مروری بر محرمانگی داده‌ها و کسب‌وکارهای داده‌محور

سال ۱۹۷۴ قانون حفظ حریم خصوصی در ایالات متحده به تصویب رسید. این قانون روی پایگاه‌های مطالعاتی دولتی و در مورد نحوه ذخیره و اشتراک‌گذاری اطلاعات شهروندان متمرکز بود. دغدغه‌ای که ۴۸سال پیش منجر به تصویب این قانون شد، کماکان در زمره موضوعات مورد توجه رسانه‌ها، قانونگذاران و شهروندان قرار دارد. شهروندانی که با گسترش ارتباطات، تبدیل به «کاربر» شده‌اند‌ و داده‌هایی که از اطلاعات هویتی نزد سازمان‌ها و دولت‌ها فراتر رفته‌اند و تا مرز خصوصی‌ترین رفتارها و محرمانه‌ترین داده‌های مالی و کسب‌وکاری هم پیش رفته‌اند. در این یادداشت نگاهی خواهیم داشت به اهمیت محرمانگی داده‌ها‌ و الزاماتی که کسب‌وکارهای داده‌محور از مراحل طراحی محصول تا سرویس‌دهی باید مورد توجه قرار دهند. البته موضوع مورد بحث، دامنه‌ای وسیع را شامل می‌شود، مثال انتظاراتی که از قانونگذاران در حمایت از کاربران و داده‌هایشان می‌رود یا رفتار حرفه‌ای و مسئولانه و جبران خسارت کاربران در صورت نشت ناخواسته اطلاعات‌ ‌یا مرزبندی مالکیت و محرمانگی داده‌ها‌.

تنوع داده‌ها و مرز حریم خصوصی کاربران در طول زمان و همراه با گسترش طیف محصولات و خدمات، تغییر کرده است. سال‌ها پیش اطلاعات هویتی افراد، شایع‌ترین داده‌هایی بودند که در اختیار کسب‌وکارها قرار می‌گرفت، ولی به مرور طیف گسترده‌تری از داده‌ها در دسترس کسب‌وکارها و وب‌سایت‌ها و اپلیکیشن‌ها قرار گرفت. غول‌های صنعت تبلیغات از طریق کوکی‌ها و سایر تکنیک‌ها، جست‌وجوها، رفتار و ذائقه کاربران را تعقیب می‌کنند تا با شناخت بهتر کاربر، وی را ترغیب به خرید یا استفاده از یک خدمت یا محصول کنند. این یعنی آنها می‌دانند ما چه چیزهایی دوست داریم یا به دنبال چه موضوعاتی بوده‌ایم. حتی رزومه و اطلاعات و سوابق کاری ما نمونه دیگری از داده‌هایی است که از طریق سایت‌های کاریابی یا حتی بخش فرصت‌های شغلی، در اختیار دیگران قرار می‌دهیم. یا حتی سوابق خریدهای ما، یا به طور کلی هر نوع داده‌ای که از یک کاربر توسط یک سرویس‌دهنده «کسب‌وکار، وب‌سایت، اپلیکیشن، موتور جست‌وجو و…» ضبط می‌شود، مشمول این دغدغه خواهد بود و باید به نحوی در مورد مدت‌زمان و شیوه نگهداری، اشتراک‌گذاری و موارد استفاده آن شفاف‌سازی صورت گیرد.

موارد متعددی از نشت اطلاعات‌ و همچنین بازار پرسود تجارت داده‌های کاربران، باعث شده است تا رسانه‌ها و قانونگذاران نسبت به حفظ محرمانگی و شفافیت استفاده کسب‌وکارها از این داده‌ها وارد عمل شوند و با وضع قوانین و فشار افکار عمومی، به بهبود اوضاع کمک کنند. شاید بررسی موارد متعدد نشت داده‌ها و حتی سوء‌استفاده از داده‌های کاربران طی مجموعه یادداشت‌های مستقل، به روشن‌تر شدن ابعاد و اهمیت نگاه جدی‌تر به این مقوله کمک کند. به عنوان مثال، انعکاس رسانه‌ای و اقدامات متعاقب چنین پرونده‌هایی در ایران عموما فراتر از فضای رسانه‌ای و شبکه‌های مجازی نمی‌رود و در مواردی که نشت گسترده اطلاعات کاربران سرویس‌دهندگان ایرانی اتفاق افتاده است، عموما پاسخ شفافی از سوی سرویس‌دهندگان ارائه نشده و رویکرد آنها بیشتر سمت و سوی تکذیب یا تقلیل مسئله بوده است. درحالی‌که این موضوع در فضای بین‌المللی متفاوت است و علاوه بر شفافیت، مسئولیت‌پذیری بیشتری را متوجه کسب‌وکارها یا سازمان‌ها می‌کند و بعضا خسارت‌ها و یا جریمه‌های سنگینی به دنبال داشته است.

