Volgens de federale overheid moeten organisaties om verschillende redenen zowel persoonlijk identificeerbare informatie (PII) als beschermde gezondheidsinformatie (PHI) identificeren en deze op een veilige manier behandelen. Elke ongeoorloofde toegang tot of vrijgave van dergelijke informatie kan ernstige gevolgen hebben voor de personen wier gegevens zijn gecompromitteerd. Aangezien de overheid de verantwoordelijkheid heeft om deze belangrijke informatie te beschermen, vaardigt zij bovendien wetgeving uit die het gebruik van PII en PHI regelt en handhaaft.
Inzicht in het belang en de waarde van deze gegevens kan worden beschouwd als de eerste stap om ze veilig te houden. Ongeoorloofde toegang tot PII of PHI kan schadelijk zijn voor zowel individuen als organisaties. Het is de plicht van CISSP-professionals om de nodige stappen te ondernemen om PII en PHI veilig en beveiligd te houden tegen elke externe of interne bedreiging.
Persoonlijk Identificeerbare Informatie (PII)
Persoonlijk Identificeerbare Informatie is alle informatie die kan worden gebruikt voor het identificeren, lokaliseren of contacteren van een specifiek individu, hetzij gecombineerd met andere gemakkelijk toegankelijke bronnen of op zichzelf.
PII kan gegevens omvatten die aan een individu zijn gekoppeld via medische, arbeids-, financiële of onderwijsgegevens. Verschillende van deze informatiesets die kunnen worden gebruikt om een bepaald individu te identificeren, kunnen bestaan uit een naam, e-mailadres, biometrische gegevens, telefoonnummer, vingerafdrukken of sofinummer.
Federale agentschappen hebben de verantwoordelijkheid om alle gevoelige informatie te beschermen, waaronder de PII van een individu. CISSP-professionals moeten daarom het grootste belang hechten aan het veilig bewaren van deze gegevens.
Protected Health Information (PHI)
Protected Health Information is alle informatie met betrekking tot de gezondheidsstatus, de verstrekking van gezondheidszorg of de betaling van gezondheidszorg die verder kan worden gekoppeld aan een specifiek individu. PHI wordt echter nogal ruim geïnterpreteerd en omvat elke vorm van medische betalingsgeschiedenis of dossiers van een patiënt.
De laatste tijd is het steeds belangrijker geworden om PII te beschermen, hoewel de samenleving er al zo lang op vertrouwt zonder dat er grote veiligheidsproblemen zijn. Het huidige probleem van de bescherming van PII is vooral ontstaan door de toename van het aantal hackaanvallen. Met de technologische vooruitgang en het gebruik van computers is de bescherming van PII voor elke organisatie van essentieel belang geworden. Er zijn veel belangrijke wetten in verschillende vormen ingevoerd om PII te beschermen, zoals FCRA, HIPAA, GLBA, Privacy Act, COPPA en FERPA.
Deze wetten worden gebruikt als een vitaal middel om te proberen ervoor te zorgen dat organisaties worden beperkt in het delen van gevoelige persoonlijke informatie met een derde partij. Ze moeten verder de noodzakelijke vereisten bieden om PHI op de meest geschikte manier te beschermen. CISSP-professionals moeten de PHI van individuen begrijpen en beschermen tegen cyberaanvallen in gerelateerde organisaties waar deze gegevens door de individuen voor hun eigen belang kunnen worden opgeslagen.
PII-voorbeelden en waarom CISSP’s een rol moeten spelen
Het is een winstgevende optie om PII te verzamelen en te verkopen op een legale basis, maar helaas wordt PII vaak misbruikt door criminelen of kwaadwillenden die de identiteit van een persoon willen stelen of misdaden willen plegen. Volgens de statistieken van de FBI wordt identiteitsdiefstal nog steeds beschouwd als een van de snelst groeiende misdrijven in de VS, met het vermogen om slachtoffers aanzienlijke financiële en emotionele schade toe te brengen. Veel regeringen hebben daarom wetgeving opgesteld om de verspreiding van persoonlijke informatie te beperken vanwege de dreiging die ervan uitgaat. Enkele voorbeelden van PII zijn:
- PII omvat een identificatienummer van een individu, waaronder creditcardnummer, paspoortnummer, rijbewijsnummer, patiëntidentificatienummer of sofinummer.
- PII omvat ook de naam van individuen, waaronder de meisjesnaam van de moeder, eventuele gebruikte schuilnamen of de eigen meisjesnaam.
- Informatie over bezittingen, zoals IP- of MAC-adres, en andere statische identificatoren die een specifiek individu consistent kunnen koppelen, worden ook tot PII gerekend.
