Jämförelse av datasäkerhet och datasekretess

Datasäkerhet och datasekretess är relaterade discipliner som ofta förväxlas eller sammanblandas, men de tar upp fundamentalt olika problem. Datasäkerhet skyddar data från obehörig åtkomst och modifiering genom tekniska kontroller. Datasekretess styr hur personuppgifter samlas in, används och delas i enlighet med samtyckes- och myndighetskrav. En organisation behöver båda: säkerhet förhindrar intrång; sekretess säkerställer att även korrekt säkrade data används på lämpligt sätt. Den rekommenderade åtgärden: implementera tekniska säkerhetskontroller (kryptering, åtkomstkontroller, tokenisering) som grund, och lägg sedan till sekretessstyrning (samtyckeshantering, dataminimering, ändamålsbegränsning) ovanpå den grunden.

Snabbt svar: Hur skiljer sig datasäkerhet och datasekretess?

Datasäkerhet frågar: vem har åtkomst till dessa data, och hur förhindrar vi obehörig åtkomst? Detta besvaras genom tekniska kontroller: kryptering , brandväggar, autentisering, åtkomstkontroller och övervakning. Datasekretess frågar: bör dessa data samlas in överhuvudtaget, för vilket ändamål, med vems samtycke, och vem som har rätt att använda dem och hur? Detta besvaras genom styrning: samtyckesramverk, dataklassificering, policyer för ändamålsbegränsning och program för regelefterlevnad. Det kritiska beroendet är riktningsbaserat: integritet kräver säkerhet som en förutsättning, eftersom integritetsskyldigheter avseende personuppgifter är meningslösa om dessa uppgifter inte skyddas från obehörig åtkomst. Men säkerhet kräver inte integritet: en organisation kan implementera stark kryptering kring data som den inte har laglig rätt att samla in, vilket uppfyller säkerhetskraven samtidigt som det bryter mot integritetskraven.

Datasäkerhet kontra datasekretess: Den viktigaste skillnaden

Datasäkerhet fokuserar främst på att avskräcka obehörig och olaglig åtkomst till data genom komprometter, dataintrång eller läckor, oavsett vem den obehöriga parten är. Företag implementerar datasäkerhet genom IT-kontroller: brandväggar, åtkomstkontrollsystem, användarautentisering och identifiering, nätverksåtkomstkontroll, slutpunktsskydd och intern övervakning. Detta inkluderar även tekniska kontroller som gör data oläsliga för obehöriga parter, såsom kryptering , tokenisering och maskering.

Dataskydd handlar om hur känsliga personuppgifter konsumeras, inhämtas, överförs eller behandlas i enlighet med dataägarens samtycke och tillämpliga lagkrav. Integritet handlar om att informera individer i förväg om vilka uppgifter som kommer att samlas in, för vilket ändamål och med vem de kommer att delas under vilka omständigheter. När en organisation har fastställt dessa upplysningar och användaren samtycker, får organisationen använda uppgifterna inom det angivna syftet och tillämpliga lagstadgade gränser.

Förhållandet mellan dem är ett enkelriktat beroende: datasäkerhet kan implementeras på egen hand, medan dataintegritet kräver säkerhet som en grundpelare. I praktiken möjliggör dataintegritet begränsad, samtyckesstyrd åtkomst, medan datasäkerhet använder de tekniska mekanismer som upprätthåller den begränsade åtkomsten.

Datasäkerhet kontra datasekretess: Jämförelse sida vid sida

Dimensionera	Datasäkerhet	Dataintegritet
Primär fråga	Vem har åtkomst till dessa uppgifter och hur förhindrar vi obehörig åtkomst?	Bör dessa uppgifter samlas in, för vilket ändamål och med vems samtycke?
Vad den skyddar mot	Obehörig åtkomst, intrång, utmätning, modifiering, förstörelse	Missbruk, obehörig delning, insamling utan samtycke, bristande efterlevnad av regelverk
Implementerat genom	Tekniska kontroller: kryptering, åtkomstkontroller, autentisering, brandväggar, övervakning	Styrning: samtyckeshantering, dataminimering, ändamålsbegränsning, processer för registrerades rättigheter
Vem är ansvarig	IT, säkerhetsteknik, DevSecOps, CISO	Juridik, compliance, integritetsansvarig, dataskyddsombud (krävs enligt GDPR för vissa organisationer)
Regulatorisk drivkraft (exempel)	PCI DSS (tekniska säkerhetskontroller för kortinnehavardata); HIPAA-säkerhetsregel	GDPR (lagligheten av behandling, samtycke, registrerades rättigheter); CCPA (konsumenträttigheter); HIPAA-sekretessregeln
Kan existera utan den andre?	Ja: en organisation kan säkra data som den inte borde ha samlat in	Nej: integritet utan säkerhet är meningslös; samtycke skyddar inte data från intrång
Konsekvens av misslyckande	Dataintrång, obehörig åtkomst, exfiltrering, ransomware	Myndighetsavgifter, verkställighetsåtgärder, konsumentklagomål, skadat rykte

