Що таке персональні дані (PII)?
Персональні дані (PII) – це будь-які дані, які можуть бути використані самостійно або в поєднанні з іншою інформацією для ідентифікації особи, зв’язку з нею, або визначення її місцезнаходження. Прикладами PII є повне ім’я, номер соціального страхування, номер паспорта, номер водійського посвідчення та біометричні дані.
Персональні дані є критично важливими, оскільки вони лежать в основі приватності, безпеки та довіри у світі, який стає все більш об’єднаним. Широкомасштабний збір та обробка персональних даних бізнесом, урядами та онлайн-платформами підвищує ризики крадіжки персональних даних, шахрайства та витоку інформації. Надійний захист персональних даних має важливе значення не лише для дотримання нормативних вимог, як GDPR, але й для збереження довіри клієнтів та захисту індивідуальних прав в епоху стрімкого технологічного прогресу.
Типи персональних даних
Персональні дані можна умовно поділити на дві основні категорії за ступенем ідентифікації: прямі ідентифікатори та непрямі (або квазі) ідентифікатори.
Прямі ідентифікатори
Це інформація, яка може безпосередньо та однозначно ідентифікувати особу без необхідності додаткових даних. До прямих ідентифікаторів належать:
- Повне юридичне ім’я, наприклад, Петренко Григорій Остапович
- Номер паспорта
- Водійські права або номер посвідчення особи
- Номер особистого телефону
- Адреса електронної пошти
- Біометричні дані (наприклад, відбитки пальців, сканування сітківки ока, дані розпізнавання обличчя)
- Номери кредитних карток або банківських рахунків
- Фотографії в повний зріст
Непрямі (квазі) ідентифікатори
Ця інформація не ідентифікує особу безпосередньо, але може зробити це в поєднанні з іншими даними. Ось кілька поширених типів непрямих ідентифікаторів з прикладами:
- Демографічна інформація: Дата народження, стать, етнічна приналежність, вік або сімейний стан
- Географічна інформація: Поштова адреса, поштовий індекс, місто народження або історія подорожей
- Історія освіти: Назва навчального закладу або отриманий ступінь
- Дані про зайнятість: Посада, компанія, місцезнаходження офісу
- Інформація про пристрій: IP-адреса, MAC-адреса, ідентифікатор пристрою (залежно від контексту та юрисдикції)
- Поведінкова інформація: Історія покупок, звички перегляду вебсторінок
Нові типи PII
З розвитком технологій нові типи інформації все частіше розглядаються як PII:
- Цифрові ідентифікатори: Рекламні ідентифікатори, MAC-адреси
- Поведінкові дані: Історія переглядів, пошукові запити
- Генетична інформація: Профілі ДНК
Конфіденційні та неконфіденційні персональні дані
Конфіденційні PII
Конфіденційні PII – це дані, розголошення або компрометація яких може спричинити значну шкоду, незручність, фінансові збитки або юридичну відповідальність для особи. Приклади містять:
- Номери паспорта та водійських прав
- Реквізити банківських рахунків та кредитних карток
- Медичні записи (також вважаються PHI), наприклад, діагноз діабету в системі охорони здоров’я
- Юридичні записи (судимість, імміграційний статус)
- Біометричні дані (відбитки пальців, сканування сітківки ока)
- Фотографії анфас (у певних випадках)
- Дані про місцезнаходження (координати GPS, відстеження в режимі реального часу)
Неконфіденційні PII
Неконфіденційні PII – це дані, які є загальнодоступними або навряд чи завдадуть серйозної шкоди в разі їх розголошення. Прикладами є:
- Повне ім’я (без інших ідентифікаторів)
- Робоча контактна інформація (робочий телефон, електронна пошта компанії)
- Посада або приналежність до компанії
- Загальні демографічні дані (раса, стать, якщо вони не поєднані з іншими ідентифікаторами)
Неконфіденційні PII становлять низький ризик окремо, але можуть підвищувати ризик у поєднанні з іншими наборами даних (агрегація даних).
Як відбувається компрометація PII?
PII є основною мішенню для кіберзлочинців, оскільки вони можуть бути використані для фінансового шахрайства, крадіжки персональних даних та корпоративного шпигунства. Розуміння поширених способів компрометації PII допоможе організаціям і приватним особам краще захистити їх.
