تُعدّ البيانات عنصراً بالغ الأهمية في دفع عجلة الابتكارات والاكتشافات العلمية واتخاذ القرارات التجارية الرئيسية. ولا يقتصر نمو البيانات على حجمها الهائل نتيجةً لتعدد مصادرها، مثل وسائل التواصل الاجتماعي والمعاملات المصرفية وبيانات أجهزة الاستشعار، بل يتزايد تعقيدها أيضاً.
مع تزايد حجم البيانات وتعقيدها، يزداد عدد الاختراقات الإلكترونية وغيرها من التهديدات الأمنية، مثل الوصول غير المصرح به، وتسريب البيانات، والهجمات الداخلية. ونظرًا لمخاوف المستخدمين بشأن الأمن والخصوصية، سنّت الهيئات التنظيمية الدولية قوانين لحماية بيانات العملاء وخصوصيتهم.
تُعدّ المعلومات الشخصية القابلة للتحديد (PII) من بين أنواع البيانات التي تغطيها قوانين data privacy الرئيسية، مثل البيانات المالية وبيانات الأعمال والبيانات التقنية. وتُشبه هذه المعلومات أحجية الصور المقطوعة، فكما تحتاج إلى تجميع قطع الأحجية المختلفة لإكمالها، تحتاج أيضًا إلى معلومات شخصية مختلفة للحصول على صورة كاملة عن الفرد، ومن ثمّ يُمكن تحديد هويته.
تابع القراءة لمعرفة المزيد عن المعلومات الشخصية، ولماذا يجب حمايتها، وما هي التحديات التي تواجهها المؤسسات أثناء حمايتها، والضوابط المهمة التي يجب على الشركات مراعاتها لتأمين المعلومات الشخصية.
تُستخدم المعلومات الشخصية القابلة للتحديد (PII) غالبًا كمصطلح قانوني. قد تجد تعريفات مختلفة لهذه المعلومات في النصوص القانونية المختلفة، ولكن بشكل عام، يمكن تلخيصها في معلومة واحدة تُمكن من تمييز أو تحديد هوية فرد ما، مثل الاسم، ورقم الضمان الاجتماعي ، وبيانات بصمات الأصابع، وعنوان المنزل، ومكان الميلاد، وتاريخ الميلاد، والموقع الجغرافي، ورقم الحساب المصرفي، وما إلى ذلك.
تستخدم المؤسسات عادةً المعلومات الشخصية الحساسة (PII) بمفردها أو بالاشتراك مع مجموعات أخرى من المعرّفات لتحديد هوية الأفراد. على سبيل المثال، لا يمكن تحديد هوية شخص معين بمجرد معرفة اسم "إريك". لتحديد هوية إريك، من المهم استخدام معرّفات متعددة، مثل موقعه الجغرافي، ورقم الضمان الاجتماعي الخاص به، وبياناته البيومترية ، على سبيل المثال لا الحصر.
يمكن الاحتفاظ بالمعلومات الشخصية الحساسة إما في شكل مطبوع أو أي شكل رقمي أو إلكتروني آخر. لدى العديد من المؤسسات سياسات وإجراءات محددة لحماية المعلومات الشخصية الحساسة، كما توجد قوانين ولوائح تنظم جمعها واستخدامها ومشاركتها، مثل اللائحة العامة لحماية البيانات (GDPR) وقانون خصوصية المستهلك في كاليفورنيا (CCPA) .
يمكن تصنيف المعلومات الشخصية الحساسة إلى معلومات حساسة ومعلومات غير حساسة، حيث تتطلب كلتا الفئتين معالجات مختلفة.
معلومات شخصية غير حساسة
المعلومات الشخصية غير الحساسة هي أي معلومات شخصية متاحة عادةً للعامة ويمكن الوصول إليها من خلال حسابات التواصل الاجتماعي للأفراد، أو دفاتر العناوين، أو غيرها من السجلات العامة. والأهم من ذلك، لا يمكن استخدام هذه المعلومات بشكل مباشر أو منفرد لتحديد هوية فرد ما، وبالتالي لا تُعتبر سرية بحد ذاتها. ومع ذلك، لا يزال من الضروري حمايتها لمنع إساءة استخدامها، إذ يمكن استخدامها لتتبع أو تمييز فرد عن آخر عند استخدامها مع معرّفات أخرى.
