كان مورد لتحليلات المشتريات يخدم ثلاثًا وأربعين شركة من شركات Fortune 500 في قطاع التصنيع. وكان كل عميل يشارك بيانات تسعير الموردين وشروط العقود والتزامات الكميات ومقاييس العلاقة مع الموردين لتمكين خدمة تحليلات الإنفاق لدى المورد. وكانت البيانات الواردة من أي عميل بمفرده حساسة تجاريًا. أما مجموعة البيانات المجمعة، التي تمثل معلومات تسعير الموردين والعقود لدى ثلاث وأربعين شركة تصنيع كبرى، فقد شكّلت خريطة شاملة لديناميكيات تسعير الموردين وخصومات الكميات وهياكل العقود عبر القطاع. ووجد باحثون أمنيون حللوا إخطار الخرق الصادر عن المورد أن المهاجم أعطى الأولوية لمجموعة البيانات المجمعة العابرة للعملاء على سجلات العملاء الفردية، إذ كان المجمّع أعلى قيمة بكثير لأغراض المعلومات التنافسية والتلاعب بالسوق من بيانات الموردين لدى أي عميل بمفرده. لقد شارك كل عميل بيانات تناسب خدمة تحليلات الإنفاق، ولم يأذن أي منهم بإنشاء مستودع للمعلومات التنافسية على مستوى القطاع. وقد بُني المستودع ضمنيًا من مساهماتهم الفردية، دون أن يقرر أحد صراحةً إنشاءه.
ما مخاطر تجميع البيانات في حقيقتها؟
مخاطر تجميع البيانات هي المخاطر الناشئة عن دمج مجموعات بيانات لا تلفت الانتباه كلٌّ على حدة لكنها حساسة مجتمعةً. وهي سمة من سمات منظومة بيانات المورد لا بيانات أي عميل بمفرده، إذ تنشأ من موقع المورد بوصفه معالجًا مشتركًا لعدة مؤسسات في القطاع أو السياق نفسه. فالعملاء الأفراد الذين يقيّمون حساسية بياناتهم ويخلصون إلى أنه يمكن إدارتها قد لا يقيّمون سوى مساهمتهم في مجموعة بيانات مدموجة تفوق حساسيتها الإجمالية حساسية أي مساهمة فردية بأضعاف مضاعفة.
تعمل مشكلة التجميع في بعدين. الأول هو المعلومات التنافسية: فعندما يحتفظ مورد ببيانات مماثلة من عدة منافسين في السوق نفسها، تكشف مجموعة البيانات المدموجة ديناميكيات السوق والمواقع التنافسية والمعلومات الاستراتيجية التي لا تكشفها أي مجموعة بيانات بمفردها. فبيانات تسعير الموردين لدى شركة تصنيع واحدة حساسة، أما بيانات تسعير الموردين لدى أربعين شركة تصنيع في القطاع نفسه فتكشف مشهد التسعير بالكامل، وأي الموردين يقدمون أفضل الشروط لأي العملاء، وأين توجد حالات شاذة في التسعير يمكن أن تسترشد بها استراتيجية التفاوض. فالمجمّع أصل من المعلومات التنافسية بمستوى لا توحي به المساهمات الفردية.
يتمثل البعد الثاني في إعادة تحديد الهوية والتنميط على نطاق واسع. فمجموعات البيانات التي أُخفيت هويتها أو أُعطيت أسماء مستعارة كلٌّ على حدة، والتي تبدو آمنة من حيث الخصوصية، قد يصبح من الممكن إعادة تحديد الهوية فيها عند دمجها. فمورد تحليلات الرعاية الصحية الذي يحتفظ ببيانات مرضى أُزيلت منها الهوية من عشرات أنظمة المستشفيات قد يحتفظ بما يكفي من السجلات عبر الأنظمة لتصبح هوية مرضى بعينهم قابلة للتحديد من خلال نمط الرعاية التي تلقوها عبر المؤسسات، وهو خطر إعادة تحديد الهوية لا تمثله مجموعة بيانات أي نظام مستشفيات بمفرده. فالتجميع يولد خطرًا جديدًا على الخصوصية من دمج مخاطر تُدار كلٌّ على حدة.
