A szövetségi kormányzat szerint a szervezeteknek különböző okokból azonosítaniuk kell a személyazonosításra alkalmas információkat (PII) és a védett egészségügyi információkat (PHI), és azokat biztonságos módon kell kezelniük. Az ilyen információkhoz való jogosulatlan hozzáférés vagy azok kiadása súlyos következményekkel járhat azon személyek számára, akiknek az adatai veszélybe kerültek. Továbbá, mivel a kormánynak felelőssége van e fontos információk védelmében, olyan jogszabályokat hoz és érvényesít, amelyek szabályozzák a PII és a PHI használatát.
Az adatok fontosságának és értékének megértése tekinthető az első lépésnek a biztonságuk megőrzésében. A PII vagy PHI jogosulatlan hozzáférése mind az egyének, mind a szervezetek számára káros lehet. A CISSP szakembereinek kötelessége, hogy megtegyék a szükséges lépéseket a PII és a PHI biztonságban tartása érdekében, és megóvják azokat bármilyen külső vagy belső fenyegetéstől.
Személyesen azonosítható adatok (PII)
A személyazonosításra alkalmas adatok bármely olyan információ, amely felhasználható bármely konkrét személy azonosítására, megtalálására vagy a vele való kapcsolatfelvételre, akár más könnyen hozzáférhető forrásokkal kombinálva, akár önmagában.
A PII magában foglalhat bármely személyhez orvosi, foglalkoztatási, pénzügyi vagy oktatási nyilvántartásokon keresztül kapcsolódó adatokat. Számos ilyen, egy adott személy azonosítására felhasználható információhalmaz lehet név, e-mail cím, biometrikus adat, telefonszám, ujjlenyomat vagy társadalombiztosítási szám.
A szövetségi ügynökségek felelőssége az érzékeny információk, köztük az egyének PII-jének védelme. A CISSP szakembereknek ezért kiemelt jelentőséget kell tulajdonítaniuk ezen adatok biztonságának megőrzésében.
Védett egészségügyi információ (PHI)
A védett egészségügyi információ minden olyan információ, amely az egészségi állapotra, az egészségügyi ellátásra vagy az egészségügyi ellátás kifizetésére vonatkozik, és amely a továbbiakban bármely konkrét személyhez köthető. A PHI-t azonban meglehetősen tágan értelmezik, és magában foglalja a beteg bármilyen orvosi fizetési előzményét vagy nyilvántartását.
A közelmúltban egyre fontosabbá vált a PII védelme, noha a társadalom olyan sokáig támaszkodott rá, anélkül, hogy nagyobb biztonsági probléma merült volna fel. A PII védelmének jelenlegi problémája elsősorban a hackertámadások megnövekedett előfordulása miatt merült fel. A technológiai fejlődéssel és a számítógépek használatával a PII védelme minden szervezet számára létfontosságúvá vált. A PII védelme érdekében számos fontos törvényt vezettek be különböző formában, mint például az FCRA, HIPAA, GLBA, Privacy Act, COPPA és FERPA.
Ezek a törvények létfontosságú eszközként szolgálnak annak biztosítására, hogy a szervezetek korlátozzák az érzékeny személyes adatok harmadik féllel való megosztását. Továbbá biztosítaniuk kell a szükséges követelményeket a PHI legmegfelelőbb módon történő védelméhez. A CISSP szakembereknek meg kell érteniük és védeniük kell az egyének PHI-jét a kapcsolódó szervezetek kibertámadásaival szemben, ahol ezeket az adatokat az egyének saját érdekükben tárolhatják.
PII példák és miért van szerepe a CISSP-knek
A PII gyűjtése és értékesítése törvényes alapon jövedelmező lehetőség, de sajnos a PII-t gyakran kihasználják bűnözők vagy rosszindulatú emberek, akik el akarják lopni egy személy személyazonosságát vagy bűncselekményeket akarnak elkövetni. Az FBI statisztikái szerint a személyazonossággal való visszaélés az egyik leggyorsabban növekvő bűncselekménynek számít az Egyesült Államokban, amely jelentős anyagi és érzelmi károkat okozhat az áldozatoknak. Ezért számos kormányzat hozott létre jogszabályokat a személyes adatok terjesztésének korlátozására a fenyegető veszély miatt. Néhány példa a személyes adatokra:
- A személyes adatok közé tartozik bármely személy azonosító száma, beleértve a hitelkártyaszámot, az útlevélszámot, a vezetői engedély számát, a betegazonosító számot vagy a társadalombiztosítási számot.
- A személyes adatok közé tartozik a személyek neve is, beleértve az anya leánykori nevét, bármely használt álnevet vagy a saját leánykori nevét.
- Az eszközadatok, mint például az IP- vagy MAC-cím, és más statikus azonosítók, amelyek egy adott személyt következetesen összekapcsolhatnak, szintén a PII-hez tartoznak.
