Personlig identifiserbar informasjon (PII) i informasjonssikkerhet er data som kan identifisere en person direkte eller indirekte.
PII har flere forskjellige typer formelle definisjoner som varierer etter land og territorium. Imidlertid forblir kjernebetydningen av begrepet uendret.
Den vanligste måten å definere en PII på (i henhold til National Institute of Standards and Technology [NIST] of the United States) er – «Enhver representasjon av informasjon som tillater at identiteten til en person som informasjonen gjelder for, med rimelighet kan utledes av enten direkte eller indirekte midler.»
Tilsvarende blir den formelle definisjonen forskjøvet i henhold til lover om beskyttelse av personvern og personopplysninger. Du kan se på relaterte forkortelser for personvern for å utforske mer om dem.
Innholdsfortegnelse
Viktigheten av PII i Cyber Security 🔒
Cybersikkerhet refererer til å beskytte og forsvare seg mot cyberangrep. Og for det meste dreier det seg om informasjonssikkerhet, hvor hovedfokuset er å beskytte dataene som er lagret i systemer og organisasjoner.
Så å vite hva PII er, hjelper til slutt å forstå hvilke data som lagres, hva som må sikres, hvordan det kan administreres bedre, og et par andre ting for å forbedre sikkerheten.
Vanligvis er PII sensitiv. Derfor bør ondsinnede angripere ikke få tak i slik informasjon. Enhver PII som samles inn kan påvirke individet i den virkelige verden, ikke bare den digitale verden.
Dessuten spiller personvern en stor rolle i en organisasjons evne til å håndtere personopplysninger. Og personlig identifiserbar informasjon involvert er avgjørende for å gjenspeile en organisasjons personvernspill. Så, på en eller annen måte, er det viktig å beskytte informasjonen i en verden av cybersikkerhet.
Hva består egentlig av en PII?
Mens vi har definert PII, hvordan kan du forstå at et stykke data kan avsløre en persons identitet? 🤔
For å få svar på det, må du vite hva slags data som kan bli klassifisert som PII og de forskjellige typene PII.
Ikke bekymre deg; vi skal ta opp begge deler mens du leser videre.
Eksemplene inkluderer alt som hjelper å bekrefte identiteten til en person. Ikke alle tjenester eller organisasjoner samler PII – så de nevnte eksemplene er ikke det du gir noen på internett.
For eksempel kan en betalingsbehandler ha samlet noe informasjon klassifisert under PII, og en e-posttjeneste kan ha lagret noe annet.
💡 Informasjonen kan være ditt fornavn, etternavn, fødselsdato, bankkontonummer, hjemmeadresse, personnummer, medisinsk informasjon, ansiktsbilde, mobilnummer, e-post, kjøretøynummer, fingeravtrykk og mer.
Dette gjelder nesten overalt i verden, med små forskjeller med hensyn til hva som anses (eller ikke) som PII.
Typer PII
PII kan være av to forskjellige typer, direkte og indirekte identifikatorer.
Direkte identifikatorer refererer til informasjon som er unik for en person, som offentlig ID-nummer, lisensnummer, telefonnummer, bankkontonummer osv.
Hvem som helst kan identifisere deg basert på bare én direkte identifikator, og det er derfor det anses som en type PII.
Og indirekte identifikatorer (eller kvasi-identifikatorer) refererer til enkeltdataene som ikke kan hjelpe med å identifisere deg. For eksempel, hvis du tilfeldig deler ditt fødested, kan man ikke finne deg eller vite andre personlige detaljer om deg.
En haug med indirekte identifikatorer satt sammen kan hjelpe deg med å identifisere deg. Eller kanskje ikke? Det kommer an på…
Mer om PII-typer og klassifisering
Personlig identifiserbar informasjon kan klassifiseres som – sensitiv og ikke-sensitiv.
Sensitiv PII: Informasjonen som vanligvis ikke deles på en offentlig plattform og krever samtykke for å deles/lagres, anses som sensitiv informasjon.
Ting som fullt navn, identifikasjonskortnummer, lisensnummer, kredittkortinformasjon, medisinsk, telefonnummer og økonomiske data.
Ikke-sensitiv PII: Informasjon som kan trekkes ut uten en persons samtykke fra offentlige registre eller Internett.
