أفضل الممارسات لضمان خصوصية البيانات في نظم البيانات الهندسية

فهم مجموعة البيانات الهندسية

إن نظم البيانات الهندسية هي العمود الفقري لتنمية المنتجات الحديثة، من الفضاء الجوي والسيارات إلى الأجهزة الطبية والتشغيل الآلي الصناعي، إذ إن المخططات والنواتج المحاكاة والمواصفات المادية ونتائج الاختبار الواردة في هذه النظم تمثل سنوات من البحث والملايين من الاستثمار، ولا يمكن أن يؤدي خرق البيانات في هذا القطاع إلى تعريض الملكية الفكرية والأسرار التجارية وحتى الأمن الوطني للخطر، ولا يعد اعتماد ممارسات قوية بشأن خصوصية البيانات أمراً اختيارياً، بل هو ضرورة تنافسية.

ويمكن أن تكون تكلفة عدم الامتثال لأنظمة مثل اللائحة العامة لحماية البيانات، وقانون كاليفورنيا بشأن خصوصية المستهلك، والمعايير الخاصة بالصناعة مثل قانون منع الحمل أو قانون العمل الإنساني الدولي، ودليل العمل الإنساني الدولي، وفوق الغرامات، تخاطر المنظمات بفقد ثقة العملاء وتواجه الدعاوى القضائية، فعلى سبيل المثال، يمكن لتسرب ملفات الشركات المسجلة الملكية في مركز إدارة المواد الكيميائية أن يؤدي إلى عكس مسار أفضل الممارسات الهندسية في مجال الامتثال للمنتج.

المبادئ الأساسية لخصوصية البيانات الهندسية

تصنيف البيانات ورسم الخرائط

وقبل تأمين البيانات، يجب أن تعرف ما لديك وأين تقيمه، وكثيرا ما تكافح المنظمات الهندسية مع صحائف الظل التي تستخدمها تكنولوجيا المعلومات على الوصلات المشتركة، أو مستودعات السحاب غير الخاضعة للإدارة، أو سجلات الاستشعار المخزنة على محطات العمل المحلية، وتطبق سياسة لتصنيف البيانات تصنف المعلومات على أنها عامة أو داخلية أو سرية أو مقيدة، وتستعمل الأدوات الآلية لمسح تخزين الشبكات، وقواعد البيانات الهندسية، وضوابط السحب غير كاملة لإنتاج خريطة للنفاذن للبيانات.

أقل البلدان نمواً

(ج) الرقابة على الدخول على أساس الأدوار هي المعيار الأدنى، ولكن نظم البيانات الهندسية تستفيد من مراقبة الدخول على أساس المقومات بالنسبة لأفضل طريقة للربط، فعلى سبيل المثال، قد يحتاج مهندس ميكانيكي إلى الاطلاع على ملفات إدارة المواد الكيميائية، ولكن ينبغي ألا يكون قادراً على تعديل وثائق عمليات التصنيع، وتنفيذ إمكانية الوصول في الوقت المناسب إلى العمليات الحساسة، مثل تعديل بارامترات خط الإنتاج.

External link example:] ]NIST Privacy Framework]] provides a structured approach to managing privacy risks across an organization.

الضوابط التقنية التي تحمي البيانات في الراحة وفي المرور العابر

Encryption: Beyond the Basics

وينبغي تطبيق التشفير على جميع البيانات الهندسية الحساسة، سواء كانت مخزنة في الأطاريات أو في السحابة، واستخدام مادة AES-256 للبيانات في راحة ورقم 1-3 في نظام TLS بالنسبة للبيانات العابرة، غير أن التشفير وحده ليس كافياً لإدارة المفاتيح، بل إن استخدام وحدة أمن المعدات السرية أو خدمة إدارية رئيسية مدارة للمفاتيح الدوارة تلقائياً.