- Adresinformatie, zoals telefoonnummers (zakelijk of persoonlijk), straatadressen en e-mailadressen vallen onder PII.
- Persoonlijke of biologische kenmerken, zoals netvliesscans, vingerafdrukken, beelden van onderscheidende kenmerken, stemhandtekening, röntgenfoto’s of gezichtsgeometrie vallen onder PII.
- Meer persoonlijke informatie, zoals geografische indicatoren, geboortedatum, geboorteplaats, activiteiten, religie, financiële, medische of educatieve, wordt beschouwd als PII.
De identiteit van een individu wordt onder bepaalde omstandigheden kwetsbaar wanneer een of meer stukken van de bovengenoemde gemakkelijk toegankelijke informatie worden samengebracht, ook al lijken ze misschien onschadelijk als ze op zichzelf blijven staan. Dit is waar CISSP’s naar voren moeten komen bij het beschermen van deze gevoelige gegevens.
Voorbeelden van beschermde gezondheidsinformatie (PHI) en de rol van CISSP’s
De Health Insurance Portability and Accountability Act (HIPAA) vereist de goedkeuring van bepaalde beveiligingsvoorschriften voor de bescherming van persoonlijke gezondheidsinformatie. Gewoonlijk wordt PHI beschouwd als alle informatie met betrekking tot gezondheid die individueel kan worden geïdentificeerd en die wordt geproduceerd of ontvangen door zorgverleners, waaronder beheerders van gezondheidsplannen en clearinginstellingen.
PHI kan betrekking hebben op de huidige, vroegere of toekomstige gezondheid van een individu, hetzij in fysieke of mentale termen. PHI kan ook de huidige gezondheidstoestand van een individu omvatten. In het algemeen kan PHI worden gebruikt voor de identificatie van een specifiek individu. Bovendien verwijst het naar informatie die wordt bijgehouden en doorgegeven in eender welke vorm, zoals elektronica, papier of spraak.
PGI verwijst echter niet naar de registers in verband met onderwijs die vallen onder de EFRPA of de Educational Family Rights and Privacy Act. Het verwijst ook niet naar arbeidsdossiers die door een werkgever worden bijgehouden. De PHI-voorschriften verwijzen klassiek naar een verscheidenheid van verschillende velden die gewoonlijk kunnen worden gebruikt om een persoon te identificeren. Deze omvatten:
- Namen
- Elke datum die rechtstreeks aan een persoon is gekoppeld, zoals geboortedatum, ontslagdatum, overlijdensdatum en administratie
- Fax- en telefoonnummers
- Email- en straatadressen (inclusief geografische onderverdelingen zoals land- en postcodes)
- Medische dossiers, begunstigde van een gezondheidsplan, certificaat, socialezekerheids- en rekeningnummers
- identificatiemiddelen voor voertuigen, biometrische gegevens, stem- en vingerafdrukken
- foto’s van herkenbare kenmerken en het volledige gezicht
- Elk ander uniek nummer, code of kenmerk dat nuttig kan zijn om een persoon te herkennen
CISSP-professionals moeten daarom de nadruk leggen op het veilig bewaren van deze gegevens. Dit wordt behandeld in Asset Security van Domain II in het CISSP examen.
Different Ways CISSPs Can Keep PII and PHI Safe against Malicious Attacks
Een “Security Baseline” is een set van basis beveiligingskenmerken die moeten worden ingevuld door een bepaald systeem of dienst. Deze kenmerken of doelstellingen omvatten geen technische maatregelen en zijn zo gekozen dat zij volledig en pragmatisch zijn. Er moet dus een afzonderlijk “beveiligingsimplementatiedocument” zijn met details over de wijze waarop de verschillende beveiligingsdoelstellingen kunnen worden bereikt met een specifieke dienst of systeem. Deze details hangen gewoonlijk af van de operationele omgeving van de dienst of het systeem waarin het wordt ingezet. Voorts kunnen relevante beveiligingsmaatregelen op creatieve wijze worden gebruikt en toegepast. Afwijkingen van de basislijn zijn heel goed mogelijk en te verwachten. Elke afwijking moet expliciet worden gemarkeerd.
“Scoping” daarentegen is een systeem van voortdurende beoordeling van elke situatie, dat over het algemeen wordt uitgevoerd door middel van discussie, overleg en toezicht.
“Tailoring” is het aanpassen van behoeften of specificaties aan de huidige operationele eisen door middel van aanvulling, wijziging en/of schrapping zonder van de normen af te wijken.
Eigendom van gegevens
De handeling van het hebben van totale controle en wettelijke rechten over een enkel stuk of een verzameling gegevenselementen staat bekend als Gegevenseigendom. Het definieert en geeft informatie over de rechtmatige eigenaar van een specifiek gegevensmiddel en het beleid van gebruik, verwerving en verspreiding dat door de eigenaar van de gegevens wordt gevoerd.
