حافظ مورّد عالمي للرعاية الصحية على برنامج لتصنيف البيانات من أربعة مستويات. وكانت السجلات السريرية للمرضى في المستوى 1، أي الأكثر حساسية. وقد طبّقت منصة حوكمة البيانات لديه تصنيف المستوى 1 على السجلات السريرية في نظام EHR المصدر، مع ما يقابله من ضوابط وصول وتشفير وسجلات تدقيق. وعندما نُسخت تلك السجلات إلى مستودع بيانات التحليلات لأغراض تحليلات صحة السكان، لم ينقل خط النسخ وسوم التصنيف، فاستقبل المستودع البيانات دون بيانات وصفية للتصنيف. وطبّق فريق التحليلات، الذي احتاج إلى تصنيف بيانات المستودع، مخطط التصنيف الخاص به، الذي استخدم أسماء مستويات مختلفة ومعايرة مختلفة عن مخطط منصة الحوكمة. فصُنّفت السجلات السريرية في المستودع وفق مخطط التحليلات على أنها «بيانات بحثية»، وهي فئة ذات وصول أوسع بكثير من المستوى 1 في مخطط منصة الحوكمة. وهكذا حملت سجلات المرضى السريرية ذاتها تصنيفين مختلفين في نظامين مختلفين، وكان التصنيف الذي يحكم الوصول في بيئة التحليلات هو الأضعف. فكل مستخدم لمنصة التحليلات يستطيع الوصول إلى «البيانات البحثية» كان يستطيع الوصول إلى سجلات سريرية قصرها تصنيف المستوى 1 في النظام المصدر على عدد قليل من الأطباء المصرح لهم.
ما حقيقة مشكلة عدم اتساق وسم البيانات؟
وسم البيانات هو تطبيق وسوم التصنيف، من مستويات حساسية وفئات بيانات ومتطلبات معالجة، على عناصر البيانات في الأنظمة التي توجد فيها. ويضمن الوسم المتسق أن يحمل عنصر البيانات التصنيف نفسه والضوابط المقابلة له بصرف النظر عن النظام الذي يقيم فيه. أما الوسم غير المتسق فينتج وضعًا للحوكمة يحمل فيه عنصر البيانات نفسه وسوم تصنيف مختلفة وضوابط وصول مختلفة ومتطلبات معالجة مختلفة في أنظمة مختلفة، ويكون التصنيف الأكثر تساهلًا هو ما يحدد ما يمكن فعله بالبيانات عمليًا.
مشكلة نقل الوسوم هي الجذر الهيكلي لعدم اتساق الوسم. فعندما تنتقل البيانات من نظام إلى آخر، عبر النسخ أو عمليات ETL أو موجزات API أو خطوط التحليلات أو مسارات التصدير، قد لا تنتقل معها البيانات الوصفية للتصنيف التي تحكمها في النظام المصدر. وقد يفتقر النظام المستقبِل إلى القدرة التقنية على استيعاب البيانات الوصفية للتصنيف، أو قد يستخدم مخطط تصنيف مختلفًا، أو قد لا يتلقى البيانات الوصفية ببساطة ضمن نقل البيانات. والنتيجة بيانات موجودة في النظام الجديد دون سياق تصنيفها، مما يستلزم إما تطبيق التصنيف بشكل مستقل في النظام الجديد، وإما معالجة البيانات دون أي تصنيف على الإطلاق.
تُفاقم مشكلة تعدد المخططات مشكلة النقل. فالمؤسسات ذات بيئات البيانات المعقدة كثيرًا ما تعمل فيها مخططات تصنيف متعددة بالتوازي: مخطط منصة الحوكمة المؤسسية، والمخطط الداخلي لفريق التحليلات، والتصنيف الافتراضي لمنصة التخزين السحابي، وفئات البيانات الخاصة بتطبيق البرمجيات كخدمة. وقد صُمّم كل مخطط لسياقه المحدد، وهو منطقي ضمن ذلك السياق. لكنها عبر السياقات تنتج تصنيفًا غير متسق للبيانات نفسها، دون تصنيف مرجعي يحكم البيانات في جميع الأنظمة. والمخطط الأكثر تساهلًا الذي يطبّقه أي نظام على عنصر بيانات هو التصنيف الفعلي لذلك العنصر من منظور التحكم في الوصول.
