Tuân thủ dữ liệu và quyền riêng tư dữ liệu là gì

Bizfly Cloud

1462

08-09-2024

Tuân thủ dữ liệu và quyền riêng tư dữ liệu là hai khía cạnh quan trọng cần xem xét khi triển khai bất kỳ ứng dụng nào chứa dữ liệu của khách hàng hoặc người dùng. Bài viết này sẽ làm sáng tỏ những điểm khác biệt giữa tuân thủ dữ liệu và quyền riêng tư dữ liệu.

Khi triển khai bất kỳ ứng dụng nào chứa dữ liệu của khách hàng hoặc người dùng, tuân thủ dữ liệu và quyền riêng tư dữ liệu là hai khía cạnh quan trọng cần xem xét. Tuy nhiên, hai lĩnh vực quản lý dữ liệu này đôi khi bị hiểu nhầm. Bài viết này sẽ làm sáng tỏ những điểm khác biệt giữa tuân thủ dữ liệu và quyền riêng tư dữ liệu.

Tuân thủ dữ liệu là gì?

Tuân thủ dữ liệu (Data Compliance) đề cập đến yêu cầu phải đáp ứng các nghĩa vụ pháp lý nhất định xung quanh việc thu thập, xử lý và lưu trữ dữ liệu.

Ví dụ, các công ty có khách hàng ở Châu Âu phải tuân thủ Quy định chung về bảo vệ dữ liệu (GDPR). Đây là một khuôn khổ pháp lý cho phép người tiêu dùng có quyền xem dữ liệu mà một công ty nắm giữ về họ, phản đối việc công ty xử lý dữ liệu đó và yêu cầu công ty xóa dữ liệu đó. Tương tự, các công ty có khách hàng ở California phải tuân thủ Đạo luật về quyền riêng tư của người tiêu dùng California (CCPA).

Ngoài GDPR/CCPA, ví dụ về các khuôn khổ tuân thủ khác bao gồm Đạo luật về Trách nhiệm giải trình và Khả năng bảo hiểm Y tế (HIPAA), khuôn khổ kiểm toán SOC 2 và tiêu chuẩn ISO/IEC 27001. Điều này có thể bao gồm một tập hợp các chính sách, quy trình và kiểm toán do công ty thiết lập để đảm bảo tuân thủ dữ liệu.

Quyền riêng tư dữ liệu là gì?

Quyền riêng tư dữ liệu (Data Privacy) liên quan đến việc giữ bí mật và bảo mật dữ liệu nhạy cảm. Trong đó, tuân thủ dữ liệu là khía cạnh pháp lý của quản lý dữ liệu thì việc giữ bí mật dữ liệu là một mối quan tâm thực tế/kỹ thuật. Mục tiêu của chương trình quyền riêng tư là vận động cho quyền riêng tư của dữ liệu và đảm bảo chỉ những người dùng được ủy phép mới có thể xem dữ liệu trên cơ sở cần biết. Nó bao gồm các yếu tố vượt ra ngoài những gì một chương trình tuân thủ thông thường có.

Quyền riêng tư dữ liệu thường áp dụng cho bất kỳ thông tin nhận dạng cá nhân (PII) nào, là bất kỳ dữ liệu nào có thể được sử dụng để xác định một người nào đó. Số an sinh xã hội, địa chỉ email, địa chỉ IP, v.v. có thể được coi là PII. Các công ty phấn đấu vì quyền riêng tư dữ liệu cần áp dụng các biện pháp để bảo vệ tính bảo mật của dữ liệu này, ngay cả khi không bắt buộc phải tuân thủ, do đó, ủng hộ quyền riêng tư của các cá nhân mà dữ liệu liên quan. Quyền riêng tư dữ liệu đảm bảo các cơ chế được áp dụng để đảm bảo chỉ những người được ủy quyền mới có quyền truy cập vào dữ liệu.

Một quan niệm sai lầm xung quanh việc tuân thủ dữ liệu và quyền riêng tư dữ liệu là một công ty không thể lưu trữ dữ liệu của mình bằng bất kỳ công cụ của bên thứ ba nào và do đó phải sử dụng các giải pháp “nội bộ”. Điều này là không đúng. Một công cụ của bên thứ ba có thể có quyền kiểm soát truy cập và bảo mật mạnh mẽ đã được kiểm toán nghiêm ngặt theo các khuôn khổ của bên thứ ba như SOC 2 và ISO/IEC 27001 — trong khi kho dữ liệu “nội bộ” có thể cho phép nhiều nhân viên truy cập thông qua một mật khẩu gốc chung mà không có bất kỳ nhật ký kiểm toán mạnh mẽ nào có thể khác xa so với tuân thủ.

