Несмотря на то, что многие руководители громко заявляют, что данные являются их самым ценным активом, большинство организаций не относятся к ним как к таковым. Управление данными как реальным активом включает в себя не только их сбор, организацию и хранение, но и знание того, когда их нужно сохранять, а когда уничтожать.
Похоже, что корпоративные данные воспринимаются как нечто неосязаемое, которое слишком трудно контролировать и которым невозможно надежно управлять. Тем не менее, не секрет, что проблемы управления данными в современном деловом мире могут быть пугающе сложными, и большинство организаций всё ещё испытывает трудности с тем, чтобы держать свои данные под контролем. Однако для того, чтобы разработать подходящее решение, мы должны понять, откуда исходит проблема.
1. Отсутствие видимости. Если организации не могут видеть свои данные или не понимают, как они используются, им трудно принимать обоснованные решения о том, как управлять данными и защищать их. Это может привести к неправильному управлению ценными данными (такими как персональные данные, коммерческая тайна или чувствительная финансовая информация), и, как следствие, к значительным рискам для данных и к проблемам с соблюдением законодательно-нормативных требований.
2. Изолированные хранилища данных. Когда данные разбросаны по разным системам и департаментам, многие организации испытывают трудности с эффективным управлением ими и с их защитой. Это может привести к дублированию данных, их неоднородному качеству и к трудностям с получением доступа к данным, когда это необходимо.
3. Отсутствие стратегического управления. Без практичной концепции стратегического управления данными, поддерживаемой политиками и процедурами, организации не в состоянии последовательно и прозрачно управлять данными. Это может привести к непониманию того, кто владеет данными и несёт ответственность за них, а также вопроса о том, как ими следует управлять и обеспечивать их безопасность. В результате организации могут оказаться неспособными принимать обоснованные решения в отношении своих данных, а также выявлять и снижать риски до того, как они перерастут в проблемы.
«Защитимое уничтожение» ведёт к чрезмерному накоплению корпоративных данных
На фоне всего сказанного растущую озабоченность вызывает чрезмерно длительное хранение данных, влияющее на коммерческие предприятия и организации во всем мире. Хотя хранение данных в течение более длительного периода времени может показаться хорошей идеей, однако в конечном итоге это приводит к чрезмерному накоплению данных, что, в свою очередь, создаёт значительные риски и проблемы с исполнением законодательно-нормативных требований. Управление унаследованными данными всегда было для компаний непростой задачей, но в условиях экспоненциального роста потребления данных (объёмы удваиваются каждые два года) справиться с этой проблемой становится всё труднее. Чем дольше компании откладывают усилия по смягчению или устранению связанных с данными рисков, тем хуже становится ситуация. «Пинать банку дальше по дороге» (т.е. откладывать решение проблемы на потом – Н.Х.) больше нельзя, поскольку теперь «банка» пинается в ответ.
Федеральные, региональные (штатов США) и местные нормативно-правовые акты, предписывающие хранить определенные деловые документы в течение различных периодов времени, могут быть сложными, запутанными и даже противоречивыми. Несоблюдение этих законодательно-нормативных требований может привести к значительным штрафам, судебным искам и ущербу для репутации. Исторически сложилось так, что организации приняли на вооружение идею «защитимого уничтожения» (defensible disposal – семантика термина говорит о возможности оправдать законность и добросове6стность своих действий по уничтожению документов, если таковые будут поставлены под сомнение в ходе судебных разбирательств или расследований – Н.Х. ) с целью избежать преждевременного уничтожения критически-важных деловых документов.
Защитимое уничтожение изначально было разработано для обеспечения того, чтобы любые отбираемые на уничтожение данные прошли строгий процесс проверки, учитывающий юридические, делопроизводственные и деловые соображения, прежде чем будет дано разрешение на проведение их уничтожения. Однако [немалые – Н.Х.] время и ресурсы, необходимые для проведения этого процесса, в сочетании с пониманием того, что затраты на хранение сейчас невелики, заставили многие компании пойти по пути наименьшего сопротивления и просто приобретать больше пространства для хранения данных вместо выполнения строгого процесса получения разрешения на уничтожение. В результате по всему миру компании почти во всех отраслях стали накапливать данные, сохраняя огромные объемы данных, которые больше не представляют ценности для деловой деятельности, но создают значительные риски и проблемы, связанные с исполнением законодательно-нормативных требований.