- عدم نقل التصنيف عبر ETL والنسخ: البيانات المنقولة بين الأنظمة تفقد البيانات الوصفية للتصنيف
- عدم الاتساق بين مخططات متعددة: مخططات تصنيف مختلفة في أنظمة مختلفة تنتج تصنيفات مختلفة للبيانات نفسها
- غياب مرجعية تصنيف موحّدة: عدم وجود تصنيف موثوق واحد يسري على جميع الأنظمة
- إعادة التصنيف إلى مستوى أضعف: الأنظمة المستقبِلة تطبّق تصنيفًا مستقلًا أقل تقييدًا من تصنيف المصدر
- فجوات تغطية التصنيف في الأنظمة الثانوية: منصات التحليلات ومستودعات البيانات وأدوات التعاون التي تعمل دون تصنيف
لماذا يهم هذا
يهم عدم اتساق وسم البيانات ممارسي TPRM لأنه يعني أن ضوابط حماية البيانات المطبقة على البيانات في نظامها الأساسي لا تنطبق بالضرورة على البيانات نفسها في الأنظمة الثانوية، وقد تكون فئات الوصول في الأنظمة الثانوية أوسع بكثير. فمورّد الرعاية الصحية الذي تكون سجلاته السريرية من المستوى 1 متاحة لجميع مستخدمي منصة التحليلات، لأن المنصة تطبّق تصنيفًا أقل تقييدًا، قد أتاح الوصول إلى السجلات السريرية لفئة أوسع بكثير مما تفترضه ضوابط المستوى 1، لا عبر خرق، بل عبر عدم اتساق في التصنيف كان مدمجًا في خط النسخ.
الأثر التنظيمي مباشر. فمبادئ حماية البيانات في GDPR تنطبق على البيانات الشخصية بصرف النظر عن النظام الذي توجد فيه، وبصرف النظر عن وسم التصنيف الذي طبّقه نظام معين عليها. والجهة التنظيمية التي تسأل عن سبب إتاحة السجلات السريرية لمستخدمي منصة التحليلات الذين يملكون صلاحية الوصول إلى «البيانات البحثية» لن تقبل عبارة «منصة التحليلات صنّفتها بشكل مختلف» دفاعًا عن الامتثال. فالبيانات هي ما هي عليه، ويجب أن يعكس التصنيف الذي يحكمها ذلك بصرف النظر عن النظام الذي يحتفظ بها.
أين تخطئ معظم الفرق
الإخفاق الأكثر تكرارًا هو تقييم التصنيف في الأنظمة الأساسية وافتراض اتساقه في الأنظمة الثانوية. فالمورّد الذي تتمتع منصته الأساسية لإدارة البيانات بتصنيف ممتاز قد تكون لديه منصات تحليلات ومستودعات بيانات وأدوات تعاون تعتمد مخططات تصنيف مختلفة تمامًا أو لا تصنيف فيها على الإطلاق. ويؤكد تقييم النظام الأساسي القدرة على التصنيف، بينما تبقى فجوة الأنظمة الثانوية دون فحص.
- تقييم التصنيف في الأنظمة الأساسية دون تغطية الأنظمة الثانوية
- عدم تقييم نقل الوسوم: ما إذا كانت البيانات الوصفية للتصنيف تنتقل مع البيانات عبر خطوط المعالجة
- عدم تقييم عدم الاتساق بين المخططات المتعددة: مخططات مختلفة في أنظمة مختلفة
- عدم تقييم أثر التصنيف الأكثر تساهلًا: المخطط الأضعف هو الذي يحدد الوصول الفعلي
- غياب مرجعية تصنيف موحّدة: عدم وجود حوكمة للتصنيف عبر الأنظمة
كيف تبدو الممارسة الجيدة
تحافظ برامج التصنيف الناضجة على مخطط تصنيف مرجعي يسري على جميع الأنظمة، وتطبّق آليات تقنية لنقل وسوم التصنيف عبر خطوط معالجة البيانات، وتتحقق من اتساق التصنيف عبر الأنظمة من خلال فحص دوري.
- مخطط تصنيف مرجعي عبر الأنظمة: هيكل مستويات موثوق واحد يسري على جميع الأنظمة
- نقل الوسوم عبر خطوط المعالجة: عمليات ETL والنسخ التي تنقل البيانات الوصفية للتصنيف
- التحقق من اتساق التصنيف: فحص دوري يؤكد تطابق تصنيف البيانات بين الأنظمة المصدر والأنظمة الثانوية
- تغطية التصنيف في الأنظمة الثانوية: إدراج منصات التحليلات ومستودعات البيانات في برنامج التصنيف
- مواءمة التحكم في الوصول مع التصنيف المرجعي: معايرة الضوابط في كل نظام وفق المستوى المرجعي بصرف النظر عن التسميات الخاصة بكل نظام
الأدوات
فهرس البيانات مع التصنيف: Collibra، وAlation، وMicrosoft Purview
توفر منصات فهارس البيانات إدارة مرجعية للتصنيف عبر أنظمة متعددة، إذ تحافظ على تعريف تصنيف واحد ينطبق على البيانات بصرف النظر عن النظام الذي يحتفظ بها. ويوفر Microsoft Purview تحديدًا نقل التصنيف عبر خطوط البيانات، حاملًا وسوم الحساسية من الأنظمة المصدر إلى مخازن البيانات المتصلة. وبالنسبة لممارسي TPRM، فإن السؤال عمّا إذا كان المورّد يستخدم فهرس بيانات ينقل التصنيف عبر الأنظمة يكشف ما إذا كانت حوكمة التصنيف المرجعي قائمة.