Regelverk för regelefterlevnad: Hur de kräver både säkerhet och integritet

1. PCI DSS: d Standard för säkerhet för betalningskortsindustri är främst en säkerhetsstandard som tillhandahåller ett ramverk för att skydda betalkortsinformation och kortinnehavardata. Den föreskriver kontroller för lagring, bearbetning och överföring av betalningsdata, inklusive kryptering i vila (krav 3) och under överföring (krav 4), åtkomstkontroller (krav 7) och revisionsloggning (krav 10). Den gäller handlare, banker, tredje parter och alla enheter som hanterar kortinnehavardata. PCI DSS är ett säkerhetsramverk, men tokenisering av kortinnehavardata före inmatning tjänar både säkerhet (minskar intrångsvärdet) och integritet (tar bort data från omfattningen).
2. CCPA: Kaliforniens konsumentskyddslag (California Consumer Privacy Act) fastställer rättigheter för kaliforniska konsumenter över sin personliga information, inklusive rätten att veta vilka uppgifter som samlas in och lämnas ut om dem, rätten att neka försäljning av personlig information, rätten till samma service och pris oavsett integritetsval och rätten att få personlig information raderad. CCPA är främst ett ramverk för integritet men antar att säkerhetskontroller skyddar de personuppgifter som det ger rättigheter över.
3. HIPAA: d Sjukförsäkringsportabilitet och ansvarsskyldighet har två komponenter som direkt kopplas till båda disciplinerna. Säkerhetsregeln föreskriver administrativa, fysiska och tekniska skyddsåtgärder för skyddad hälsoinformation (PHI), inklusive åtkomstkontroller, revisionsloggning och överföringssäkerhet (datasäkerhet). Integritetsregeln föreskriver tillåten användning och utlämnande av PHI, patienträttigheter över sin hälsoinformation och minimikrav för informationsanvändning (datasekretess). Båda reglerna gäller för berörda enheter som tillhandahåller behandling, accepterar betalningar eller verkar inom hälso- och sjukvård, och för deras affärspartners.
4. BRP: d Allmän uppgiftsskyddsförordning integrerar båda mest direkt. Artikel 32 föreskriver tekniska och organisatoriska åtgärder, inklusive kryptering och pseudonymisering, som säkerhetskontroller. Artiklarna 5 till 7 föreskriver integritetsprinciper, inklusive laglighet, ändamålsbegränsning, dataminimering och samtycke, som grund för behandling. GDPR gäller alla organisationer som samlar in eller behandlar uppgifter om EU-invånare oavsett var organisationen är belägen. Böter uppgår till 4 % av den globala årliga intäkten för allvarliga överträdelser.
5. NYDFS: New York Department of Financial Services cybersäkerhetsförordning gäller för berörda finansinstitut och föreskriver ett omfattande cybersäkerhetsprogram inklusive en detaljerad plan utformad av CISO, implementering av cybersäkerhetspolicy och ett kontinuerligt underhålls- och rapporteringssystem för cybersäkerhetsincidenter. NYDFS är en säkerhetsfokuserad föreskrift men dess krav kring dataklassificering och åtkomstkontroller stöder direkt integritetsmål.
6. HÖGTEKNIK: Lagen om hälsoinformationsteknik för ekonomisk och klinisk hälsa utökar HIPAA-skyldigheter genom att kräva att vårdgivare visar användning av certifierad elektronisk patientjournalteknik (EHR) och genom att stärka tillämpningen av HIPAA:s säkerhets- och integritetsregler genom obligatoriska säkerhetsrevisioner av vårdgivare.

Tekniska kontroller som tjänar både säkerhet och integritet

kryptering

Kryptering skyddar datasäkerheten genom att göra data oläsliga för obehöriga parter. AES-256-GCM är den nuvarande standarden för vilande data; TLS 1.3 säkrar data under överföring. För integritets skull stöder kryptering pseudonymisering enligt GDPR artikel 4(5): när data krypteras med åtkomstkontroller på dekrypteringsnyckeln kan individer inte identifieras utan nyckeln, vilket innebär att den krypterade informationen behandlas som pseudonym snarare än direkt identifierande.