تأمين التنمية والارتقاء بمستوى الأداء

وتكشف نظم البيانات الهندسية بصورة متزايدة عن تطبيقات تطبيقات تطبيقية للتكامل مع الإدارة العامة للأراضي، ونظام تخطيط موارد المؤسسة، وأدوات المحاكاة، وكل نقطة نهاية من نقاط نظام المعلومات الإدارية المتكامل هي ناقل هجوم محتمل.() وينبغي أن تكفل الاختبارات المتعلقة بالرسوم الجمركية 2 (OAuth 2.0) مع تحديد معدلات الإنفاذ التي تحد من محاولات القوة الكدمية.() واستخدام بوابات تطبيق نظام المعلومات الإدارية المتكامل لتسجيل جميع الطلبات وتطبيق عملية التحقق من المدخلات لعرقلة هجمات الحقن.

External link example:] OWASP API Security Top 10]] helps identify common vulnerabilities like broken object level authorization and mass assignment.

الممارسات التنفيذية المتعلقة بالخصوصية الجارية

التصدي للحوادث واستمرارية الأعمال

وعلى الرغم من أفضل الجهود، لا تزال هناك انتهاكات، إذ تحتاج كل شركة هندسية إلى خطة للاستجابة للحوادث تشمل بروتوكولات اتصال للأفرقة الداخلية والشركاء الخارجيين والمنظمين، وينبغي أن تحدد الخطة كيفية عزل النظم المتضررة، والحفاظ على الأدلة الجنائية، وإخطار الأطراف المتضررة في غضون جداول زمنية قانونية (مثل 72 ساعة تحت الناتج المحلي الإجمالي)، وإجراء عمليات حاسوبية فصلية، وتحفيز سيناريوهات مثل هجوم على نظام " فدية " ، بالإضافة إلى ذلك.

ثالثا - إدارة المخاطر

وكثيرا ما تشمل سلاسل التوريد الهندسية المتعاقدين من الباطن ومقدمي الخدمات السحابية وعناصر المصادر المفتوحة، وكل منها ينطوي على مخاطر، وقبل أن يركب البائع، يطلب من شركة SOC 2 تقرير من النوع الثاني أو شهادة من المنظمة الدولية لتوحيد المقاييس 27001، ويشترط عليهم، من الناحية التعاقدية، الالتزام بسياسات مناولة البيانات وتقديم إخطار بالخروقات، أما بالنسبة للبيانات الهندسية المخزنة من الغيوم، فيتحقق من أن مقدم الخدمات يدعم مفاتيح التشفير التي تسيطر عليها (عقود المتعاقد عليها (ع المتعاقد عليها).

External link example:] ]GDPR.eu]]] offers a clear overview of data protection requirements that directly apply to European engineering data.

التقنيات المتقدمة لخصوصية البيانات الخاصة بالنظم الهندسية

الكشف عن البيانات وإخفاء أسماء المرشحين

ولا يلزم الاحتفاظ بجميع البيانات الهندسية في شكلها الأصلي، فعند استخدام بيانات الاختبارات الخاصة بنموذجي التعلم الآلي أو التشارك مع الشركاء، تطبيق تقنيات الكشف عن الهوية مثل اسم الكهروم أو خصوصية التفاضلية، ويستعيض عن التسمية عن هوية مثبتة مثل الأرقام التسلسلية أو الأسماء الهندسية مع المكسورات، ولا يمكن إعادة تحديد البيانات إلا من قبل الأطراف المأذون لها، وهذا النهج يقلل من أثر التسرب لأن البيانات المسروقة تفتقر إلى نماذج مباشرة.

إدارة دورة حياة البيانات

وكثيراً ما تكون البيانات الهندسية مصممة لفترة طويلة من فترات الاحتفاظ - ويجب الاحتفاظ ببعض التصميمات على مدى عقود بسبب التزامات الضمان أو المتطلبات التنظيمية، غير أن الاحتفاظ بالبيانات يزيد إلى أجل غير مسمى من مخاطر الخصوصية، وتنفيذ سياسات آلية تصنف البيانات عند الإنشاء وتواريخ الاحتفاظ بها، كما أن البيانات القديمة في التخزين البارد المشفر، وحذف البيانات بأمان (استخدام عدة مقاييس أو حقبة حرق) عند انتهاء عمليات التخزين الاحتياطية ولكن تشمل أيضاً.

