Imperva高級數據隱私顧問詳解GDPR關鍵應對措施

從2018年5月25日起，《歐盟通用數據保護規範（GDPR）》將開始正式生效實施，該規範加強了對數據隱私、數據處理以及數據安全性的相關規定。新修訂的法規適用於在歐盟內經營的所有企業以及收集或處理源自歐盟的（居民或遊客）個人數據的企業。

本年初，我曾參加了一場關於GDPR實施日期即將到來的網路研討會，主要是關於全球企業如何完成自己的合規項目問題。作為Imperva的高級數據隱私顧問，我了解與時俱進的滿足歐盟新法規要求的重要性並為之努力。

該會議的參會人員有Workday的首席隱私官Barbara Cosgrove、Trust Arc and Sue Habas的高級隱私顧問Naheed Bleecker以及ASC Technologies的策略技術副總裁。這場會議由MUFG Union Bank的總監及網路安全高級事總裁Branden Williams博士主持。會上我們對到2018年5月前所需實施的數據隱私、安全與合規項目所需的關鍵措施進行了深度探討。

總的來說，需要採取四類措施，具體是：

1) 嵌入隱私保護設計

2) 了解數據的存儲位置

3) 建立資料庫並分類

4) 實施適當的安全控制措施

嵌入隱私保護設計

Barbara Cosgrove稱「實際上，我們需要看到的是在整個開發過程中（使用個人數據的產品、過程、服務等）嵌入了適當隱私保護措施」。

根據GDPR規定，首先要確定企業是否更新了產品設計過程並調整了管理政策，包括項目初始階段的數據隱私輸入。此外，她還說道「需進行相關隱私影響評估，識別出任何風險，並確保你真正的了解個人數據的處理方法是否會導致數據主體暴露在高風險環境中」。

了解數據的存儲位置

Naheed Bleecker稱密切關注企業內部數據的整個生命周期流向是保持良好數據監管的最簡單方法。「了解數據相關的所有控制措施是非常關鍵的，數據存在哪裡？什麼樣的人可以獲取該數據？數據流向哪兒了？哪些人會接觸到該數據？哪些具體的數據元會被收集？是否獲取了相關許可？實施了哪些數據存儲與保留標準？這些都是企業需要了解的自身情況。」

關於數據監管的另一主要內容是了解第三方是如何與數據信息互動的。因此，GDPR不僅創造了使利益相關方接受相關培訓的機會，還可幫助構建與客戶及合作方間的穩固關係。

建立資料庫並分類

Sue Habas稱「企業經營者最希望能自動處理業務與數據存儲事宜。此外還希望能夠實現集中處理資料庫元數據與分類，使所有人都能訪問數據。」

除此之外，你可能還需要分類信息，並使企業的內部終端用戶（業務端及技術端）能夠訪問這些信息。Habas說道「收集隱私數據並解決與管理此類問題是業務過程的基本內容」。

必需與產品及業務團隊合作，使企業相關人員了解並管理數據。因此需要以透明且負責任的方式（無論其使用的技術、用途或管轄範圍如何）處理數據。也就是說需要對整個數據豎井進行監督。

實施「適當的」安全控制措施

同意進行資料庫與資產追蹤是各項綜合隱私項目的基礎。但並不是首要問題。首要任務是需要為所收集、處理與存儲的員工、客戶以及終端用戶的個人數據部署適當的安全控制措施。

GDPR 不僅明確要求數據脫敏與適當加密來保護數據處理安全性，對於沒有採取「適當」安全措施的企業，還提高了其違規罰金，即將罰金提高了相當於企業全球總收入2%或1000萬美元的罰款。

那麼所謂的「適當」到底指的是什麼？該如何開始了解數據隱私、風險或合規項目呢？首先，建議從企業資產管理著手，即：盤點各種數據存儲點、資料庫及各類職能部門的資產管理情況。例如：是否公司內的每個人是否有安全知識盲點？

還需要在數據傳輸及各類本地存儲過程中對數據進行加密，並建立與維護事件與數據違規響應項目。我強烈建議每個人都為其在企業內部的數據流向與處理情況繪製流向圖並記錄在相關文件中。一旦數據違規發生，即可在違規發生後的首個24與72小時內了解到具體發生了什麼情況。

最佳實踐方法

GDPR 的出台代表著全球企業處理與保護個人數據領域的劃時代轉折。使企業以及內部的隱私職能與GDPR的最佳實踐趨勢保持一致雖然並不是件簡單的事，但是每個企業都需要為之努力的事業。專業領先的數據隱私或安全項目都將在2018年5月25日前或其左右基本完成GDPR的最低合規準備工作。但在五一後，我建議您再考慮並檢查一下自己的數據隱私項目是否有疏漏。項目實施期間，主要需要將四類基礎問題以最佳實踐標準實施，且企業還需準備應對目前正在提高的全球隱私標準，這既是GDPR之類的規範所要求的，也是隨著當前社會對數據隱私問題的日益關注為企業所帶來的具有競爭性的業務特點。

喜歡這篇文章嗎？立刻分享出去讓更多人知道吧！