Depersonaliseren. Onderdeel van het boek Testdata management Geschreven door Bert Nienhuis DATPROF. Depersonaliseren

Transcriptie

1 Onderdeel van het boek Testdata management Geschreven door Bert Nienhuis DATPROF Blz 1 (6)

2 1 Het beveiligen van persoonsgegevens kan op verschillende manieren worden gewaarborgd; hardware- en softwarematige firewalls, autorisatie modellen en geheimhoudingsverklaringen kunnen bijdragen aan het voorkomen van het oneigenlijk gebruik van persoonsgegevens. Deze maatregelen hebben een aantal grote nadelen. De kosten zijn hoog, de administratieve werklast is groot en deze methoden beschermen maar een gedeelte van de risico s. In veel gevallen is niet de techniek de bepalende factor in het verlies of oneigenlijk gebruik van persoonsgegevens, maar de mens. De beste vorm van het beveiligen van persoonsgegevens is door ze niet beschikbaar te stellen. Toch is het tijdens het ontwikkelen en testen van informatiesystemen noodzakelijk dat men goede representatieve testdata heeft. Het anonimiseren ook wel bekend als depersonaliseren van productiedata is een oplossing die het beste van beide werelden biedt. Het zorgt ervoor dat productiedata kan worden gebruikt voor het ontwikkelen en testen, zonder dat daarmee gevoelige persoonsgegevens bloot worden gesteld aan oneigenlijk gebruik. Dit hoofdstuk gaat in op methoden die gebruikt kunnen worden voor het depersonaliseren van persoonsgegevens. Hierbij moet altijd rekening worden gehouden met het feit dat het kiezen van een anonimiseermethode afhankelijk is van het soort gegeven en de herleidbaarheid van een gegeven in combinatie met andere gegevens. Voorbeeld : Een unieke naam zoals Wibisono Augustinus Soerjadi (beter bekend als Wibi Soerjadi) bestaat uit drie vrij unieke namen. In dit geval is voor- en achternaam in combinatie met andere gegevens erg herleidbaar, zelfs als voor- of achternaam geanonimiseerd is. Voorbeeld: De leeftijd van een individu in combinatie met een adres is voor bekenden (zoals buren) al identificerend. Het anonimiseren van persoonsgegevens zorgt ervoor dat gegevens zodanig gemanipuleerd worden, dat de betrokkenen niet meer geïdentificeerd kunnen worden of dat gevoelige gegevens niet meer herleidbaar zijn naar de daadwerkelijke personen. Hierbij moet een afweging worden gemaakt tussen de bruikbaarheid en de beveiliging van gegevens. Blz 2 (6)

3 1.1 Scrambling Het scramblen van gegevens is een methode voor het maskeren van data, zodat deze niet meer herkenbaar is. Deze actie is in essentie onomkeerbaar. Dat betekent dat zelfs met kennis van het gebruikte algoritme, de oorspronkelijke gegevens niet herleid kunnen worden uit de gescramblede gegevens. Een voorbeeld van scramblen is het vervangen van letters door een X en cijfers door 0. Voorbeeld Scrambling Het e- mailadres is een erg identificerend persoonsgegeven. In sommige gevallen is het verstandig om een e- mailadres te scramblen. Oorspronkelijk J.Jansen@provider.com Gescrambled X.Xxxxxx@xxxxxxxx.xxx Het kiezen van de scramble methode kan grote gevolgen hebben voor de testdata. Bedragen en datumvelden zijn vaak ongeschikt. Deze worden vaak gebruikt door de applicatie om andere elementen te berekenen, zoals totaalbedragen of leeftijd. Tevens levert deze methode weinig representatieve testdata op. 1.2 Shuffling De nadelen van het scramblen van gegevens worden deels opgelost door de shuffle methode. De shuffle methode verwisselt binnen één of meer kolommen de waarden onderling. Op deze manier kan optimaal gebruik worden gemaakt van bestaande gegevens door deze te combineren met andere gegevens. Hierdoor kunnen bijvoorbeeld voornamen met andere achternamen worden gecombineerd. Er valt onderscheid te maken tussen set- shuffling en unique- shuffling. De eerste variant zorgt ervoor dat elke waarde door een andere waarde wordt verwisseld. Wanneer een waarde vaker voorkomt zal deze altijd door dezelfde waarde worden vervangen. Dit kan bijvoorbeeld gewenst zijn wanneer een adres wordt verwisseld ten opzichte van de inwoners, maar de samenstelling van het huishouden niet gewijzigd mag worden. Na de verwisseling wonen dezelfde inwoners op een ander adres. Blz 3 (6)

4 Voorbeeld set-shuffling Oorspronkelijk Geshuffled Jan de Boer Diamantlaan 5 Jan de Boer Goudlaan 34 Eline de Boer Diamantlaan 5 Eline de Boer Goudlaan 34 Hugo Groot Goudlaan 34 Hugo Groot Edelsteenstraat 123 Klaas Veenstra Edelsteenstraat 123 Klaas Veenstra Diamantlaan 5 Een groot nadeel van set- shuffling zit in het feit dat met kennis van buitenaf mogelijk gevoelige gegevens te koppelen zijn aan bestaande individuen. Stel dat in het bovenstaande voorbeeld de adressen medicijnen waren geweest. Als iemand kennis had gehad van het feit dat Eline de Boer, HIV remmende middelen afneemt en in de testset dit is vervangen door aspirine, dan is te herleiden welke andere personen HIV remmende middelen afnemen. Namelijk in alle gevallen waar aspirine voorkomt. Het nadeel van set- shuffling kan worden voorkomen door gebruik te maken van unique- shuffling. Met deze manier worden alle bestaande waarden volkomen willekeurig met elkaar verwisseld. De distributie van waarden blijft hiermee ongewijzigd. Met deze methode kan in dit geval niet de oorspronkelijke achternaam worden herleid met kennis van buitenaf. Voorbeeld unique -shuffling Oorspronkelijk Geshuffled Jan de Boer Jan Veenstra Eline de Boer Eline Groot Hugo Groot Hugo de Boer Klaas Veenstra Klaas de Boer Bij het verwisselen van gegevens moet rekening worden gehouden met onderlinge verbanden. Zo kan het voorkomen dat een kolom met voornamen een logisch verband heeft met de aanhef, geslacht of voorletters. In dit geval moeten deze kolomen als groep worden verwisseld ten opzichte van de rest van de kolommen. Blz 4 (6)

