SUGIF Technical Club Jarno Lindqvist

Transkriptio

1 SAS ja EU:n yleinen tietosuoja-asetus SUGIF Technical Club Jarno Lindqvist

2 Mikä on EU GDPR? EU General Data Protection Regulation (GDPR) (EU:n yleinen tietosuoja-asetus) Asetus (ei direktiivi) -> jäsenvaltioita pakottava lainsäädäntö -> suoraan sovellettavaa lainsäädäntöä Suomessa. Hyväksyttiin EU parlamentissa , soveltaminen alkaa Oikeusministeriö vastaa Suomessa tietosuoja-asetuksen täytäntöönpanon edellyttämistä lainsäädäntötoimista. Niin yksityisellä kuin julkisellakin sektorilla on huolehdittava siitä, että henkilötietojen käsittelyssä noudatetaan mainittuun päivään mennessä uuden tietosuoja-asetuksen vaatimuksia. Velvollisuus koskee sekä työntekijöiden että asiakkaiden henkilötietojen käsittelyä.

3 Mikä on EU GDPR? EU General Data Protection Regulation (GDPR) (EU:n yleinen tietosuoja-asetus) Asetus tuo rekisterinpitäjille noudatettavaksi tilintekovelvollisuusperiaatteen (accountability) Jatkossa ei riitä, että rekisterinpitäjä passiivisesti noudattaa lakia (compliance), vaan: rekisterinpitäjän on pystyttävä osoittamaan että tietosuojasäännökset huomioidaan yhteisön tai yrityksen toiminnan suunnittelussa ja toteutuksessa -> raportointi!!! Todistustaakka ja näyttövelvollisuus tietosuojakysymysten lainmukaisesta hoidosta ja velvoitteiden täyttymisestä lankeaa rekisterinpitäjille

4 Mikä on EU GDPR? EU General Data Protection Regulation (GDPR) (EU:n yleinen tietosuoja-asetus) Tuo muutoksia useille datan hyödyntämiseen liittyviin alueisiin: Tallennuksen ja käsittelyn ulkoistaminen EU:n ulkopuolelle (pilviratkaisujen käyttö?) Datan kerääminen, käyttö ja jakaminen Henkilöiden profilointi ja automatisoitu päätöksenteko Henkilön suostumus datan keräämiseen ja käyttöön (consent) erikseen nimettyyn käyttötarkoitukseen määrä-ajaksi Oikeus tietojen poistamiseen (right to be forgotten) Tietoturvaloukkaukset jatkossa aina julkisia ilmoitusvelvollisuus 72 tunnin kuluessa, varautumissuunnitelma välttämätön

5 Company Confidential - For Internal Use Only,

6 Yksi henkilötiedon määritelmistä Mikä tahansa tunnistettavissa olevan luonnollisen henkilön yksilöivä tieto.

7 Esimerkkejä henkilötiedoista Demographic Data o Name o Gender o Date of Birth o Age o Nationality Addresses o Postal Address o Apartment o Street o City o Country Government Identifiers o National Id o Tax Id o Passport Number o Social Security Number o Vehicle Registration Number o Driver License Bank and Insurance Identifiers o Bank Identifier Code (BIC) o IBAN o Insurance ID Credit Card Number o American Express o VISA o MasterCard o Diners Club o Discover o Etc. Digital Identifiers o Phone Number o IP Address (V4, V6) o MAC Address o X/Y Geographic Coordinate o Address Social Media o Twitter Account o URL FaceBook o URL Linkedin o URL Pinterest o URL Instagram Sensitive Data o o o o o o o o o o o Health, Sex Political Religious Philosophical Trade union member info Genetic Biometric Race Gender Ethnicity Children

8 Ulkoisia ja sisäisiä haasteita Viranomaisten suuntaan RAPORTOINTI! Onko meillä ajantasainen kirjanpito tietolähteistämme? Sisäiset haasteet - TOIMINNAN JATKUVUUS! Millaista henkilödataa meillä on? Onko tietolähteidemme riskitasoa arvioitu - PIA? Miten tunnistamme henkilödatan? Onko meillä valmius raportoida viranomaiselle, missä henkilödataa on? Pystymmekö todistamaan, että riittäviin toimenpiteisiin on ryhdytty? Kuinka moneen järjestelmään henkilötietoja replikoidaan automaattisesti? (mukaanlukien varmuuskopiot) Onko meillä tallessa lokitietoja datan käytöstä? Pystymmekö seuraamaan tietovirtoja ja auditoimaan datan käyttöä riittävällä tasolla? Miten voin jatkossa tehdä dataa vaativaa kehitystä jos kaikki kiva kielletään?

9

10 SAS ratkaisuja joidenkin GDPR osa-alueiden hanskaamiseen SAS Enterprise Governance Risk & Compliance Data Privacy Impact Assessments (PIA) and Reporting Data Flow Analysis Personal Data Incidents and Process Management SAS Data Management Identify and Categorize Personal Data Link Systems, Processes & Business Owners in data flows Monitor Personal Data Over Time & Retention Manage Consent Data & View of Personal Data SAS Federation Server Manage & Secure Access to Personal Data Remove, Mask or Minimize Personal Data Report on Personal Data Access Copyright SAS Institute Inc. All rights reserved.