تتضمن بعض الأمثلة على المعلومات الشخصية غير الحساسة ما يلي:
- رمز بريدي
- جنس
- مكان الميلاد
- تاريخ الميلاد
- الموقع الجغرافي
- عنوان البريد الإلكتروني
- إشغال
تجدر الإشارة إلى أنه اعتمادًا على الظروف والسياق المحددين، يمكن أن تصبح المعلومات الشخصية التي تعتبر عمومًا غير حساسة حساسة إذا أمكن استخدامها مع معلومات أخرى لتحديد هوية شخص ما بشكل غير مباشر.
معلومات شخصية حساسة
تُعدّ المعلومات الشخصية الحساسة نوعًا من المعلومات غير المتاحة للعامة. في الواقع، إذا ما تم الكشف عن هذه المعلومات لأي مستخدم غير مصرح له، كما في حالة اختراق أمني، فقد يُعرّض ذلك مالك البيانات لخطر جسيم. لذا، تُلزم قوانين حماية البيانات العالمية ومعايير الصناعة الشركات بضمان حماية المعلومات الشخصية الحساسة قانونيًا وأخلاقيًا وتقنيًا، سواءً أثناء نقلها أو تخزينها. على سبيل المثال، ينبغي على الشركات تشفير البيانات الحساسة أو إخفائها إذا تمت مشاركتها مع مورد أو أي طرف ثالث لأي غرض تجاري.
يمكن استخدام المعلومات الشخصية الحساسة بشكل مباشر أو منفرد لتحديد هوية فرد ما بسهولة. ومن أمثلة المعلومات الشخصية الحساسة ما يلي:
- رقم الضمان الاجتماعي
- رقم جواز السفر
- معلومات التأمين
- معلومات طبية محددة
- بيانات بصمات الأصابع
- رقم رخصة القيادة
مع أن جميع المعلومات الشخصية الحساسة تشير إلى المعلومات التي يمكن استخدامها لتحديد هوية فرد معين، إلا أنه لا تُعتبر جميعها حساسة. فالمعلومات الشخصية الحساسة هي المعلومات التي قد يؤدي الكشف عنها أو الوصول إليها دون إذن إلى إلحاق الضرر بالفرد أو خلق خطر سرقة الهوية أو غيرها من العواقب السلبية.
الأهمية البالغة لاكتشاف وتأمين المعلومات الشخصية الحساسة
على الصعيد العالمي، تقوم الهيئات التنظيمية بتقديم واقتراح وتفعيل القوانين واللوائح. data privacy تُسنّ قوانين لحماية البيانات، تُحدد مبادئ توجيهية للشركات لحماية المعلومات الشخصية التي تجمعها أو تعالجها أو تشاركها أو تبيعها. ويُقدم كل قانون من قوانين حماية البيانات مجموعةً مُحددة من المبادئ المتعلقة بعناصر مُعينة من المعلومات الشخصية. فعلى سبيل المثال، من الضروري ألا تحتفظ الشركات بأي نوع من المعلومات عن مستخدميها إذا ما استُوفي الغرض الذي جُمعت وعُولجت من أجله. كما يُحدد القانون ما إذا كان ينبغي حذف المعلومات الشخصية، أو إخفاء هوية أصحابها، أو أرشفة هذه المعلومات. بل إن بعض القوانين تُحدد المدة التي يجب الاحتفاظ فيها بالمعلومات الشخصية للمستخدمين.
ومن الأمثلة البارزة الأخرى لقوانين حماية البيانات، التنظيم المتعلق بجمع ومعالجة ومشاركة المعلومات الشخصية الحساسة. لا تشجع معظم قوانين حماية البيانات الشركات على جمع المعلومات الشخصية الحساسة للمستخدمين إلا بموافقتهم أو إذا كان ذلك ضرورياً لأغراض المصلحة العامة أو إجراءات إنفاذ القانون، وما إلى ذلك.