تتركز مخاطر تجميع البيانات لدى الموردين حول خمسة أنماط محددة للقيمة والتعرض:
- المعلومات التنافسية العابرة للعملاء: مورد يحتفظ ببيانات تشغيلية مماثلة من عدة منافسين في السوق نفسها، ما ينشئ معلومات مجمعة لا تتاح لأي عميل بمفرده
- إعادة تحديد الهوية عبر العملاء: مورد يحتفظ بسجلات أُزيلت منها الهوية أو أُعطيت أسماء مستعارة كلٌّ على حدة من عدة مؤسسات، وتتيح عند دمجها إعادة تحديد هوية أفراد يظهرون في مجموعات بيانات متعددة
- بيانات المعايير المرجعية على مستوى القطاع: مورد يبني معايير مرجعية ومنتجات تحليلات للقطاع من بيانات عملاء مجمعة تكشف ديناميكيات سوق لم يأذن أي عميل بمفرده بالإفصاح عنها
- المجمّع بوصفه هدفًا للخرق: مجموعة البيانات المجمعة العابرة للعملاء أعلى قيمة بكثير في نظر المهاجمين من سجلات كل عميل على حدة، ما يجعل المورد هدفًا أعلى قيمة مما توحي به تقييمات المخاطر الفردية للعملاء
- تدريب نماذج تعلم الآلة على بيانات مجمعة: نماذج دُربت على مجموعات بيانات عملاء مدموجة تُضمِّن أنماطًا عابرة للعملاء قد تسرّب معلومات تنافسية عبر مخرجات النموذج
لماذا يهم هذا
تكتسب مخاطر تجميع البيانات أهميتها في TPRM لأنها تمثل فئة من المخاطر غير مرئية على مستوى تقييم العميل الفردي، ولا تظهر إلا على مستوى محفظة المورد. فتقييم TPRM الفردي الذي يقيّم حساسية البيانات التي تشاركها مؤسسة محددة مع مورد ما، ويخلص إلى أن المخاطر يمكن إدارتها، قد يكون صحيحًا تمامًا بشأن بيانات تلك المؤسسة بمعزل عن غيرها، بينما يغفل المخاطر المجمعة التي ينشئها المورد باحتفاظه بالبيانات نفسها من عشرات المنافسين في آن واحد.
يمثل تضخيم أثر الخرق البعد الأشد أثرًا بشكل فوري. فعندما يتعرض للخرق مورد يجمع بيانات من عدة منافسين في القطاع نفسه، يحصل المهاجم على مجموعة بيانات من المعلومات التنافسية لم يكن بوسع أي عميل بمفرده أن يتوقع تعرضها عبر علاقة واحدة مع مورد. ويدرج إخطار الخرق مجموعات بيانات العملاء الفردية على أنها المتأثرة، لكن القيمة الحقيقية المستخرجة كانت في المجمّع، الذي لم يُنشأ صراحةً قط، ولم يخضع لحوكمة صريحة قط، ولم يكن موضوع أي تقييم للمخاطر لدى أي عميل بمفرده.
ولا يقل البعد التنظيمي أهمية. فمبدآ تقليل البيانات وتحديد الغرض في GDPR ينطبقان على المعالجة المجمعة كما ينطبقان على المعالجة الفردية. والمورد الذي يبني معايير مرجعية على مستوى القطاع من بيانات العملاء يستخدم تلك البيانات لغرض يتجاوز خدمة التحليلات المتعاقد عليها، إذ ينشئ منتجًا عابرًا للعملاء دون إذن صريح من العملاء الذين أسهمت بياناتهم فيه. وقد تأذن اتفاقيات معالجة البيانات الفردية بإجراء تحليلات على بيانات كل عميل دون أن تأذن بإنشاء مجمّعات عابرة للعملاء تُستخدم منتجات تجارية.
أين تخطئ معظم الفرق
يتمثل الإخفاق الأكثر تكرارًا في تقييم حساسية البيانات بمعزل عن غيرها فقط، بدلًا من تقييمها في سياق ما يحتفظ به المورد عبر قاعدة عملائه. فتقييمات المخاطر الخاصة بكل عميل على حدة ناقصة بطبيعتها فيما يخص هذه الفئة من المخاطر، لأن مخاطر التجميع قائمة على مستوى المورد لا على مستوى العميل، ويتطلب تقييمها فهم قاعدة عملاء المورد ومحفظة بياناته بالكامل. وتقيّم معظم برامج TPRM البيانات التي يحتفظ بها المورد من المؤسسة الخاضعة للتقييم، لكنها لا تسأل عما يحتفظ به المورد من جميع عملائه مجتمعين.
