Por qué no es necesario proteger los datos de prueba
El título de este artículo puede parecer contradictorio, pero no es tan conflictivo como podría pensar. Claro, todos sabemos que el Reglamento general de protección de datos (GDPR) nos prescribe proteger los datos personales, donde sea que estén. Entornos de producción, desarrollo, pruebas, control de calidad y formación: los datos se almacenan en todas partes. La mayoría de la gente asume que todos estos datos necesitan protección en todo momento, pero en realidad ese no es el caso. Los datos de prueba, por ejemplo, no siempre necesitan estar protegidos siempre que cumplan ciertas condiciones.
El Reglamento general de protección de datos (GDPR) establece que los datos personales solo pueden procesarse para el propósito para el que se recopilaron. Entonces, cuando un cliente realiza un pedido y completa su dirección, esta dirección es solo para enviarle el pedido. Si también desea utilizar la dirección con fines comerciales, el cliente debe otorgar un permiso específico para ello. Hay pocos o ningún dato que se recopile con fines de prueba o desarrollo, por lo que no se puede utilizar para esos fines. ¿Pero eso significa que no puede usar datos de producción para pruebas y desarrollo? ¡Afortunadamente no!
El GDPR abarca datos personales. De acuerdo con la sección de definiciones, los datos personales son “información relacionada con una persona física identificada o identificable. Una persona identificable es aquella que puede ser identificada, directa o indirectamente, en particular por referencia a un identificador como un nombre, un número de identificación, datos de ubicación, un identificador en línea o uno o más factores específicos de la naturaleza física, fisiológica, genética. , identidad mental, económica, cultural o social de esa persona física «. Pero, ¿qué pasaría si pudiéramos usar estos datos ‘personales’ de una manera que ya no sea rastreable hasta una persona física? Uno podría seguir llamándolo datos personales, pero ya no es sensible a la privacidad.
Imagine que desea probar un portal de cliente desarrollado recientemente. Para ello, necesitaría datos del cliente que contengan nombres, direcciones de correo electrónico, números de teléfono, etc. Mezclemos todos los nombres y apellidos: «Oliver» se convierte en «Harry», «Smith» se convierte en «Jones», y así sucesivamente. A continuación, generamos números de teléfono sintéticos. Después de eso, creamos nuevas direcciones de correo electrónico (basadas en la nueva combinación de nombre / apellido) y, por último, los campos en blanco que no necesitamos para realizar pruebas. En realidad, todavía tenemos datos personales y, por lo tanto, reales, pero con el uso de una plantilla de enmascaramiento (una lista de reglas de enmascaramiento en combinación con la generación de datos sintéticos) nos aseguramos de que los datos de prueba sean anónimos; no se puede rastrear a una persona física y, por lo tanto, ya no es sensible a la privacidad.
Piénselo: si los datos de su base de datos de prueba se mezclan de forma irreversible, se borran, se codifican y se sobrescriben parcialmente con datos sintéticos, si toda la información que queda no se relaciona con una persona física identificada o identificable, ¿por qué tratarla de esa manera?
De acuerdo a Considerando 26 del RGPD, el RGPD no se aplica a los datos anónimos: “Los principios de protección de datos no deben aplicarse a la información anónima; información que no se relacione con una persona física identificada o identificable «. De esto podemos concluir que los datos de prueba enmascarados o anonimizados no necesitan protección. ¡Está fuera del alcance del RGPD!
¿Cómo sabe que sus datos son completamente anónimos? Bueno, ¿cómo estás seguro de que no te comerá un oso hoy? Nunca estás 100% seguro. Pero puede hacer todo lo que esté a su alcance para eliminar todos los riesgos posibles. El primer paso en esto es analizar los datos. Cree un perfil de sus bases de datos para descubrir dónde y qué información confidencial se almacena. Los evaluadores suelen tener una buena comprensión del modelo de datos, por lo que es aconsejable incluirlos también en el proceso. Basándose en el análisis de datos, se pueden determinar las reglas de enmascaramiento requeridas y se puede construir la plantilla de enmascaramiento. Tenga en cuenta que esta no es una tarea rápida y fácil: cualquiera que le diga lo contrario nunca ha tenido que hacer el trabajo o no lo ha hecho a fondo. Requiere tiempo y un alto grado de diligencia, ya que cualquier omisión es un evento de seguridad de la información que debe subsanarse.
Contribuido por Nynke Hogeveen, miembro del equipo de DATPROF