Runink FACE · Conformité et pistes d'audit
Ceci est un scénario pour Runink FACE. Les contrôles décrits ici lisent les enregistrements que FACE tient de vos envois et de vos rapports, et ils font partie de FACE lui-même.
En Bref
- Les données personnelles n'atteignent pas les journaux. Les adresses e-mail, les numéros de téléphone, les numéros de carte, les numéros de sécurité sociale et les adresses IP sont retirés des journaux et des sorties de diagnostic avant qu'ils soient écrits. La trace qu'un système laisse derrière lui ne devient donc pas une deuxième copie des données.
- C'est intégré à la plateforme, pas un rapport que vous lancez. Le masquage a lieu sur le chemin d'écriture sous chaque service, à chaque endroit où un service écrit une ligne.
- Chaque contrôle garde la trace de son travail. Ce qui a été lu, au regard de quelle règle, ce qui a été trouvé et qui l'a regardé restent au dossier, et un contrôle qui n'a pas pu tourner est écrit exactement ainsi.
Une Trace Que Personne N'a Le Temps De Vérifier.
Les données personnelles voyagent avec chaque enregistrement, et chaque système qui touche un enregistrement laisse une trace derrière lui. Répondre de cette trace oblige à rapprocher des systèmes à la main.
Où Cela Dérape
Le nom et l'adresse d'un client servent à livrer le colis. Ils ne servent pas sur le tableau de bord d'un transporteur, dans un rapport envoyé à un partenaire, ni dans la copie du fichier que quelqu'un a tirée pour une réunion. Mais le champ voyage avec l'enregistrement, et il continue son chemin.
Personne ne veut cela. Cela arrive parce que le plus court chemin pour répondre à une question est d'exporter ce qu'on a, et ce qu'on a contient encore les données personnelles.
On ne protège pas ce qu'on ne voit pas sortir.
À Qui Cela S'adresse
Trois bureaux, et la même question en dessous : pouvez-vous montrer votre travail ?
- Le délégué à la protection des données, et conformité et risques. Ce qui arrive aujourd'hui, c'est le nom et l'adresse d'un client, nécessaires une fois pour livrer un colis et qui voyagent avec l'enregistrement depuis — jusque dans un export, un rapport partenaire, un fichier de journal que personne ne lit avant que quelque chose ait mal tourné. Ce qui change, c'est là où la trace s'arrête. Les données personnelles sont retirées des journaux et des sorties de diagnostic avant qu'ils soient écrits, sur le chemin sous chaque service plutôt que dans un rapport que quelqu'un pense à lancer.
- DSI et sécurité de l'information. Ce qui arrive aujourd'hui, c'est une question à laquelle on ne répond qu'en comptant : lesquels de vos services écrivent des journaux applicatifs, et lesquels de ceux-là font passer leur sortie par un masquage quelconque avant de la stocker ou de l'expédier. Ce qui change, c'est que la réponse est une propriété de la manière dont le logiciel est construit, décrite en phrases ordinaires que vous pouvez confronter à une revue de code : la conversation sécurité devient une description plutôt qu'une négociation.
- Audit interne, et celui qui répond du rapport. Ce qui arrive aujourd'hui, c'est une demande d'expliquer pourquoi un chiffre est ce qu'il est, des mois après le départ de la personne qui l'a assemblé. Ce qui change, c'est que le dossier garde la trace de son propre travail, et qu'un contrôle qui n'a pas pu tourner est écrit comme une entrée à part plutôt que de passer discrètement pour un résultat propre.
Ce Qui Se Passe À La Place
Chaque service écrit ses journaux et ses diagnostics à travers une étape de masquage partagée, qui retire du texte les adresses e-mail, les numéros de téléphone, les numéros de carte, les numéros de sécurité sociale, les adresses IP et les adresses matérielles avant qu'il n'atterrisse, ainsi que des champs nommés — mots de passe, jetons, secrets, clés de licence, URL de webhook — partout où ils apparaissent dans une charge structurée. L'idée est que faire tourner un système ne crée pas en silence une deuxième copie des données personnelles qu'il contient : l'endroit où les fuites se découvrent tard, et l'endroit où personne ne pense à regarder.
Chaque contrôle garde la trace de son propre travail. Un auditeur demande d'où sort un constat. Un régulateur demande qui a vu l'adresse d'un client. La réponse vient du dossier, et non de la mémoire de la personne qui a monté le tableur.
Le dossier garde aussi séparées les deux réponses que l'on confond d'habitude. « Nous avons contrôlé et nous n'avons rien trouvé » et « nous n'avons pas pu lire ceci, donc cela n'a jamais été contrôlé » sont notées comme deux choses différentes. La seconde est le constat qu'un audit cherche vraiment, et c'est celle qu'une coche verte avale d'ordinaire.
Comment Vous Saurez Que Cela A Marché
Chaque chiffre ci-dessous est le vôtre, pas le nôtre. Notez où vous en êtes aujourd'hui, car ce point de départ est perdu pour de bon dès que les choses s'améliorent.
- Où se trouvent vraiment les données personnelles. Prenez un échantillon des rapports et des écrans que vos partenaires et vos transporteurs voient. Comptez combien portent un nom, un numéro de téléphone ou une adresse. La plupart des équipes ne l'ont jamais compté.
- La part de vos propres journaux qui passe par un masquage, tout simplement. Comptez les services qui écrivent des journaux applicatifs, puis comptez ceux dont la sortie traverse une étape de masquage avant d'être stockée ou envoyée chez un prestataire de journalisation. C'est le point de départ dont parle la moitié « données personnelles » de cette page, et c'est celui que la plupart des équipes peuvent établir en une après-midi et préféreraient ne pas établir.
Apportez un échantillon des écrans vus par vos partenaires et la liste des services qui écrivent des journaux.
Les expositions décrites ci-dessus sont dessinées pour montrer la forme du travail. Ce ne sont pas les comptes rendus d'une mission chez un client, et rien sur cette page n'est un résultat mesuré.
Le logiciel trouve l'enregistrement, montre la règle au regard de laquelle il a été lu, et remet les deux à la personne responsable. Savoir si vous remplissez une obligation reste un jugement qui appartient à votre responsable conformité, à votre délégué à la protection des données et à votre auditeur.
Les Questions Qu'un Responsable Conformité Pose D'abord
Ce que fait la partie confidentialité, ce que garde le dossier, et qui décide.