يتمثل الإخفاق الثاني في عدم سؤال الموردين عن القيود التي يفرضونها على استخدام البيانات عبر العملاء. فكثير من الموردين يبنون معايير مرجعية للقطاع وتحليلات عابرة للعملاء ومجموعات بيانات مجمعة من بيانات عملائهم مجتمعة دون إذن صريح. وقد تأذن اتفاقيات معالجة البيانات الفردية بإجراء تحليلات لكل عميل دون أن تتناول ما إذا كان يجوز للمورد دمج مجموعات بيانات العملاء لإنشاء منتجات عابرة للعملاء. وعادةً ما يفسر الموردون السكوت عن الاستخدام العابر للعملاء على أنه إذن.
- تقييم حساسية البيانات بمعزل عن غيرها: مخاطر المساهمة الفردية بدلًا من القيمة الإجمالية عبر قاعدة عملاء المورد بالكامل
- عدم السؤال عن تداخل قاعدة عملاء المورد في القطاع: ما إذا كان المورد يحتفظ ببيانات مماثلة من المنافسين
- عدم تناول الاستخدام المجمع العابر للعملاء في DPA: تفسير السكوت عن دمج البيانات عبر العملاء على أنه إذن
- عدم تقييم القيمة الإجمالية للمورد بوصفه هدفًا للخرق: القيمة الإجمالية لمجموعة بيانات المورد في نظر المهاجمين أعلى بكثير مما توحي به بيانات كل عميل على حدة
- عدم حوكمة المساهمة في منتجات المعايير المرجعية: إسهام بيانات العملاء في منتجات المعايير المرجعية التجارية لدى المورد دون إذن صريح
كيف تبدو الممارسة الجيدة
تتطلب الحوكمة الناضجة لمخاطر التجميع تقييم ليس فقط العلاقة الفردية المتعلقة بالبيانات، بل أيضًا موقع المورد في السوق: كم عدد المنافسين في القطاع نفسه الذين يشاركون المورد بيانات مماثلة، وما مجموعات البيانات المجمعة التي تُنشأ من المساهمات المدموجة، وما إذا كان استخدام البيانات عبر العملاء خاضعًا لحوكمة صريحة في اتفاقيات معالجة البيانات الفردية.
- تقييم قاعدة عملاء المورد: فهم المؤسسات الأخرى في القطاع نفسه التي تشارك المورد بيانات مماثلة
- قيود استخدام البيانات عبر العملاء في DPA: حظر صريح لدمج بيانات العميل مع بيانات المنافسين لإنشاء منتجات مجمعة دون إذن
- القيمة الإجمالية للمورد بوصفه هدفًا للخرق في تقييم المخاطر: تقييم محفظة بيانات العملاء المجمعة لدى المورد بوصفها تعرضًا موحدًا للمخاطر، لا مجموعًا للمخاطر الفردية
- الإذن بالمساهمة في المعايير المرجعية: اشتراط موافقة صريحة قبل أن تُسهم بيانات العميل في منتجات المورد الخاصة بالمعايير المرجعية للقطاع أو التحليلات المجمعة
- تأكيد فصل البيانات: تأكيد تقني بأن بيانات العميل معزولة ولا تُدمج مع بيانات المنافسين لأي غرض دون إذن
الأدوات
يتطلب تقييم مخاطر تجميع البيانات وحوكمتها معلومات عن محافظ عملاء الموردين وضوابط تقنية لفصل البيانات.
منصات معلومات الموردين: Interos وProcessUnity وBitSight
توفر منصات معلومات الموردين معلومات عن محافظ عملاء الموردين ومواقعهم في السوق، ما يتيح تقييم ما إذا كان المورد يحتفظ ببيانات من عدة مؤسسات في القطاع نفسه. وتكشف تحليلات سلسلة الإمداد في BitSight العلاقات بين الموردين وقواعد عملائهم التي لا تكشفها تقييمات TPRM الفردية. وبالنسبة لممارسي TPRM، فإن استخدام منصات معلومات الموردين لفهم تركز المورد في قطاع ما يوفر السياق اللازم لتقييم المخاطر المجمعة التي لا يستطيع تقييم البيانات الفردي كشفها.
بنية عزل البيانات: أمن البيئات متعددة المستأجرين، وAWS Organizations، وAzure Management Groups
توفر ضوابط التعددية السحابية للمستأجرين عزلًا تقنيًا للبيانات بين مجموعات بيانات العملاء، بما يمنع دمج بيانات العملاء على مستوى طبقة التخزين أو الاستعلام دون منح صريح للوصول بين المستأجرين. وبالنسبة لممارسي TPRM، فإن السؤال عما إذا كان المورد يستخدم بنية متعددة المستأجرين بعزل تقني للبيانات لا بعزل منطقي يوفر سؤالًا تقنيًا محددًا حول ما إذا كان دمج البيانات عبر العملاء ممنوعًا تقنيًا أم محظورًا تعاقديًا فقط.