Поширені вектори загроз
Зловмисники часто отримують доступ до персональних даних використовуючи:
- Фішинг – фейкові електронні листи або вебсайти, які виманюють у користувачів облікові дані для входу в систему або особисті дані. Вони часто маскуються під законні повідомлення від банків, роботодавців або постачальників послуг.
- Шкідливе програмне забезпечення – шкідливе програмне забезпечення (наприклад, кейлогери, шпигунські програми, програми-вимагачі), встановлене на пристрої, може перехоплювати натискання клавіш, викрадати збережені облікові дані або файли, а також відкривати бекдори для подальшого доступу.
- Соціальна інженерія – зловмисники маніпулюють людьми, видаючи себе за ІТ-персонал, використовуючи інформацію з соціальних мереж, щоб завоювати довіру, і переконуючи співробітників надати доступ до системи або обійти протоколи.
- Слабкі практики безпеки – зловмисники також можуть отримати доступ до PII, використовуючи погану гігієну паролів, невиправлене або застаріле програмне забезпечення, незахищені API або сторонні сервіси та неправильно налаштоване хмарне сховище (наприклад, відкриті S3-бакети).
Захист персональних даних
Найкращі практики для користувачів
| Практики | Деталі |
| Використання надійних, унікальних паролів. | Слід обирати довгі паролі. За можливості використовувати парольні фрази. Створювати складні паролі з комбінацією літер, цифр і символів. Ніколи не використовувати один і той самий пароль для кількох платформ. |
| Увімкнення багатофакторної автентифікації (MFA). | MFA додає другий рівень захисту, окрім пароля. Поширені типи: SMS-коди, додатки-аутентифікатори та біометрія. |
| Шифрування особистих даних. | Використовувати повнодискове шифрування на пристроях (наприклад, BitLocker, FileVault). Шифрувати конфіденційні файли та комунікації (наприклад, за допомогою PGP або месенджерів з наскрізним шифруванням). |
| Уникнення фішингу та соціальної інженерії. | Не натискати на невідомі посилання та не відкривати підозрілі вкладення. Перевіряти дані відправника електронної пошти та URL-адреси перед відповіддю. |
| Захист пристроїв. | Оновлювати операційні системи, браузери та антивірусне ПЗ. Використовувати блокування екрана та автоматичне вимкнення на мобільних і настільних пристроях. Вимикати Bluetooth і спільний доступ до геолокації, коли вони не потрібні. |
Протоколи обробки корпоративних даних
| Сфера | Найкращі практики |
| Класифікація даних і контроль доступу | Класифікація даних за рівнем конфіденційності (наприклад, публічні, внутрішні, конфіденційні, обмежені). Надання доступу за принципом найменших привілеїв. |
| Картографування та облік PII | Ведення актуального обліку місць зберігання, обробки та передачі персональних даних. Це допомагає забезпечити відповідність нормативним вимогам, як GDPR. |
| Навчання працівників і підвищення обізнаності | Проведення регулярних навчань з питань конфіденційності даних, фішингу та безпечної обробки PII. Включення модулів, орієнтованих на конкретні ролі, для команд HR, ІТ та обслуговування клієнтів. |
| Шифрування під час передачі та зберігання | Використання TLS/SSL для безпечної передачі даних. Шифрування бази даних і системи зберігання для захисту даних у стані спокою. |
| Журнали доступу та моніторинг | Ведення журналів доступу до конфіденційних даних і відстеження аномалій. Використання системи управління інформацією та подіями безпеки (SIEM) для отримання сповіщень у реальному часі. |
| Мінімізація даних і політики зберігання | Збереження лише необхідних даних. Регулярний перегляд та видалення застарілих або непотрібних PII. |
Зменшення поверхні атаки
| Практика | Деталі |
| Мінімізація збору даних | Збір лише необхідних персональних даних; оцінка співвідношення ризику та цінності кожного елемента даних. За можливості – анонімізація або псевдонімізація. |
| Обмеження обміну даними | Уникнення передачі конфіденційних даних між системами або третім сторонам без належних контрактів і шифрування. За доцільності – використання токенізації або маскованих ідентифікаторів. |
| Оновлення та патчинг систем | Підтримання актуального стану програмного забезпечення, мікропрограм і засобів безпеки для усунення відомих вразливостей. |
| Сегментація мережі | Розділення мереж за бізнес-функціями (наприклад, фінанси та операційна діяльність) для обмеження поширення потенційних порушень. |
| Модель безпеки Zero Trust | Аутентифікація та авторизація кожного користувача, пристрою та застосунку незалежно від розташування. Постійна перевірка довіри з припущенням наявності загрози. |
Наслідки для організацій, які неправильно поводяться з персональними даними
Штрафи та регуляторні санкції
Організації, які не дотримуються законів про захист даних, можуть бути оштрафовані на значні суми. Наприклад:
- GDPR (ЄС) – штрафи до 20 мільйонів євро або 4% від глобального річного обороту (залежно від того, яка сума більша). Приклади включають British Airways (штраф у розмірі 20 млн фунтів стерлінгів) та Marriott International (штраф у розмірі 18,4 млн фунтів стерлінгів).
