Osobně identifikovatelné údaje (PII) v oblasti informační bezpečnosti zahrnují informace, které mohou přímo nebo nepřímo identifikovat konkrétní osobu.
Existuje několik definic PII, které se liší v závislosti na zemi a regionu. Nicméně, základní význam tohoto pojmu zůstává jednotný.
Běžná definice PII, jak ji uvádí Národní institut pro standardy a technologie (NIST) ve Spojených státech, zní: „Jakékoli zobrazení informací, které umožňuje rozumně odvodit identitu jednotlivce, kterého se informace týkají, a to buď přímo, nebo nepřímo.“
Formální definice se také upravují v závislosti na právních předpisech o ochraně soukromí a osobních údajů. Můžete si prostudovat související zkratky týkající se ochrany osobních údajů a dozvědět se o nich více.
Význam PII v kybernetické bezpečnosti 🔒
Kybernetická bezpečnost zahrnuje ochranu proti kybernetickým útokům. Jde zejména o bezpečnost informací, kde je hlavním cílem ochrana dat uložených v systémech a organizacích.
Znalost toho, co představuje PII, pomáhá pochopit, jaká data se uchovávají, co je třeba chránit, jak je efektivně spravovat a mnoho dalších aspektů, které zvyšují celkovou bezpečnost.
Obecně jsou PII považovány za citlivé údaje. Útočníci by se k takovým informacím neměli dostat. Jakékoli shromážděné PII mohou mít dopad na jedince v reálném světě, nejen v digitálním prostoru.
Důvěrnost hraje významnou roli v tom, jak organizace zachází s osobními údaji. Osobní informace jsou klíčové pro ochranu soukromí. Proto je ochrana informací v kybernetické bezpečnosti naprosto nezbytná.
Co konkrétně zahrnuje PII?
Po definování PII, jak lze poznat, že konkrétní data mohou odhalit identitu člověka? 🤔
K získání odpovědi je potřeba vědět, jaké údaje se klasifikují jako PII a jaké jsou různé typy PII.
Bez obav; budeme se oběma těmito aspekty zabývat.
Příklady zahrnují vše, co pomáhá identifikovat osobu. Ne každá služba nebo organizace sbírá PII – uvedené příklady tedy nejsou to, co sdílíte online.
Například platební brána může shromažďovat určité informace klasifikované jako PII, zatímco e-mailová služba může ukládat něco jiného.
💡 Mezi údaje mohou patřit jméno, příjmení, datum narození, číslo bankovního účtu, adresa, rodné číslo, zdravotní informace, fotografie, telefonní číslo, e-mailová adresa, číslo vozidla, otisky prstů a další.
Toto platí téměř globálně, s menšími odlišnostmi v tom, co se považuje za PII.
Typy PII
PII lze rozdělit na dva typy: přímé a nepřímé identifikátory.
Přímé identifikátory jsou informace, které jsou jedinečné pro daného člověka, jako je vládní identifikační číslo, číslo licence, telefonní číslo, číslo bankovního účtu apod.
Kdokoli vás může identifikovat na základě jednoho přímého identifikátoru, a proto se jedná o typ PII.
Nepřímé identifikátory (nebo kvaziidentifikátory) jsou údaje, které samy o sobě nepomohou s vaší identifikací. Například pokud náhodně sdílíte své místo narození, nelze vás na základě této jediné informace identifikovat.
Nicméně, větší množství nepřímých identifikátorů může společně pomoci při identifikaci. Nebo nemusí. Záleží na okolnostech…
Více o typech a klasifikaci PII
Osobně identifikovatelné informace lze klasifikovat jako citlivé a necitlivé.
Citlivé PII: Jedná se o informace, které se obvykle nesdílejí na veřejných platformách a vyžadují souhlas se sdílením nebo ukládáním.
Patří sem celé jméno, číslo identifikačního průkazu, číslo licence, informace o kreditní kartě, zdravotní záznamy, telefonní číslo a finanční údaje.