وبالمثل، يشترط النظام الأوروبي العام لحماية البيانات (GDPR) أن يخضع جمع ومعالجة المعلومات الشخصية الحساسة لمعايير قانونية أعلى من تلك المطبقة على أنواع البيانات الأخرى. يجب أن يكون لدى المؤسسات أساس قانوني لجمع ومعالجة المعلومات الشخصية الحساسة، كالحصول على موافقة صريحة من صاحب البيانات ، أو الامتثال لالتزام قانوني، أو حماية المصالح الحيوية لصاحب البيانات أو شخص آخر، أو تنفيذ مهمة تخدم المصلحة العامة أو في إطار ممارسة السلطة الرسمية، أو المصالح المشروعة للمتحكم بالبيانات أو طرف ثالث.
إن عدم الامتثال لقوانين حماية البيانات قد يؤدي ليس فقط إلى خسائر مالية، بل أيضاً إلى سمعة تجارية سيئة في هذا القطاع، فضلاً عن فقدان ثقة العملاء.
يسعى مجرمو الإنترنت باستمرار إلى الحصول على المعلومات الشخصية التي تجمعها المؤسسات، سواءً كانت مؤسسات رعاية صحية أو شركات تجارية، لأغراض خبيثة كسرقة الهوية، والتصيد الاحتيالي، وهجمات برامج الفدية، وغيرها، بهدف تحقيق مكاسب مالية وغيرها. وقد أصبح مجرمو الإنترنت اليوم أكثر قدرة من أي وقت مضى على تنفيذ عمليات اختراق بيانات معقدة، حيث قد تفقد المؤسسة كميات هائلة من البيانات الشخصية للمستخدمين، كما حدث في اختراق بيانات ياهو عام 2013 .
هذه بعض الأسباب الحاسمة التي تجعل من الضروري للشركات اكتشاف المعلومات الشخصية الحساسة، وخاصة المعلومات الشخصية الحساسة، عبر بيئة بياناتها لإنشاء ضوابط أمنية وحوكمة مناسبة لحمايتها.
أهم التهديدات التي تعرض المعلومات الشخصية للخطر
توجد عدة مخاطر مرتبطة بجمع ومعالجة ومشاركة المعلومات الشخصية. ومع ذلك، قد تختلف المخاطر المحددة باختلاف حساسية المعلومات الشخصية ولوائح حماية البيانات ذات الصلة. على أي حال، إليك بعض المخاطر الشائعة المتعلقة بالأمن والخصوصية والحوكمة والامتثال المرتبطة بالمعلومات الشخصية.
- ضوابط أمنية ضعيفة تسمح للمتسللين بالوصول غير المصرح به إلى المعلومات الشخصية الحساسة، مما قد يؤدي إلى تسريبات البيانات والاختراق والتجسس الإلكتروني وما إلى ذلك.
- يستطيع مجرمو الإنترنت جمع معلومات تعريفية مختلفة عن الفرد لإنشاء ملف تعريف يتم استخدامه لاحقًا في الهجمات المستهدفة أو هجمات الهندسة الاجتماعية .
- سياسات الاحتفاظ بالبيانات غير الكافية التي تؤدي إلى احتفاظ المؤسسات بمعلومات التعريف الشخصية للمستخدمين لفترة أطول من اللازم، وبالتالي زيادة فرص الهجمات الإلكترونية بالإضافة إلى العواقب القانونية مثل الغرامات التنظيمية.
- استخدام بائعين خارجيين للتعامل مع المعلومات الشخصية الحساسة وعدم وجود عمليات مناسبة لتقييم حالة امتثال المقاولين أو مقدمي الخدمات، مما يعرض المنظمة في نهاية المطاف لخطر جسيم من عدم الامتثال.
- إن عدم تدريب الموظفين على كيفية التعرف على السلوكيات الخطرة عبر الإنترنت ورسائل البريد الإلكتروني الاحتيالية وما إلى ذلك وتجنبها، وعدم امتلاكهم المعرفة العملية حول كيفية التشفير بشكل صحيح وتخزين البيانات، قد يعرض المعلومات الشخصية للخطر دون قصد.