Kryptering ensamt uppfyller dock inte kraven på dataskydd. Det skyddar data från obehörig åtkomst men hanterar inte samtycke, ändamålsbegränsning, dataminimering eller den registrerades rättigheter. En organisation som krypterar data som den samlat in utan samtycke har säkrat dessa uppgifter men inte respekterat integriteten för de individer de tillhör. Tekniska säkerhetskontroller måste åtföljas av integritetsstyrning.

tokenization

Tokenisering ersätter ett känsligt värde med ett icke-känsligt alternativ (en token) som behåller formatet men inte har någon utnyttjande relation till det ursprungliga värdet. Det tjänar både säkerhet och integritet.

För datasäkerhet minskar tokenisering värdet på stulen data. Även om en angripare exfiltrerar en tokeniserad databas har tokens inget värde utan åtkomst till tokenvalvet som mappar tokens till ursprungliga värden. För datasekretess erbjuder tokenisering pseudonymisering: analyser och affärsprocesser arbetar med tokens snarare än riktiga personliga identifierare, så att de faktiska personuppgifterna inte exponeras för analysprocessen, tredjepartssystem eller personal som inte behöver dem. Minskning av PCI DSS-omfattning genom tokenisering av betalkortsnummer är ett av de mest tillämpade exemplen: att ersätta PAN med en token tar bort tillhörande system och processer från PCI DSS-kortinnehavarens datamiljö.

Datamaskning

Datamaskering ersätter känsliga data med realistiska men fiktiva ersättningsdata. Det används i scenarier där mottagaren inte behöver de faktiska datavärdena, till exempel utvecklings- och testmiljöer, analysteam som arbetar med icke-produktionsdata eller tredjepartsmottagare som behöver realistiska dataformat men inte ska se verklig personlig information.

Maskering (även kallad dataförmörkelse eller datapseudonymisering) använder mekanismer som teckensubstitution, teckenomblandning och generering av syntetisk data. Statisk maskering ändrar lagrad data permanent för icke-produktionskopior. Dynamisk maskering levererar maskerade värden vid frågetillfället utan att ändra lagrad data, så att samma databas kan visa verkliga data för behöriga användare och maskerad data för andra baserat på deras roll.

Maskering stöder direkt integritet genom att säkerställa att icke-nödvändiga åtkomstvägar, inklusive analysprocesser, utvecklingsmiljöer och tredjepartsintegrationer, aldrig stöter på riktiga personuppgifter. Detta minskar riskytan för integritetsintrång oavsett om dessa åtkomstvägar är tekniskt säkrade.

Beslutstabell: Matchning av tekniska kontroller med säkerhets- och sekretessmål

Mål	Primär kontroll	Sekundära kontroller	Relevans för efterlevnad
Förhindra obehörig åtkomst till lagrade data	AES-256-GCM-kryptering i vila; fältnivåkryptering för känsliga fält	Åtkomstkontroller (RBAC); revisionsloggning; HSM-nyckelhantering	PCI DSS Req. 3; HIPAA-säkerhetsregel; GDPR artikel 32
Förhindra dataavlyssning under överföring	TLS 1.3 för all nätverkskommunikation	mTLS för intern tjänstekommunikation; OCSP-häftning	PCI DSS Req. 4; HIPAA-överföringssäkerhet; GDPR Art. 32
Minska värdet på intrång i känsliga register	Tokenisering av PII, PHI och betalkortsnummer	Kryptering av tokenvalv; åtkomstkontroller vid avtokenisering	PCI DSS-omfattningsminskning; HIPAA-avidentifiering (45 CFR §164.514); GDPR-pseudonymisering
Aktivera analyser utan att avslöja personuppgifter	Tokenisering innan data går in i analyspipelinen; differentiell integritet för aggregerade frågeutdata	Dynamisk datamaskering för substitution vid frågetid	GDPR-dataminimering (artikel 5(1)(c)); HIPAA-minimumkrav; CCPA-ändamålsbegränsning
Skydda data i icke-produktionsmiljöer	Statisk datamaskering av produktionsdata för utvecklings-/testkopior	Syntetisk datagenerering	GDPR; HIPAA; intern policy
Visa pseudonymisering (GDPR Art. 4(5))	Tokenisering eller kryptering med åtkomstkontroller på reverseringsmekanismen	Granskningsloggning av alla avtokeniserings- eller dekrypteringshändelser	GDPR artikel 4(5) och 32; GDPR-skäl 26 (ej direkt identifierande)
Aktivera den registrerades rätt till radering (GDPR artikel 17)	Omfattande datainventering som kartlägger personuppgifter till individer; arbetsflöde för radering	Tokenisering (ta bort mappningen för att följa reglerna utan att omstrukturera alla system)	GDPR artikel 17; CCPA:s rätt att radera