Колективні позови та врегулювання
Постраждалі від витоку даних часто ініціюють колективні позови, де врегулювання може коштувати мільйони у вигляді виплат, судових витрат та операційних змін.
Витрати на усунення наслідків
Витрати після порушення включають реагування на інциденти, криміналістику, зв’язки з громадськістю, інформування клієнтів та кредитний моніторинг. Згідно зі звітом IBM про вартість витоку даних за 2024 рік, середня вартість витоку становить 4,45 мільйона доларів США.
Пошкодження репутації та втрата довіри клієнтів
- Ерозія бренду. Новини про порушення швидко поширюються, завдаючи шкоди публічному іміджу компанії. У такій ситуації втрата ділової репутації може тривати роками або бути незворотною.
- Втрата клієнтів. Клієнти можуть перейти до конкурентів, які сприймаються як більш безпечні. Особливо вразливими до відтоку клієнтів є компанії в таких галузях, як фінанси, охорона здоров’я чи електронна комерція.
- Втрата конкурентних переваг. Організації, що зазнали кібератаки, можуть втратити комерційну таємницю, службову інформацію або зіткнутися з перебоями в роботі.
- Зниження ринкової вартості. Публічні компанії часто стикаються з падінням цін на акції після оголошення про витік даних. За цим можуть слідувати судові позови акціонерів, особливо якщо йдеться про недбалість.
Про Netwrix Data Classification
Ідентифікація та захист PII має важливе значення для уникнення дорогих порушень та забезпечення відповідності суворим правилам безпеки даних, таким як GDPR. Однак персональні дані часто розпорошені в різних середовищах даних, що робить ручну ідентифікацію складною і схильною до помилок.
Рішення Netwrix Data Classification дозволяє організаціям точно ідентифікувати, класифікувати та захищати конфіденційні дані, включаючи PII. Цей процес допомагає їм зменшити ризики, пов’язані з даними, забезпечити відповідність нормативним вимогам і підвищити операційну ефективність. Ключові можливості, пов’язані з PII, включають:
- Автоматичне виявлення: використовує заздалегідь визначені та настроювані правила для виявлення різних типів PII у локальних файлових сховищах, SharePoint, хмарних сховищах тощо.
- Категоризація даних: тегування файлів на основі конфіденційності та типу вмісту (наприклад, фінансові дані, дані про здоров’я), що допомагає визначити пріоритети захисту на основі ризиків.
- Нормативне мапування: підтримує відповідність нормативним актам, таким як GDPR, шляхом зіставлення PII з юридичними вимогами та впорядкування аудитів і звітності.
- Зниження ризиків: виявляє надмірно відкриті або неправильно керовані PII (наприклад, дані, що зберігаються в загальних папках або мають широкий доступ), і підтримує виправлення ситуації шляхом інтеграції з Netwrix Auditor та іншими рішеннями DLP/IRM.
- Обробка запитів на доступ до суб’єкта даних (DSAR): прискорює обробку DSAR, швидко знаходячи всі PII, пов’язані з особою, в різних сховищах.