- A címadatok, mint például a telefonszámok (üzleti vagy személyes), az utcai címek és az e-mail címek is a PII alá tartoznak.
- A személyes vagy biológiai jellemzők, beleértve a retina szkennelését, az ujjlenyomatokat, a megkülönböztető jellemzők képeit, a hangaláírást, a röntgenfelvételeket vagy az arc geometriáját, a PII alá tartoznak.
- Még az olyan személyes információk is PII-nek minősülnek, mint a földrajzi mutatók, a születési dátum, a születési hely, a tevékenységek, a vallás, a pénzügyi, orvosi vagy oktatási adatok.
Az egyén személyazonossága bizonyos körülmények között sebezhetővé válik, ha a fent említett, könnyen hozzáférhető információk egy vagy több darabja összeadódik, még akkor is, ha önmagukban maradva ártalmatlannak tűnnek. Ez az a pont, ahol a CISSP-knek elő kell lépniük ezen érzékeny adatok védelmében.
A védett egészségügyi információk (PHI) példái és a CISSP-k szerepe
A Health Insurance Portability and Accountability Act (HIPAA) bizonyos biztonsági előírások elfogadását írja elő a személyes egészségügyi információk védelme érdekében. Általában PHI-nek minősül minden olyan, az egészséggel kapcsolatos információ, amely egyénileg azonosítható, és amelyet az egészségügyi szolgáltatók – beleértve az egészségügyi tervek üzemeltetőit és az egészségügyi elszámolóházakat – állítanak elő vagy kapnak.
A PHI kapcsolódhat az egyén jelenlegi, múltbeli vagy jövőbeli egészségi állapotához, akár fizikai, akár mentális értelemben. A PHI magában foglalhatja az egyén aktuális egészségi állapotát is. Általánosságban a PHI bármely konkrét személy azonosítására felhasználható. Továbbá olyan információra vonatkozik, amelyet bármilyen formában, például elektronikus, papír vagy beszéd formájában tárolnak és továbbítanak.
A PHI azonban nem vonatkozik az oktatással kapcsolatos nyilvántartásokra, amelyekre az EFRPA vagy az oktatási családi jogokról és adatvédelemről szóló törvény vonatkozik. Nem vonatkozik továbbá a bármely munkáltató által vezetett, munkaviszonnyal kapcsolatos nyilvántartásokra sem. A PHI-szabályok klasszikusan számos különböző mezőre utalnak, amelyek általában az egyén azonosítására használhatók. Ezek közé tartoznak a következők:
- Nevek
- Minden személyhez közvetlenül kapcsolódó dátum, például születési dátum, elbocsátási dátum, halálozási dátum és adminisztráció
- Fax- és telefonszámok
- E-mail és utca címek (beleértve a földrajzi alosztályokat, például ország és irányítószámok)
- Egészségügyi nyilvántartás, egészségügyi terv kedvezményezettje, igazolás, társadalombiztosítási és számlaszámok
- Jármű-, biometrikus, hang- és ujjlenyomat-azonosítók
- Fényképfelvételek felismerhető vonásokról és a teljes arcról
- Minden más egyedi szám, kód vagy jellemző, amely segíthet egy személy felismerésében
A CISSP szakembereinek ezért hangsúlyt kell fektetniük ezen adatok biztonságára. Ezt a CISSP-vizsga II. területének eszközbiztonsága tárgyalja.
A CISSP szakemberek különböző módjai a PII és PHI biztonságának megőrzésére a rosszindulatú támadásokkal szemben
A “biztonsági alapvonal” olyan alapvető biztonsági jellemzők összessége, amelyeket minden adott rendszernek vagy szolgáltatásnak teljesítenie kell. Ezek a jellemzők vagy célkitűzések nem tartalmaznak technikai intézkedéseket, és úgy vannak kiválasztva, hogy teljesek és pragmatikusak legyenek. Ezért külön “Biztonsági megvalósítási dokumentumnak” kell lennie, amely részletesen tartalmazza, hogy a különböző biztonsági célkitűzések hogyan teljesíthetők egy adott szolgáltatáson vagy rendszeren keresztül. Ezek a részletek általában a szolgáltatás vagy rendszer működési környezetétől függenek, amelybe telepítik. Továbbá kreatívan használhatja és alkalmazhatja a vonatkozó biztonsági intézkedéseket. Az alapszintű eltérések teljesen lehetségesek és elvárhatóak. Minden eltérést kifejezetten meg kell jelölni.
A “Scoping” másrészt bármely helyzet folyamatos értékelési rendszere, amelyet általában megbeszélések, konzultációk és nyomon követés útján végeznek.
A “testreszabás” az igények vagy előírások hozzáigazítása az aktuális működési követelményekhez kiegészítéssel, módosítással és/vagy törléssel, anélkül, hogy eltérnénk a normáktól.