مواردی مثل نشت ۳‌میلیارد رکورد اطلاعاتی کاربران یاهو یا نشت اطلاعات۵۰۰ میلیون میهمان مجموعه هتل‌ها و مراکز اقامتی گروه International Marriott و موارد متعدد دیگر، نمونه‌هایی از نشت ناخواسته اطلاعات هستند‌ و می‌توان به رسوایی بزرگ کمبریج آنالیتیکا اشاره کرد که از طریق یک اپلیکیشن طی سال‌های ۲۰۱۰ به بعد تا زمان فاش‌شدن آن یعنی سال ۲۰۱۸ و توسط یکی از کارمندان آن مجموعه، اقدام به جمع‌آوری داده‌های ۸۷ میلیون پروفایل از کاربران فیسبوک کرده بود و به طور مشخص از این داد‌ه‌ها برای ارائه کمک‌های تحلیلی به مبارزات انتخاباتی ریاست جمهوری تد کروز و دونالد ترامپ در سال ۲۰۱۶ استفاده کرد که نهایتا علاوه‌ بر جریمه‌های سنگین فیسبوک منجر به اعلام ورشکستگی کمبریج آنالیتیکا شد.

مرور این موارد را می‌توان دستمایه‌ای برای ورود به موضوعاتی چون طراحی محصول، تدوین فرایندهای امنیت و چرخه عمر داده‌ها و شفافیت و مسئولیت‌پذیری کسب‌وکارها در حوزه حریم خصوصی و محرمانگی داده‌ها‌ی کاربران و یا محلی برای بررسی ابعاد و آثار قانون GDPR قرار داد. چرا که آگاهی بیشتر کاربران و فعالان اکوسیستم، منجر به مطالباتی خواهد شد تا کسب‌وکارها خود را ملزم به رعایت ضوابط و شفاف‌سازی بیشتر نسبت به داده‌های کاربران بدانند و تغییراتی را در محصولات و فرایندهای خود لحاظ کنند که کاربر علاوه بر اطلاع از داده‌هایی که از او نزد ارائه‌دهنده خدمت ضبط می‌شود، قادر به دریافت یا درخواست حذف آنها باشد؛ چیزی که امروزه در بسیاری کشورها الزامی است و مطالعه و تحلیل آثار مثبت چنین ضوابطی می‌تواند به یادگیری و بهبود محرمانگی داده‌ها و حفظ حریم خصوصی کاربران در ایران کمک زیادی کند.

بخش دوم، طراحی محصول

در بخش نخست این سری یادداشت‌ها درباره محرمانگی داده‌ها‌، مروری بر پیشینه و فضای کلی این موضوع داشتیم‌ و در این بخش، به نکاتی پیرامون طراحی محصول از منظر حفظ محرمانگی داده‌های کاربران خواهیم پرداخت.

با توجه به اهمیت داده‌هایی که کاربران ‌طی فرایند استفاده از یک محصول، خواسته یا ناخواسته در اختیار پلتفرم قرار می‌دهند، باید در مورد مالکیت داده‌ها دقیق‌تر صحبت کنیم. آیا صرف اینکه کاربر با اختیار و تصمیم خود، پلتفرمی را برای استفاده انتخاب کرده است، به این معنی خواهد بود که داده‌هایش را به همراه وکالت تام‌الاختیار و بلاعزل با پلتفرم به اشتراک گذاشته است؟ پاسخ این پرسش کاریکاتوریزه شده، قطعا منفی است ولی آیا در طول فرایند طراحی محصول/پلتفرم به اینکه دقیقا چه داده‌هایی و تحت چه شرایطی و برای چه اهدافی و برای چه مدتی از طرف کاربر در اختیار پلتفرم قرار می‌گیرد، اندیشیده‌ایم؟ پاسخ این پرسش را باید با بررسی تصادفی بخش «حریم خصوصی» کسب‌وکارهای داده‌محور و تأمل در جزئیاتی که به آن اشاره شده است، دریافت.

اگر این بررسی را به صورت موازی بین کسب‌وکارهای ایرانی و خارجی انجام دهیم، تفاوت واضحی را در خواهیم یافت (خصوصا با مقایسه کسب‌وکارهای اروپایی) که تا چه میزان اقلام اطلاعاتی جمع‌آوری‌شده با شفافیت ذکر می‌شود و کسب‌وکار متعهد/موظف به تشریح موارد یاد شده است.