التحليلات الحافظة للخصوصية: التعلم الموحد، والحوسبة الآمنة متعددة الأطراف
تتيح تقنيات التحليلات الحافظة للخصوصية للموردين استخلاص رؤى مجمعة عابرة للعملاء دون الوصول إلى بيانات العملاء الأولية أو دمجها. فالتعلم الموحد يدرب النماذج في موقع العميل دون أن تغادر البيانات الأولية بيئته، والحوسبة الآمنة متعددة الأطراف تتيح إجراء حسابات مجمعة دون أن يطلع أي طرف على مدخلات طرف آخر. وبالنسبة لممارسي TPRM، فإن الإلمام بهذه التقنيات يتيح تقييم ما إذا كان الموردون الذين يقدمون معايير مرجعية عابرة للعملاء يستخدمون أساليب حافظة للخصوصية أم يدمجون البيانات الأولية.
تحديات الحوكمة
يتمثل تحدي الحوكمة في مخاطر التجميع في عدم ظهورها على مستوى التقييم الفردي. فلا يكشف تقييم TPRM لدى أي عميل بمفرده المخاطر المجمعة، لأن كل تقييم لا يرى سوى علاقته الخاصة. وتتطلب معالجة هذه المخاطر إما تنسيقًا بين العملاء، وهو أمر غير ممكن عادةً في الأسواق التنافسية، وإما تقييمًا على مستوى المورد يفحص محفظة بياناته بالكامل لا العلاقة الفردية فحسب.
بالنسبة لبرامج TPRM، يتمثل النهج العملي للحوكمة في إضافة أسئلة حول قاعدة عملاء المورد ومحفظة بياناته إلى تقييمات الموردين العاملين في قطاعات يُحتمل فيها تجميع المعلومات التنافسية، أي موردي تحليلات المشتريات والموارد البشرية والشؤون القانونية والمالية والرعاية الصحية الذين يخدمون عادةً عدة متنافسين في السوق نفسها. ولا تتطلب هذه الأسئلة الوصول إلى بيانات العملاء الآخرين، بل تتطلب فهم ما إذا كان المورد يحتفظ ببيانات مماثلة من المنافسين وما إذا كان استخدام البيانات عبر العملاء خاضعًا للحوكمة.
- إضافة أسئلة حول قاعدة عملاء المورد لمخاطر التركز في القطاع: المؤسسات الأخرى في القطاع نفسه التي تشارك بيانات مماثلة
- إضافة قيود على استخدام البيانات عبر العملاء إلى اتفاقيات معالجة البيانات مع موردي التحليلات الذين يخدمون أسواقًا تنافسية
- تضمين القيمة الإجمالية للمورد بوصفه هدفًا في تصنيف مخاطر الموردين: المورد الذي يحتفظ بمعلومات تنافسية على مستوى القطاع يُصنف بدرجة أعلى مما توحي به حساسية البيانات الفردية
- اسأل عن بنية فصل البيانات: العزل التقني مقابل الحظر التعاقدي لدمج البيانات عبر العملاء
- اشتراط الإذن بالمشاركة في منتجات المعايير المرجعية لدى الموردين الذين يقدمون منتجات تحليلات للقطاع
إذا كنت فريقًا صغيرًا
بالنسبة لموردي التحليلات والمشتريات والموارد البشرية والخدمات المالية لديك، أضف سؤالًا واحدًا إلى تقييمك: كم عدد المؤسسات في قطاعنا التي تشارككم بيانات مماثلة، وهل تحظر عليكم عقودكم دمج بيانات عملاء متنافسين لأي غرض، بما في ذلك المعايير المرجعية والتحليلات المجمعة وتدريب النماذج؟ يكشف هذا السؤال الموقع الإجمالي للمورد في قطاعك، وما إذا كان دمج البيانات عبر العملاء مقيدًا تعاقديًا أم مسموحًا به ضمنيًا. وبالنسبة لأي مورد لا يستطيع تأكيد وجود قيود على استخدام البيانات عبر العملاء، أضف حظرًا صريحًا عند تجديد العقد التالي.