جودة البيانات وتسلسلها: Monte Carlo، وdbt، وGreat Expectations
تتتبع منصات تسلسل البيانات كيفية تدفق البيانات بين الأنظمة، مما يتيح رصد حالات عدم اتساق التصنيف من خلال مقارنة التصنيف في الأنظمة المصدر بالتصنيف في الأنظمة اللاحقة. وبالنسبة لممارسي TPRM، فإن السؤال عمّا إذا كان اتساق التصنيف يُتحقَّق منه عبر أدوات تسلسل البيانات يمثل سؤالًا محددًا عن الحوكمة عبر الأنظمة.
تحديات الحوكمة
يتمثل تحدي الحوكمة في اتساق التصنيف في مشكلة الملكية التنظيمية. ففريق حوكمة البيانات الأساسي يملك مخطط التصنيف، وفريق التحليلات يملك مستودع البيانات، وفريق البنية التحتية يملك خطوط النسخ. ولا يملك أي فريق بمفرده مسألة ما إذا كان التصنيف متسقًا عبر الثلاثة. ويتطلب سد الفجوة ملكية متعددة الوظائف لحوكمة التصنيف المرجعي تشمل جميع مجالات البيانات.
- اسأل عن اتساق التصنيف عبر الأنظمة: ما إذا كان عنصر البيانات نفسه يحمل تصنيفًا متسقًا في الأنظمة الأساسية والثانوية
- اسأل عن نقل الوسوم: ما إذا كانت البيانات الوصفية للتصنيف تنتقل مع البيانات عبر عمليات النسخ وETL
- اسأل عن التصنيف في الأنظمة الثانوية، وتحديدًا مستودعات التحليلات ومنصاتها
- اشترط توثيق التصنيف المرجعي: مخطط موثوق واحد يسري على جميع الأنظمة
إذا كنت فريقًا صغيرًا
اطرح على مورديك الذين يتعاملون بكثافة مع البيانات سؤالًا واحدًا يكشف عدم اتساق التصنيف: هل ينتقل مستوى التصنيف الذي تطبّقونه على البيانات الحساسة في نظامكم الأساسي تلقائيًا إلى منصات التحليلات ومستودعات البيانات لديكم عند نسخ تلك البيانات، أم يصنّف كل نظام بشكل مستقل؟ تكشف الإجابة فورًا ما إذا كانت حوكمة التصنيف المرجعي قائمة أم أن كل نظام يعمل وفق مخطط تصنيفه الخاص.
- اسأل عمّا إذا كانت وسوم التصنيف تنتقل عبر خطوط النسخ وETL
- اسأل عمّا إذا كانت منصات التحليلات تستخدم مخطط التصنيف نفسه المستخدم في الأنظمة الأساسية
- اسأل عمّا إذا كان اتساق التصنيف عبر الأنظمة يُتحقَّق منه بالفحص
ما الذي ينبغي اشتراطه
اسأل مباشرةً:
«هل ينتقل مستوى التصنيف المطبّق على البيانات الحساسة في أنظمتكم الأساسية تلقائيًا عند نسخ تلك البيانات إلى منصات التحليلات أو مستودعات البيانات، أم يصنّف كل نظام بشكل مستقل؟»
«ما مخطط التصنيف المرجعي الذي يحكم البيانات في جميع أنظمتكم، وهل يُطبَّق هيكل المستويات نفسه باتساق في قاعدة بياناتكم الأساسية، ومستودع التحليلات لديكم، ومنصات التعاون لديكم؟»
ما تتوقعه دليلًا
- وصف آلية نقل الوسوم أو الإقرار بالفجوة
- توثيق مخطط التصنيف المرجعي الذي يغطي جميع الأنظمة
- أدلة التحقق من اتساق التصنيف عبر الأنظمة
المورّد الذي يجيب بعبارة «لدينا مخطط تصنيف شامل» ينبغي أن يُسأل تحديدًا عمّا إذا كان ذلك المخطط يُطبَّق باتساق في مستودع بيانات التحليلات، وعمّا إذا كانت السجلات السريرية أو الحساسة المصنفة في أعلى مستوى في النظام الأساسي تحمل التصنيف نفسه في المستودع. فالمخطط هو المواصفة، والاتساق هو الحوكمة.
كيف تُثبت ذلك
- سجلات تقييم اتساق التصنيف للأنظمة الأساسية والثانوية
- توثيق نقل الوسوم
- أدلة التحقق عبر الأنظمة
- توثيق مخطط التصنيف المرجعي
الخلاصة الرئيسية
يجب أن يتبع التصنيف الذي يحكم البيانات تلك البيانات عبر كل نظام توجد فيه. وعندما لا يحدث ذلك، أي عندما يتغير الوسم مع انتقال البيانات، وعندما يطبّق كل نظام مخططه الخاص بشكل مستقل، وعندما يعيد مستودع التحليلات تصنيف سجلات المستوى 1 على أنها بيانات بحثية لأن أحدًا لم يهيئ خط المعالجة لنقل الوسم، فإن برنامج التصنيف المصمم لحماية البيانات لا يحميها إلا في الأنظمة التي تطبّق الوسم المقصود. والتصنيف الأكثر تساهلًا في أي نظام هو التصنيف الفعلي لجميع أغراض الوصول. والوسم الذي يتغير عندما تنتقل البيانات ليس وسمًا، بل مجرد اقتراح.