DevOps TDM avanza a través del Hype Cycle de Modelos Operacionales™ de Gartner®. Descubre el informe.
Anonimización y seudonimización son dos de las técnicas dentro de las denominadas acciones de enmascaramiento, claves en el contexto de la protección de datos.
El enmascaramiento de datos logra garantizar la seguridad de información sensible dentro de las bases de datos y, a la par, permite a las empresas acceder a la importante fuente de valor que suponen esos datos.
Así, anonimización y seudonimización son esenciales para eliminar amenazas a la seguridad del dato en entornos no productivos (siendo una de las acciones clave del Test Data Management), alojamientos en la nube y procesos de compartir datos.
Más allá de estos contextos, anonimización y seudonimización son también importantes para cumplir la ley de protección de datos y el General Data Protection Regulation (GDPR).
Desde icaria Technology, sabemos que comprender ambos conceptos y su importancia pasa por conocer sus definiciones, similitudes y diferencias. Por ello, compartimos estas claves en esta breve guía sobre anonimización y seudonimización.
La anonimización de datos supone determinar qué información, dentro de una base de datos, identifica a una persona, y suprimir de forma irreversible y permanente cualquier posibilidad de lograr esa identificación.
La anonimización se emplea en bases de datos con información sensible cuya recuperación no se prevé o que, directamente, debe ser suprimida por completo.
Sector bancario, sanitario, legal o administración pública pueden de este modo emplear la valiosa información de una base de datos con fines estadísticos, o en contextos de testeo de software garantizando tanto la seguridad del dato como el cumplimiento de la ley.
La seudonimización supone intercambiar los datos sensibles identificados dentro de un conjunto de datos por sinónimos o seudónimos. Realizando el proceso a través de una clave, la seudonimización es reversible, pues permite recuperar el dato original siempre que se cuente con la clave.
Algunas estrategias de seudonimización incluyen el cifrado con clave secreta y la descomposición en tokens.
Al igual que la anonimización, sectores como el bancario, sanitario, legal o administraciones públicas pueden beneficiarse del uso de la seudonimización.
No obstante, el empleo de estas técnicas es más flexible ya que permite, por un lado, garantizar la seguridad del dato y, a su vez, recuperar la información sensible en caso de que sea requerido.
En concreto, la Ley de Protección de datos establece que las bases de datos solo serán válidas si cumplen los principios de finalidad y consentimiento. En otras palabras: los datos personales deben ser empleados para las finalidades por las que fueron recopilados y de acuerdo al consentimiento dado por los ciudadanos.
Desde esta normativa, se reconocen la anonimización y seudonimización como dos procedimientos válidos para extender el uso de los datos (por ejemplo, en el contexto del testeo de software) y seguir cumpliendo la normativa.
La principal diferencia entre anonimización y seudonimización es que esta última es reversible.
Así, en el caso de la seudonimización, la información relativa al titular del dato no se suprime por completo, sino que se reemplaza y protege. Por su parte, la anonimización es irreversible y permanente, suprimiendo toda posibilidad de recuperar información sobre el titular del dato y, por tanto, de identificarlo.
El cumplimiento de la regulación General Data Protection Regulation (GDPR) o RGPD (por sus siglas en español) en entornos de datos de prueba supone un caso particular dentro de la protección de datos, anonimización y seudonimización.
Por un lado, es preciso comprender la fuente de la que surge el GDPR: se trata de una normativa europea orientada a garantizar la privacidad de los datos personales. Con el auge del Big Data, esta norma pretende ampliar los derechos fundamentales de las personas físicas y proteger la información sensible ante ataques maliciosos.
Conceptos como el derecho al olvido, derecho a la portabilidad o los derechos ARCO (acceso, rectificación, cancelación y oposición) surgen a su vez de esta ley, que también prevé cuantiosas multas en caso de errores o negligencias de las empresas.
La anonimización y seudonimización aparecen como herramientas válidas en el contexto de esta legislación. Así, si la norma define como dato personal “toda información sobre una persona física identificada o identificable”, anonimización y seudonimización permiten enmascarar y proteger el dato de modo que no sea identificable.
Son estas acciones clave en el contexto de entornos no productivos, como es el caso del empleo de datos en entornos de prueba. En este caso, destaca el empleo de herramientas de Test Data Management, que garantizan buenas prácticas en el tratamiento de datos.
El funcionamiento es sencillo: desde sistemas como el TDM de icaria Technology es posible generar conjuntos de datos seguros y que cumplen con la legalidad y que, a su vez, son completos, coherentes y correctos.
Para ello, se encarga de identificar los datos sensibles y, siguiendo las necesidades de cada empresa, aplicar los procesos de anonimización o seudonimización necesarios, todo ello de forma automática.
Así, las empresas acceden a la ventaja competitiva de contar una base de datos completamente segura y eficaz para su uso en entornos de datos de prueba para software y análisis de información.
A su vez, este proceso automático libera a los equipos humanos, ahorrando tiempo y costes, a la par que garantiza la calidad de las pruebas. En otras palabras: se accede a resultados significativamente mejores con costes reducidos.
¿Buscas la tecnología de anonimización y seudonimización adecuada para aplicarla en tus datos de prueba? icaria Technology es la solución: solicita una demo y comprueba de primera mano cómo esta herramienta puede beneficiar a tu negocio.