- اسأل موردي التحليلات عن عدد المنافسين في القطاع الذين يشاركونهم بيانات مماثلة
- إضافة قيود على دمج البيانات عبر العملاء إلى اتفاقيات معالجة البيانات مع الموردين العاملين في قطاعات تنافسية
- تضمين القيمة الإجمالية للمعلومات التنافسية في تصنيفات مخاطر الموردين
- اسأل عما إذا كانت المعايير المرجعية للقطاع لدى المورد تتضمن بياناتك وما الأساس الذي يستند إليه الإذن بذلك
ما الذي ينبغي اشتراطه
اسأل مباشرةً:
"كم عدد المؤسسات في قطاعنا التي تشارككم بيانات مماثلة، وهل هذه المؤسسات منافسون مباشرون لنا؟ نريد أن نفهم المعلومات التنافسية الإجمالية التي تمثلها مجموعة بيانات عملائكم المجمعة."
"هل تحظر عليكم عقودكم دمج بيانات عملاء متنافسين لأي غرض، بما في ذلك التحليلات المجمعة والمعايير المرجعية للقطاع وتدريب النماذج، دون إذن صريح من كل عميل مساهم؟"
"هل بياناتنا معزولة تقنيًا عن بيانات العملاء الآخرين في منصتكم، أم أن العزل تعاقدي فقط، بمعنى أنه يمكن دمجها على مستوى طبقة البيانات بالصلاحيات المناسبة؟"
ما تتوقعه دليلًا
- الإفصاح عن تركز قاعدة العملاء في القطاع: عدد المنافسين في القطاع الذين يشاركون بيانات مماثلة
- تأكيد تقييد استخدام البيانات عبر العملاء في DPA
- وصف بنية العزل التقني للبيانات
- تأكيد الإذن بمنتجات المعايير المرجعية: الأساس الذي يستند إليه استخدام بيانات العملاء في منتجات المورد الخاصة بالقطاع
المورد الذي يجيب عن سؤال التركز في القطاع بعبارة "نخدم كثيرًا من المؤسسات الرائدة في مختلف القطاعات" يكون قد امتنع عن وصف تركزه التنافسي. اسأل تحديدًا عن عدد الشركات في قطاعك التي تشاركه بيانات المشتريات أو الموارد البشرية أو البيانات المالية. فالإجابة عن هذا السؤال تحدد ما إذا كانت مساهمتك نقطة بيانات واحدة في خدمة تحليلات، أم قطعة واحدة في أصل من المعلومات التنافسية على مستوى القطاع.
كيف تُثبت ذلك
ينطبق مبدآ تحديد الغرض وتقليل البيانات في GDPR على التجميع عبر العملاء بوصفه استخدامًا ثانويًا. وفي بعض الولايات القضائية، تنطبق اعتبارات حماية البيانات التنافسية والأسرار التجارية على قيام الموردين بتجميع المعلومات التنافسية. ويتطلب إثبات بذل العناية الواجبة أدلة على أن مخاطر التجميع قد قُيّمت بما يتجاوز تقييم حساسية البيانات الفردية.
- سجلات تقييم قاعدة العملاء للموردين المتركزين في قطاع واحد
- تقييد استخدام البيانات عبر العملاء في وثائق DPA
- توثيق تصنيف المخاطر المجمعة بما يعكس قيمة مجموعة بيانات العملاء المجمعة
- أدلة الإذن بالمعايير المرجعية
الخلاصة الرئيسية
مجموعة بياناتك وحدها يمكن إدارتها، لكن مجموعة بياناتك مدموجةً مع مجموعات بيانات أربعين منافسًا تمثل أصلًا من المعلومات التنافسية يرسم ملامح القطاع بأكمله. والمورد يحتفظ بالاثنين معًا: مساهمتك الفردية، والمجمّع الناشئ عن مساهمات الجميع، والمجمّع هو ما يستهدفه المهاجمون وما سيدفع المنافسون للوصول إليه. لم يأذن أي عميل بمفرده بإنشاء المجمّع، فكل منهم أذن بخدمة التحليلات الخاصة به فقط. نشأ المجمّع من الدمج، دون أن يراه أي تقييم فردي للمخاطر، ودون أن تحكمه أي DPA فردية. ويتطلب تقييم مخاطر بيانات الموردين فهم ليس فقط ما تشاركه أنت، بل ما يحتفظ به المورد من كل من في قطاعك. فالمخاطر المجمعة هي مستوى مخاطر المورد لا مستوى مخاطرك، لكن إخطار الخرق يصل إلى بابك أنت.