存储
浏览PII数据保护和GDPR以满足隐私要求
了解围绕个人身份信息的共性，以便更好地导航和遵守IT管理人员目前必须应付的规则和处罚。
欧盟的GDPR自2018年5月25日起生效。每一家收集欧盟或英国居民个人身份信息的企业或组织都将受到其要求和处罚。除了GDPR，还有许多其他PII法律和法规组织必须遵守，否则将面临严厉的处罚。
与GDPR相关的PII不合规罚款已被取消在过去的一年里很严酷．例如，新加坡2012年的《个人数据保护法》、日本的《个人信息保护法》和加州2018年的《消费者隐私法》也有严厉的罚款。不合规意味着受托人不负责任，这可能导致企业失败和潜在的监禁。这意味着PII数据保护不是可选的，而是必不可少的。
在GDPR一周年之际，欧洲数据保护委员会报告了500000多名注册数据保护官员、280000多起案件和144000起投诉、89000多起数据泄露通知和446多起跨境案件。罚款额超过5600万欧元。
更重要的是，GDPR并不孤单当涉及到PII遵从性时．目前，全球已有数十项PII数据保护法律法规，更多法规正在制定中。与所有这些组织保持一致需要全职的努力，特别是对于在全球范围内开展业务的组织。
值得注意的是，许多国家已经调整了它们的PII数据保护法律和法规，以与欧盟的GDPR保持一致。GDPR包括跨境规定这鼓励了结盟。这使得本土组织更容易在欧盟开展业务。大多数不属于欧盟的欧洲国家，以及那些位于北非和环太平洋地区的国家，已经或正在与GDPR结盟，因为GDPR通常被视为PII金本位。
然而，IT组织必须注意一些重要的差异。例如，如果一家企业收集俄罗斯居民的信息，那么包含这些信息的所有数据库都必须留在俄罗斯。如果不这样做，网站将被封锁，罚款，并可能导致业务被禁止在该国。
碎片化和市场壁垒已经出现PII要求随着数据跨境流动，国际业务面临越来越大的挑战。这些法律、法规和处罚之间存在实质性差异。幸运的是，这些法律之间的巨大共同点应该有助于IT部门更有效地应对法律、规则、法规和罚款不断增加的迷宫。
一般PII共性
虽然不是一个全面的清单，但下面是IT组织应该注意的最常见的共性。你需要关注的不仅仅是这些。这将取决于你在哪个国家做生意。
PII责任。需要有人负责PII法律法规的合规性。无论他们被授予什么头衔——数据保护官（DPO）、首席安全官（CSO）或其他什么——他们都是主要责任人用于所有PII数据保护和合规性。该角色可以承担PII责任以外的其他责任。
管理同意。这在GDPR和与GDPR相一致的法律法规以及美国和加拿大等国家之间可能会有所不同。同意有三个问题:
- 选择进入与退出。GDPR规定，必须征得同意，或者——换句话说——个人必须选择加入。美国和加拿大允许默示同意只要求个人可以选择退出。总是采用选择性加入程序是更安全、更明智的做法。在这两种情况下，都需要选择退出。
- PII收集的目的。在收集数据时必须有一个定义好的用例。如果该用例消失，则必须删除PII数据，并且不能重新使用。这是PII数据保护中最具争议的方面之一，因为这通常意味着PII数据不能出售。
- 用户同意的文件。这些信息必须根据不同的PII法律法规的要求提供。
目前，全球已有数十项PII数据保护法律法规，更多法规正在制定中。与所有这些组织保持一致需要全职的努力，特别是对于在全球范围内开展业务的组织。