5 1.3 Blurring Blurring is het beperkt manipuleren van gegevens. Het toepassen van deze methode leent zich uitstekend voor het manipuleren van bijvoorbeeld salarissen, omzetbedragen en geboortedata. In veel gevallen is het noodzakelijk voor de representativiteit dat realistische bedragen en datumvelden worden gebruikt. Voor bedragen kan ervoor worden gekozen tussen bepaalde grenzen, bijvoorbeeld tussen de - 10% en +10%, willekeurig te verhogen dan wel te verlagen. Datumvelden kunnen worden gemanipuleerd door bijvoorbeeld alles op de eerste van de maand of jaar te zetten. De leeftijd, die in sommige gevallen bepalend is voor berekeningen, blijft in een berekening dan ongewijzigd. Voorbeeld blurring: Productie Test Jan de Boer Jan de Boer (eerste van de maand) Eline de Boer Eline de Boer (eerste van het jaar) Hugo Groot Hugo Groot (+8%) Het nadeel van blurring is dat er altijd bestaande elementen van het oorspronkelijke gegeven blijven bestaan. Sommige elementen, zoals leeftijd of salaris boven een bepaalde grens, kunnen herleidbaar blijven. 1.4 Replacing In sommige gevallen is het niet mogelijk bestaande gegevens te gebruiken. Het voorkomen van een unieke voor- of achternaam op een delinquentenlijst maakt de bovenstaande methoden al ongeschikt. In deze gevallen bestaat er nog een mogelijkheid. Dit is het vervangen van bestaande waarden door volledig fictieve waarden (bijvoorbeeld klant- 01, klant- 02, etc.) of door gebruik te maken van referentie data. Voor namen, adressen, bankrekeningnummers, geboortedata kan gebruik worden gemaakt van referentie tabellen en generatoren. Veel applicaties controleren door middel van de zogenaamde 11- proef of er wel een valide Burger Service Nummer (BSN) of bankrekeningnummer is vastgelegd. Let dus op dat bij het genereren van BSN en bankrekeningnummers wel nummers worden gegenereerd die voldoen aan de 11- proef. Een groot nadeel van replacing is dat representativiteit moeilijk te waarborgen is. De unieke gevallen die vaak voorkomen in productie, zijn lastig te creëren door middel van replacing. Blz 5 (6)

6 1.5 Chain depersonalisation Deze paragraaf behandelt methoden die het mogelijk maken voor het anonimiseren over de keten heen. Dit wil zeggen dat data op dezelfde wijze wordt geanonimiseerd in meerdere systemen. Een manier om over de keten te anonimiseren is gebruik te maken van translatietabellen. Van het ene systeem wordt de anonimisering vastgehouden in translatietabellen. Het is natuurlijk van belang deze translatietabellen in een afgeschermde omgeving te plaatsen. Andere systemen, waarin dezelfde informatie staat, kunnen met gebruik van de translatietabellen de oude informatie op dezelfde manier vervangen. Sommige organisaties gebruiken een integraal relatienummer over meerdere systemen. Dit is een ideaal middel om altijd de juiste gegevens te verwisselen. Wanneer een dergelijke sleutel niet aanwezig is, is in de meeste gevallen een logische sleutel te definiëren. Een logische sleutel is vaak een samenstelling van de daadwerkelijke data die uniek genoeg is één record te identificeren. Een voorbeeld van een logische sleutel is bijvoorbeeld de combinatie postcode + huisnummer. De logische sleutel is in dit geval de koppeling tussen het te anonimiseren systeem en de translatietabel. Wanneer er geen logische sleutel te definiëren valt, is het ook nog mogelijk op de waarde zelf in te prikken. In dit laatste geval is het noodzakelijk voor het vastleggen van alleen unieke translaties in de translatietabel. Voorbeeld over de keten heen : Oorspronkelijk Translatie Geanonimiseerd Jan de Boer de Boer Veenstra Jan Veenstra Eline Veenstra Veenstra Groot Eline Groot Hugo Groot Groot de Boer Hugo de Boer Hugo Groot Groot - > de Boer Hugo de Boer 1.6 Fictive creation Naast alle bovenstaande mogelijkheden data te depersonaliseren is het natuurlijk ook mogelijk zelf fictieve data te creëren. In een voorgaand voorbeeld werd al gesproken over een delinquentenlijst. Elk uniek voorkomen van een naam is hierbij al identificerend. Om dit te voorkomen kan ervoor worden gekozen alle namen te vervangen door fictieve namen. Hoewel dit een arbeidsintensief proces is, bestaan hiervoor ook hulpmiddelen die grote sets referentie data meeleveren voor het genereren van namen, straten, plaatsen, telefoonnummers of e- mailadressen. Hierbij kunnen nog steeds bestaande namen worden gegenereerd. Het is dus van belang dat de gebruikers van gedepersonaliseerde data op de hoogte worden gesteld dat het fictieve gegevens betreft. Blz 6 (6)