Informacje zagregowane

Informacje zagregowane to dane wielu osób, urządzeń lub rekordów połączone w zestawienie: sumę, średnią, liczbę, udział albo trend. Wynik opisuje grupę, a nie osobę. Raport pokazujący, ile zgłoszeń zamknął każdy zespół w zeszłym tygodniu, jest zagregowany; lista pojedynczych zgłoszeń, na której się opiera, już nie.

Agregacja zmniejsza poziom szczegółów i często bywa mylona z anonimizacją. Oba pojęcia zachodzą na siebie, ale nie są tym samym: agregacja zmienia poziom, na którym pokazuje się dane, a anonimizacja jest twierdzeniem, że nikogo nie da się zidentyfikować. Zestawienie może spełniać pierwsze i nie spełniać drugiego.

Agregacja to krótki proces, a jego ostatni krok zespoły pomijają najczęściej. W odróżnieniu od maskowania danych, które ukrywa wartości wewnątrz rekordu, agregacja w ogóle rezygnuje z rekordu jako jednostki wyniku.

1. 1

   Zbieranie

   Zgromadź rekordy z jednego lub kilku źródeł, takich jak dzienniki, formularze czy czujniki.

2. 2

   Grupowanie

   Podziel rekordy według wybranego wymiaru: zespołu, regionu, tygodnia lub kategorii.

3. 3

   Podsumowanie

   Zastosuj funkcję do każdej grupy: liczbę, sumę, średnią, minimum lub maksimum.

4. 4

   Tłumienie

   Ukryj lub scal grupy zbyt małe, by chroniły osoby, które do nich należą.

5. 5

   Kontrola

   Przed udostępnieniem sprawdź wynik pod kątem połączeń wskazujących na jedną osobę.

Agregaty są wszędzie, bo odpowiadają na pytania zarządcze bez ujawniania każdego przypadku. Prawo ochrony prywatności traktuje je ostrożnie: CCPA wyłącza na przykład z definicji danych osobowych zagregowane informacje o konsumentach, czyli dane o grupie, z których usunięto tożsamość poszczególnych osób. Na tym samym założeniu opierają się narzędzia analityczne, takie jak oprogramowanie do analityki pracowniczej.

W bezpieczeństwie agregacja ma też drugie znaczenie i działa w przeciwnym kierunku. Informacje nieszkodliwe osobno mogą stać się wrażliwe po zestawieniu: imię i nazwisko, stanowisko, biuro i kalendarz podróży tworzą obraz, którego żadna z tych informacji nie daje sama. Wytyczne bezpieczeństwa opisują to jako ryzyko agregacji.

W praktyce oznacza to, że klasyfikacja zestawienia nie musi być niższa niż klasyfikacja jego źródeł. Raport łączący wiele źródeł może zasługiwać na oznaczenie najbardziej wrażliwych informacji, które zawiera, dlatego jego autor powinien pytać, co raport ujawnia jako całość, a nie tylko co zawiera każda kolumna.

Zespoły często zakładają, że po zsumowaniu rekordów prywatność jest załatwiona. Tak nie jest, bo zestawienia mogą przeciekać przez sposób, w jaki je zbudowano:

Typowe zabezpieczenia to minimalna wielkość grupy, poniżej której wyniki są ukrywane lub scalane, zaokrąglanie oraz, w bardziej rygorystycznych zastosowaniach, dodawanie szumu statystycznego, czyli prywatność różnicowa.

• Małe grupy: średnia zespołu policzona z jednej lub dwóch osób to prawie rekord osobowy
• Różnicowanie: dwa raporty różniące się jedną osobą ujawniają wartość tej osoby
• Łączenie: zestawienie połączone z danymi z zewnątrz może wskazać konkretną osobę
• Wartości skrajne: najwyższa lub najniższa wartość w grupie wskazuje jej właściciela
• Powtarzane publikacje: seria szczegółowych zestawień pozwala odtworzyć pierwotne wiersze

Te trzy pojęcia opisują różne rzeczy, a ich mylenie prowadzi do błędnych deklaracji zgodności. Ptaszek w trzecim wierszu oznacza „może”, a nie „zawsze”.

Duża część tego, co pokazuje konsola, jest zagregowana. Widżety pulpitu i raporty w module Anexet Activity dają rankingi, udziały i trendy na potrzeby monitorowania produktywności i czasu pracy zamiast strumienia pojedynczych zdarzeń. Pierwszy widok grupuje incydenty według poziomu ryzyka, drugi to konfiguracja widżetu, który szereguje użytkowników według wybranej metryki.

1 / 2

• 
• 

Ustal najmniejszą grupę, jaką mogą opisywać Twoje raporty, zapisz to i sprawdzaj każdy nowy pulpit lub eksport według tej reguły. Rekordy źródłowe chroń tak samo jak zestawienia, które z nich powstają, a zestawienie oznaczaj według tego, co może ujawnić po połączeniu z innymi, a nie według tego, jak niewinnie wygląda samo.

Agregacja to dobre ustawienie domyślne, gdy wyniki trafiają do szerokiego grona. To decyzja projektowa, która wymaga reguły, a nie gwarancja.