Хранение данных существенно дольше срока их хранения рассматривалось как выгодное для деловой деятельности, в надежде на получение дополнительной отдачи в будущем за счет обработки больших и богатых наборов данных, которые также могут сохранить свою ценность в будущем. Однако ожидаемое соотношения риска и полезной отдачи так и не материализовалось. Избыточные данные, отложившиеся в рамках чрезмерного накопления данных, привели к следующим последствиям:
- Снижение эффективности оперативной деловой деятельности;
- Рост объёмов данных и количества систем, необходимых для исполнения различных законодательно-нормативных требований;
- Увеличение видов возможных атак, что ведёт к росту вероятности взломов и утечек;
- Более высокие, чем ожидалось, затраты на хранение данных, резервное копирование, мониторинг, защиту данных, на раскрытие данных и на проведение расследований.
Контролирующие органы теперь наказывают за чрезмерно длительное хранение
За последние несколько лет произошел серьёзный сдвиг, связанный с тем, что контролирующие органы теперь рассматривают чрезмерно длительное сохранение персональных данных как серьёзное нарушение требований к защите персональных данных. Этот сдвиг в значительной степени был вызван «Общими правилами защиты персональных данных» Евросоюза (General Data Protection Regulation, GDPR, https://eur-lex.europa.eu/legal-content/EN/TXT/?qid=1532348683434&uri=CELEX:02016R0679-20160504 ), которые ввели «право быть забытым» и проложил дорогу к новому поколению прав на неприкосновенность частной жизни. В результате многие штаты США последовали этому примеру, приняв законы на основе идей GDPR, а контролирующие и регулирующие органы, такие как Федеральная комиссия по торговле (FTC), Комиссия по ценным бумагам и биржам (Securities and Exchange Commission, SEC) и генеральные прокуроры штатов, выпустили новые руководства по хранению данных. Правила игры изменилась, и прежняя практика «сохранять всё навсегда, на всякий случай…» уже не является приемлемой.
В прошлом году одна из крупнейших медицинских страховых компаний США столкнулась со значительными штрафами из-за масштабной утечки данных, связанной с сохранением больших объемов медицинских документов пациентов, которые в течение многих лет активно не использовались и в отношении которых не было никаких деловых требований, оправдывавших дальнейшее сохранение ставших ненужными данных. Страховая компания сначала была оштрафована Генеральным прокурором Нью-Йорка на 500 тысяч долларов, а затем Департаментом финансовых услуг Нью-Йорка (New York Department of Financial Services, NYDFS) ещё на 4,5 миллиона долларов, что в сумме составило 5,1 миллиона долларов. Более того, в уведомлении страховой компании о её практике защиты персональных данных говорилось, что она удалит информацию о здоровье пациента, как только она перестанет быть нужной для деловых целей.
Недавний отчет юридической фирмы Norton Rose Fulbright о положении дел с защитой персональных данных (Data Protection Report) ««Прощай, бессрочное хранение»: В приказе по поводу согласий FTC запрещает бессрочное хранение защищаемой медицинской информации (Protected Health Information, PHI)» (“Forever and Forever, Farewell”: FTC Prohibits Indefinite Retention of PHI in Consent Order, https://www.dataprotectionreport.com/2023/02/forever-and-forever-farewell-ftc-prohibits-indefinite-retention-of-phi-in-consent-order/ ), подчеркнул требование FTC к компании GoodRx (чью практику обработки персональных данных FTC расследовала после получения жалобы от общественной организации – Н.Х.) внедрить перечень данных с указанием сроков их хранения, не допускающий «бессрочного хранения какой-либо защищенной информации».
Кроме того, проведенные NYDFS расследования недавних утечек корпоративных данных также выявили нарушения, связанные с чрезмерно длительным хранением, когда было обнаружено, что пострадавшие от утечек компании сохраняют данные об уже ушедших от них клиентах или пациентах, несмотря на то, что у них больше нет законных деловых оснований для этого. Департамент NYDFS также обнаружил тревожную тенденцию, когда несколько директоров по информационной безопасности (Chief Information Security Officer, CISO) из крупных финансовых и медицинских страховых компаний были признаны «ложно засвидетельствовавшими исполнение законодательно-нормативных требований» в связи с тем, что они не внедрили важнейшие меры и средства контроля и управления, и в том числе не выполнили требований о «внедрение политик и процессов для безопасного уничтожения чувствительной информации в случае, когда уже нет законной деловой цели или нормативно-правового требования сохранять её».
Защитимое сохранение - современный подход к минимизации данных
Независимо от того, было ли это мотивировано новыми законодательно-нормативными требованиями или недавними осознаниями в ходе деловой деятельности, сохранение больших объёмов данных на неопределенный срок создает неприемлемые деловые риски. Очевидно, что минимизация хранимых Вами данными имеет смысл для деловой деятельности. Генеральный директор и основатель компании по анализу связанных с данными рисков NVISIONx ( https://www.nvisionx.ai/ ) Глен Дэй (Glen Day) предложил концепцию «защитимого сохранения» (defensible retention - в противовес популярной концепции «защитимого уничтожения» - Н.Х.). Он подчеркивает, что защитимое сохранение предлагает упреждающую стратегию эффективного управления, защиты и стратегического управления данными как активами или пассивом на протяжении всего их жизненного цикла. Хотя реализация этого подхода может представлять определенные трудности, недавний прогресс в области решений для стратегического управления данными сделал управление корпоративными данными как осуществимым, так и жизнеспособным.