تدريب الموظفين والحرف الثقافية

برامج التوعية الأمنية المستمرة

ولا جدوى من التشفير الأكثر تطوراً إذا كان الموظف يقع في بريد إلكتروني متلف يكشف وثائق التفويض، ويمكن أن تكون الإدارات الهندسية ضعيفة بشكل خاص لأنها كثيراً ما تعطي الأولوية للإنتاجية على الأمن، وأن تضع تدريباً خاصاً بالدور: لمصممي هيئة التنسيق المعنية بالتنمية، وأن تركز على ممارسات تبادل الملفات الآمنة؛ وأن تشمل إدارة رقعة محددة وكشف عن مستودعات العسل.

الخصوصية حسب التصميم في تدفقات العمل الهندسي

(ج) إدماج اعتبارات الخصوصية في المراحل الأولى من تطوير المنتجات عند إنشاء نظم جديدة للبيانات الهندسية - عند اختيار منبر جديد للإدارة المستدامة للأراضي، وتقييم مسارات المراجعة التي تقوم بها، وضمان مراقبة الدخول، ودعم التشفير، والعمل مع البائع على تحديد الظروف التي تتخلف عن السداد والتي تقلل من تعرض البيانات، مثلا، فإن عدم تقاسم نتائج المحاكاة آليا مع جميع أعضاء المشروع ما لم يكن هناك حاجة واضحة إلى العمل في وقت لاحق.

الامتثال التنظيمي والاتجاهات المستقبلية

النظام العالمي للملاحة

ويجب على المنظمات الهندسية العاملة دولياً أن تمتثل لأطر متداخلة متعددة، وينطبق الناتج المحلي الإجمالي على أي كيان يجهز البيانات الشخصية لسكان الاتحاد الأوروبي، حتى إذا كانت الشركة مقرها خارج أوروبا، ويعطي البرنامج حقوق المقيمين في كاليفورنيا في بياناتهم، بما في ذلك الحق في اختيار عدم البيع، وبالنسبة للدفاع والفضاء الجوي، يقيد نظام المعلومات الإدارية المتكامل، ونظام المعلومات الإدارية، إمكانية الحصول على البيانات التقنية للأشخاص الأمريكيين، ويحتفظ بمصفوفة امتثال تحدد أنواع البيانات التي تحدد القواعد المنطبقة.

التكنولوجيات الناشئة في مجال الخصوصية

(ج) بدأ التشفير الشهيد وتأمين الحاسب المتعدد الأطراف، في الظهور كأدوات لحصر البيانات المشفرة دون فك شفرتها، وتمكين المشاريع الهندسية التعاونية من عدم كشف البيانات الأولية، وفي حين أن هذه التكنولوجيات لا تزال باهظة التكلفة بالنسبة للملفات الكبيرة من الـ CAD، فإنها تُصنّف.

الاستنتاج: وضع استراتيجية لخصوصية البيانات

إن خصوصية البيانات في النظم الهندسية ليست مشروعاً غير متكرر وإنما نظاماً قائماً، إذ تجمع استراتيجية شاملة بين الضوابط التقنية - التشفير، وإدارة الدخول، وأمن نظام المعلومات الإدارية المتكامل - والممارسات التشغيلية مثل الاستجابة للحوادث، وإدارة مخاطر البائعين، وتدريب الموظفين، ويستخدم الامتثال التنظيمي كخط أساس، وليس حداً أقصى، والمنظمات التي تتجاوز الامتثال التام باعتماد الخصوصية عن طريق التصميم وإدارة دورة حياة العملاء بشكل أفضل في تحديد التوقعات المتعلقة بالخطر في عصر يزداد فيه القدرة على التكيف مع التجارب الإلكترونية.