اطلاعات شخصی قابل شناسایی (Personally Identifiable Information – به اختصار PII) هر داده‌ای است که به طور بالقوه می‌تواند منجر به شناسایی هویت یک فرد خاص شود. هر اطلاعاتی که جهت متمایز کردن افراد از یکدیگر استفاده می‌شود و می‌توان از آنها برای شناسایی داده‌های ناشناس قبلی استفاده کرد، PII در نظر گرفته می‌شود.
PII ممکن است به تنهایی یا همراه با سایر داده‌های مرتبط برای شناسایی یک فرد مورد استفاده قرار گیرد و ممکن است شامل شناسه‌های مستقیمی مانند اطلاعات پاسپورت باشد که می‌تواند شخص را منحصراً شناسایی کند یا با شبه‌شناسه‌هایی نظیر نژاد که می‌تواند با سایر شبه‌شناسه‌ها نظیر تاریخ تولد ترکیب شود و منجر به شناسایی موفقیت‌آمیز یک فرد گردد.
چرا PII باید ایمن شود؟
حفاظت از PII جهت حفظ حریم خصوصی شخصی، حریم خصوصی داده‌ها، جلوگیری از نشت داده‌ها، حریم خصوصی اطلاعات و امنیت اطلاعات ضروری است. تنها با چند بیت از اطلاعات شخصی یک فرد، سارقان می‌توانند حساب‌های جعلی به نام فرد ایجاد نموده، بدهی خود را پرداخت کنند، پاسپورت جعلی ایجاد نموده یا هویت یک فرد را به مجرمان دیگر بفروشند.
از آنجایی که داده‌های شخصی افراد – مانند اسکن‌های بیومتریک اثر انگشت و سیستم‌های تشخیص چهره که برای باز کردن قفل دستگاه‌ها بکارگرفته می‌شود – به صورت روزانه ثبت، ردیابی و استفاده می‌شود، حفاظت از هویت افراد و هر گونه اطلاعات شناسایی منحصر به فرد آنها کاملاً ضروری است.
PII شامل چه اطلاعاتی است؟
هر اطلاعاتی که بتواند افراد را به‌عنوان فردی مجزا از سایرین شناسایی کند، PII در نظر گرفته می‌شود. بنابراین PII موارد زیر را شامل می‌شود:
- نام
- نشانی
- پست الکترونیک
- شماره تلفن
- تاریخ تولد
- شماره پاسپورت
- اثر انگشت
- شماره گواهینامه رانندگی
- شماره حساب یا شماره کارت اعتباری
- شماره تامین اجتماعی
هر چند تعاریف مختلفی از PII ارائه شده است. به نقل از اداره خدمات عمومی ایالات متحده (General Services Administration – به اختصار GSA)، «تعریف PII به دسته‌ای خاص از اطلاعات یا فناوری خلاصه نمی‌شود. بلکه نیاز به ارزیابی مورد به مورد از خطر خاصی دارد که یک فرد را می‌تواند شناسایی نماید.» در انجام این ارزیابی، برای یک مرکز، شناسایی Non PII از PII بسیار مهم است، به این معنی که تشخیص دهد هر زمان که اطلاعات اضافی – از هر رسانه و از هر منبع – در دسترس عموم قرار گیرد، در صورت ترکیب با سایر اطلاعات موجود، آیا می‌تواند برای شناسایی یک فرد به PII تبدیل شود.
اگرچه تعریف حقوقی PII ممکن است از کشوری به کشوری دیگر متفاوت باشد، اما به طور کلی معمولاً به اطلاعاتی اشاره دارد که می‌تواند برای تشخیص یا ردیابی هویت یک فرد، به تنهایی یا در ترکیب با سایر اطلاعات شخصی یا هویتی مرتبط مورد استفاده قرار گیرد.
برخی منابع، PII را اینگونه تعریف می‌کنند: «هر گونه اطلاعات جمع‌آوری یا نگهداری شده توسط یک سازمان در خصوص یک فرد – شامل تحصیلات، تراکنش‌های مالی، سابقه پزشکی، سابقه جنایی یا شغلی – و هر اطلاعات شخصی دیگری نظیر نام، شماره تامین اجتماعی، تاریخ تولد، محل تولد، نام خانوادگی مادر و داده‌های بیومتریک که جهت تشخیص یا ردیابی هویت یک فرد، می‌توان از آنها استفاده کرد یا آن را به یک فرد خاص مرتبط دانست.»
این اطلاعات بسته به میزان آسیبی که برای یک فرد یا سازمان ایجاد می‌کنند، در صورت گم شدن، سرقت شدن یا افشای آنها، می‌توانند حساس و حیاتی باشند.