访问权．IT组织必须根据要求提供其组织对任何给定个人的个人身份信息的完整核算。这需要一个组织知道它拥有什么信息，这是哪里并且能够在30天或更短的时间内获得一份副本。
为非结构化数据做到这一点比看起来要难。在数据库中查找PII并不困难，但其中一些信息是存在于数据中心中的非结构化数据，更有可能是存在于笔记本电脑边缘的数据。发现非结构化数据中的PII需要知道在哪里寻找和搜索工具，可以看到元数据和数据本身。在有大量笔记本电脑的情况下集中执行这一操作并不容易。
完成此任务的一种方法是使用备份。因为备份往往是集中式的，所以备份具有最新的个人身份信息。您必须装入数据并使用数据搜索工具来定位正确的PII数据。
备份供应商Druva与电子发现合作伙伴Actifio、Cohesity、Commvault和Rubrik可以有效地做到这一点。此外，Cloudtenna DirectSearch可以搜索来自任何备份供应商的任何挂载数据。
您还可以使用数据管理软件来聚合、收集、解析、分类、复制和移动非结构化数据。例如Dell EMC ClarityNow, Komprise Intelligent Data Management, Spectra Logic StorCycle, Starfish Storage和StrongBox Data Solution的StrongLink。
保护PII数据．太多的组织认为数据保护成本并在相关产品、流程和预算上精打细算。PII的法律和法规使得这样做风险更大。大多数要求保护PII数据不受人为错误、系统故障、软件故障、腐败、灾难、恶意软件和勒索软件的影响。
组织需要在PII数据收集过程中建立全面的数据保护，并且必须能够及时恢复PII可用性和对个人数据的访问。在大多数情况下，这可能需要几个小时，而在一场全面灾难中，这可能不超过30天。为了确保这种能力，实施一个文档化的过程来定期测试、评估和有效地评估这些过程。明确规划，每年或更频繁地进行测试，并更新DR和业务连续性程序。
流程必须是最先进的，但这并不意味着特定的技术或供应商。它涉及到使用与市场提供的相同的过程，以满足任何给定时间点的PII数据保护要求。一个组织不能认为它过去所做的已经足够好了。这被认为是故意不服从。如果数据保护过程失败和PII数据丢失，如果组织没有达到最新的技术水平并被适当罚款，那么组织就面临不合规的风险。
GDPR罚款和处罚是如何评估的
GDPR似乎是个人身份信息保护的黄金标准，许多国家正在效仿或与自己的PII法律保持一致。GDPR对不遵守规定的人处以高额罚款。
欧盟监管机构使用以下10个基准来确定违反GDPR的罚款金额:
- 侵权的性质。影响了多少人，造成了多少损害，侵权持续时间有多长，处理目的是什么?
- 意图。侵权行为是故意的还是过失的?
- 缓解。采取了哪些措施来减轻对数据主体的损害？
- 预防措施。为防止不合规，之前实施了多少技术和组织准备？
- 历史。该组织过去是否有任何相关的侵权行为，这些侵权行为可能被解释为违反数据保护指令——GDPR的前身——以及过去在GDPR下的行政纠正行动，从警告到禁止处理和罚款?
- 合作。该组织与监管机构在纠正侵权行为方面的合作程度如何?
- 数据类型。哪些类型的数据受到侵权的影响?
