‏إخفاء الهوية (Anonymization)

لا تُعتبر مجموعة البيانات مُخفاة الهوية إلا حين لا يستطيع أي من حائزيها إعادة التعرّف المعقول على الأفراد الواردين فيها. فحذف المعرّفات الواضحة مثل الأسماء وأرقام الهوية لا يكفي، لأن بقية السجل قد تظل تصف شخصاً حقيقياً. أما السجلات التي تتضمن بيانات حساسة فتحتاج إلى أشد اختبار.

تقيّم الجهات التنظيمية والمعايير هذا الأمر في ضوء السياق الكامل، فتسأل عن مصادر البيانات الأخرى الموجودة، ومن يستطيع دمجها، وكم من الجهد تتطلبه إعادة التعرّف. وحذف الاسم مع الإبقاء على تركيبة نادرة من الرمز البريدي وتاريخ الميلاد والجنس طريقة معروفة للإخفاق في هذا الاختبار، لأن هذه التركيبة وحدها قد تحدد شخصاً بعينه في السجلات العامة.

تغطي أربعة أساليب معظم الحالات. ولا تخلط بينها وبين إخفاء البيانات، الذي يحجب القيم دون أن يزيل بالضرورة إمكانية التعرّف على الأشخاص.

توفر نماذج رسمية مثل k-anonymity وl-diversity والخصوصية التفاضلية ضماناً قابلاً للقياس لهذه الأساليب. فعلى سبيل المثال، تضمن k-anonymity أن كل تركيبة من شبه المعرّفات تطابق ما لا يقل عن k من الأشخاص في مجموعة البيانات.

كثيراً ما يُخلط بين المصطلحين، لكن التشريعات تعاملهما بشكل مختلف تماماً. يستبدل الاسم المستعار القيم المعرّفة برموز ثابتة، مثل معرّف عميل يُربط برمز. ويستطيع مفتاح منفصل عكس العملية، لذلك تبقى البيانات بيانات شخصية، لكنها محمية.

أما إخفاء الهوية فيلغي هذه الإمكانية: لا يوجد مفتاح ولا مسار مشروع للعودة إلى الفرد. ولهذا تبقى البيانات ذات الاسم المستعار خاضعة لـقوانين حماية البيانات، بينما لا تخضع البيانات المُخفاة الهوية فعلياً لها عادة.

يعمل إخفاء الهوية كعملية، وكل خطوة تقلص الخطر. ابدأ بـتصنيف البيانات الذي يحدد كل حقل قبل تغيير أي شيء.

1. 1

   حدّد الغرض

   قرّر من سيستلم البيانات ولماذا. الجواب يحدد قدر التفاصيل الذي يمكن أن يبقى.

2. 2

   صنّف كل حقل

   حدّد المعرّفات المباشرة، وشبه المعرّفات مثل الرمز البريدي وتاريخ الميلاد، والسمات الحساسة مثل التشخيصات.

3. 3

   طبّق الأساليب

   عمّم أو احذف أو اجمع الحقول الخطرة، وأزل المعرّفات المباشرة كلياً.

4. 4

   اختبر بالبيانات الخارجية

   اسأل هل يستطيع شخص يملك بيانات أخرى مطابقة السجل بشخص ما. إن كان الجواب نعم، كرر الخطوة السابقة بتغييرات أقوى.

قبل إخفاء هوية مجموعة البيانات، يجب العثور على معرّفاتها. تتضمن Anexet DLP قواميس مدمجة لأرقام الضمان الاجتماعي (SSN) وبطاقات الائتمان والبيانات المالية، إضافة إلى التعابير النمطية لقيم مثل الرموز البريدية وأرقام الحسابات المصرفية. يعرض الإطاران أدناه هذه القواميس والأنماط.

1 / 2

• 
• 

تستخدم المؤسسات إخفاء الهوية في أربع حالات شائعة:

• البحث العلمي ونشر البيانات للعموم. تُخفى هوية بيانات الصحة والتعدادات والاستبيانات قبل نشرها أو مشاركتها خارج المؤسسة التي جمعتها.
• التحليلات والتعلم الآلي. تُخفى هوية بيانات التدريب وإحصاءات الاستخدام، حتى تُدرس الأنماط دون كشف الأشخاص وراءها.
• الامتثال التنظيمي. البيانات المُخفاة الهوية فعلياً لا تُنظَّم عادة كبيانات شخصية بموجب اللائحة الأوروبية العامة لحماية البيانات (GDPR).
• الاحتفاظ بالبيانات. تحتفظ السجلات القديمة بقيمتها الإحصائية دون أن تكون قابلة للتتبع إلى أفراد، بدلاً من حذفها كلياً.

أظهرت هجمات إعادة التعرّف مراراً أن مجموعات بيانات يُفترض أنها مجهولة الهوية يمكن كشفها بمقارنتها ببيانات أخرى تبدو غير ذات صلة، مثل آثار المواقع الجغرافية وسجلات الشراء والمنشورات العامة على وسائل التواصل الاجتماعي. والنص الحر أصعب الحالات، لأن الأسماء والأماكن تختبئ في البيانات غير المهيكلة ويسهل أن تفوت.

ويزداد الخطر مع ثراء مجموعة البيانات، فكلما زادت السمات التي يحملها السجل، زاد احتمال أن تكون إحدى تركيباتها فريدة لشخص واحد. لذلك يُعد إخفاء الهوية تقييماً مستمراً للمخاطر، لا خطوة تقنية تُنفَّذ مرة واحدة.

ابدأ بمجموعات البيانات التي سيكون تسريبها أشد ضرراً، ثم بالحقول التي تتحد لتشكل هوية شخص. وأخفِ هوية هذه أولاً.

قد تجتاز مجموعة البيانات الاختبار اليوم ثم تفشل العام المقبل، حين تظهر بيانات عامة جديدة يمكن مطابقتها بها.

للمزيد من القراءة: كيف أحافظ على سلامة بياناتي الشخصية؟; استخدام نظام Anexet Ultimate DLP للامتثال لـ GDPR.