Оценка воздействия на конфиденциальность

В 1970-х годах в США было создано направление по технологической оценке, инициированное офисом по оценке технологий. Такие оценки позволяли определять социальные последствия внедрения новых технологий. В этот же период появились и оценки воздействия на окружающую среду, как реакция на общественное движение экологистов 1960-х годов. Методологии этих двух видов оценки стали предшественниками оценки воздействия на конфиденциальность.

В конце 1980-х годов появилась декларация об оценке воздействия на конфиденциальность, которая была заметно уже по объёму, чем современный PIA. В 1990-х годах возникла необходимость измерять эффективность защиты данных в компаниях и организациях, особенно после массового перехода к хранению данных на компьютерных и электронных носителях.

С середины 1990-х годов PIA стали всё чаще применяться корпорациями и правительствами разных стран: Новая Зеландия, Канада, Австралия и США начали оценивать риски нарушения конфиденциальности в своих информационных системах. Многие другие страны и компании внедряют схожие системы для анализа рисков, связанных с данными^[2][3].

Оценка воздействия на конфиденциальность — это разновидность оценки воздействия, проводимая организацией (как правило, государственным органом или компанией, обладающей значительными объёмами чувствительных данных о гражданах). Организация анализирует свои бизнес-процессы, чтобы понять, как они могут влиять или угрожать конфиденциальности лиц, чьи данные обрабатываются.

Оценки воздействия на конфиденциальность систематически проводились различными подразделениями Министерства внутренней безопасности США (DHS)^[4][5] и многими другими организациями.

Оценка воздействия на конфиденциальность призвана решать три ключевые задачи:

• обеспечить соответствие правовым, нормативным и организационным требованиям в области защиты персональных данных;
• выявить и оценить возможные риски и последствия;
• определить альтернативные методы и процессы для снижения потенциальных рисков.

Отчёт об оценке воздействия на конфиденциальность фиксирует основные компоненты предлагаемой информационной системы, содержащей значительные объёмы персональных данных, и указывает, как следует управлять сопутствующими рисками для конфиденциальности. Иногда PIA охватывает не только отдельную систему, но и потенциальные последствия для затронутых лиц^[6].

Поскольку PIA является инструментом оценки способности организации обеспечивать защиту конфиденциальной информации, она должна проводиться в каждом случае, когда организация располагает личными данными сотрудников и/или клиентов (например, имя, возраст, телефон, электронная почта и прочее).

PIA также проводится при наличии у организации иной чувствительной информации либо когда происходят изменения в системах защиты, способных создать риск утечек персональных данных^[7][8].

По данным доклада на Международном конгрессе специалистов по конфиденциальности, PIA обеспечивает ряд преимуществ^[9]:

• служит системой раннего предупреждения, позволяя выявить проблемы до внедрения изменений;
• предотвращает дорогостоящие и репутационные потери, связанные с ошибками в сфере конфиденциальности;
• доказывает стремление организации к снижению рисков (что уменьшает юридическую ответственность, негативную публичность и ущерб репутации);
• улучшает процессы принятия решений на этапах разработки;
• способствует росту доверия со стороны клиентов и пользователей;
• демонстрирует сотрудникам, партнёрам, клиентам и гражданам серьёзное отношение к защите данных.

Стандартный процесс проведения оценки воздействия на конфиденциальность состоит из четырёх этапов^[7][8]:

1. Начало проекта: определение объёма процедуры PIA, при недостатке подробной информации на ранних стадиях возможна предварительная оценка, которую затем заменяет полноформатное исследование.
2. Анализ потоков данных: картирование процессов, связанных с обработкой персональных данных, выявление точек хранения и перемещения информации, построение схемы распространения данных в организации.
3. Анализ конфиденциальности: анкетирование персонала, задействованного в работе с персональными данными, проведение последующих проверок по подозрительным или неясным вопросам, обсуждение возникающих проблем.
4. Составление отчёта: документирование выявленных рисков и потенциальных последствий, а также текущих и возможных мер по их снижению.

По закону о развитии электронного правительства 2002 года (раздел 208), федеральные агентства США обязаны проводить PIA для электронных информационных систем и проектируемых процессов сбора данных. PIA — это инструмент, позволяющий выявлять и документировать вопросы по защите персональных данных, а также подтверждать, что эти вопросы были учтены должным образом. Процедура также помогает системным владельцам оценить воздействие на конфиденциальность на ранних этапах разработки (в рамках жизненного цикла систем; SDLC) и определить, достижимы ли цели проекта без ущерба для прав граждан^[10].

Общий регламент по защите данных (GDPR) обязывает проводить оценку воздействия на защиту данных (англ. Data Protection Impact Assessment, DPIA) в установленных случаях.

Разработано открытое программное обеспечение для проведения оценки воздействия на конфиденциальность (PIA англ. CNIL)^[11], позволяющее интуитивно и прозрачно анализировать последствия принимаемых решений в области обработки персональных данных. Этот инструмент полностью открыт и размещён на GitHub^[12], доступен для дальнейшего совершенствования и доработки.

Разработка предназначена преимущественно для операторов персональных данных, знакомых с процедурой PIA. Есть отдельная версия для автономного (offline) запуска, а также возможность работы через собственные серверы и интеграции с существующими внутренними системами.