11 Viisi tunnistettua vaihetta Access data sources for personal data investigation or business use. Find, catalog, and analyze personal data attributes, patterns, and contexts to evaluate need for deidentification and risk assessment. Assess risk, handle incidents & manage policies *1) Link terms, systems, owners. *2) Support consent and erasure *3) Implement data protection safeguards and apply privacy-specific measures such as masking and encryption. Log, monitor, and audit usage of personal data. Report and demonstrate compliance for personal data SAS Federation Server SAS Federation Server SAS Data Quality SAS EGRC *1) SAS Data Governance *2) SAS MDM *3) SAS Federation Server SAS EGRC SAS Federation Server Missä henkilödata sijaitsee? Mikä järjestelmä, mikä prosessi? Onko riskiarvioinnit tehty? Onko data suojattu riittävällä tasolla? Raportointi ja automatisointi? Copyright SAS Institute Inc. All rights reserved.

12 SAS EGRC kuvaa tietolähteet, riskiarviot, prosessin ja vastuut Automates the generation of PIA (Privacy Impact Assessment) reports towards authorities that indicate: Reports overall exposure to Data Protection risks with understanding of: Where personal data lies What data flows treat personal data Policies for critical situations such as a data breaches Identify data flows Access data flows Mitigate data flow risks Reports

13 Välineistöä henkilödatan identifiointiin Personal Data Identification in SAS Data Management Parsing Extraction Pattern Analysis Identification Analysis Gender Analysis Standardization, Casing Matching Examples of supported PD Names Phone numbers Postal Codes addresses Street addresses IP address Health data HR data Personal files Social security numbers IBAN Credit card numbers VISA (4571) MasterCard (55XX) American Express

14 SAS Quality Knowledge Base monipuolinen työkalupakki

15 SAS Data Management Miten löytää henkilödata järjestelmistä Toimii kuten snifferi skannaa tekstikenttiä läpi ja luokittelee datan eri kategorioihin Sarakkeiden nimillä ei väliä, koska skannaus tehdään suoraan kenttien sisältöön Identification Analysis = tunnistaa yksittäisen tiedon, kuten nimi Data Extraction = erottelee kentästä esim. nimen, osoitteen ja sähköpostin

16 SAS Business Data Network henkilödatan käsitteet hallintaan Serves as a centralized Personal Data glossary Manage term definitions and link them to owners, processes and data resources Automated notifications to interested parties

17 SAS Business Data Network linkittää termit ja resurssit Link Personal Data with Terminology Systems Processes Business Owners Enables data owners and consumers to see how resources and processes are connected.

18 SAS Visual Analytics sopii myös tiedon laadun raportointiin Data Quality needs to be a part of GDPR compliance reporting due to issues such as data duplication Use Business Rules to define the criteria: Run the rules against data for Data Quality metrics Create dashboards based on these metrics

19 SAS Federation Server keskitetty, tietoturvallinen virtualisointikerros Easy and timely access to business data in a secure and seamless way. Internal and external systems Internal and external users Visualization and reporting Centralized way to manage diverse data sources Protect sensitive data and log queries and track data access by user or application. SAS Federation Server Secured, logical view into underlying data sources Reduces the burden of data access from the source systems by caching the data to the logical layer Org A Org B Org C

20 Useita välineitä liikkuvan datan suojaamiseen Data Anonymization Removal of Personal Data Data Pseudonymization Masking of Personal Data Data Protection Hashing (not reversible) Encryption (reversible with key) With SAS Federation Server these operations can be done on-the-fly when serving Personal Data to consumers no need to change the operational data sources

21 Miten datan pseudonymisointi tapahtuu? Data masking is implemented using a set of functions and arguments applied to a column of a table or view managed by Federation Server The rule types supported are ENCRYPT/DECRYPT, HASH, TRANC and a series of RANDOM The HASH rule hashes a single value into a fixedlength hash digest and is not reversible

22 Summa summarum Automaattista Get Compliant nappulaa ei ole Jotakin pitäisi tehdä, mutta miten päästä alkuun? GDPR on enemmän prosessi- ja policy kysymys kuin teknologiaa Teknologialla voi helpottaa joitakin GDPR:ään liityviä asioita: Datan löytäminen ja tunnistaminen Datan suojaaminen ja käytönvalvonta Viranomaisraportointi SAS-kehittäjän kannalta muistettavia asioita: Harkitse, minkälaista dataa ylipäätään voi käyttää esim. testidatana projektissa Perustele ensin itsellesi, miksi on pakko käyttää henkilödataa (live vs. dummy data?) Selvitä pärjätäänkö pseudonymisoidulla datalla Henkilödatan käytön valvonta myös kehitysympäristöissä

23 General Data Protection Regulation GDPR: What s the story? jarno.lindqvist@sas.com