Implementeringsexempel: Finansiell tjänsteorganisation

En finansiell tjänsteorganisation som hanterar betalkortsdata, kunders personliga identifikationsuppgifter och transaktionshistorik måste uppfylla både PCI DSS (säkerhet) och GDPR/CCPA (integritet). Så här hanteras båda i en kompatibel arkitektur:

1. Vid uppsamlingsplatsen: samtycke inhämtas och registreras (sekretess). Data klassificeras efter känslighetsnivå vid inmatning (säkerhets- och sekretesskrav).
2. Betalkortsnummer: tokeniseras omedelbart vid insamlingstillfället. Token lagras i transaktionssystem; det ursprungliga PAN-numret förvaras endast i tokenvalvet, krypterat med AES-256-GCM och endast tillgängligt för auktoriserade avvecklingsprocesser. Detta uppfyller PCI DSS-krav 3 (kryptering/tokenisering) och minskar PCI DSS-omfattningen för nedströmssystem.
3. Personuppgifter (namn, adress, födelsedatum): lagras krypterat i vila. Kryptering på kolumnnivå med separata nycklar per dataklassificering, allt hanterat i en HSM som en tjänstÅtkomstkontroller som tillämpas på databasnivå begränsar vilka roller som kan fråga identifierande fält.
4. Analys och rapportering: Analytiker får tokeniserade eller maskerade poster. Dynamisk maskering ersätter verkliga värden med realistiska fiktiva värden för icke-privilegierade roller. Analyser av kundbeteende använder tokens som identifierare, så enskilda kunder kan inte identifieras i analysmiljön.
5. Förfrågningar från den registrerade: En datainventering mappar varje kunds poster över alla system efter token. En borttagningsbegäran utlöser borttagning av mappningen mellan token och PAN och PII-posterna över alla system, vilket effektivt avidentifierar alla återstående poster för den kunden.
6. Säkerhet i trafiken: All API-kommunikation använder TLS 1.3. Intern tjänst-till-tjänst-kommunikation använder mTLS med certifikat som hanteras via CertSecure-hanterare.

Begränsningar: Varför ingen enskild teknik helt tillfredsställer båda

• Kryptering uppfyller säkerhetskraven men inte integritetsstyrningen: Kryptering gör data oläsliga för obehöriga parter men tar inte upp samtycke, ändamålsbegränsning eller den registrerades rättigheter. En organisation kan kryptera data som den inte hade rätt att samla in, vilket uppfyller säkerhetskraven samtidigt som det kränker integriteten.
• Tokenisering minskar risken för intrång men kräver valvsäkerhet: Säkerhetsfördelen med tokenisering beror på säkerheten hos tokenvalvet som mappar tokens till ursprungliga värden. En valvkompromiss omintetgör hela tokeniseringsmetoden. Valvsäkerhet måste behandlas med samma noggrannhet som originaldata.
• Maskering är oåterkallelig i statisk form och därför olämplig där original behövs: Statiskt maskerade data kan inte återställas för att återställa ursprungliga värden. Om en process som fick maskerade data senare behöver originalet måste en ny process med lämpliga åtkomstkontroller definieras för att tillhandahålla det.
• Efterlevnad är inte detsamma som säkerhet eller integritet: Att uppfylla ett regelverks minimikrav garanterar varken stark säkerhet eller meningsfullt integritetsskydd. Regelverksmässiga minimikrav är golv, inte tak. Både säkerhets- och integritetsprogram måste vara hotstyrda, inte bara efterlevnadsstyrda, för att skydda mot aktuella risker.

Hur krypteringskonsulting kan hjälpa

• Krypteringsrådgivningstjänster: vår Krypteringsrådgivningstjänster bedöm krypteringstäckningen i din miljö, identifiera oskyddade känsliga data, utvärdera nyckelhanteringsmetoder och skapa en åtgärdsplan som uppfyller både säkerhetskrav (NIST, PCI DSS, HIPAA) och krav på integritetsskyddande pseudonymisering (GDPR artikel 32).
• Rådgivningstjänster för efterlevnad: vår Rådgivning om efterlevnad hjälpa organisationer att anpassa sina tekniska säkerhetskontroller till integritetskraven i GDPR, HIPAA, CCPA, PCI DSS och NYDFS, och bygga dokumentations- och styrningsramverk som uppfyller regulatoriska revisioner inom både säkerhets- och integritetsdimensioner.
• CBOM-säker: CBOM-säkerhet upptäcker alla kryptografiska tillgångar och känsliga datalager i din miljö och tillhandahåller den inventering av var personuppgifter är krypterade, tokeniserade eller oskyddade, vilket både säkerhetsbedömningar och integritetskonsekvensbedömningar kräver som utgångspunkt.
• HSM som en tjänst: HSM som en tjänst tillhandahåller FIPS 140-3-validerad hårdvarunyckelhantering för krypterings- och tokeniseringsnycklar som skyddar känsliga personuppgifter, vilket säkerställer att nyckel- och datakompromettering inte kan ske samtidigt.

