قيّم الميزات مجهولة الهوية وفقاً للجمهور، وقابلية الربط، والآثار المحتفظ بها

حدّد من لا يُفترض به معرفة ماذا

ابدأ بإنشاء مصفوفة جمهور صغيرة. قسّم المستخدمين الآخرين، والزوار العامين، والمشرفين، وفريق الدعم، والمشغّل، ومزودي خدمات الدفع أو تسجيل الدخول، وأي جهة معالجة معلنة أخرى في صفوف منفصلة. وأدرج في الأعمدة: الاسم المرئي، والاسم المستعار الثابت، ومعرّف الحساب، والرسالة أو المنشور، والطابع الزمني، وأحداث الجهاز أو الشبكة، وسجل البلاغات، وحالة الدفع. وسجّل في كل خانة: مرئي، أو قابل للربط لغرض محدد، أو منفصل، أو محتفظ به، أو غير معروف. تميز إرشادات مكتب مفوض المعلومات (ICO) بين إخفاء الهوية (Anonymisation) واستخدام الأسماء المستعارة (Pseudonymisation)؛ فالبيانات المقترنة بأسماء مستعارة يمكن ربطها بشخص ما عبر معلومات إضافية محفوظة بشكل منفصل. ولهذا، فإن الاسم المستعار يجيب فقط عن مسألة طريقة العرض، ولا يوضح ما إذا كان معرّف الحساب الداخلي أو بريد الاسترداد الإلكتروني أو المرجع الخاص بالمزود لا يزال مرتبطاً خلف الكواليس. احرص على أن يكون التقييم واقعياً ومقتصراً على إصدار الميزة الحالي.

اختبر إمكانية التحديد الفردي وقابلية الربط المتعلقة بالاسم المستعار العلني

تبرز خطورتان حتى لو لم يرَ أي شخص الاسم القانوني: التحديد الفردي (Singling out)، ويعني إمكانية عزل نفس المشارك أو سجلاته؛ وقابلية الربط (Linkability)، وتعني إمكانية دمج سجلات منفصلة. ويستخدم مكتب مفوض المعلومات (ICO) كلا الأمرين كمؤشرات على إمكانية تحديد الهوية. يمكن لاسم الحساب الثابت، أو الصورة الرمزية المكرر استخدامها، أو السيرة الذاتية المميزة، أو جدول المواعيد المتكرر، أو القصة المقتبسة، أو الرابط العام، أو الطابع الزمني الدقيق أن تجعل اسماً مستعاراً واحداً قابلاً للتعرف عليه أو تربطه بملف شخصي آخر. كما يحذر المعهد الوطني للمعايير والتقنية (NIST) من أن إزالة المعرفات المباشرة لا تقطع كافة مسارات الربط. راجع المعاينة العامة أثناء تسجيل الخروج، وواجهات البحث والمشاركة، وإشعارات الردود، والبيانات المصدرة، وبطاقات الروابط. واعتمد حصراً على حسابك الشخصي والضوابط المعتادة؛ فلا تحاول التقصي عن شخص آخر، أو مطابقة المصادر الخاصة، أو محاولة تعطيل آليات الحماية الخاصة بالخدمة. فالهدف هو الحد من الإفصاح غير المقصود، وليس كشف هوية شخص آخر.

