ISACA Journal | 在数字时代对数据隐私采取技术控制措施
如今，人们越来越多地在网上分享看似相关或不相关的个人信息，如生日、地址、联系方式、人际关系和假期计划。人们还热衷于在各种社交媒体平台上分享他们的生活照片并就敏感问题发表意见。另一方面，几乎每天都有令人兴奋的新技术出现，引导人们通过在线玩游戏、参加虚拟会议和活动以及在线购物的形式共享他们的信息。同样地，组织出于商业目的也会收集和存储相关个人信息。因此，随着无处不在的信息共享，隐私风险也随之增加，并且共享的个人或集体的数据都可用于恶意活动。组织可以实施基本的技术控制措施降低这种风险并实现隐私保护。
隐私是什么？
隐私是个人拥有对个人身份信息(PII)的收集、使用和传播控制权的基本权利。PII是直接或间接识别个人身份的信息，包括一个人的姓名、地址、出生日期和地点、身份证号码和生物特征（如指纹、虹膜）。
数据隐私也称为信息隐私，是指一个组织处理PII的能力，或个人决定哪些类型的数据可被收集或存储在计算机系统中并与第三方共享的权利。数据安全是关于确保实施技术控制措施（与机密性、完整性和可用性相关）以保护PII免受恶意网络攻击。
组织有时会因数据隐私和数据安全之间的差异而感到困惑。二者都与PII相关，但是不同的概念。数据隐私是关于对PII的控制，如为确保PII被适当收集、存储、使用和共享而制定的政策和程序。数据安全是保护PII的安全。换句话说，数据安全是PII的一个更具技术性的方面，而数据隐私则是一个更合法的方面。通俗地说，隐私是不受任何干预的基本权利。
隐私风险
任何组织面临的最大挑战之一是管理隐私风险。随着时间的推移，大家的隐私意识越来越强，因此，人们越来越关注组织如何处理他们的个人信息。
甚而，随着《亚太经济合作组织(APEC)隐私框架》、《欧盟通用数据保护条例(GDPR)》和《美国加利福尼亚州消费者隐私法案(CCPA)》等隐私监管法律及其相关处罚的出台，组织必须采取必要的措施建立和实施强大的隐私风险管理框架。风险管理框架不足或缺乏可能会给组织带来风险，例如：
损害组织的公众形象和声誉
财务或运营损失
监管制裁和处罚/罚款
失去客户信任和无法吸引客户
业务关系受损
推荐的隐私技术控制措施
PII的数字记录在其生命周期的每个部分都需要独特的保护形式。对于一个组织，实施一个有效的隐私计划至关重要，该计划包括以下隐私技术控制措施，可以解决隐私风险。
组织应该有一个正式的公司治理结构，确定高级管理层可接受的隐私风险偏好水平。基于确定的风险偏好，可以开发一个隐私风险管理框架识别、分析、评估和减轻隐私风险。该框架应包含与个人信息隐私相关的政策和程序，涵盖数据分类、记录管理、数据保留和数据销毁。该框架还应说明在整个生命周期中与隐私计划相关的详细角色、职责和问责制。
组织应记录收集个人信息的业务目的，确保不会收集和保留不需要的PII。组织必须确定组织需要收集哪些类型的PII、由谁收集、如何收集以及由谁定义什么是个人的或私有的。
组织应该实施一种技术解决方案，根据员工需要访问的PII设置不同的权限级别，如公共访问、私有访问和受限访问(取决于组织类型)。利益相关者必须清楚地了解所有个人信息的存储位置以及谁可以访问这些信息，并且维护审计跟踪和日志至关重要。
利益相关者必须确保PII在整个数据生命周期（即收集、存储、保护、使用、处置）的静态和动态加密。例如，PII应该在各个级别加密，包括在数据库、网络、系统平台、应用程序层和业务流程/职能级别。除加密外，PII的披露规则应被识别并与相关第三方共享，不得披露给未经授权的实体（即人员和系统）。
PII的数字记录在其生命周期的每个部分都需要独特的保护形式。
"©摄图网
处理或有权访问个人信息的员工必须完成隐私意识培训，确保他们了解自己在处理隐私要求、问题和担忧时所分配的角色的具体职责。组织必须确保有可用资源帮助员工制定、实施、维护和执行有效的隐私计划。
组织必须建立合规性持续监测框架定期验证合规性级别，确保遵守隐私政策和程序并且足够详细以满足新的或当前的要求，如CCPA、GDPR和《美国健康保险流通与责任法案(HIPAA) 》。组织必须评估当前或将来该组织适用的隐私法律和法规。
组织应制定隐私事件响应计划，以防发生个人信息泄露或试图泄露的事件，以便向授权个人或监管机构或任何受到数据泄露影响的人报告此类违规行为。计划也包括第三方发生的泄露事件。
利益相关者应建立一个数据流图，涵盖哪些信息需要从一个位置传输到另一个位置，例如部门之间、个人之间、与第三方之间以及通过地理边界。
组织应全面评估任何用于隐私的软件或系统或技术，确保解决方案满足隐私要求。组织还应考虑通过使用机器人流程自动化(RPA)、人工智能(AI)、机器学习(ML)和流程挖掘等技术部署超自动化，从静态文件和音频和视频记录中自动编录PII。
组织必须确保有可用资源帮助员工制定、实施、维护和执行有效的隐私计划。
"©摄图网
良好技术控制措施的主要好处
拥有良好的技术隐私控制措施有许多好处，包括：
保护组织的形象和声誉
保护组织及其客户、员工和业务合作伙伴的宝贵数据
在市场上获得竞争优势
遵守适用的隐私法律法规并避免监管处罚
提高组织的信誉并增强信心
在组织内推广良好的实践和文化
保护组织免受潜在的财务和运营损失
结论
保护个人隐私离不开技术发展。如今，组织倾向于投资安全技术以降低暴露个人PII的风险。但是，没有任何技术可以完全防止和消除数据隐私泄露的风险。因此，组织应充分了解风险的性质，花时间了解PII并重新评估如何管理和保护数据隐私，采取分层方法改善安全状况。
ISACA CDPSE（国际注册数据隐私安全专家认证）中文考试及培训已正式推出。能够为中国隐私保护相关人员提供针对专业经验和实施能力双重认证。目前CDPSE中文版知识体系主要包含以下四个模块：
隐私治理
隐私架构
数据生命周期
中国隐私保护体系及应对
通过学习CDPSE 课程并获得认证的持证人能建立和实施复杂的隐私保护方案，能够跨越隐私合规领域的技术和法务之间的障碍，在全组织范围内协助达成关于隐私保护最佳实践的共识，确保整IT隐私保护方案，降低风险。
编者注：本文出自ISACA Journal 2021年第6期。尾注略。文中涉及的数据隐私并不涵盖有关以物理形式收集、使用、存储和传播 PII 的数据隐私。文章内容仅代表作者本人观点。
作者：Muhammad Tariq Ahmed Khan、CISA、CRISC、CSIM、CDPSE、CISSP、CEH、CDFE、ISO 22301 BCM LA、ISO 27001:2013 ISMS LA、PMP
翻译：唐四宝（Jerry Tang），CISA， CDPSE， RHCE， CCNP，ISACA微信公众号特邀通讯员。
校对：姚凯（Kevin Yao），CISA，CISM，CRISC，CGEIT，CDPSE，ISACA微信公众号特邀通讯员，关注IT安全，隐私保护和数字化。