数据合规性和数据隐私之间的区别

2022-02-10家修

计算机与网络 2022年23期

家修

在处理用户数据时，数据合规性和数据隐私都很重要，需要详细了解數据合规性和数据隐私之间的区别。在部署任何保存客户或用户数据的应用程序时，数据合规性和数据隐私都是需要考虑的重要领域。然而，这2个数据管理领域有时会被误解。

数据合规性

数据合规性是指满足有关数据收集、处理和存储的某些法律义务的要求。例如，在欧洲拥有客户的公司必须遵守通用数据保护条例（GDPR）。这是一个法律框架，赋予消费者查看公司持有的关于他们的哪些数据、反对公司处理这些数据以及要求公司删除这些数据的权利。同样，在加利福尼亚州拥有客户的公司必须遵守加利福尼亚州消费者隐私法（CCPA）。

除了GDPR/CCPA之外，其他合规框架的示例还包括健康保险流通与责任法案（HIPAA）、SOC 2审计框架和ISO/IEC 27001标准。这可能包括公司为确保数据合规性而制定的一套政策、程序和审计。

数据隐私

数据隐私涉及保持敏感数据的私密性和机密性。在数据合规性是数据管理法律方面的情况下，保持数据私密性是一个实际/技术问题。隐私计划的目标是提倡数据隐私并确保只有授权用户才能在需要知道的基础上查看数据。它包括超出典型合规计划的元素。

数据隐私通常适用于任何个人身份信息（PII），即可用于识别某人身份的任何数据。社会安全号码、电子邮件地址、IP地址等都可以视为PII。争取数据隐私的公司需要采取措施来保护这些数据的机密性，即使合规性不需要，也要提倡保护与数据相关的个人隐私。数据隐私确保机制到位，以保证只有授权人员才能访问数据。

存储敏感数据

关于数据合规性和数据隐私的一种误解是，公司无法使用任何第三方工具存储其数据，因此必须求助于“内部”解决方案。第三方工具可能具有强大的访问控制和安全性，这些工具已经过SOC 2和ISO/IEC 27001等第三方框架的严格审核———而“内部”数据存储可能允许许多员工通过没有任何可靠审计日志记录的通用root密码，远不合规。相反，工程师必须评估工具，以确保采用正确的机制来满足安全和数据合规性标准。如果公司不对内部工具应用与外部工具执行相同的安全严格标准，数据泄露的可能性就会上升。

合规性不仅仅是一个工程问题

GDPR、SOC 2和其他框架是法律和运营框架。虽然它们严重影响工程，但这些框架从法律、销售和支持方面影响公司的整个运营。如果一家公司需要与另一家企业合作，法律文件将为他们铺平道路。在AWS中设置“安全”环境并不意味着符合SOC 2。将数据存储在“内部”数据库中并不意味着符合GDPR，因为支持和销售等团队需要执行操作程序。

为遵守GDPR，2家公司可能会签署一份称为“数据处理附录”的法律文件，该文件定义了不同方之间如何处理和保护数据。它将定义谁是数据控制者、谁是数据处理者、数据的处理方式、数据泄露期间的SLA和程序等。该协议应涵盖所有可归类为PII的数据，并确保其符合相关法规的要求。

以GDPR为例，这意味着需要有一个流程来满足个人访问、反对和要求删除其数据（无论数据存储在何处）的要求。

保持数据私密

遵守GDPR或SOC 2并不一定意味着数据是私有的，无论数据是存储在第三方工具中，还是内部解决方案中。数据隐私是一门“超越”合规框架的艺术，可以尽一切努力确保客户数据的隐私。

有几种不同的方法可以确保数据隐私。例如，Moesif平台有一个称为“隐私规则”的功能，它使您能够使用基于角色的访问控制（RBAC）在需要知道的基础上限制对某些字段的访问。例如，您可以创建隐私规则，确保技术支持人员无法查看或检查敏感的HTTP标头或PHI（受保护的健康信息）———而分析师可能需要额外的访问字段来进行报告。

保持数据私密性的第2种方法是通过客户端加密，这是降低数据泄露风险和改善数据隐私状况的最新趋势。客户端加密使您能够使用一组只有极少数员工才有权访问的轮换加密密钥来加密数据。维护底层数据基础设施和处理管道但没有查看实际数据业务需求的工程师，只要他们无权访问加密密钥就无法查看。