التحديات الشائعة لحماية المعلومات الشخصية
على الصعيد العالمي، تتجه الشركات إلى نقل عملياتها إلى البنية التحتية السحابية. توفر السحابة فرصًا ومزايا هائلة للمؤسسات، فهي تتيح، على سبيل المثال، قابلية توسع أفضل، وتكاليف أقل، وانتشارًا عالميًا. مع ذلك، لا تزال المؤسسات تواجه تحديات في تبنيها. غالبًا ما يرتبط هذا التحدي بتعقيد تطبيق السحابة، ولكنه يرتبط أيضًا بمدى كفاءة وفعالية إدارة المؤسسة لمعلوماتها الشخصية الحساسة. فيما يلي بعض التحديات التي تواجهها الشركات عند حماية معلوماتها الشخصية الحساسة في بيئة سحابية متعددة.
- يتمثل التحدي الرئيسي الذي تواجهه الشركات في حماية المعلومات الشخصية في نقص الوعي بنوع هذه المعلومات الموجودة لديها في مختلف أقسامها، ومكان تخزينها، وكيفية استخدامها. فبدون معرفة البيانات التي بحوزتها، لا يمكنها حمايتها.
- غالباً ما تفقد المؤسسات السيطرة على أنظمة بياناتها أثناء عملية الانتقال إلى الحوسبة السحابية. يحدث هذا عادةً عند نقل أنظمة بيانات غير مُدارة إلى السحابة أثناء عملية النقل المباشر. لا يقوم مزود خدمة الحوسبة السحابية بفهرسة هذه الأنظمة، وبالتالي لا تظهر في قائمة الجرد. ونتيجةً لذلك، تعجز المؤسسات عن الحصول على صورة كاملة عن المعلومات الشخصية الحساسة في شبكتها.
- تُنتج المؤسسات كميات هائلة من البيانات على مدار العام. علاوة على ذلك، تُولّد البيانات المزيد من البيانات، مما يُصعّب على الشركات تتبعها وإدارتها بفعالية. إذا لم تُدار البيانات بشكل صحيح، أو إذا فشلت الشركة في تحسين إطار حوكمتها، فقد يؤدي ذلك إلى data quality المشكلات، والبيانات غير المتسقة أو القديمة، ومخاطر عدم الامتثال.
- يُعدّ تبادل البيانات جزءًا لا يتجزأ من أي عمل تجاري، وبالنسبة للبعض، من المهم مشاركة البيانات خارجيًا إما لإجراء التشخيصات أو التحليلات المتقدمة. مع ذلك، قد تحتوي بعض البيانات على معلومات شخصية حساسة لا ينبغي مشاركتها خارجيًا. إن عدم وجود صورة واضحة عن البيانات الحساسة من بين آلاف مجموعات البيانات قد يعيق عملية تبادل البيانات.
ثمانية ضوابط أساسية لأمن المعلومات الشخصية وحوكمتها والامتثال لها
لتعزيز حماية المعلومات الشخصية الحساسة والامتثال لمتطلبات حماية البيانات، من الضروري أن تمتلك المؤسسات ضوابط مناسبة لإدارة بياناتها. فيما يلي بعض الضوابط الأساسية التي يجب على الشركات تطبيقها لإدارة المعلومات الشخصية الحساسة وحمايتها والامتثال للوائح بشكل فعال.
1. سياسات اكتشاف البيانات
يُعدّ تحديد المعلومات الشخصية الحساسة في مختلف البيانات مسؤولية أساسية لأي مؤسسة. لذا، يجب وضع سياسات لاكتشاف عناصر المعلومات الشخصية الحساسة المخزنة في أنظمة البيانات أو التطبيقات أو قواعد البيانات. كما يجب أتمتة سياسة الاكتشاف بحيث يتم اكتشاف المعلومات الشخصية الحساسة الجديدة وحصرها أثناء استيعاب البيانات.