تتبّع جسور الحساب، والاسترداد، وتسجيل الدخول، والمدفوعات

يحتاج التطبيق عادةً إلى قدر من الاستمرارية لحفظ التفضيلات، أو استعادة الوصول، أو فرض الاشتراكات، أو إغلاق الحساب. ارسم خريطة للمعرف المستخدم عند التسجيل، وتسجيل الدخول الخارجي إن وجد، وصندوق بريد أو رقم الاسترداد، ومعرّف الحساب الداخلي، وإيصال الشراء، ورقم مرجع اشتراك العميل، وتذكرة الدعم الفني. لا تكشف هذه السجلات جميعها نفس المعلومات لنفس الجهة؛ فقد يتعامل مزود خدمات الدفع مع تفاصيل الفوترة بينما يتلقى التطبيق مرجعاً للمعاملة أو الاستحقاق، وقد يؤكد مزود الهوية عملية تسجيل الدخول بينما يحتفظ التطبيق بحسابه الخاص. تحقق من إشعار الخصوصية والإعدادات الحالية بدلاً من افتراض وجود تصميم موحد. واطرح أسئلة حول ما إذا كانت المشاركة مجهولة الهوية تظل مرتبطة بالحساب، وما إذا كان بإمكان الموظفين استرجاع هذا الارتباط لسبب موثق، وما توضحه عمليات الحذف أو التصدير بخصوص هذا الرابط. لا تُدخل بيانات فوترة أو استرداد أو هوية زائفة لاصطناع مجهولية الهوية.

احصر آثار الجهاز، والشبكة، والمحتوى، والبيانات الوصفية

لا يمثل المحتوى سوى طبقة واحدة؛ فقد تعالج الخدمة عنوان IP، أو ملف تعريف الارتباط أو المعرّف الإعلاني، أو بصمة الجهاز، أو إصدار التطبيق، أو اللغة، أو النطاق الجغرافي التقريبي للشبكة، أو وقت الجلسة، أو أحداث التعطل، أو اسم الملف المرفوع، أو خصائص المرفقات، أو سجل التعديل، أو إيصال التسليم. ويوضح مكتب مفوض المعلومات (ICO) أن المعرفات عبر الإنترنت قادرة على تمييز المستخدم أو المساهمة في بناء ملفه التعريفي عند دمجها مع معلومات أخرى. وهذا لا يعني أن كل تطبيق يجمع كل هذه العناصر، كما أن شاشة أذونات الهاتف لا تستطيع إظهار جميع السجلات المحفوظة على جانب الخادم. كوّن حصراً شاملاً للآثار بالاعتماد على إفصاحات المتجر الحالية، وإشعار الخصوصية، والتوضيحات المضمنة داخل المنتج، وقائمة الأذونات، والبيانات المصدرة، وإجابات الدعم الفني. وافصل بين الآثار الإلزامية والتحليلات الاختيارية والبيانات المقتصرة على ميزات محددة. كما ينبغي التمييز بين إزالة المحتوى والاحتفاظ بسجلات النشاط، وإلغاء أذونات الجهاز وحذف التحميلات السابقة، وتغيير الاسم المستعار وتغيير المعرّف الداخلي.

ضمّن سجلات الأمان وجهات المعالجة، ثم اتخذ قراراً مدروس الحدود

قد تظل ميزات المجتمع مجهولة الهوية بحاجة إلى بلاغات إساءة الاستخدام، وحدود معدل الاستخدام، وقوائم الحظر، والأحداث الأمنية، وقرارات المراجعة، وطلبات الطعن، والأدلة على تطبيق ضابط معين. ويمكن لهذه السجلات أن تتوافق مع إخفاء الهوية تجاه النظراء مع بقائها قابلة للربط بحساب ما لغرض أمني محدد. وينطبق نفس التساؤل على مزودي خدمات الاستضافة، والمصادقة، والمدفوعات، والتحليلات، ودعم العملاء، ومعالجة المحتوى: ما هي الفئة التي تتلقى هذه البيانات، ولأي مهمة، ولأي مدة زمنية؟ إياك وتعطيل أو التحايل على ضوابط الإشراف والأمان أو فحصها بهدف اختبارها. واختتم عملك بنتيجة محددة في ستة بنود: الجمهور العام، والاسم المستعار الثابت، وجسر الحساب، والآثار التقنية، وسجلات الأمان، وجهات المعالجة. وصنّف كل بند إلى مؤكد، أو مشروط، أو غير معروف، مع الإشارة إلى الشاشة أو قسم السياسة الذي راجعته. واستخدم الميزة فقط عند مستوى إفصاح يتوافق مع أضعف حد معروف، وأعد مراجعة الخريطة كلما طرأ تغيير على تصميم الظهور أو المدفوعات أو المجتمع أو الإشراف.

متابعة استكشاف الموضوع