Gegevensremanentie
Weergave van de digitale gegevens staat bekend als gegevensremanentie, die blijven bestaan zelfs na pogingen om ze te verwijderen of te wissen.
Beperking van de gegevensverzameling
Het gebruik van privacykaders kan worden beschouwd als een hulpmiddel om na te denken over gegevensprivacy en om de discussies over privacy in te kaderen om de vereisten ervan te begrijpen.
Er is een forum voor “landen die zich inzetten voor democratie en de markteconomie”, genaamd de Organisatie voor Economische Samenwerking en Ontwikkeling (OESO). Het motto van de organisatie is om een kader te bieden voor regeringen om ervaringen van beleid te vergelijken om de antwoorden op gemeenschappelijke problemen te hebben en beste praktijken te identificeren door het coördineren van verschillende internationale en binnenlandse beleid.
De OESO-privacybeginselen geven internationaal het privacykader dat het meest wordt gebruikt. De privacynetwerken worden weerspiegeld in zowel de opkomende als de bestaande wetten inzake privacy en gegevensbescherming, en dienen zo als basis voor de productie van privacyprogramma’s met toppraktijken en andere aanvullende beginselen.
De privacybeginselen: What CISSPs Must Know
De privacybeginselen, volgens de Guidelines Governing the Protection of Privacy and Transborder Flows of Personal Data, zijn als volgt:
Collection Limitation Principle
Er moeten grenzen zijn aan het verzamelen van persoonsgegevens en dergelijke informatie moet worden verkregen met eerlijke en rechtmatige middelen. Bovendien moeten de gegevens in voorkomend geval worden verkregen met toestemming of medeweten van de betrokkene.
Gegevenskwaliteitsbeginsel
De verkregen persoonsgegevens moeten relevant zijn voor de doeleinden waarvoor ze worden gebruikt, en alleen voor zover dat voor die doeleinden noodzakelijk is. De gebruikte gegevens moeten volledig, nauwkeurig en actueel zijn.
Beginsel van de specificatie van het doel
Het doel van de verzameling van persoonsgegevens moet worden gespecificeerd, niet later dan op het moment van verzameling en op het moment van elk volgend gebruik. Bovendien is het beperkt tot de verwezenlijking van de doeleinden waarvoor het wordt verzameld en is het niet onverenigbaar met de doeleinden wanneer de doeleinden worden gewijzigd.
Gebruiksbeperkingsbeginsel
Persoonsgegevens kunnen niet beschikbaar worden gesteld, bekendgemaakt of anderszins gebruikt voor andere doeleinden dan die welke in overeenstemming zijn met de wetgeving en de toestemming van de betrokkene.
Veiligheidswaarborgen
Persoonsgegevens moeten worden beschermd tegen potentiële risico’s zoals ongeoorloofde toegang, gebruik, wijziging, verspreiding, en openbaarmaking of verlies door de toepassing van redelijke veiligheidswaarborgen.
Openheidswaarborgen
Er moet een algemeen openheidsbeleid zijn met betrekking tot praktijken en ontwikkelingen op het gebied van persoonlijke informatie. Er moeten gemakkelijk beschikbare middelen zijn om de aard en het bestaan van persoonlijke informatie, de belangrijkste doeleinden van hun gebruik, en de identiteit met het gebruikelijke woonadres van de voor de verwerking verantwoordelijke vast te stellen.
Beginsel van individuele deelneming
Elk individu moet de volgende rechten hebben:
- Het verkrijgen van informatie van de voor de verwerking verantwoordelijke, en bevestigen of de voor de verwerking verantwoordelijke over informatie beschikt die op hem betrekking heeft;
- Het recht om aan de voor de verwerking verantwoordelijke gegevens te verstrekken die op hem betrekking hebben:
- binnen een praktische termijn;
- tegen betaling van een (niet buitensporige) vergoeding;
- op redelijke wijze; en
- in een gemakkelijk te begrijpen vorm;
- Om redenen te kennen te geven indien een verzoek als bedoeld onder a) en b) wordt geweigerd, en in staat te zijn een dergelijke weigering aan te vechten;
- Om gegevens die op hem betrekking hebben aan te vechten en de gegevens te laten wijzigen, aanvullen, rechtzetten of verwijderen indien de aanvraag succesvol is.
Berekenbaarheidsbeginsel
Elke voor de verwerking verantwoordelijke moet verantwoording afleggen over de naleving van de maatregelen waarmee uitvoering wordt gegeven aan de hierboven genoemde beginselen.