Персонально ідентифікована інформація (PII) — будь-які дані, що дають змогу встановити особу конкретної людини самі по собі, як ім’я чи номер паспорта, або в поєднанні з іншою інформацією.
Що належить до PII
Спеціальна публікація NIST SP 800-122 визначає PII як інформацію, за допомогою якої можна відрізнити або відстежити особу людини — окремо чи в поєднанні з іншими даними. Зазвичай її поділяють на дві групи:
- Прямі ідентифікатори — повне ім’я, номер національного посвідчення чи Social Security number, номери паспорта й посвідчення водія, біометричні дані, особисті адреси електронної пошти та номери телефонів.
- Непрямі (квазіідентифікатори) — дата народження, поштовий індекс, стать, посада, IP-адреса або ідентифікатори пристроїв, які в поєднанні дають змогу встановити особу.
Чутлива PII — номери фінансових рахунків, медичні записи чи ідентифікаційні номери — завдає особливої шкоди в разі витоку. Європейське право використовує ширше поняття «персональні дані» в межах GDPR.
Чому PII важлива для безпеки
PII — одна з головних цілей витоків даних, бо її можна продати й використати повторно. Злочинці застосовують її для крадіжки особистості, оформлення кредитів на ім’я жертви, переконливого фішингу та підміни SIM-картки, а активісти й переслідувачі — для доксингу. Масштаб показують великі інциденти: унаслідок злому Equifax 2017 року витекли імена, номери соціального страхування й дати народження близько 147 млн людей. Організації, що допустили витік PII, стикаються зі штрафами регуляторів, позовами та обов’язковими повідомленнями про інциденти.
Як захистити PII
- Збирати лише справді необхідну PII і видаляти її, коли вона більше не потрібна.
- Шифрувати PII під час зберігання й передавання та надавати доступ за принципом службової необхідності.
- Використовувати системи запобігання витокам даних, щоб виявляти виведення PII за межі організації.
- Псевдонімізувати або анонімізувати дані для тестування та аналітики.
- Приватним особам — обмежувати те, чим вони діляться в мережі, і стежити за своєю кредитною історією.