- 通知。侵权行为是否由组织本身或第三方主动向监管机构报告？
- 证明该组织是否通过批准的认证或遵守批准的行为准则？
- 其他。是否存在任何其他加重或减轻因素，包括侵权对公司的财务影响？
如果一个组织违反了GDPR的多个条款，将根据最严重的条款处以罚款，而不是按每一项条款单独处罚。然而，考虑到潜在的罚款数额，这可能不会带来太大的缓解。
以下侵权行为最高可获得1000万欧元，或上一财政年度全球年收入的2%，以较高者为准:
- 第8条、第11条、第25条至第39条、第42条和第43条规定的控制人和处理人；
- 第四十二条和第四十三条规定的认证机构;和
- 第41(4)条规定的监督机构。
对于以下侵权行为，应发放最高2000万欧元或上一财政年度全球年收入的4%（以较高者为准）：
- 第5、6、7和9条规定的处理基本原则，包括同意条件;
- 第12至22条(“被遗忘权”是第17条)规定的数据主体权利;
- 根据第四十四条至第四十九条将个人数据转移给第三国或国际组织的接收者;
- 根据第九章通过的会员国法律承担的任何义务;和
- 任何不遵守监管机构命令的行为。
报告PII数据泄露．报告违反可能会对组织的股价、奖金、声誉、持续收入以及IT经理和C级主管的职业生涯造成破坏。但是，这是必需的，并且通常必须在发现后72小时内完成。一些法律法规只要求向政府报告违规行为。大多数要求通知政府和受违规行为影响的人。
被删除的权利，又名被遗忘的权利．清除PII数据是PII法律法规中最困难的方面之一。当发生以下三种情况之一时，组织必须从所有IT系统中删除PII数据:
- 所有者请求删除PII数据。
- 不再需要PII数据收集目的。
- 所有者撤回其PII数据同意书。
PII数据必须以及时的方式永久删除——通常小于或等于30天。这也意味着个人身份信息必须在其所在的任何地方被删除，包括数据库、服务器、笔记本电脑、云、档案、备份、磁带库和非结构化数据，如电子表格、文档和演示文稿。
一些PII数据保护和合规法律和法规允许例外情况或最大努力。然而，其他国家，如GDPR，却没有豁免偶尔是可能的．问题在于，许多IT专业人员将备份作为一种简单的归档形式，并将其保存多年甚至永远。这是一个非常糟糕的归档，因为数据必须被恢复或挂载才能被搜索，而且有大量的物理或虚拟副本需要搜索。
这是很有问题的，尤其是映像备份，这是当今最常见的备份。它们是大多数hypervisor——VMware vSphere、Microsoft Hyper-V、Nutanix Acropolis和KVM——及其虚拟机的备份方式。擦除一个备份中的数据不会传播到以前或以后的备份。它实际上会破坏在删除PII数据的备份之后所做的所有备份。这意味着必须挂载从最新到最旧的每个备份;搜索、发现和删除PII数据;备份恢复到备份状态。
对于少量甚至一个月的备份来说，这可能有点繁重，但对于几年的备份来说，这是一项不可能完成的任务，尤其是在30天的时间窗口内。
许多备份管理人员认为，从主系统中删除PII数据是唯一必要的。这是因为，在没有被删除的PII数据的情况下，这些系统将在24小时内再次进行备份。而且由于绝大多数恢复将来自最近的备份，这应该不是问题。然而，也有一些例外。
例如，如果DevOps在开发中使用备份数据，那么他们可能使用了被擦除的PII数据。但是,如果备份已被感染对于潜伏数月的勒索软件病毒，当勒索软件在主要系统中引爆时，从最新备份中恢复的数据将会失败，因为它在被称为攻击循环的恢复数据中引爆。这就迫使IT经理回到更早的时间来启动恢复——很可能是在某个时间点上包含了本应被删除的PII数据。
一些备份供应商（如Asigra和ioFabric）解决了这个问题。他们可以从单个备份中擦除PII数据，并将该擦除传播到所有其他备份，而无需装载每个备份或损坏随后的备份。
最小化PII数据收集．一些PII法律法规明确要求将PII数据收集、存储和保留时间保持在最低限度。有豁免对健康和犯罪记录。
处理安全性。PII安全规则强调对风险级别使用适当的安全措施——例如，使用假名、别名、加密、生物识别、多因素身份验证、反恶意软件、防火墙、深度数据包检测等等。安全性应确保处理系统和服务的持续机密性、完整性、可用性和弹性。
与PII数据保护过程一样，需要定期对安全性进行测试，以确保它完成了应该完成的任务。
跨境PII数据移动。这些法规迫使组织将捕获的PII数据存储在收集数据的国家，或存储在符合收集数据的国家PII法律和法规的国家。
封闭的思想
PII法律和法规是多种多样且令人困惑的，因此确保符合一般共性的责任落在it上。作为DPO或者CSO在这种监管环境下可能会有两种结果之一:提升职业生涯的举动或终结职业生涯的举动。到底是哪一个取决于你和你的组织。