بر این اساس اگر کسب‌وکاری قصد داشته باشد که به «حریم خصوصی» به صورت جدی‌، عملی و باورمندانه بپردازد، در فرایند طراحی محصول، زمانی که اقلام اطلاعاتی را با حضور تیم فنی تحلیل و انتخاب می‌کنند، تغییرات را به‌دقت ثبت می‌کنند تا در بخش «حریم خصوصی» نیز لحاظ شود. نه اینکه یک‌ بار متنی الهام گرفته شده از سایر کسب‌وکارها را با کمی تغییر به‌عنوان سیاست «حریم خصوصی» درج کنند که جای عناوین داده‌ای که از کاربر نگهداری می‌شود، مدت زمان نگهداری آنها، موارد استفاده ‌یا اشتراک با کسب‌وکارهای ثالث و… در آن خالی است و تغییرات و توسعه‌های آتی نرم‌افزار تاثیری در بیانیه «حریم خصوصی» نداشته باشد.

شاید این تجربه را دارید که ‌هنگام استفاده مجدد از یک سرویس آنلاین ‌یا پس از به‌روزرسانی یک اپلیکیشن با پیامی با مضمون اعلام تغییرات در بیانیه «حریم خصوصی» و کسب تایید شما برای ادامه استفاده از سرویس مواجه شده باشید؛ این درست همان تأثیری است که توجه به اهمیت داده‌های کاربر را در یک کسب‌وکار نشان می‌دهد. در بسیاری از پلتفرم‌های معتبر، کاربر قادر به مشاهده یا دریافت تمامی داده‌هایی است که از او نزد پلتفرم نگهداری می‌شود و حتی امکان درخواست حذف آنها نیز تحت شرایطی میسر است.

اینکه تا چه اندازه قانونگذار باید به عنوان نهاد دغدغه‌مند نسبت به داده‌ها و محرمانگی اطلاعات کاربران وارد عمل شود و یا فعالان اکوسیستم فعالانه نسبت به محرمانگی داده‌ها‌ی کاربران و متعهد/موظف ساختن کسب‌وکارها فضای گفت‌وگو و تبادل‌نظر را فراهم سازند، فراتر از موضوع این شماره از یادداشت است، ولی اذهان عمومی همیشه به خاطر خواهند سپرد که کدام پلتفرم یا کسب‌وکار نسبت به داده‌هایی که از آنها به امانت در اختیار دارد، مسئولانه‌تر عمل کرده است.

جا دارد تا در کارگاه‌ها و دوره‌های آموزشی طراحی محصول و همچنین درسرفصل‌های دوره‌های توسعه نرم‌افزار و پایگاه داده، به تکنیک‌ها و الزامات پیرامون حفظ محرمانگی داده‌ها‌ی کاربران اشاره شود. چندی پیش و در هنگام مقایسه ویراست جدید یکی از کتاب‌های فنی توسعه وب که ویراست قبلی آن را به عنوان منبع تدریس کرده بودم، متوجه بخش‌های جدیدی در رابطه با چگونگی پیاده‌سازی الزامات GDPR شدم‌ و همین تغییر به ظاهر ساده، منجر به تغییر نگاه برنامه‌نویس در توسعه محصولات آتی خواهد شد و نشانه‌ای از جدیت قوانین نسبت به موضوع محرمانگی داده‌ها‌ی کاربران است. حتی وقتی شرکت‌های بزرگ تعداد درخواست دولت‌ها برای دریافت اطلاعات کاربران را اعلام می‌کنند، به شکلی ساده و موثر حساسیت‌ها نسبت به این موضوع را تقویت می‌کنند تا جلوی درخواست‌های بی‌دلیل و غیرموجه به نحوی گرفته شود.

در بخش‌های آینده می‌توانیم به روال‌ها و فرایند حفظ محرمانگی داده‌ها‌ و تدوین دستورالعمل‌های افشای ناخواسته داده‌ها بپردازیم.

بخش سوم، فرهنگ سازمانی

 در بخش نخست این یادداشت‌، در مورد مفهوم، سابقه و اهمیت محرمانگی داده‌ها‌ خواندیم و در بخش دوم درباره نگاه صحیح به محرمانگی داده‌ها و حریم خصوصی کاربر در فرایند طراحی محصول، نکاتی را از نظر گذراندیم.

در این بخش قصد دارم تا در مورد فرهنگ سازمانی بنویسم. حفظ محرمانگی داده‌ها‌ی کاربران، مسئولیت‌پذیری و پاسخگویی تا کجا در فرهنگ سازمانی ما راه یافته است؟ آیا در قوانین و روال‌های سازمان و تیم جایی دارد؟ آیا همین الان اگر نشت اطلاعات مشتریان و کاربران ما اتفاق بیفتد، روال از پیش آماده‌ای برای مواجهه با این اتفاق داریم؟ آیا اندیشیده‌ایم که اگر یکی از همکاران ما از داده‌هایی که به آنها دسترسی دارد سوء‌استفاده کند، چگونه باید از این دسترسی غیرمجاز مطلع شویم و چه تصمیمی بگیریم؟

پاسخ این پرسش‌ها و پرسش‌هایی از این دست، سنجه‌ای است برای اینکه ببینیم سازمان ما تا چه اندازه به موضوع محرمانگی داده‌ها‌ پرداخته است، چقدر آمادگی دارد و بلوغ فکری ما در این‌ باره چه میزان است. بارها دیده‌ایم که سازمانی بعد از افشای نشت اطلاعات کاربرانش ابتدا سکوت می‌کند تا ببیند دامنه بازخوردها چقدر است، که اگر محدود بود سکوت را ادامه دهد، سپس انکار می‌کند.