Adattulajdonlás
Az egyes darabok vagy adatelem-készletek feletti teljes ellenőrzés és jogi jogok birtoklását nevezzük adattulajdonlásnak. Tulajdonképpen meghatározza és tájékoztatást ad bármely konkrét adatvagyon jogos tulajdonosáról, valamint az adatok tulajdonosa által végrehajtott felhasználási, megszerzési és terjesztési politikáról.
Adatok remanenciája
A digitális adatok rezidens reprezentációját adatremanenciának nevezzük, amelyek az eltávolítási vagy törlési kísérletek után is megmaradnak.
Az adatgyűjtés korlátozása
Az adatvédelmi keretrendszerek használatára úgy lehet gondolni, mint olyan eszközökre, amelyek segítenek az adatvédelemmel kapcsolatos gondolkodásban, és segítik az adatvédelmi viták keretbe foglalását, hogy megértsük annak követelményeit.
A Gazdasági Együttműködési és Fejlesztési Szervezet (OECD) a “demokrácia és a piacgazdaság iránt elkötelezett országok” fóruma. A szervezet mottója, hogy a különböző nemzetközi és hazai politikák összehangolásával a kormányok számára keretet biztosítson a politikák tapasztalatainak összehasonlítására, hogy választ kapjanak a közös problémákra, és azonosítsák a legjobb gyakorlatokat.
Az OECD adatvédelmi elvei nemzetközileg adják meg a leggyakrabban használt adatvédelmi keretet. Az adatvédelmi hálózatok tükröződnek a kialakulóban lévő, valamint a meglévő adatvédelmi és adatvédelemmel kapcsolatos jogszabályokban, ezáltal alapul szolgálnak a legjobb gyakorlatot jelentő adatvédelmi programok és egyéb további elvek kidolgozásához.
Az adatvédelmi elvek: What CISSPs Must Know
A személyes adatok védelmére és a személyes adatok határokon átnyúló áramlására vonatkozó iránymutatások szerint az adatvédelmi elvek a következők:
A gyűjtés korlátozásának elve
A személyes adatok gyűjtésének korlátokat kell szabni, és minden ilyen információt tisztességes és jogszerű eszközökkel kell megszerezni. Továbbá, adott esetben az adatokat az érintett hozzájárulásával vagy tudtával kell megszerezni.
Adatok minőségének elve
A megszerzett személyes adatoknak a felhasználásuk céljaira kell vonatkozniuk, és csak az e célok szempontjából lényeges mértékben. A felhasznált adatoknak teljesnek, pontosnak és naprakésznek kell lenniük.
Célmeghatározás elve
A személyes adatok gyűjtésének célját legkésőbb a gyűjtéskor és minden későbbi felhasználáskor meg kell határozni. Ezen túlmenően az adatfelvétel céljainak teljesítésére korlátozódik, és nem összeegyeztethetetlen a célokkal, ha a célokban változás következik be.
A felhasználás korlátozásának elve
A személyes adatokat nem lehet hozzáférhetővé tenni, nyilvánosságra hozni vagy más módon felhasználni a jogszabályoknak és az érintett hozzájárulásának megfelelő céloktól eltérő célokra.
Biztonsági biztosítékok elve
A személyes adatokat ésszerű biztonsági biztosítékok alkalmazásával védeni kell az olyan lehetséges kockázatokkal szemben, mint a jogosulatlan hozzáférés, felhasználás, módosítás, terjesztés, nyilvánosságra hozatal vagy elvesztés.
A nyitottság elve
A személyes adatokkal kapcsolatos gyakorlatok és fejlemények tekintetében általános nyitottsági politikát kell alkalmazni. Könnyen hozzáférhető eszközöknek kell rendelkezésre állniuk a személyes adatok jellegének és létezésének, felhasználásuk fő céljainak, valamint az adatkezelő személyazonosságának és szokásos lakcímének megállapítására.
Egyéni részvétel elve
Minden egyénnek rendelkeznie kell a következő jogokkal:
- Tájékoztatás kérése az adatkezelőtől, valamint annak megerősítése, hogy az adatkezelő rendelkezik-e rá vonatkozó adatokkal;
- Az adatkezelővel való közlés joga a rá vonatkozó adatok tekintetében:
- praktikus időn belül;
- díj ellenében (nem túlzott mértékben);
- ésszerűen; és
- könnyen érthető formában;
- A fent említett a) és b) pontok alapján benyújtott kérelem elutasítása esetén az indokolásra, valamint arra, hogy az elutasítást megtámadhatja;
- A rá vonatkozó adatok megtámadására, valamint az adatok módosítására, kiegészítésére, helyesbítésére vagy törlésére, ha a megtámadás sikeres.
Az elszámoltathatóság elve
Minden adatkezelőnek elszámoltathatónak kell lennie a fenti elvek érvényre juttatását szolgáló intézkedések betartásáért.