GDPR实践 | 隐私成熟度模型PM2（一） – 作者:小米安全中心-安全小百科

本文作者：阿宽kevin

一、序言（WHY）

岁末年初是攻城狮们做年终总结和来年规划的时点，如果你在负责GDPR项目或者说隐私合规，可能和我一样在苦恼于如何向Boss汇报：

1) 2018年的隐私现状和工作业绩；

2) 2019年的隐私工作目标；

3) 2019年的资源需求（Boss总是嘴上说重视，手上很诚实：抠门）。

GDPR不是第一部隐私法规，隐私工作是否有像信息安全类似的框架可以参考呢？以下是部分信息安全工框架：

1)偏重合规的ISO27001安全管理框架；

2)老美注重实践的NIST IPDRR模型；

3)安全攻防的Kill Chain模型。

安全合规的经验告诉我隔壁老王一定有现成的隐私框架，功夫不负有心人（但负钱啊，250美刀入会）终于找到了组织：隐私专员国际协会（IAPP，类似于安全的ISC2），组织配发了弹药：隐私成熟度框架！（ISC2、NIST、GAPP也有各自的隐私框架）。

二、什么是隐私成熟度框架-PM2（WHO）

老美习惯把一个工作领域叫做项目（Program），所以隐私项目成熟度框架就是Privacy Program Maturity Model（PM2）。PM2定义5个成熟度级别：

Level5-Optimized，持续优化

Level4-Managed，可管理

Level3-Defined，制度化

Level2-Repeatable，可重复

Leve1-Ad Hoc，初始化

是不是熟悉的味道？如果你做过码农，一定熟悉《软件能力成熟度模型》CMMI，Bingo！老美的实用主义直接复用了过来。当然，PM2框架的5级成熟度的定级标准也是拍脑袋，但总好过拍大腿的2级标准：好与坏。

CMMI解决了隐私成熟度的分级问题，但是隐私工作还是无法开展；不要紧张，砖家们已经帮你把隐私工作分解成了多个领域（domain），主要有GAPP（AICPA/CICA公认隐私保护准则）的十条版本和IAPP的学院派版本，咨询公司的隐私合规方案大多起源与此！如果你是技术出身，如果你看过GAPP，如果你还精神正常，那你可以转行了（做律师）！因为这些标准在实践中非常难以应用。

前文提过，250美金的入会费让我发现了Intel在IAPP会议上分享的实战版成熟度模型。让我们看一下Intel版本PM2的目标和起草原则：

1)目标

制定评估、沟通隐私项目现状和目标的评价体系；

跨组织（公司）评价隐私合规成熟度的通用工具；

模型适用于现场访谈、调查问卷和现场审核。

2)原则

基于 GAPP和其它行业标准；

基于全球隐私要求和隐私合规实践；

与安全风险成熟度模型匹配。

3) PM2的12个领域

问题又来了：Intel是传统、国际大公司，Intel隐私专员面对的主要是内部员工的隐私数据。我们是互联网公司，重点是2C用户的隐私合规。怎么办？只能自力更生、丰衣足食，因此，本文基于Intel PM2框架的12个领域和个人工作实践做了做了微调：

1.访问权和纠正权替换成用户权利

Intel制定隐私模型的时候GDPR尚未生效，所以参照了GAPP框架，即用户权利主要是访问权和纠正权。为了与同学们的实际工作匹配，在此升级成用户权利（GDPR规定的7项数据主体权利）。

2.每个领域的定级标准做取舍

假设1，忽略企业员工数据（Employee Data），仅考虑2C的用户数据为前提定制了每个级别的标准（实践中，公司很少因为处理欧盟员工的数据被违规调查）；

假设2，我们是中国企业，区别主要是在跨境传输领域，中国即不符合欧盟的充分保护水平认定标准，也不适用于欧美的隐私盾。

三、如何使用PM2框架（HOW）

1.自我评估

PM2框架将隐私工作分解成12个领域×5个级别，如果你的隐私工作尚未开展，PM2可以作为隐私工作的作战地图；如果已经起步，你可以参照框架的定级原则为自己企业的隐私成熟度打分，相当于自我评估。评估报告（假装是行业基线对标）可以向管理层汇报，以提升管理层合规意识和争取资源支持。

自我评估最常用的是雷达图，直观传达待改善的工作领域；如果基于相同的成熟度标准持续评估打分，就可以将工作进展可视化。

2.供应商隐私考核

IT行业的专业化分工越来越细，企业经营不可避免的涉及第三方供应商，比如采用各种IaaS、PaaS、SaaS云服务，电话中心和物流仓储的外包已经成为新常态。

如何评价第三方的隐私成熟度呢（即数据保护能力）？最直接的是要求对方获得国际认证，比如ISO27001/27018/29151，SOC2等。

如果对方没有证书，业务逼迫你就范，作为隐私专员如果自保呢？让对方基于PM2框架提交隐私成熟度（数据保护能力问卷）报告，然后睁一只眼闭一只眼的通过（虽然明知对方说谎，但至少你没有过错）。

成熟度达到Level3（相当于及格线60分）基本满足第三方认证要求；如果不幸供应商导致数据泄漏，你也好向老板证明已经尽力了；监管调查你（企业）时，也可以拿出供应商评估（Due Diligence）的证明。

3.内部职责分工

隐私是跨法律和IT两个领域的专业，GDPR的风口让法务和安全人员碰撞在一起：

1) 不出事都想做风口上的猪

2018/5/25 GDPR生效，媒体的宣传做了很好的隐私数据科普工作，同时，律所和咨询公司作为幕后专业级别推手，给企业管理层传递了很强风险意识（恐吓）。法务和安全人员也借势申请资源、扩张地盘。

