Secondo il governo federale, le organizzazioni devono identificare le informazioni di identificazione personale (PII) e le informazioni sanitarie protette (PHI) per diversi motivi e gestirle in modo sicuro. Qualsiasi accesso non autorizzato o rilascio di tali informazioni potrebbe comportare gravi conseguenze per gli individui i cui dati sono stati compromessi. Inoltre, poiché il governo ha la responsabilità di salvaguardare queste importanti informazioni, promulga e applica una legislazione che regola l’uso di PII e PHI.
Comprendere l’importanza e il valore di questi dati può essere considerato il primo passo per tenerli al sicuro. L’accesso non autorizzato di PII o PHI può essere dannoso sia per gli individui che per le organizzazioni. È dovere dei professionisti CISSP prendere le misure necessarie per mantenere PII e PHI al sicuro da qualsiasi minaccia esterna o interna.
Informazioni personali identificabili (PII)
Informazioni personali identificabili sono tutte le informazioni che possono essere utilizzate allo scopo di identificare, localizzare o contattare qualsiasi individuo specifico, sia in combinazione con altre fonti facilmente accessibili che da sole.
PII può includere dati collegati a qualsiasi individuo attraverso registri medici, lavorativi, finanziari o educativi. Molti di questi set di informazioni che potrebbero essere utilizzati per identificare un certo individuo potrebbero consistere in un nome, indirizzo e-mail, dati biometrici, numero di telefono, impronte digitali o numero di previdenza sociale.
Le agenzie federali hanno la responsabilità di salvaguardare qualsiasi informazione sensibile, comprese le PII di un individuo. I professionisti CISSP dovrebbero quindi dare un’importanza fondamentale nel mantenere questi dati al sicuro.
Informazioni sanitarie protette (PHI)
Le informazioni sanitarie protette sono tutte le informazioni relative allo stato di salute, alla fornitura di assistenza sanitaria o al pagamento dell’assistenza sanitaria che possono essere ulteriormente collegate a qualsiasi individuo specifico. Tuttavia, PHI è interpretato in modo piuttosto ampio e include qualsiasi tipo di storia di pagamento medico o registri di un paziente.
Di recente, è diventato sempre più importante proteggere le PII, anche se la società ha fatto affidamento su di esse per così tanto tempo senza alcun problema di sicurezza importante. Questo problema attuale di protezione delle PII è venuto principalmente a causa dell’aumento degli attacchi di hacking. Con i progressi tecnologici e l’uso dei computer, la protezione delle PII è diventata essenziale per ogni organizzazione. Molte leggi importanti sono state implementate in forme diverse per proteggere le PII, come FCRA, HIPAA, GLBA, Privacy Act, COPPA, e FERPA.
Queste leggi sono usate come un mezzo vitale per tentare di assicurare che le organizzazioni siano limitate nel condividere informazioni personali sensibili con qualsiasi terza parte. Devono inoltre fornire i requisiti necessari per proteggere PHI nel modo più appropriato. I professionisti CISSP devono capire e salvaguardare la PHI degli individui contro gli attacchi informatici nelle organizzazioni correlate in cui questi dati possono essere memorizzati dagli individui per il proprio interesse.
Esempi di PII e perché i CISSP hanno un ruolo da svolgere
È un’opzione redditizia per raccogliere e vendere PII su una base legale, ma purtroppo, PII è spesso sfruttata da criminali o persone malintenzionate che vogliono rubare l’identità di una persona o per commettere reati. Eppure, secondo le statistiche dell’FBI, il furto d’identità è considerato come uno dei reati in più rapida crescita negli Stati Uniti, avendo la capacità di causare significativi danni finanziari, oltre che emotivi, alle vittime. Molti governi, quindi, hanno creato legislazioni per limitare il processo di distribuzione delle informazioni personali a causa della minaccia imposta. Alcuni esempi di PII includono:
- PII include un numero di identificazione di qualsiasi individuo, compreso il numero di carta di credito, numero di passaporto, numero di patente di guida, numero di identificazione del paziente o numero di sicurezza sociale.
- PII include anche il nome degli individui, compreso il nome da nubile della madre, qualsiasi alias usato o il proprio nome da nubile.
