解读数据合规性和数据隐私之间的主要差异

　　在部署保存客户或用户数据的任何应用程序时，数据合规性和数据隐私都是需要考虑的重要事情。然而，数据管理的这两个领域有时会被误解。本文将阐明数据合规性和数据隐私之间的区别。

　　什么是数据合规性?

　　数据合规性是指在收集、处理和存储数据方面履行某些法律义务的要求。

　　例如，在欧洲拥有客户的公司必须遵守《通用数据保护条例》(GDPR)。这是一个法律框架，赋予消费者查看公司持有的关于他们的数据的权利，反对公司处理这些数据，并要求公司删除这些数据。同样，在加利福尼亚州拥有客户的公司必须遵守加利福尼亚州消费者隐私法案 (CCPA)。

　　除 GDPR/CCPA 外，其他合规框架的示例还包括《健康保险流通与责任法案》(HIPAA)、SOC 2 审核框架和ISO/IEC 27001 标准。这可能包括公司为确保数据合规性而制定的一套政策、程序和审计。

　　什么是数据隐私?

　　数据隐私与保持敏感数据的私密性和机密性有关。如果数据合规性是数据管理的法律要求，则保持数据的私密性就是技术问题。隐私计划的目标是倡导数据隐私，并确保只有授权用户才能在需要知道的基础上查看数据。它包括超出典型合规性计划所具有的元素。

　　数据隐私通常适用于任何个人身份信息 (PII)，即可用于识别某人的任何数据。社会保险号、电子邮件地址、IP 地址等可被视为 PII。努力保护数据隐私的公司需要采取措施保护这些数据的机密性，即使合规不需要，也要倡导与数据相关的个人的隐私。数据隐私必须建立机制，以确保只有授权人员才能访问数据。

　　存储敏感数据

　　关于数据合规性和数据隐私的一个误解是，公司无法使用任何第三方工具存储其数据，因此必须诉诸“内部”解决方案。

　　实际上，事实并非如此。第三方工具可能具有强大的访问控制和安全性，这些访问控制和安全性已在 SOC 2 和 ISO/IEC 27001 等第三方框架下进行了严格审核，而“内部”数据存储可能允许通过通用 root 密码访问许多员工，而无需任何强大的审核日志记录可能远非合规。

　　相反，工程师必须对工具进行评估(无论是内部还是外部)，以确保正确的机制到位，以满足安全性和数据合规性标准。如果公司不对内部工具应用与外部工具相同的严格安全性，则数据泄露的可能性可能会增加。

　　合规性不仅仅是一个项目问题

　　GDPR、SOC 2 和其他框架是法律和运营框架。虽然它们严重影响项目，但这些框架会影响公司从法律、销售和支持方面的整个运营。如果一家公司需要与另一家企业合作，那么法律文书工作将为他们铺平道路。在 AWS 中设置“安全”环境并不意味着就一定符合 SOC 2。将数据存储在“内部”数据库中并不意味着就一定符合GDPR，因为支持和销售等团队需要操作程序。

　　为了遵守GDPR，两家公司可以签署一份通常称为“数据处理附录”的法律文件，该文件定义了不同方之间如何处理和保护数据。它将定义谁是数据控制者，谁是数据处理者，如何处理数据，违规期间的SLA和程序等。该协议应涵盖可归类为 PII 的所有数据，并确保其符合相关合规性法规的要求。

　　以GDPR为例，这意味着需要有一个流程来满足个人访问，反对和要求删除其数据(无论数据存储在哪里)的要求。

　　保持数据的私密性

　　仅仅因为您遵守 GDPR 或 SOC 2 并不一定意味着数据是私密的，无论数据存储在第三方工具中还是存储在内部解决方案中。数据隐私是“超越”合规框架的艺术，尽一切努力确保客户数据的隐私。

　　有几种不同的方法可以确保数据隐私。例如，Moesif 平台具有一项称为隐私规则的功能，它使您能够使用基于角色的访问控制 (RBAC) 根据需要知道来限制对某些字段的访问。例如，您可以创建隐私规则，确保技术支持人员无法查看或检查敏感的 HTTP 标头或 PHI(受保护的健康信息)，而分析师可能需要其他访问字段来报告。

　　保持数据私密性的第二种方法是通过客户端加密，这是降低数据泄露风险和改善数据隐私状况的最新趋势。客户端加密使您能够使用一组轮换的加密密钥来加密数据，很少有员工可以访问这些密钥。维护底层数据基础结构和处理管道，但没有业务需要查看实际数据的工程师，只要他们无权访问加密密钥，就无法查看。

　　确保合规性，让您高枕无忧

　　数据合规性和数据隐私是重要而严肃的话题，会影响组织中接触敏感数据或客户数据的任何人。法律、运营和工程部门应协同工作，确保合规性。此外，公司应努力实现超出合规框架要求的进一步数据隐私。这可以用于数据道德或减少数据泄露时的暴露。

　　原文作者：Derric Gilling