مستقبل البرمجيات: بناء المنتجات مع الخصوصية في الصميم

هذه المقالة جزء من إصدار خاص لـ VB. اقرأ السلسلة الكاملة هنا: بناء الأساس لجودة بيانات العملاء.

مثل الأمن السيبراني ، غالبًا ما يتم الاندفاع إلى الخصوصية في إصدار منتج بدلاً من أن تكون جزءًا لا يتجزأ من كل تحديث للنظام الأساسي. ومثل عمليات DevOps والاختبار للأمن السيبراني ، والتي غالبًا ما يتم تثبيتها في نهاية دورة حياة تطوير النظام (SDLC) ، تعكس الخصوصية في كثير من الأحيان مدى التعجيل بها بدلاً من التخطيط لها كجزء أساسي من كل إصدار.

والنتيجة هي أن الرؤية الخاصة بما يمكن أن توفره الخصوصية لم تتحقق ، وبدلاً من ذلك يتم تقديم تجربة عملاء متواضعة. يجب على المطورين جعل الخصوصية جزءًا أساسيًا من SDLC إذا أرادوا تقديم النطاق الكامل لما يريده العملاء فيما يتعلق بسلامة البيانات وجودتها ومراقبتها.

تبدأ الخصوصية بأمان الحساب. إذا تمكن المجرم من الوصول إلى حساباتك ، فلديه وصول كامل إلى حياتك وأصولك. قال دينيس مور ، الرئيس التنفيذي لشركة Presidio Identity ، لـ VentureBeat في مقابلة أجريت معه مؤخرًا: ينصح مور المؤسسات “بالحد من المسؤولية وحماية العملاء ، وتقليل كمية البيانات التي يتم جمعها ، وتحسين سياسات الوصول إلى البيانات للحد من من يمكنه الوصول إلى البيانات ، واستخدام التشفير متعدد الأشكال لحماية البيانات ، وتعزيز أمان الحساب”.

يجب تغيير الخصوصية إلى اليسار في SDLC

يجب أن يكون الحصول على الخصوصية الصحيحة أولوية عالية في دورات DevOps ، بدءًا من التكامل في SDLC. يجب أن يكون الهدف هو التحلي بالخصوصية في وقت مبكر واتخاذ عقلية أكثر تحولًا إلى اليسار عند إنشاء ضمانات وميزات خصوصية جديدة ومبتكرة.

شارك دي جي باتيل ، عالم الرياضيات وكبير علماء البيانات الأمريكي السابق ، رؤيته حول الخصوصية في جزء التعلم على LinkedIn بعنوان “كيف يمكن للأشخاص النضال من أجل خصوصية البيانات؟” قال باتيل: “إذا كنت مطورًا أو مصممًا ، فإنك تتحمل مسؤولية”. “[J]مثل شخص مهندس القدرة على التأكد من أنك تقوم ببنائه (تطبيق أو نظام) بطريقة مسؤولة ، لديك مسؤولية أن تقول ، إليك كيفية القيام بذلك “. تشمل هذه المسؤولية التعامل مع بيانات العميل كما لو كانت بيانات عائلتك ، وفقًا لاتيل.

تبدأ الخصوصية بمنح المستخدمين مزيدًا من التحكم في بياناتهم

ظهر مؤشر رئيسي لمدى أهمية التحكم في بياناتهم للمستخدمين عندما أصدرت Apple iOS 14.5. كان هذا الإصدار أول من فرض سياسة تسمى شفافية تتبع التطبيق. طُلب من تطبيقات iPhone و iPad و Apple TV طلب إذن المستخدمين لاستخدام تقنيات مثل IDFA (معرف للمعلنين) لتتبع نشاط المستخدمين عبر كل تطبيق استخدموه لجمع البيانات ولأغراض استهداف الإعلانات. تقريبًا كل مستخدم في الولايات المتحدة ، 96٪ ، اختار عدم الاشتراك في تتبع التطبيقات في iOS 14.5.

يريد المستخدمون في جميع أنحاء العالم مزيدًا من التحكم في بياناتهم أكثر من أي وقت مضى ، بما في ذلك الحق في النسيان ، وهو عنصر أساسي في اللائحة العامة لحماية البيانات في أوروبا (GDPR) وقانون حماية البيانات العام في البرازيل (LGPD). كانت كاليفورنيا أول ولاية أمريكية تمرر قانون خصوصية البيانات على غرار القانون العام لحماية البيانات (GDPR). في عام 2020 ، عدل قانون حقوق الخصوصية في كاليفورنيا (CPRA) قانون خصوصية المستهلك في كاليفورنيا (CCPA) وأدرج حقوقًا شبيهة بالناتج المحلي الإجمالي. في 1 يناير 2023 ، دخلت معظم أحكام CPRA حيز التنفيذ ، وفي 1 يوليو 2023 ، ستصبح قابلة للتنفيذ.

يسري قانون خصوصية المستهلك في ولاية يوتا (UCPA) في 31 ديسمبر 2023. تم تصميم قانون حماية المستهلك في ولاية يوتا على غرار قانون حماية بيانات المستهلك في فيرجينيا بالإضافة إلى قوانين خصوصية المستهلك في كاليفورنيا وكولورادو.

مع دخول القانون العام لحماية البيانات (GDPR) و LGPD و CCPA والقوانين المستقبلية حيز التنفيذ لحماية خصوصية العملاء ، فإن المبادئ الأساسية السبعة للخصوصية حسب التصميم (PbD) كما حددتها مفوضة المعلومات والخصوصية السابقة في أونتاريو آن كافوكيان كانت بمثابة حواجز حماية لإبقاء فرق DevOps على المسار الصحيح لدمج الخصوصية في عمليات التطوير الخاصة بهم.