- Anche le informazioni sui beni, come l’indirizzo IP o MAC, e altri identificatori statici che potrebbero collegare un individuo specifico in modo coerente sono considerati PII.
- Le informazioni sugli indirizzi, come i numeri di telefono (aziendali o personali), gli indirizzi stradali e gli indirizzi e-mail rientrano nelle PII.
- Caratteristiche personali o biologiche, tra cui scansioni della retina, impronte digitali, immagini di caratteristiche distintive, firma vocale, raggi X, o la geometria del viso rientrano nel PII.
- Inoltre, informazioni personali come indicatori geografici, data di nascita, luogo di nascita, attività, religione, finanziari, medici o educativi, sono considerati PII.
L’identità di un individuo diventa vulnerabile in determinate circostanze quando uno o più pezzi delle informazioni facilmente accessibili di cui sopra vengono messi insieme, anche se possono sembrare innocui se rimangono da soli. È qui che i CISSP devono farsi avanti nella protezione di questi dati sensibili.
Esempi di informazioni sanitarie protette (PHI) e il ruolo dei CISSP
L’Health Insurance Portability and Accountability Act (HIPAA) richiede l’adozione di determinate norme di sicurezza per la protezione delle informazioni sanitarie personali. Di solito, si considera PHI qualsiasi informazione relativa alla salute che può essere identificata individualmente e prodotta o ricevuta dai fornitori di assistenza sanitaria, compresi gli operatori dei piani sanitari e le stanze di compensazione sanitaria.
PHI può essere collegata alla salute presente, passata o futura di un individuo, sia in termini fisici che mentali. PHI può anche includere la condizione attuale di un individuo per quanto riguarda la salute. In generale, PHI può essere utilizzato per l’identificazione di qualsiasi individuo specifico. Inoltre, si riferisce alle informazioni che sono mantenute e trasmesse in qualsiasi forma, come elettronica, carta o discorso.
Tuttavia, PHI non si riferisce alle registrazioni relative all’istruzione che sono coperte dall’EFRPA o dall’Educational Family Rights and Privacy Act. Inoltre non si riferisce ai registri di lavoro mantenuti da qualsiasi datore di lavoro. I regolamenti PHI si riferiscono classicamente a una varietà di campi diversi che di solito possono essere usati per identificare un individuo. Questi includono:
- Nomi
- Tutte le date collegate direttamente a una persona, come la data di nascita, la data di dimissione, la data di morte e l’amministrazione
- Numeri di fax e di telefono
- Indirizzi e-mail e stradali (comprese le suddivisioni geografiche come il paese e i codici postali)
- Registri medici, beneficiari di piani sanitari, certificati, numeri di previdenza sociale e di conto corrente
- Identificatori di veicoli, biometrici, vocali e di impronte digitali
- Immagini fotografiche di tratti riconoscibili e il volto completo
- Qualunque altro numero unico, codice o caratteristica che possa essere utile per riconoscere una persona
I professionisti del CISSP dovrebbero quindi porre l’accento sulla sicurezza di questi dati. Questo è coperto in Asset Security del dominio II dell’esame CISSP.
Diversi modi in cui i CISSP possono tenere al sicuro PII e PHI da attacchi malevoli
Una “Security Baseline” è un insieme di caratteristiche di sicurezza di base che devono essere completate da qualsiasi sistema o servizio. Queste caratteristiche o obiettivi non implicano misure tecniche e sono scelte per essere complete e pragmatiche. Così, ci dovrebbe essere un separato “Documento di implementazione della sicurezza” che ha i dettagli di come i diversi obiettivi di sicurezza possono essere soddisfatti attraverso ogni specifico servizio o sistema. Questi dettagli di solito dipendono dall’ambiente operativo del servizio o del sistema in cui è distribuito. Inoltre, può usare e applicare le misure di sicurezza pertinenti in modo creativo. Deroghe alla linea di base sono abbastanza possibili e attese. Ogni deroga dovrebbe essere marcata esplicitamente.
“Scoping” d’altra parte è un sistema di valutazione continua di qualsiasi situazione, che è generalmente effettuata attraverso discussioni, consultazioni e monitoraggio.
“Tailoring” è l’adattamento delle necessità o delle specifiche in base ai requisiti operativi correnti attraverso l’integrazione, la modifica e/o la cancellazione senza deviare dalle norme.
