Informazioni Aggregate

Le informazioni aggregate sono dati di molte persone, dispositivi o record combinati in una sintesi: un totale, una media, un conteggio, una quota o una tendenza. Il risultato descrive un gruppo, non una persona. Un rapporto che mostra quanti ticket ha chiuso ogni team la settimana scorsa è aggregato; l'elenco dei singoli ticket che sta dietro non lo è.

L'aggregazione riduce il livello di dettaglio e viene spesso confusa con l'anonimizzazione. I due concetti si sovrappongono ma non coincidono: l'aggregazione cambia il livello a cui i dati vengono mostrati, mentre l'anonimizzazione è l'affermazione che nessuno può essere identificato. Una sintesi può soddisfare la prima e fallire la seconda.

L'aggregazione è un breve processo, e l'ultimo passaggio è quello che i team saltano. A differenza del mascheramento dei dati, che nasconde i valori all'interno di un record, l'aggregazione abbandona del tutto il record come unità di output.

1. 1

   Raccogliere

   Riunire i record di una o più fonti, come log, moduli o sensori.

2. 2

   Raggruppare

   Suddividere i record in base a una dimensione scelta: team, regione, settimana o categoria.

3. 3

   Sintetizzare

   Applicare una funzione a ogni gruppo: conteggio, somma, media, minimo o massimo.

4. 4

   Sopprimere

   Nascondere o unire i gruppi troppo piccoli per proteggere le persone che ne fanno parte.

5. 5

   Verificare

   Prima di condividere, controllare che non ci siano combinazioni che riconducono a una sola persona.

Gli aggregati sono ovunque perché rispondono alle domande di gestione senza esporre ogni singolo caso. Il diritto alla privacy li tratta con cautela: il CCPA, per esempio, esclude dalla definizione di informazioni personali le informazioni aggregate sui consumatori, cioè i dati su un gruppo da cui sono state rimosse le identità individuali. Strumenti di analisi come il software di analisi della forza lavoro si fondano sulla stessa idea.

In sicurezza l'aggregazione ha un secondo significato, che opera in direzione opposta. Informazioni innocue da sole possono diventare sensibili una volta riunite: un nome, un ruolo, una sede e un'agenda di viaggi disegnano un quadro che nessuno di loro disegna da solo. Le linee guida di sicurezza lo descrivono come rischio di aggregazione.

La conseguenza pratica è che la classificazione di una sintesi non è automaticamente inferiore a quella delle sue fonti. Un rapporto che combina molte fonti può meritare l'etichetta della sua informazione sensibile più critica, perciò chi lo redige dovrebbe chiedersi cosa rivela nel complesso, non solo cosa contiene ogni colonna.

Si pensa spesso che, una volta riassunti i record, la privacy sia risolta. Non è così, perché le sintesi possono lasciar trapelare informazioni attraverso il modo in cui sono costruite:

Le misure di salvaguardia più comuni sono una dimensione minima del gruppo sotto la quale i risultati vengono nascosti o uniti, l'arrotondamento e, nei contesti più rigorosi, l'aggiunta di rumore statistico, nota come privacy differenziale.

• Gruppi piccoli: una media di team calcolata su una o due persone è quasi un record personale
• Differenziazione: due rapporti che differiscono per una sola persona rivelano il valore di quella persona
• Collegamento: una sintesi combinata con dati esterni può individuare qualcuno
• Valori anomali: il valore più alto o più basso di un gruppo rimanda a chi lo detiene
• Pubblicazioni ripetute: una serie di sintesi dettagliate può servire a ricostruire le righe originali

I tre termini descrivono cose diverse, e confonderli porta a dichiarazioni di conformità sbagliate. Un segno di spunta nella terza riga significa «può», non «sempre».

Buona parte di ciò che mostra la console è aggregata. I widget della dashboard e i rapporti del modulo Anexet Activity offrono classifiche, quote e tendenze per il monitoraggio della produttività e dell'orario di lavoro al posto di un flusso di eventi singoli. La prima schermata raggruppa gli incidenti per livello di rischio; la seconda è la configurazione di un widget che ordina gli utenti secondo una metrica scelta.

1 / 2

• 
• 

Stabilisci il gruppo più piccolo che i tuoi rapporti possono descrivere, mettilo per iscritto e verifica ogni nuova dashboard o esportazione con questa regola. Proteggi i record di origine quanto le sintesi ricavate da essi ed etichetta una sintesi in base a ciò che potrebbe rivelare combinata con altre, non in base a quanto appare innocua da sola.

L'aggregazione è una buona impostazione predefinita quando i risultati vengono condivisi ampiamente. È una scelta di progetto che richiede una regola alle spalle, non una garanzia.