Enligt den federala regeringen måste organisationer identifiera personligt identifierbar information (PII) och skyddad hälsoinformation (PHI) av olika skäl och hantera dem på ett säkert sätt. All obehörig åtkomst eller utlämnande av sådan information kan leda till allvarliga konsekvenser för de personer vars uppgifter har äventyrats. Eftersom regeringen dessutom har ett ansvar för att skydda denna viktiga information antar och tillämpar den lagstiftning som reglerar användningen av PII och PHI.
En förståelse för dessa uppgifters betydelse och värde kan anses vara det första steget för att hålla dem säkra. Obehörig åtkomst till PII eller PHI kan vara skadlig för både individer och organisationer. Det är CISSP-proffsens skyldighet att vidta nödvändiga åtgärder för att hålla PII och PHI säkra och skyddade från alla externa eller interna hot.
Personligt identifierbar information (PII)
Personligt identifierbar information är all information som kan användas i syfte att identifiera, lokalisera eller kontakta en specifik individ, antingen i kombination med andra lättillgängliga källor eller i sig själv.
PII kan innefatta uppgifter som är kopplade till en individ genom medicinska, anställningsmässiga, ekonomiska eller utbildningsmässiga register. Flera av dessa informationsuppsättningar som kan användas för att identifiera en viss individ kan bestå av namn, e-postadress, biometriska data, telefonnummer, fingeravtryck eller socialförsäkringsnummer.
Federala myndigheter har ansvaret för att skydda all känslig information, inklusive en individs PII. CISSP-proffs bör därför lägga stor vikt vid att hålla dessa uppgifter säkra.
Skyddad hälsoinformation (PHI)
Skyddad hälsoinformation är all information som rör hälsostatus, tillhandahållande av hälsovård eller betalning av hälsovård och som dessutom kan kopplas till en specifik individ. PHI tolkas dock ganska brett och omfattar alla typer av medicinsk betalningshistorik eller journaler om en patient.
På senare tid har det blivit allt viktigare att skydda PII, även om samhället har förlitat sig på det så länge utan några större säkerhetsproblem. Detta nuvarande problem med att skydda PII kom främst på grund av den ökade förekomsten av hackerattacker. I och med de tekniska framstegen och användningen av datorer har skyddet av PII blivit viktigt för alla organisationer. Många viktiga lagar har införts i olika former för att skydda PII, t.ex. FCRA, HIPAA, GLBA, Privacy Act, COPPA och FERPA.
Dessa lagar används som ett viktigt medel för att försöka se till att organisationer begränsas när det gäller att dela känslig personlig information med tredje part. De måste dessutom tillhandahålla de nödvändiga kraven för att skydda PHI på det lämpligaste sättet. CISSP-proffs måste förstå och skydda individers PHI mot cyberattacker i relaterade organisationer där dessa uppgifter kan lagras av individerna i eget intresse.
PII-exempel och varför CISSP:er har en roll att spela
Det är ett lönsamt alternativ att samla in och sälja PII på laglig grund, men tyvärr utnyttjas PII ofta av brottslingar eller illasinnade personer som vill stjäla en persons identitet eller begå brott. Enligt FBI:s statistik anses identitetsstöld ändå vara ett av de snabbast växande brotten i USA och kan orsaka betydande ekonomiska och känslomässiga skador för offren. Många regeringar har därför infört lagstiftning för att begränsa spridningen av personlig information på grund av hotet. Några exempel på PII är:
- PII innefattar ett identifikationsnummer för en individ, inklusive kreditkortsnummer, passnummer, körkortsnummer, patientidentifikationsnummer eller socialförsäkringsnummer.
- PII innefattar också individers namn, inklusive moderns flicknamn, eventuella alias som används eller deras eget flicknamn.
- Aktivitetsinformation, som IP- eller MAC-adresser och andra statiska identifierare som kan koppla samman en specifik individ på ett konsekvent sätt räknas också till PII.
- Adressinformation, som telefonnummer (affärs- eller privatnummer), gatuadresser och e-postadresser omfattas av PII.