الخصوصية عن طريق الهندسة هي المستقبل

الخصوصية حسب التصميم تدور حول النية. قال Anshu Sharma ، الشريك المؤسس والرئيس التنفيذي لشركة Skyflow ، لموقع VentureBeat خلال مقابلة أجريت معه مؤخرًا ، إن ما تريده حقًا هو الخصوصية من خلال الهندسة. أو الخصوصية حسب العمارة. ما يعنيه ذلك هو أن هناك طريقة محددة لبناء التطبيقات وأنظمة البيانات والتكنولوجيا ، مثل أن الخصوصية مصممة ومدمجة في بنيتك. “

Skyflow هي المزود الرائد لأقبية خصوصية البيانات. وهي تعد من بين عملائها IBM (اكتشاف الدواء AI) و Nomi Health (المدفوعات وبيانات المرضى) و Science37 (التجارب السريرية) وغيرها الكثير.

أشارت شارما إلى مقالة IEEE الثاقبة “هندسة الخصوصية” ، والتي تقدم حجة مقنعة لتجاوز مرحلة “التصميم الثانوي” للخصوصية إلى الخصوصية الهندسية في البنية الأساسية للبنية التحتية. قال شارما: “نعتقد أن الخصوصية من خلال الهندسة هي التكرار التالي للخصوصية حسب التصميم”.

توضح مقالة IEEE عدة نقاط ممتازة حول أهمية دمج هندسة الخصوصية في عمليات SDLC الخاصة بمزود التكنولوجيا. من أكثر الأمور إلحاحًا تكلفة أوجه القصور في هندسة الخصوصية. على سبيل المثال ، يشير المقال إلى أن الشركات الأوروبية تم تغريمها 1.2 مليار دولار في عام 2021 لانتهاكها لوائح الخصوصية الخاصة باللائحة العامة لحماية البيانات. يتطلب الوفاء بالولايات القانونية والمتعلقة بالسياسة في نظام أساسي قابل للتطوير هندسة خصوصية لضمان أن تدعم أي تقنيات يتم تطويرها أهداف وتوجيهات وأهداف كبار مسؤولي الخصوصية (CPOs) ومسؤولي حماية البيانات (DPO).

يعكس مخزن خصوصية GPT الخاص بـ Skyflow ، والذي تم إطلاقه الشهر الماضي ، التزام شارما وفريق Skyflow بالخصوصية من خلال الهندسة. انتهى بنا الأمر إلى إنشاء طريقة جديدة لاستخدام التشفير تسمى تشفير البيانات متعدد الأشكال. قال شارما: “يمكنك في الواقع الاحتفاظ بهذه البيانات مشفرة أثناء استخدامها”. يوفر Skyflow GPT Privacy Vault للمؤسسات تحكمًا دقيقًا في البيانات الحساسة طوال دورة حياة نماذج اللغات الكبيرة (LLMs) مثل GPT ، مما يضمن أن المستخدمين المصرح لهم فقط يمكنهم الوصول إلى مجموعات بيانات أو وظائف محددة في تلك الأنظمة.

يدعم مخزن خصوصية GPT الخاص بـ Skyflow أيضًا جمع البيانات ، والتدريب على النموذج ، والتفاعلات المنقحة والمجهولة الهوية لزيادة إمكانات الذكاء الاصطناعي إلى أقصى حد دون المساس بالخصوصية. إنه يمكّن الشركات العالمية من استخدام الذكاء الاصطناعي مع تلبية متطلبات موقع البيانات مثل القانون العام لحماية البيانات (GDPR) و LGPD في جميع أنحاء المناطق العالمية التي تعمل فيها اليوم.

خمسة أسئلة تتعلق بالخصوصية يجب على المنظمات طرحها على نفسها

يحذر شارما: “عليك تصميم نظام بحيث لا يدخل رقم الضمان الاجتماعي أبدًا في نموذج لغوي كبير”. “الطريقة الصحيحة للتفكير في الأمر هي تصميم أنظمتك بحيث تقلل مقدار البيانات الحساسة التي تشق طريقها إلى أنظمتك.”

تنصح Sharma العملاء والصناعة بأنه لا يوجد زر “حذف” في LLM ، لذلك بمجرد أن تصبح معلومات التعريف الشخصية (PII) جزءًا من LLM ، لا يمكن عكس احتمالية حدوث ضرر. “إذا لم تقم بهندسته بشكل صحيح ، فلن تقوم أبدًا بفك رموز البيضة. يمكن تقليل الخصوصية فقط ؛ لا يمكن إعادة تجميعها “.

تنصح شارما المؤسسات بمراعاة خمسة أسئلة عند تنفيذ الخصوصية من خلال الهندسة:

1. هل تعرف مقدار بيانات PII الموجودة لدى مؤسستك وكيف يتم إدارتها اليوم؟
2. من يمكنه الوصول إلى بيانات PII اليوم عبر مؤسستك ولماذا؟
3. أين يتم تخزين البيانات؟
4. ما هي البلدان والمواقع التي تحتوي على بيانات PII ، وهل يمكنك التمييز حسب الموقع بين نوع البيانات المخزنة؟
5. هل يمكنك كتابة وتنفيذ سياسة وإظهار أن السياسة يتم فرضها؟

لاحظ شارما أن المنظمات التي يمكنها الإجابة على هذه الأسئلة الخمسة لديها فرصة أفضل من المتوسط ​​لحماية خصوصية بياناتها. بالنسبة لشركات برامج المؤسسات التي لم يركز نهجها في التطوير على الخصوصية على الهويات ، تحتاج هذه الأسئلة الخمسة إلى توجيه التحسين اليومي لدورات SDLC الخاصة بهم لدمج هندسة الخصوصية في عمليات تطوير البرامج وإصدارها.