Politik for datamaskering og pseudonymisering

Politik for datamaskering og pseudonymisering (P16) beskriver et omfattende rammeværk til beskyttelse af personoplysninger, fortrolige og følsomme data ved at minimere eksponering og risici for identifikationsmulighed. Politikken er udformet som en grundlæggende søjle for privacy-enhancing technologies (PETs) og fastlægger organisationens tilgang til implementering af både statisk og dynamisk datamaskering samt pseudonymisering i overensstemmelse med strenge retlige, regulatoriske og driftsmæssige krav. Politikken er struktureret til at gælde for alt personale, kontrahenter, tredjepartstjenesteudbydere og leverandører, der håndterer følsomme data, og dens omfang dækker alle datamiljøer, uanset om de er produktionsmiljø, udvikling, test eller cloud-hostede. Den kræver, at alle data, der anvendes i ikke-produktionsmiljøer, skal være maskerede eller pseudonymiserede, og forbyder brugen af rigtige data, medmindre det udtrykkeligt er godkendt via en formel risikovurdering og godkendelse fra direktion. Politikken fremhæver nødvendigheden af referentiel integritet og formatbevarende transformationer, så data kan anvendes til analyse og rapportering uden at kompromittere databeskyttelse eller overholdelse. Politikken afgrænser klare ansvarsområder på tværs af organisatoriske roller: Direktion leverer tilsyn og styring; informationssikkerhedschef (CISO) og ISMS-ansvarlig sikrer løbende implementering, overvågning og standardtilpasning (særligt i forhold til ISO/IEC 27001-klausuler 6.1 og 8.1); mens Data Protection Officer sikrer overensstemmelse med databeskyttelseslove såsom GDPR. Dataejere har ansvar for identifikation af datasæt og passende dataklassificering, mens IT-teams og applikationsudviklere har ansvar for at anvende godkendte metoder og opretholde integritet i de transformerede data. Tredjepartstjenesteudbydere og leverandører er kontraktligt forpligtet til at opretholde tilsvarende beskyttelsesstandarder. Styringskrav omfatter vedligeholdelse af opdaterede aktivfortegnelser, udførelse af risikobaserede vurderinger af datatransformationsprocesser og sikring af, at alle valgte maskerings- og pseudonymiseringsteknikker er tilpasset regulatoriske forventninger og driftsmæssige behov. Godkendelse af værktøjer er strengt kontrolleret; kun gennemgåede, standardiserede og revisionsbare værktøjer er tilladt, og deres ydeevne skal valideres gennem teknisk vurdering med fokus på revisionslogning, integrationer og modstandsdygtighed mod omgåelse. Politikken håndhæver robust overvågning og kræver omfattende hændelseslogning, regelmæssige revisioner af maskeringens effektivitet samt opbevaring og gennemgang af logfiler i overensstemmelse med dataopbevaringspolitik (P14). Risikobehandlingsforanstaltninger er tydeligt angivet; hvis maskering eller pseudonymisering ikke er mulig, kræves kompenserende kontroller, og alle undtagelser skal gennemgå en grundig vurdering, godkendelse og periodisk gennemgang. Politikken foreskriver også disciplinære foranstaltninger og kontraktlige afhjælpninger ved overtrædelser og kræver regelmæssig træning, gennemgange og opdateringer for at sikre, at politikken udvikler sig i takt med teknologiske og regulatoriske ændringer. Tilpasningen til internationale rammeværk, ISO/IEC 27001:2022, ISO/IEC 27002:2022, NIST SP 800-53 Rev.5, EU GDPR, NIS2, DORA og COBIT 2019 understreger politikkens fundament i anerkendt bedste praksis og regulatoriske krav.