Ting som fødselsdato, kjønn, religion og mer.
I tillegg kan du også kategorisere PII som koblet og koblingsbar informasjon.
Noe koblet informasjon kan omfatte:
Og alle de andre tingene som følger med sensitiv PII.
På samme måte anses koblingsbar informasjon som noe som kan settes sammen for å hjelpe til med å identifisere individet.
For eksempel navn, postnummer, kjønn og arbeidsplass.
Hva hvis PII er ubeskyttet? 🔓
Med tanke på at du vet PII er avgjørende for cybersikkerhet, kan man ikke la være å lure på, hva om den er ubeskyttet?
Den personlige informasjonen som kan identifisere en enkeltperson er tilgjengelig uten ditt samtykke av en angriper. Du vet aldri; mange cyberangrep skjer hver dag mens du leser dette. Så det er ikke noe du kan utelukke.
Sosial engineering, phishing-angrep og mange andre måter.
Cyberangripere kan bruke PII til å trekke ut mer informasjon, overvåke aktivitetene dine på nettet eller fange deg med identitetstyveri. Og alt dette er bekymringsfullt.
Det handler om ditt personvern og digital sikkerhet. Akkurat som du ønsker å holde nettlesingsaktiviteten eller søkedataene dine private, bør PII (sensitiv eller ikke-sensitiv) være konfidensiell.
Hvis ikke, kan du raskt få identiteten din involvert i svindel eller lure deg til å gi løsepenger eller ulovlige aktiviteter. Mulighetene for angripere å bruke informasjonen til å trekke ut data, penger og eiendeler fra deg er uendelige.
Derfor beskytter PII med de beste cybersikkerhetstiltakene.
Hvordan beskytte PII?
Organisasjoner og tjenester vi samhandler med er ansvarlige for å beskytte PII vi deler med dem.
Fra telefonnummeret vårt til betalingsinformasjonen og adressen vår, må alt være privat og holdes sikkert for å avverge enhver uautorisert tilgang.
Her er noen av tingene organisasjoner må gjøre for å beskytte PII:
- Informer kundene om dataene som lagres.
- Sikre dataene med kryptering slik at informasjonen ikke kompromitteres selv om det er et brudd.
- Tofaktorautentisering for å beskytte nettkontoer.
- Kontroller tilgangen til informasjonen for å sikre maksimalt personvern.
- Nettsikkerhetspolitikk må rulles ut for å være kampklar til å forsvare og sikre at liten eller ingen skade kan gjøres på informasjonen som er lagret.
- Anonymiser dataene som er lagret så mye som mulig.
- Sikre nettverket med den beste brannmuren for nettapplikasjoner.
- Sikre at du har et styringssystem for informasjonssikkerhet (ISMS) på plass.
Tallrike andre ting og subtil praksis fører til bedre informasjonssikkerhet og datahåndtering i en organisasjon. Imidlertid må disse grunnleggende praksisene oppfylles for å gi best mulig beskyttelse for PII.
Du kan også velge å ikke dele noen data som klassifiseres som PII når det er nødvendig. Dette bør forbedre personvernet ditt mye mer.
PII er avgjørende, men ikke alle personlige data er
Selvfølgelig har vi å gjøre med «personlige» data her.
Imidlertid kan det som kategoriseres som «personlig» ha noen avvik avhengig av landets personvernlov/lov. Mens nesten alle data behandles som mer sensitive enn et tiår tilbake, har noen land forskjellige klassifiseringer.
For eksempel deler vi vårt fulle navn overalt, selv om det er en type PII. Vi kan ikke klandre noen organisasjon/tjeneste hvis en angriper bruker navnet vårt andre steder. Så det kan hende du ikke trenger å stresse med informasjon vi deler daglig.
Videre bør man sjekke landets personvernforskrifter og databeskyttelseslover for å vite hva som anses som sensitivt og hvordan man kan forbedre personvernet ditt bedre.
Til syvende og sist er vi ansvarlige for å beskytte PII, direkte eller indirekte. Og hvis vi kan være årvåkne om dataene våre, kan organisasjoner ta bedre vare på PII som samles inn fra oss.
Du kan også utforske noen beste cybersikkerhetspodcaster for å ligge i forkant i verden av digitale trusler.