در مرحله بعد به تقلیل یا حتی تغییر ابعاد حادثه می‌پردازد و نهایتا هم با بیانیه‌ رسمی که سر و ته جملات آن مفهوم و جهت‌گیری مشخصی ندارد، بسنده می‌کند. حین نوشتن جمله قبل برای من حداقل چندین مورد یادآوری شد! چنین رویکردهایی بیانگر طرز فکر و نگاه مدیران و کارمندان سازمان و اهمیت واقعی داده‌هایی است که به امانت در اختیار دارند.

از طرفی یک سازمان مسئول و پخته، ‌هنگام بروز چنین رخدادهایی، ابتدا از صحت موضوع و دامنه‌ آن اطمینان می‌یابد و در صورتی‌که به اطمینان یا آگاهی کافی نسبت به دامنه نشت اطلاعات نرسیده باشد، به صورت رسمی ضمن یادآوری مسئولیت خود، اعلام می‌کند که در حال بررسی موضوع است و به صورت مداوم، اطلاع‌رسانی صحیح را انجام می‌دهد تا ذی‌نفعان داده‌هایی که محرمانگی آنها در معرض تهدید قرار دارد، از مسئولیت‌پذیری سازمان اطمینان کافی کسب کنند.

شیوه چنین اطلاع‌رسانی‌هایی به دامنه مخاطبان و کاربران بستگی دارد، گاهی نیاز به اطلاع‌رسانی عمومی و گاهی اطلاع‌رسانی فقط به مخاطب مشخص صورت می‌گیرد. مهم این است که تلاشی برای کتمان یا ساده‌انگاری انجام نشود. همچنین تشریح ابعاد، دلایل و اقدامات اصلاحی و پیشگیرانه گام نهایی است که پس از پذیرش مسئولیت ‌یا جبران خسارات وارده لازم به نظر می‌رسند.

همان‌طور که عدم تدوین روال‌هایی برای تهیه نسخه پشتیبان از داده‌ها، عدم تبیین دستورالعمل‌ها و آموزش پرسنل در مواجهه با حریق در ساختمان سازمان و موارد ریز و درشت دیگر مهم و مستعد بروز هزینه ‌یا حتی فاجعه می‌شود، عدم بلوغ سازمانی و تدوین روال‌های پیشگیری، بازبینی و ممیزی و نهایتا مواجهه با مخاطرات مرتبط با نشت یا آسیب داده‌ها در کسب‌وکارهای داده‌محور اهمیت زیادی دارند.

نگهداری داده‌های مشتریان مختلف در یک پایگاه‌داده یا یک سرور و پایگاه‌داده‌های متفاوت، یک رویه رایج در بین کسب‌وکارهای داده‌محور است؛ چندی پیش به واسطه همکاری در یک پروژه با یک استارتاپ حوزه هوش مصنوعی مواجه شدم که تابع قوانین اتحادیه اروپا بودند و نسبت به حفظ محرمانگی مشتریان خود به طور ویژه‌ای حساسیت به خرج می‌دادند، معماری پلتفرم را به‌گونه‌ای در نظر گرفته بودند که داده‌های هر مشتری به طور کامل از سطح سرور (کانتینر) ایزوله بودند و حتی در سطح شبکه نیز ارتباطی بین کانتینرهای مشتریان مختلف وجود نداشت تا در صورت بروز حادثه، حداکثر مراقبت و به حداقل رساندن دسترسی به داده‌ها لحاظ شده باشد. چنین معماری‌ای مستلزم صرف منابع مالی، زمانی و نیروی انسانی بیشتر برای تدوین و اجرای پروسه‌های تولید، توزیع، نگهداری محصول است، ولی وقتی محرمانگی و امنیت داده‌ها اولویت یک کسب‌وکار باشد، ضروری و اجتناب‌ناپذیر است.

به طور خلاصه خوب است که از ابتدای مراحل تولید محصول، به چگونگی حفظ امنیت و محرمانگی، روال‌های پایش محرمانگی و تدوین دستورالعمل مواجهه با حادثه باشیم و مسئولیت‌پذیری در مورد داده‌های کاربران را به بخشی از فرهنگ سازمانی خودمان تبدیل کنیم.