- Personliga eller biologiska egenskaper, inklusive näthinneskanningar, fingeravtryck, bilder av kännetecken, röstsignatur, röntgenbilder eller ansiktsgeometri omfattas av PII.
- Personlig information som geografiska indikatorer, födelsedatum, födelseort, aktiviteter, religion, ekonomiska, medicinska eller utbildningsmässiga uppgifter betraktas dessutom som PII.
En individs identitet blir under vissa omständigheter sårbar när en eller flera delar av den ovan nämnda lättåtkomliga informationen sammanförs, även om de kan verka harmlösa om de förblir för sig själva. Det är här som CISSP:er måste komma fram för att skydda dessa känsliga uppgifter.
Exempel på skyddad hälsoinformation (PHI) och CISSP:ernas roll
Hälsoförsäkrings- och ansvarighetslagen (HIPAA) kräver att man antar vissa säkerhetsbestämmelser för att skydda personlig hälsoinformation. Vanligtvis anses PHI vara all information om hälsa som kan identifieras individuellt och som produceras eller tas emot av vårdgivare, inklusive operatörer av hälsoplaner och clearingcentraler för hälso- och sjukvård.
PHI kan vara relaterad till en individs nuvarande, tidigare eller framtida hälsa, antingen i fysiska eller mentala termer. PHI kan också omfatta en individs nuvarande hälsotillstånd. I allmänhet kan PHI användas för att identifiera en specifik individ. Dessutom hänvisar det till information som upprätthålls och överförs i någon form, t.ex. elektronik, papper eller tal.
PHI hänvisar dock inte till uppgifter som rör utbildning och som omfattas av EFRPA eller Educational Family Rights and Privacy Act. Det hänvisar inte heller till uppgifter om anställning som upprätthålls av någon arbetsgivare. I bestämmelserna om PHI hänvisas klassiskt sett till en rad olika fält som vanligtvis kan användas för att identifiera en person. Dessa inkluderar:
- Namn
- Alla datum som är direkt kopplade till en person, t.ex. födelsedatum, utskrivningsdatum, dödsdatum och administration
- Fax- och telefonnummer
- E-postadresser och gatuadresser (inklusive geografiska indelningar som land- och postnummer)
- Läkarjournaler, förmånstagare till en hälsoplan, intyg, socialförsäkrings- och kontonummer
- Körbils-, biometriska, röst- och fingeravtrycksidentifierare
- Fotografiska bilder av igenkännbara drag och hela ansiktet
- Alla andra unika nummer, koder eller kännetecken som kan vara till hjälp för att känna igen en person
CISSP-proffs bör därför lägga tonvikten vid att hålla dessa uppgifter säkra. Detta behandlas i Asset Security of Domain II i CISSP-examen.
Different Ways CISSPs Can Keep PII and PHI Safe against Malicious Attacks
En ”Security Baseline” är en uppsättning grundläggande säkerhetsfunktioner som måste fyllas i av ett visst system eller en viss tjänst. Dessa funktioner eller mål inbegriper inga tekniska åtgärder och är valda för att vara kompletta och pragmatiska. Det bör därför finnas ett separat ”dokument för säkerhetsimplementering” med detaljer om hur olika säkerhetsmål kan uppfyllas genom en specifik tjänst eller ett specifikt system. Dessa detaljer beror vanligtvis på tjänstens eller systemets driftsmiljö. Dessutom kan relevanta säkerhetsåtgärder användas och tillämpas på ett kreativt sätt. Undantag från baslinjen är fullt möjliga och förväntade. Varje undantag bör markeras explicit.
”Scoping” är å andra sidan ett system för fortlöpande bedömning av en situation, som i allmänhet genomförs genom diskussioner, samråd och övervakning.
”Skräddarsy” är att anpassa behoven eller specifikationerna till de aktuella operativa kraven genom komplettering, ändring och/eller strykning utan att avvika från normerna.