Slutsats

Datasäkerhet och datasekretess är två olika metoder för att hantera känsliga personuppgifter. De kompletterar varandra snarare än är utbytbara, och att blanda ihop dem skapar luckor i båda. En organisation som enbart fokuserar på säkerhet kan skydda data som den inte har tillstånd att ha. En organisation som enbart fokuserar på efterlevnad av integritetsskydd samtidigt som den försummar tekniska säkerhetskontroller kommer att finna sina integritetsskyldigheter meningslösa när ett intrång exponerar de personuppgifter den var ansvarig för.

De tekniska kontrollerna som används för båda, kryptering, tokenisering och maskering, är inte alternativ till varandra. Kryptering skyddar i vila och under överföring; tokenisering minskar värdet av intrång och möjliggör pseudonymisering; maskering säkerställer att icke-produktionsmiljöer aldrig stöter på riktiga personuppgifter. Alla tre arbetar tillsammans för att skydda känsliga personuppgifter under hela dess livscykel och uppfyller både de tekniska säkerhetskraven som förhindrar intrång och kraven på integritetsstyrning som säkerställer att data används på rätt sätt.

Om du vill utvärdera din nuvarande krypterings- och dataskyddssituation, både vad gäller säkerhet och integritet, kontakta Encryption Consulting för att diskutera var du ska börja.

Vanliga frågor om partihandel med mat och dryck

Vad är skillnaden mellan datasäkerhet och datasekretess?

Datasäkerhet skyddar data från obehörig åtkomst genom tekniska kontroller. Datasekretess styr hur personuppgifter samlas in, används och delas i enlighet med samtycke och myndighetskrav. Säkerhet kan existera utan integritet (att säkra data som du inte borde ha samlat in). Integritet kräver säkerhet som en förutsättning.

Vilken roll spelar kryptering i datasäkerhet och dataintegritet?

Kryptering tjänar datasäkerheten genom att göra data oläsliga utan dekrypteringsnyckeln (AES-256-GCM i vila, TLS 1.3 under överföring). För integritets skull stöder kryptering med nyckelåtkomstkontroller pseudonymisering enligt GDPR artikel 4(5). Kryptering ensamt behandlar inte samtycke, ändamålsbegränsning eller den registrerades rättigheter.

Vad är tokenisering och hur stöder det båda?

Tokenisering ersätter känsliga värden med formatbevarande ersättningar som inte har någon utnyttjande relation till originalet. För säkerhet minskar det värdet av intrång. För integritet tillhandahåller det pseudonymisering så att analyser och tredjepartsprocesser arbetar med tokens snarare än personliga identifierare. PCI DSS-omfattningsreduktion är ett vanligt förekommande exempel.

Vilka regelverk kräver både säkerhets- och integritetskontroller?

GDPR kräver både: artikel 32 för tekniska säkerhetsåtgärder och artiklarna 5-7 för integritetsprinciper. HIPAA kräver både: säkerhetsregeln för tekniska PHI-skyddsåtgärder och integritetsregeln för tillåten användning av PHI. PCI DSS är säkerhetsfokuserad; CCPA är integritetsfokuserad. Alla förutsätter att båda disciplinerna implementeras tillsammans.

Kan datasäkerhet existera utan datasekretess?

Ja. En organisation kan implementera stark kryptering, åtkomstkontroller och övervakning av data som den inte hade laglig rätt att samla in eller använda. I så fall föreligger datasäkerhet men datasekretessen kränks. GDPR-böter kan åläggas för integritetsintrång även om inget säkerhetsintrång har inträffat.

Vad är datamaskering och när används det istället för kryptering?

Datamaskering ersätter verkliga data med realistiska fiktiva ersättningar. Det används när faktiska datavärden inte behövs (utveckling, testning, tredjepartsanalys), när produktionsdata inte får visas i icke-produktionsmiljöer, eller när mottagare behöver realistiska format men inte får se verkliga personuppgifter. Till skillnad från kryptering är statisk maskering oåterkallelig.

www.gartner.com/en/documents/3153926