Thay vào đó, các kỹ sư phải đánh giá các công cụ (dù là nội bộ hay bên ngoài) để đảm bảo các cơ chế chính xác được triển khai để đáp ứng các tiêu chuẩn bảo mật và tuân thủ dữ liệu. Xác suất vi phạm dữ liệu có thể tăng lên nếu một công ty không áp dụng mức độ bảo mật nghiêm ngặt đối với các công cụ nội bộ như đối với các công cụ bên ngoài.

Tuân thủ không chỉ là mối quan tâm về kỹ thuật

GDPR, SOC 2 và các khuôn khổ khác là các khuôn khổ pháp lý và hoạt động. Mặc dù chúng tác động rất nhiều đến kỹ thuật, nhưng các khuôn khổ này ảnh hưởng đến toàn bộ hoạt động của một công ty từ pháp lý, bán hàng và hỗ trợ. Nếu một công ty cần hợp tác với một doanh nghiệp khác, thì các thủ tục giấy tờ pháp lý sẽ mở đường cho họ làm như vậy. Việc thiết lập một môi trường “bảo mật” trong AWS không có nghĩa là bạn tuân thủ SOC 2. Việc lưu trữ dữ liệu của bạn trong cơ sở dữ liệu “nội bộ” không có nghĩa là bạn tuân thủ GDPR vì có các quy trình vận hành bắt buộc đối với các nhóm như hỗ trợ và bán hàng.

Để tuân thủ GDPR, hai công ty có thể ký một tài liệu pháp lý thường được gọi là “Phụ lục xử lý dữ liệu”, trong đó xác định cách thức xử lý và bảo vệ dữ liệu giữa các bên khác nhau. Nó sẽ xác định ai là người kiểm soát dữ liệu, ai là người xử lý dữ liệu, cách thức xử lý dữ liệu, SLA và quy trình trong trường hợp vi phạm, v.v. Thỏa thuận nên bao gồm tất cả dữ liệu có thể được phân loại là PII và đảm bảo rằng nó tuân theo các yêu cầu của luật pháp tuân thủ có liên quan.

Tiếp tục với GDPR làm ví dụ của chúng ta, điều đó có nghĩa là cần phải có một quy trình để đáp ứng các yêu cầu xung quanh việc cá nhân truy cập, phản đối và yêu cầu xóa dữ liệu của họ (bất kể dữ liệu đó được lưu trữ ở đâu).

Giữ dữ liệu riêng tư

Việc bạn tuân thủ GDPR hoặc SOC 2 không nhất thiết có nghĩa là dữ liệu là riêng tư, bất kể dữ liệu được lưu trữ trong công cụ của bên thứ ba hay trong giải pháp nội bộ của bạn. Quyền riêng tư dữ liệu là nghệ thuật vượt lên trên và vượt ra ngoài các khuôn khổ tuân thủ để làm mọi thứ bạn có thể để đảm bảo quyền riêng tư cho dữ liệu của khách hàng.

Có một vài cách tiếp cận khác nhau để đảm bảo quyền riêng tư dữ liệu. Ví dụ: nền tảng Moesif có một tính năng được gọi là quy tắc bảo mật cho phép bạn hạn chế quyền truy cập vào một số trường nhất định trên cơ sở cần biết bằng cách sử dụng Kiểm soát truy cập dựa trên vai trò (RBAC). Ví dụ, bạn có thể tạo quy tắc bảo mật đảm bảo nhân viên hỗ trợ kỹ thuật không thể xem hoặc kiểm tra các tiêu đề HTTP nhạy cảm hoặc PHI (Thông tin y tế được bảo vệ) — trong khi nhà phân tích có thể cần các trường truy cập bổ sung cho mục đích báo cáo.

Bảo mật dữ liệu bằng mã hóa phía máy khách

Cách thứ hai bạn có thể giữ dữ liệu riêng tư là thông qua mã hóa phía máy khách, một xu hướng gần đây để giảm nguy cơ vi phạm dữ liệu và cải thiện trạng thái quyền riêng tư dữ liệu. Mã hóa phía máy khách cho phép bạn mã hóa dữ liệu bằng cách sử dụng một tập hợp các khóa mã hóa được luân chuyển mà rất ít nhân viên của bạn có quyền truy cập. Các kỹ sư duy trì cơ sở hạ tầng dữ liệu và quy trình xử lý cơ bản nhưng không có nhu cầu kinh doanh để xem dữ liệu thực tế sẽ không thể xem được miễn là họ không có quyền truy cập vào các khóa mã hóa.