Organisationer hanterar flera kategorier av känslig information, var och en med distinkta regelverk och skyddskrav. Tydlig klassificering möjliggör lämpliga skyddsåtgärder.
Datakategoridefinitioner och exempel
1. Personligt identifierbar information (PII)
Alla data som kan identifiera en specifik individ.
- Direkta identifierare: Fullständigt namn, personnummer, körkort, pass, biometri, ansiktsfoto
- Indirekta/kvasi-identifierare: Födelsedatum, adress, telefon, e-post, kön, ras, postnummer (kombinationer kan re-identifiera)
- Digitala identifierare: IP-adress, enhets-ID, cookies, inloggningsuppgifter
Regelverk: GDPR, CCPA/CPRA, statliga dataintrångslagar, FERPA (utbildning), GLBA (finansiellt)
2. Lönedata och kompensationsdata
Anställningsrelaterad finansiell information.
- Lön/lönerater, arbetade timmar, övertid
- Bonusar, provisioner, aktier, uppskjuten kompensation
- Skatteavdrag (W-4, statliga formulär), deklarationsstatus
- Förmånsval: hälso/tand/vision-premier, HSA/FSA-bidrag, 401(k)/pension
- Utmätningar, barnbidrag, beslag
- Lönespecifikationer, insättningsuppgifter
Regelverk: FLSA, IRS Pub 15, statliga lönelagar, ERISA, ACA arbetsgivarrapportering
3. Skyddad hälsoinformation (PHI)
Individuellt identifierbar hälsoinformation som hålls/överförs av skyldiga entiteter eller affärspartners.
- Journalnummer, diagnoser (ICD-10), behandlingsplaner, läkemedel
- Labresultat, bilddiagnostik, genetisk information
- Psykoterapianteckningar (särskilt skydd)
- Fakturerings/skadedata (CPT, HCPCS, intäktskoder)
- Biometriska identifierare (röstavtryck, retinascanning)
Regelverk: HIPAA Privacy/Security/Breach Rules, 42 CFR Part 2 (SUD), statliga medicinska integritetslagar
4. Operativ och affärsdata
Information relaterad till organisatoriska processer och prestanda.
- Finansiella: redogörelser, budgetar, prognoser, KP/KR, skattedeklarationer, revisionsunderlag
- Försäljning/CRM: pipeline, kontrakt, kund-PII, köphistorik, propensitetspoäng
- Produktion/Försörjningskedja: strukturlistor, lager, leverantörskontrakt, kvalitetsregister, IoT-sensordata
- HR/Arbetsstyrka: prestationsutvärderingar, disciplinärenden, engagemangsenkäter, successionsplaner
- IT/Säkerhet: nätverkstopologi, åtkomstloggar, sårbarhetsskanningar, incidentrapporter, krypteringsnycklar
- IP/affärshemligheter: patent, formler, algoritmer, källkod, FOU-data
Regelverk: SOX (finansiellt), SEC-regler, statliga affärshemlighetslagar, branschspecifika (FDA 21 CFR 11, NERC CIP, PCI DSS)
Enhetligt skyddsramverk
| Kontroll | PII | Lönedata | PHI | Operativ |
|---|
| Kryptering (vilande/under överföring) | Obligatorisk | Obligatorisk | Obligatorisk | Riskbaserad |
| Åtkomstkontroll (RBAC/ABAC) | Obligatorisk | Obligatorisk | Obligatorisk | Obligatorisk |
| Revisionsloggning | Obligatorisk | Obligatorisk | Obligatorisk | Obligatorisk |
| Bevarandeskedja | Laglig/regulatorisk | 7 år (IRS) / stat | 6 år HIPAA / stat | Affärsjuridisk |
| Intrångsnotifiering | Statliga lagar / GDPR | Statliga lagar | HIPAA 60 dagar | Kontraktuell / SEC |
| DPIA / Riskbedömning | GDPR Art. 35 | Rekommenderas | HIPAA SRA | Företags-ERM |
Korskategoriella risker
- Lönedata innehåller ofta PII + PHI (funktionshinder, FMLA, hälsoprogram)
- Operativa system (HRIS, ERP) aggregerar alla kategorier – ett enda intrång exponerar allt
- Avidentifiering av PHI för analys måste uppfylla HIPAA Safe Harbor eller Expert Determination
Styrningsimperativ: Datainventering → klassificering → kontrollmappning → kontinuerlig övervakning. Integritet genom design, inte som eftertanke.
