неевропейских компаний, делающих бизнес с ЕС-клиентами.

Суть: каждая организация, независимо от локации, должна переоценить свои практики обращения с данными. Знаете ли вы, какие персональные данные вы держите, кому они принадлежат, как они используются или делятся, и адекватно ли они защищены? Опрос почти 6000 глобальных респондентов обнаружил, что большинство фирм все еще борются с этими вопросами.

Возвращение индивидуалу контроля

GDPR дает индивидуалам право знать, какие организации держат их данные, получать к ним доступ и корректировать их, и наиболее критично — запрашивать их удаление — право на забвение. Консенсус-фреймворк регуляции заставляет компании получать явное одобрение перед сбором или обработкой персональных данных, превращая данные в и актив, и лайбилити.

Эффективный комплаенс начинается с четкого инвентаря персональных данных, унифицированного identity view через disperate системы и строгого управления консенсусом. Инструменты, обнаруживающие, дедуплицирующие и поддерживающие целостность данных — существенны, как и аудит-треил, записывающий каждый доступ к персональной информации — вызов, усиленный в big data и real-time стриминговых средах.

Что такое персональные данные и как их можно безопасно использовать?

Персонализированные практики данных цифровой эпохи топлива инновации, но также повышают заботы приватности, подталкивая строгие гарантии GDPR. Статья 4(1) определяет Personally Identifiable Information (PII) как любые данные, которые могут идентифицировать, описывать или уникально референцировать индивидуала — включая имена, возрасты, номера соцстрахования, IP-адреса, device IDs и даже захешированные или зашифрованные поля, если они служат для идентификации кого-то.

GDPR поощряет удаление прямых идентификаторов где возможно, технику, известную как псевдонимизация, для смягчения влияния нарушений безопасности. Строительство комплаентных систем с нуля — вместо ретрофиттинга legacy-решений — более эффективно и стоимо-эффективно. Анонимизация, маскинг и обфускация инструменты должны быть интегральны как для новых, так и для существующих данных архитектур, особенно когда данные делятся через множественные базы данных для real-time аналитики.

Будущее приходит быстрее, чем вы думаете

Время часто застает IT-команды врасплох. Несоблюдение может запустить штрафы до €20 млн или 4% от глобального оборота, и репутационный ущерб может быть необратимым. С прошедшим маем дедлайном, компании, не достигшие полного комплаенса, сталкиваются с грядущими enforcement действиями.

Дэвид Ходжсон, главный продуктовый офицер, Syncsort