CCPA不足以解决技术人员的数据权利问题刹车马达

发布时间：2022-09-15 16:25:29 来源：油条机械网

CCPA不足以解决技术人员的数据权利问题

1月1日，《加利福尼亚消费者隐私法案》（CCPA）出台时，许多公司仍在争先恐后地遵守数据隐私法规，据估计，这将使企业损失550亿美元。但是，即使选中所有合规性框也不足以保护消费者数据。过去几年中频繁发生的数据泄露和滥用事件表明，个人信息很快就会落入错误的人手中中国机械网okmao.com。他们还显示了不良的数据实践导致的简单用户错误经常导致严重的后果。

解决此问题的方法不仅仅是通过立法，而是公司认真研究其行为和流程。CCPA和GDPR之类的法律为变革奠定了基础，但它们并未解决更广泛的问题：即使企业数据不是其核心产品的一部分，企业仍有权使用人们的数据，并且已将该权利编码到他们的流程中。

立法和自上而下的问责制本身并不能解决问题。为了保护消费者，公司需要围绕数据托管而不是数据所有权来构建内部系统。这样做将建立不仅达到合规性基准，而且使负责任的数据处理默认操作的过程。

真正的程序变更需要遵守隐私保护措施

硅谷的流行哲学是数据所有权之一，它影响着消费者个人信息的使用方式。从涉及剑桥分析公司的启示到优步（Uber）的5700万用户数据泄露，一切后果都得到了广泛报道。科技公司正在失去全球客户，合作伙伴和政府的信任。实际上，自2015年以来，美国人对科技公司的看法一直在稳步下降。为了赢得它，还需要做更多的工作。

依靠CCPA和GDPR之类的法规来指导其数据政策的公司本质上要求其他人为他们划清界限，以便它们尽可能地接近它-这导致“合规”的合规性而不是优先考虑客户隐私期望的核心理念。如果技术和安全领导者在制定数据策略时考虑到隐私，那么我们就不必花费宝贵的资源来满足政府法规。

如何从数据处理中取出权利

每个公司都可以实现负责任的安全数据处理。对于企业而言，最重要的步骤是在重新评估其数据访问流程时超越最低要求。对于与我合作的公司来说，最有用的是围绕一个简单的想法组织这些实践：您不会失去自己没有的东西。

在实践中，这种想法被称为“最小特权原则”，即公司仅向员工提供有效完成工作所需的数据访问权限。这是一个适用于大多数面向客户的企业的示例：假设我是一名客户服务代表，有人打电话给我，询问他们的帐户问题。如果我按照最低特权原则进行操作，则将适用以下数据访问规则：

我将只能访问该特定客户的帐户信息；

我只能访问发生问题的帐户的特定部分；

在解决问题之前，我只有访问权限。

听起来很直观，对不对？但是，许多公司，尤其是那些没有实行最低特权原则的公司，都通过GDPR和CCPA合规流程发现，他们的数据访问控制无法通过这种方式工作。这就是重大违规发生的方式。一名员工下载了整个数据库（比执行特定任务所需的数据多得多）后，笔记本电脑受到了威胁，黑客突然可以访问整个数据库。

POLP之所以有效，是因为它在数据请求过程中引入了一些摩擦。这里的目标是使正确的决定变得容易，而错误的决定则变得更加困难，因此每个人都故意使用他们的数据。公司如何实现这一目标将因其业务模式和成长阶段而异。一种选择是只有一个数据库，该数据库具有一个附加的基础架构层，可以通过POLP规则授予数据访问权限。

另外，公司可以将这些规则纳入其CRM软件。在我提到的示例中，仅当系统识别出相应的客户支持案例时，系统才会向代表授予数据访问权限。如果员工尝试访问与客户问题不直接相关的数据，则他们将遇到诸如两因素身份验证之类的附加登录步骤。

没有一种万能的方法。相反，数据访问应该在频谱上进行。对于一个企业，这可能意味着将数据访问限制为单个企业帐户和相关的一组客户信息。在另一家公司，工程师可能需要访问多个客户的信息来解决产品问题。发生这种情况时，数据访问应该是有时间限制的，并且应该是高度可见的，以便其他员工可以看到如何使用数据。有时，有时员工需要访问汇总中的数据以执行其工作（例如，运行报告）。在这种情况下，数据应始终匿名。

保护消费者数据是一种道德义务，而不仅仅是一项法律义务

注重隐私的数据流程和诸如“最低特权原则”之类的系统的功能是，通过设计，它们可以指导员工使用数据时充分考虑客户的最大利益。黄金法则应适用：我们每个人都必须以我们希望使用自己的数据的方式来处理消费者数据。有了正确的功能程序，基础架构可以使负责任的数据访问变得直观。

没有公司有权获得数据；他们受托了。消费者必须了解如何处理其数据，并使公司承担责任。CCPA之类的法规使这一过程变得更加容易，但是企业必须坚持自己的讨价还价。

信任，而不是数据，是当今企业最有价值的货币。但是，当前的数据实践无法赢得信任，我们不能仅仅依靠监管来改变这种情况。只有牢记隐私和透明性的做法才能带回客户信任，并保护个人数据。