Necitlivé PII: Informace, které lze získat bez souhlasu jednotlivce z veřejných záznamů nebo internetu.
Například datum narození, pohlaví, náboženství a další.
PII lze také kategorizovat jako propojené a propojitelné informace.
Propojené informace zahrnují:
| Všechny citlivé PII |
Propojitelné informace jsou ty, které lze spojit dohromady a pomoci identifikovat jednotlivce.
Například jméno, PSČ, pohlaví a pracoviště.
Co když PII nejsou chráněny? 🔓
Vzhledem k tomu, že PII jsou v kybernetické bezpečnosti velmi důležité, vyvstává otázka, co se stane, pokud nebudou chráněny.
Útočník může získat přístup k osobním údajům, které mohou identifikovat jednotlivce, bez vašeho souhlasu. A kybernetické útoky se dějí každý den. Nelze to vyloučit.
Útočníci používají sociální inženýrství, phishingové útoky a další metody.
Kyberzločinci mohou využít PII ke shromažďování dalších informací, sledování vašich online aktivit nebo k spáchání krádeže identity. To je závažný problém.
Jde o vaše soukromí a digitální bezpečnost. Stejně jako chcete mít své prohlížení internetu v soukromí, měly by být údaje umožňující zjištění totožnosti (citlivé i necitlivé) důvěrné.
Pokud nejsou, můžete se snadno stát obětí podvodu, vydírání nebo nezákonné činnosti. Možnosti útočníků jsou nekonečné.
Proto je nutné chránit PII pomocí nejlepších bezpečnostních opatření.
Jak chránit PII?
Organizace a služby, se kterými komunikujeme, jsou odpovědné za ochranu našich osobních údajů.
Od telefonního čísla až po platební údaje a adresu, vše musí být soukromé a zabezpečené, aby se zabránilo neoprávněnému přístupu.
Organizace by měly provádět následující kroky k ochraně PII:
- Informovat zákazníky o ukládaných datech.
- Chránit data pomocí šifrování, aby informace nebyly zneužitelné ani v případě narušení.
- Používat dvoufaktorové ověření pro ochranu online účtů.
- Kontrolovat přístup k informacím, aby bylo zajištěno maximální soukromí.
- Zavést zásady kybernetické bezpečnosti, aby se organizace připravily na obranu a zajistily, že uloženým informacím nehrozí žádné poškození.
- Anonymizovat uložená data co nejvíce.
- Chránit síť nejlepším firewallem webových aplikací.
- Zajistit zavedení systému řízení bezpečnosti informací (ISMS).
Existuje mnoho dalších postupů pro zlepšení bezpečnosti informací. Zmíněné základní postupy jsou ale nezbytné pro zajištění nejlepší ochrany PII.
Dále se můžete rozhodnout nesdílet některé údaje, které se klasifikují jako PII. To posílí vaše soukromí.
PII jsou klíčové, ale ne všechny osobní údaje jsou
Jedná se o “osobní” údaje.
Nicméně to, co se klasifikuje jako „osobní“, se může lišit v závislosti na právních předpisech o ochraně osobních údajů ve vaší zemi. Zatímco téměř každý údaj se považuje za citlivější než před deseti lety, některé země mají odlišné klasifikace.
Například jméno sdílíme všude, i když jde o PII. Nelze vinit organizaci, pokud útočník použije vaše jméno někde jinde. Možná se tedy nemusíte stresovat některými informacemi, které denně sdílíme.
Dále si ověřte předpisy a zákony o ochraně osobních údajů dané země, abyste věděli, co je považováno za citlivé a jak lépe chránit své soukromí.
V konečném důsledku jsme zodpovědní za ochranu svých osobních údajů. A pokud budeme ostražití ohledně našich dat, organizace se mohou lépe postarat o PII shromážděné od nás.
Můžete si také poslechnout nejlepší podcasty o kybernetické bezpečnosti, abyste zůstali informováni o digitálních hrozbách.