PII حساس و PII غیرحساس
PII چگونه در سرقت هویت مورد استفاده قرار می‌گیرد؟
تعدادی از سازمان‌ها نظیر سازمان‌های مرتبط با حوزه سلامت، موسسات مالی – از جمله بانک‌ها و موسسات مالی و مراکز دولتی نظیر Office of Personnel Management – به اختصار OPM و Department of Homeland Security – به اختصار DHS-، نشت‌داده‌ها را تجربه کرده‌اند. نشت داده، PII افراد را در معرض خطر قرار داده و آنها را به طور بالقوه در برابر جعل هویت، آسیب‌پذیر می‌کند.
بسته به آنچه که مجرمان سایبری به دنبال آن هستند، نوع اطلاعاتی که سارقان هویت اطلاعاتی دنبال می‌کنند، تغییر خواهد کرد. با هک و دسترسی به کامپیوترها و سایر فایل‌های دیجیتالی، مهاجمان قادر به افتتاح حساب‌های بانکی می‌باشند یا با اطلاعات سرقت شده مناسب، هویت جعلی خود را ثبت می‌کنند.
در برخی موارد، تبهکاران سایبری می‌توانند تنها با یک نشانی ایمیل، حساب باز کنند. در برخی موارد اطلاعات بیشتری نظیر نام، نشانی، تاریخ تولد، شماره تامین اجتماعی مورد نیاز است. حتی برخی از انواع حساب‌ها را می‌توان تنها به صورت تلفنی یا اینترنتی باز کرد.
علاوه بر این، در صورت سرقت در خانه، فایل‌های فیزیکی – مانند صورت‌حساب‌ها، رسیدها، کپی شناسنامه، کارت‌های تامین اجتماعی یا اطلاعات درج شده در اجاره‌نامه – ممکن است به سرقت بروند. سارقان می‌توانند PII موجود در این مدارک را جهت کسب بهره مالی به مبالغ قابل توجهی بفروشند. مجرمان ممکن است از اطلاعات قربانیان بدون اینکه متوجه شوند سوءاستفاده نمایند. حتی ممکن است سارقان از کارت‌های اعتباری قربانیان استفاده نکنند و با استفاده از اطلاعات قربانیان خود اقدام به افتتاح حساب‌های جدید و جداگانه‌ای نمایند.
قوانین و مقررات PII
از آنجایی که مقدار داده‌های ساختاریافته و غیرساختاریافته به سرعت در حال افزایش است، میزان نشت‌داده‌ها و حملات سایبری توسط تبهکاران سایبری که ارزش PII را می‌دانند، همچنان در حال افزایش است. در نتیجه، نگرانی‌هایی در مورد نحوه مدیریت و حفاظت از اطلاعات حساس و حیاتی در سازمان‌های دولتی و خصوصی مطرح شده است.
سازمان‌های دولتی و سایر سازمان‌ها باید سیاست‌های سخت‌گیرانه‌ای در مورد جمع‌آوری PII از طریق وب، نظرسنجی‌های مشتریان یا تحقیقات کاربر داشته باشند. نهادهای نظارتی قوانین جدیدی را برای محافظت از داده‌های کاربران وضع می‌کنند، در حالی که کاربران به دنبال روش‌هایی برای ناشناس ماندن در دنیای دیجیتال هستند.
استاندارد General Data Protection Regulation – به اختصار GDPR – اتحادیه اروپا یکی از مقررات و قوانین حفظ حریم خصوصی است که بر نحوه انجام کسب‌وکار سازمان‌ها تأثیر می گذارد. مقررات GDPR، برای هر سازمانی در اتحادیه اروپا که PII را از شهروندان جمع‌آوری می‌کند، اعمال می‌شود و به استانداردی واقعی در سراسر جهان تبدیل شده است. GDPR این سازمان‌ها را برای حفاظت از داده‌های PII در در هر یک از کشورهای اتحادیه کاملاً مسئول می‌داند.
بهترین شیوه‌های امنیتی حفاظت از PII
از آنجایی که سازمان‌ها به طور مداوم PII و سایر داده‌های حساس را جمع‌آوری، ذخیره و توزیع می‌کنند، کارمندان، مدیران و پیمانکاران ثالث باید پیامدهای داده‌های نادرست را درک کرده و پاسخگو باشند. تحلیل، پیش‌بینی و روش‌های هوش مصنوعی (Artificial Intelligence – به اختصار AI) در سازمان‌ها جهت غربال کردن مجموعه‌های داده‌ای بزرگ استفاده می‌شوند تا داده‌های ذخیره‌شده با قوانین PII مطابقت داشته باشند.