Хотя существует большое количество технологий стратегического управления данными, однако многие продукты не обеспечивают истинно корпоративного подхода к стратегическому управлению данными. Ниже перечислены некоторые ключевые возможности, которые Вам необходимы для обеспечения того, чтобы выбранное вами решение соответствовало Вашим целям в плане управления рисками данных и исполнения законодательно-нормативных требований:
- Полная инвентаризация данных: В отличие от инструментов поиска и раскрытия данных (data discovery), которые ищут и находят любые интересующие Вас данные, - эти инструменты, которые проводят полную инвентаризацию данных, а также информируют Вас о данных, о существовании которых Вы не знали, играют ключевую роль для создания каталога корпоративных данных. Идеальное решение должно быть способно работать с любыми данными, независимо от того, где они хранятся или насколько велики объёмы Ваших данных.
- Контекстуальные классификации. После взятия данных на учёт, каждый файл и каждая таблица базы данных должны быть классифицированы с тем, чтобы определить уровни конфиденциальности содержащихся в них данных на основе Вашей корпоративной политики классификации данных. Однако, чтобы быть эффективными и полезными, такие классификации должны включать достаточный деловой контекст с тем, чтобы было ясно не только то, насколько конфиденциальными могут быть данные, но и почему они являются конфиденциальными с точки зрения деловой деятельности. В контексте деловой деятельности типовой гриф «конфиденциально» будет не слишком полезен, в том числе для выполнения на его основании каких-либо действий.
- Интеграция служб каталогов. Попытки установить или назначить владельцев данных или ответственных за данные посредством проведения собеседований или опросов будут неэффективными. Правильное решение для стратегического управления данными должно поддерживать интеграцию всех Ваших разнообразных служб каталогов, чтобы автоматизировать процесс установления того, какие деловые подразделения являются владельцами данных. У каждого файла и у каждой базы данных должен быть четко установленный владелец.
- Интеграция систем хранения документов. Многие системы хранения документов имеют ограниченные возможности, в первую очередь из-за исторически сложившегося отсутствия надзора. Однако, как только в этих системах начинают поддерживаться надёжные перечни с указанием сроков хранения, решение по стратегическому управлению данными должно иметь возможность интегрировать и использовать сроки хранения, установленные для каждого набора данных.
- Интеграция с системой исполнения временных запретов на уничтожение: В качестве критически-важной функции проверки перед отбором каких-либо данных на уничтожения, данные следует проверить на наличие относящихся к ним действующих запретов на уничтожение, обеспечивая тем самым, что никакие контролируемые данные не будут непреднамеренно уничтожены.
- Автоматизация рабочих процессов: Обработка объёмных и разнообразных запросов на уничтожение данных может быть сложной и трудоемкой задачей, поэтому ключевое значение имеет наличие возможностей для автоматизации рабочих процессов, обеспечивающих эффективность процессов и тесное взаимодействие ряда заинтересованных сторон.
Чрезмерное накопление и избыточно длительное хранение данных представляет значительные риски для деловой деятельности, особенно когда речь идет о неприкосновенности частной жизни клиентов, пациентов и сотрудников. По мере того, как контролирующие и судебные органы все больше внимания уделяют используемым компаниями защитимых практикам сохранения данных, становится ясно, что уничтожение ставших ненужными данных становится критически важной функцией при управлении рисками.
Защитимое сохранение представляет собой значительный отход от традиционного способа, применявшегося компаниями для обработки данных. Применяя передовые решения для стратегического управления данными, которые используют Ваши существующие технические инвестиции и автоматизируют Ваши административные политики, установление контроля над ценными данными и уничтожение данных с истекшим сроком хранения перестаёт быть неподъёмно сложной задачей. Признавая данные активом и применяя стратегию защитимого сохранения, организации могут лучше управлять своими активами данных, снижать риск утечки данных и неисполнения законодательно-нормативных требований, а также лучше поддерживать достижение своих деловых целей.
Дуглас Лэйни (Douglas B. Laney)
Источник: сайт Forbes
https://www.forbes.com/sites/douglaslaney/2023/06/13/the-data-purge-an-era-of-defensible-retention-and-data-minimization/
Комментариев нет:
Отправить комментарий