2) 出事后却相互推责

如果监管发来了问询函、媒体炒作公司的隐私事件，法务和安全都因为怕管理层问责，纷纷不见了踪影。

3)按块划分明确职责

“如果有法律问题就裁掉法务团队，如果有安全问题就裁掉安全团队”虽然是戏说，但却反应真实问题（可以参考三个和尚挑水喝的文章）。

PM2框架将隐私工作分成了12个领域，团队之间可以讨论认领主要负责的领域（RACI矩阵中的Accountable），管理层作为隐私项目的sponsor就可以坐享其成或出事后分别问责了。

4. 我们是做事的人

2019年大趋势是隐私保护越来越严，但你我无法左右；小趋势是老板开始重视隐私合规，踏实做好本职工作，定期向老板汇报。

知易行难，我们是做事的人，撸起袖子加油干！

四、附录：PM2框架的12个领域（WHAT）

本节是白话版（excel版包含定级标准示例）！

1.组织架构

12个领域中最虚但是最重要的一个，Excel版本框架中写的比较定级教条，这里简化成一个核心要素：隐私负责人的级别？隐私负责人不一定是DPO（数据保护官）或者干活的人，而是公司治理架构中负责的人，类似于业务分管副总裁。实践中隐私负责人的判定标准是：

1）定期（至少季度）听取隐私项目汇报并统筹资源；

2）为企业的隐私合规最终负责，需要在管理层中形成共识；

3）DPO或一线隐私专员直接汇报给隐私负责人。

Level5-CEO（董事长或执行总经理）

Level4-副总裁（Tier1，汇报给CEO）

Level3-总监（Tier2，汇报给副总裁）

Level2-经理（Tier3，汇报给总监）

Leve1-员工（Tier4，汇报给经理）

2.隐私制度

这里的隐私制度不是制度本身，而是制度的执法机构和执法权利，执法权利取决于第一点组织架构。

Level5-多党执政（外部审计）

Level4-法治社会（多级考核、申诉渠道）

Level3-执法不严（和谐社会，流程上遵守）

Level2-有法不从（无惩罚措施）

Leve1-无法可依

3.用户告知

隐私政策透明度，包括冗长隐私政策（PrivacyPolicy）的透明度和充分的用户增强（二次）告知。

Level5-天下无贼（天眼系统：预防数据吸血大法）

Level4-指标量化、可视化（比如PP动画片）

Level3-有制度有流程（流程检查，形式合规）

Level2-有制度无流程（发布PP，但不能确保业务执行与PP一致）

Leve1-三无产品（缺少PP和弹窗）

4.用户权利

GDPR规定了数据主体（即用户）的七项权利，包括访问权、纠正权、清除权、限制处理权、可携带权、拒绝权、自动化决策拒绝权。详情关注公众号：监管与合规，从企业实践探索GDPR用户权利行使。https://mp.weixin.qq.com/s/noKw3kTdxPDu7B8pXqAn2w

Level5-隐私看板（相当自信）

Level4-自动化（用户自助+云端自动）

Level3-流程+半自动（确保SLA和不出错）

Level2-邮箱+协调（制定流程，申请个例处理）

Leve1-没有预案（申请到了再随机应变）

5.跨境传输

几乎全球各国都有数据跨境的要求，但是受限的数据范围和执法力度不同，从而出现了“高危”区域，比如欧盟、俄罗斯、中国！

Level5-自动驾驶（公开跨境规则和承诺）

Level4-监控违规驾驶（避免老司机翻车）

Level3-获得国际**（持证跨境传输）

Level2-仅识别高危地区（欧盟，俄罗斯等）

Leve1-无知者无畏（缺少跨境风险评估机制）

6.供应商管理

信息安全中归类为供应链安全（SupplyChain Security），主要考核涉及个人数据处理的供应商，包括信息安全评估和数据处理协议DPA。这里需要引入审计概念：

1）一方审计，企业自查；

2）二方审计，甲方查乙方；

3）三方审计，公正第三方操刀，即通常的审计概念。

Level5-动态监控供应商安全态势和否决权（国际市场已经有监控SaaS服务了https://securityscorecard.com/ ）

Level4-高危供应商二方、三方审计（实质合规）

Level3-全签DPA协议（形式合规）

Level2-仅在敏感数据场景考虑（业务免责行为，没有流程保证）

Leve1-业务自主选择供应商（不经过安全和隐私流程）

7.数据分级

个人信息的分类分级是安全防护的前提，GDPR中个人信息包括已识别（侠义PII）和可识别信息（广义PII，即所有从用户和用户设备收集的信息都是个人信息）。

数据分类：用户数据（PII）、员工数据（EPII）、商业数据（BI）；

PII分级：敏感个人信息（SPII）、机密个人信息（CPII，不是GDPR要求）和普通个人信息（PII）；

传统公司可以基于流程和表格人工去做数据分级，但互联网公司面对的是海量数据，我们需要借助科技的力量。数据分级工具有传统的DLP厂商、数据公司Oracle/SAP/Imperva、国内全知科技等，总有一款适合你。

Level5-风险预警（AI时代）

Level4-数据血缘（自动发现）

Level3-工具自动分级（动态tag）

Level2-核心数据分类（比如手机号被重点保护）

Leve1-一坨数据（没有分类分级）

8.事件管理

隐私事件属于安全事件的子集，建议共用安全事件制度和流程，但是需要细化事件通告的范围：增加监管机构和用户。GDPR要求的72小时上报窗口，但并非所有安全事件都需要上报：“可能对自然人的权利和自由造成高风险”的事件，如果你要规避上报带来的PR风险，需要做好书面评估“合法”隐瞒；当然，你也可以毫无隐瞒的将各类事件都选择上报，做个良好公民。

关于上报到欧盟哪个国家的DPA机构，需要你提前选好“代理人”并去注册备案。