علاوه بر این سازمان‌هایی که پروسه‌هایی را جهت کنترل دسترسی، ایجاد می‌کنند، می‌توانند از افشای سهوی PII جلوگیری کنند. راهکار دیگر بکارگیری روش‌های رمزگذاری قوی، رمزهای عبور ایمن، احراز هویت دو مرحله‌ای (Two Factor Authentication – به اختصار 2FA) و احراز هویت چند عاملی (Multi Factor Authentication – به اختصار MFA) است.
توصیه‌هایی جهت محافظت از PII:
- تشویق کارکنان به تهیه نسخ پشتیبان از داده‌ها (با پیروی از قاعده 1-2-3؛ بر طبق این قاعده، به طور دوره‌ای از هر فایل سه نسخه میبایست نگهداری شود – یکی اصلی و دو نسخه بعنوان پشتیبان- فایل‌ها باید بر روی دو رسانه ذخیره‌سازی مختلف نگهداری شوند. یک نسخه از فایل‌ها میبایست در یک موقعیت جغرافیایی متفاوت نگهداری شود.)
- از بین بردن یا حذف ایمن رسانه‌های ذخیره‌سازی قدیمی حاوی داده‌های حساس و حیاتی؛
- نصب نرم‌افزار، اپلیکیشن و به‌روزرسانی موبایل؛
- استفاده از شبکه‌های بی‌سیم امن به جای Wi-Fi عمومی؛
- و استفاده از شبکه‌های خصوصی مجازی (Virtual Private Network – به اختصار VPN).
برای محافظت از PII، افراد باید:
- آنچه را که در رسانه‌های اجتماعی به اشتراک می‌گذارند، محدود کنند؛
- اسناد مهم را قبل از دور انداختن، امحاء نمایند؛
- شماره تامین اجتماعی خود را در اختیار هر کسی قرار ندهند؛
- و کارت‌های اعتباری خود را در مکانی امن نگهداری کنند.
افراد همچنین باید مطمئن شوند که در سایت‌های HTTP امن یعنی HTTPS خریدهای آنلاین خود را انجام دهند یا حساب‌های بانکی خود را بررسی کنند. مراقب حملاتی همچون نگاه از پشت (Shoulder Surfing)، دنباله‌روی (Tailgating) یا زباله‌گردی (Dumpster Diving) باشند. اسناد حساس و حیاتی را در بسترهای ابری آپلود نکنند و در صورت عدم استفاده بر روی دستگاه‌ها رمز قرار دهند.
PII در مقابل PHI
اطلاعات سلامت محافظت شده (Protected health information –به اختصار PHI) شامل اطلاعاتی – نظیر نام، نشانی، تاریخ تولد، شماره کارت اعتباری، گواهینامه رانندگی و سوابق پزشکی – است که می‌توان از طریق آن بیماران را شناسایی کرد.
شرکت‌ها و سازمان‌هایی که PII و یا PHI را مدیریت کنند، باید از برنامه‌های مدیریت سوابق استفاده کنند تا با انتقال داده‌ها به سیستم‌ها و مخازن مدیریت اسناد قوی‌تر و یا امحاء محتوایی که دیگر مورد نیاز نیست، کنترل بهتری بر داده‌های تحت کنترل خود به دست آورند.
در ایالات متحده، PHI، مشمول الزامات محرمانه شدیدی است که در اکثر صنایع دیگر اعمال نمی‌شود. حفاظت از PHI همیشه الزامی است در حالی که محافظت از PII فقط در برخی موارد الزامی است. بر اساس HIPAA و تغییرات اعمال شده در HIPAA که در قانون فناوری اطلاعات سلامت برای سلامت اقتصادی و بالینی (Health Information Technology for Economic and Clinical Health – به اختصار HITECH) در سال 2009 وضع شده، نهادهای تحت پوشش – مانند مراکز ارائه‌دهنده مراقبت‌های بهداشتی، بیمه‌گذاران و شرکای تجاری آنها – در دریافت انواع PHI ای از افراد، به اشتراک‌گذاری آنها با سایر سازمان‌ها و یا در بازاریابی با محدودیت‌های قانونی روبرو هستند. علاوه بر این، سازمان‌ها باید در صورت درخواست، PHI را ترجیحاً در قالب الکترونیکی (ePHI) به بیماران ارائه دهند.
PHI برای بیماران و متخصصان سلامت مفید است. همچنین در صورت ناشناس بودن هویت بیماران، برای محققان بالینی و علمی بسیار ارزشمند است. با این حال، برای هکرها، PHI انبوهی از اطلاعات شخصی مصرف‌کننده را ارائه می‌کند که در صورت به سرقت رفتن آنها، می‌تواند در جای دیگری فروخته شود یا حتی از طریق باج‌افزار گروگان گرفته شود تا زمانی که سازمان قربانی، اقدام به پرداخت باج مطالبه شده نماید.