Proprietà dei dati
L’atto di avere il controllo totale e i diritti legali su ogni singolo pezzo o insieme di elementi di dati è noto come proprietà dei dati. In realtà definisce e fornisce informazioni riguardanti il legittimo proprietario di qualsiasi asset di dati specifico e la politica del suo uso, acquisizione e distribuzione attuata dal proprietario dei dati.
Rimanenza dei dati
La rappresentazione residenziale dei dati digitali è nota come rimanenza dei dati, che rimangono anche dopo i tentativi di rimozione o cancellazione.
Limitazione della raccolta
L’uso di quadri sulla privacy può essere pensato come strumenti per aiutare a pensare riguardo alla privacy dei dati e aiutare a inquadrare le discussioni sulla privacy per capirne i requisiti.
C’è un forum per “paesi impegnati nella democrazia e nell’economia di mercato” chiamato Organizzazione per la cooperazione e lo sviluppo economico (OCSE). Il motto dell’organizzazione è quello di fornire un ambiente per i governi per confrontare le esperienze delle politiche per avere le risposte ai problemi comuni e identificare le migliori pratiche attraverso il coordinamento delle diverse politiche internazionali e nazionali.
I principi di privacy dell’OCSE a livello internazionale danno il quadro di privacy che è più comunemente usato. Le reti di privacy si riflettono nelle leggi emergenti e in quelle esistenti sulla privacy e la protezione dei dati, servendo così come base per la produzione di programmi di privacy top practice e altri principi aggiuntivi.
I principi di privacy: What CISSPs Must Know
I principi della privacy, secondo le linee guida che governano la protezione della privacy e i flussi transfrontalieri di dati personali, sono i seguenti:
Principio di limitazione della raccolta
Ci devono essere limiti per la raccolta di dati personali e qualsiasi informazione deve essere ottenuta attraverso mezzi equi e legali. Inoltre, dove appropriato, i dati dovrebbero essere ottenuti con il consenso o la conoscenza della persona interessata.
Principio di qualità dei dati
Tutti i dati personali ottenuti devono essere pertinenti agli scopi del loro uso, e solo nella misura essenziale per tali scopi. I dati utilizzati devono essere completi, accurati e aggiornati.
Principio di specificazione delle finalità
Le finalità della raccolta dei dati personali devono essere specificate al più tardi al momento della raccolta e al momento di ogni uso successivo. Inoltre, è limitato all’adempimento degli scopi per i quali è preso e non è incompatibile con gli scopi quando c’è l’occasione di un cambiamento degli scopi.
Principio di limitazione dell’uso
I dati personali non possono essere resi disponibili, divulgati, o altrimenti utilizzati per scopi diversi da quelli in conformità con le leggi e il consenso del soggetto dei dati.
Principio delle garanzie di sicurezza
I dati personali devono essere protetti contro i rischi potenziali come l’accesso non autorizzato, l’uso, la modifica, la distribuzione e la divulgazione o la perdita implementando ragionevoli garanzie di sicurezza.
Principio di apertura
Ci deve essere una politica generale di apertura riguardo alle pratiche e agli sviluppi relativi alle informazioni personali. Ci dovrebbero essere mezzi facilmente disponibili per stabilire la natura e l’esistenza delle informazioni personali, gli scopi principali del loro uso, e l’identità con l’indirizzo di residenza abituale del responsabile del trattamento.
Principio di partecipazione individuale
Ogni individuo deve avere i seguenti diritti:
- Ottenere informazioni dal controllore dei dati, e confermare se il controllore dei dati ha informazioni che lo riguardano;
- di aver comunicato al controllore dei dati i dati che lo riguardano:
- entro un tempo pratico;
- a pagamento (non eccessivo);
- in modo ragionevole; e
- in una forma facilmente comprensibile;
- di motivare il rifiuto di una richiesta presentata ai sensi delle lettere (a) e (b) di cui sopra, e di poter impugnare tale rifiuto;
- di contestare i dati che lo riguardano e di farli modificare, completare, rettificare o cancellare se l’impugnazione ha successo.
Principio di responsabilità
Ogni responsabile del trattamento dei dati deve essere responsabile del rispetto delle misure di attuazione dei principi sopra enunciati.