2. سياسات تصنيف البيانات وفهرستها
يُعدّ تصنيف البيانات وفهرستها من العناصر الأساسية لإدارة المعلومات الشخصية الحساسة. تُمكّن هذه العمليات الشركات من فهم بياناتها وإدارتها واستخدامها بشكل أفضل. فمن خلال التصنيف ، تستطيع الفرق تحديد مدى حساسية البيانات، مما يُتيح لها تحديد كيفية حمايتها أو مكان تخزينها. وبالمثل، تُوفّر الفهرسة جردًا واضحًا للبيانات والبيانات الوصفية للشركة، مما يسمح لها باستخدامها واسترجاعها وتحليلها بفعالية.
3. سياسات الوضع الأمني
يجب على الشركات الحصول على رؤية شاملة لأخطاء التكوين في بيئتها السحابية المتعددة . ينبغي أتمتة معالجة أخطاء التكوين التي لا تتطلب تكوينًا يدويًا، ووضع إرشادات يدوية لأخطاء التكوين المعقدة. علاوة على ذلك، يمكن لنظام تنبيه مركزي أن يُمكّن الفرق من تلقي إشعارات بأخطاء التكوين فور حدوثها وحلها في الوقت المناسب.
4. سياسات إدارة البيانات
تُعدّ حوكمة البيانات جزءًا أساسيًا من إدارة البيانات، وذلك لضمان الاستخدام الأمثل للبيانات والتأكد من جودتها ودقتها وموثوقيتها. يجب تحسين إطار الحوكمة مع مراعاة أنواع البيانات الحساسة في بيئة العمل، حتى تتمكن فرق البيانات من وضع السياسات والقواعد المناسبة بشأنها. data quality ، والفهرسة، والنسب.
5. Data Access Governance السياسات
قم بإنشاء نظام كشف يحدد هوية من يصل إلى البيانات الحساسة، ومن أي مناطق جغرافية، وحجم البيانات التي يصل إليها. قم بإعداد سياسات وصول قائمة على المستخدمين أو الأدوار، وفرض قيود صارمة عليها لضمان أقل مستوى من الصلاحيات. يُمكّن هذا الفرق من الحصول على الحد الأدنى من الصلاحيات اللازمة لإنجاز مهامها.
6. سياسات مشاركة البيانات
قم بإعداد سياسات إخفاء ديناميكية قائمة على الجداول للبيانات الحساسة التي يجب مشاركتها خارجياً أو داخلياً مع الفرق التي لا تحتاج إلى الوصول إلى البيانات الحساسة.
7. سياسات تحليل اختراق البيانات
تعمّق في البحث لتحديد عناصر البيانات المخترقة. اربط البيانات المتأثرة بالأفراد المتضررين من الاختراق. ضع إرشادات تنظيمية للوائح محددة لإنشاء سياسات إبلاغ مناسبة عن الاختراقات.
8. سياسات الامتثال للبيانات
استفد من رؤى المعلومات الشخصية من الضوابط المذكورة أعلاه (اكتشاف البيانات وتصنيفها وفهرستها) لإنشاء سياسات امتثال وأتمتة لتلبية طلبات أصحاب البيانات. privacy policy الإشعارات، وتفضيلات الموافقة، وتفضيلات ملفات تعريف الارتباط الخاصة بالجهات الخارجية .
Securiti Data Command Center يُمكّن من حماية المعلومات الشخصية والامتثال للوائح
غالباً ما تُطبّق المؤسسات جميع هذه الضوابط المهمة على بياناتها في أقسام منفصلة باستخدام أدوات متنوعة. ونتيجةً لذلك، ينتج عن ذلك عدم اتساق البيانات، وصعوبات في التكامل، وتحديات في التعاون، وتكاليف تشغيلية إضافية، بل وحتى مخاطر أمنية.
يجب على المؤسسات أن تسعى جاهدة لمركزة هذه الضوابط، مما يتيح للإدارات المختلفة الوصول إلى المعلومات الشخصية واستخدامها وتحليلها من خلال مجموعة موحدة من الأدوات. Securiti Data Command Center تم ابتكارها لتوفير تحكم موحد لزيادة الكفاءة والتعاون وحماية البيانات والامتثال.
اطلب عرضًا تجريبيًا لمعرفة المزيد عن Data Command Center وكيف يمكن أن يساعدك ذلك في حماية المعلومات الشخصية وتلبية متطلبات الامتثال .