Dataägande
Den handling som innebär att man har total kontroll och laglig rätt till en enskild del eller en uppsättning dataelement kallas dataägande. Det definierar faktiskt och ger information om den rättmätiga ägaren av en specifik datatillgång och den policy för dess användning, förvärv och distribution som genomförs av ägaren av data.
Data remanence
Den återstående representationen av de digitala data kallas data remanence, som finns kvar även efter försök att ta bort eller radera dem.
Insamlingsbegränsning
Användningen av integritetsramar kan ses som verktyg för att hjälpa dig att tänka kring dataintegritet och hjälpa till att rama in diskussionerna om integritet för att förstå dess krav.
Det finns ett forum för ”länder som har förbundit sig till demokrati och marknadsekonomi” som heter Organisationen för ekonomiskt samarbete och utveckling (OECD). Organisationens motto är att tillhandahålla en miljö där regeringar kan jämföra erfarenheter av politik för att få svar på gemensamma problem och identifiera bästa praxis genom att samordna olika internationella och inhemska strategier.
OECD:s principer för skydd av privatlivet ger internationellt sett det ramverk för skydd av privatlivet som används mest allmänt. Sekretessnätverken återspeglas i de framväxande samt befintliga lagarna om sekretess och dataskydd, och tjänar därmed som grund för produktion av bästa praxis för sekretessprogram och andra ytterligare principer.
Sekretessprinciperna: Enligt Guidelines Governing the Protection of Privacy and Transborder Flows of Personal Data är integritetsprinciperna följande:
Principen om begränsning av insamling
Det måste finnas gränser för insamling av personuppgifter och all sådan information måste erhållas på ett rättvist och lagligt sätt. Vidare bör uppgifterna i förekommande fall inhämtas med den registrerades samtycke eller vetskap.
Princip om datakvalitet
Alla personuppgifter som inhämtas måste vara relevanta för användningsändamålen och endast i den utsträckning som är nödvändig för dessa ändamål. De uppgifter som används måste vara fullständiga, korrekta och hållas uppdaterade.
Principen om ändamålsspecifikation
Syftet med insamlingen av personuppgifter måste specificeras senast vid tidpunkten för insamlingen och vid varje senare användning. Dessutom är den begränsad till att uppfylla de ändamål för vilka den samlas in och är inte oförenlig med ändamålen när det finns anledning att ändra ändamålen.
Princip om begränsning av användning
Personuppgifter får inte göras tillgängliga, avslöjas eller på annat sätt användas för andra ändamål än de som är förenliga med lagarna och med den registrerades samtycke.
Principen om säkerhetsskydd
Personuppgifter måste skyddas mot potentiella risker såsom obehörig åtkomst, användning, ändring, distribution, utlämnande eller förlust genom att genomföra rimliga säkerhetsåtgärder.
Principen om öppenhet
Det måste finnas en allmän öppenhetspolicy när det gäller praxis och utveckling med avseende på personuppgifter. Det bör finnas lättillgängliga medel för att fastställa arten och förekomsten av personuppgifter, de viktigaste syftena med användningen av dem och den personuppgiftsansvariges identitet och vanliga bostadsadress.
Principen om individens deltagande
Alla individer måste ha följande rättigheter:
- Att få information från den personuppgiftsansvarige och bekräfta om den personuppgiftsansvarige har någon information som rör honom eller henne;
- Att få kommunicera med den personuppgiftsansvarige för att få uppgifter som rör honom eller henne:
- Inom en praktisk tid;
- Till en avgift (som inte är överdriven)
- På ett rimligt sätt; och
- I en lättförståelig form;
- Att få motivera varför en begäran som gjorts enligt ovan nämnda punkter a och b avslås, och att ha möjlighet att överklaga ett sådant avslag;
- Att få bestrida uppgifter som rör honom eller henne och att få uppgifterna ändrade, kompletterade, rättade eller raderade om bestridandet är framgångsrikt.
Principen om ansvarsskyldighet
Alla registeransvariga måste vara ansvariga för att följa de åtgärder som ger verkan åt de ovannämnda principerna.