Персонально идентифицируемая информация (PII) — любые данные, позволяющие установить личность конкретного человека сами по себе, как имя или номер паспорта, или в сочетании с другой информацией.
Что относится к PII
Специальная публикация NIST SP 800-122 определяет PII как информацию, с помощью которой можно отличить или отследить личность человека — отдельно или в связке с другими данными. Обычно её делят на две группы:
- Прямые идентификаторы — полное имя, номер национального удостоверения или Social Security number, номера паспорта и водительского удостоверения, биометрические данные, личные адреса электронной почты и номера телефонов.
- Косвенные (квазиидентификаторы) — дата рождения, почтовый индекс, пол, должность, IP-адрес или идентификаторы устройств, которые в сочетании позволяют установить личность.
Чувствительная PII — номера финансовых счетов, медицинские записи или идентификационные номера — наносит особый вред при утечке. Европейское право использует более широкое понятие «персональные данные» в рамках GDPR.
Почему PII важна для безопасности
PII — одна из главных целей утечек данных, потому что её можно продать и использовать повторно. Преступники применяют её для кражи личности, оформления кредитов на имя жертвы, убедительного фишинга и подмены SIM-карты, а активисты и преследователи — для доксинга. Масштаб показывают крупные инциденты: в результате взлома Equifax в 2017 году утекли имена, номера социального страхования и даты рождения около 147 млн человек. Организации, допустившие утечку PII, сталкиваются со штрафами регуляторов, исками и обязательными уведомлениями об инцидентах.
Как защитить PII
- Собирать только действительно необходимую PII и удалять её, когда она больше не нужна.
- Шифровать PII при хранении и передаче и предоставлять доступ по принципу необходимости.
- Использовать системы предотвращения утечек данных, чтобы выявлять вывод PII за пределы организации.
- Псевдонимизировать или анонимизировать данные для тестирования и аналитики.
- Частным лицам — ограничивать то, чем они делятся в сети, и следить за своей кредитной историей.
