NIST annonserte nylig planer om å oppdatere personvernrammeverket sitt og gjøre det til et mer organisk tilbud og mindre statisk. Kommer dette praktikere til gode? Dan Raywood ser på årsakene til endringen.

I fjor ble den andre versjonen av NIST Cybersecurity Framework introdusert , en oppdatering av 2014-versjonen for å utvide bruken av rammeverket, forbedre veiledningen for implementering og understreke viktigheten av styring.

Nettsikkerhet og personvern går naturligvis hånd i hånd, og 12 måneder etter det reviderte rammeverket for nettsikkerhet annonserte NIST en to måneders gjennomgangsperiode i april 2025 for personvernrammeverket for å vurdere nye tillegg og revisjoner.

Håndter personvernrisikoer

I fjor ble den første kunngjøringen av revisjonene av versjon 1.1 gjort, med konseptdokumentet som ble utgitt i juni 2024 før det første offentlige utkastet som ble publisert i april.

NIST sier at endringer i personvernrammeverket er nødvendige på grunn av forholdet til rammeverket for cybersikkerhet: de to rammeverkene har samme overordnede struktur for å gjøre dem enkle å bruke sammen.

Julie Chua, direktør for NISTs avdeling for anvendt cybersikkerhet, kalte oppdateringen «beskjeden, men betydelig». Hun sa: «Personvernrammeverket kan brukes alene for å håndtere personvernrisikoer, men vi har også opprettholdt kompatibiliteten med Cybersecurity Framework 2.0, slik at organisasjoner kan bruke dem sammen for å håndtere hele spekteret av personvern- og cybersikkerhetsrisikoer.»

Mindre oppdatering

Meghan Anderson, en personvernrisikostrateg ved Privacy Engineering Program ved NIST, forklarer at dette snarere er en større overhaling, men «en veldig lett, liten oppdatering».

I et intervju med ISMS.online sier Anderson at personvernrammeverket «er et levende verktøy som er ment å utvikle seg for å møte interessentenes behov.» I løpet av de fem årene siden det første personvernrammeverket ble publisert, har disse interessentene vært i stand til å identifisere områder der disse målrettede forbedringene kan gjøres, og vurdere endringer i teknologi.

Hun nedtonet viktigheten av revisjonene av versjon 1.1, og kalte dem «bare mindre revisjoner eller omstrukturering av kategoriene i underkategorier».

Hun innrømmet imidlertid at etter fem år med den opprinnelige versjonen var det på tide med en forandring. «Det var liksom 'dette er en milepæl, la oss oppdatere den'», sier hun.

Anderson sier spesifikt at siden personvernrammeverket ble modellert etter rammeverket for nettsikkerhet, må det opprettholdes en forbindelse mellom de to rammeverkene. «Jeg synes det som er veldig bra med personvernrammeverket er at det er veldig fleksibelt, så mange organisasjoner eller interessenter som bruker rammeverket har muligheten til å forme det til det de trenger for sine organisasjoner, personvernresultater og mål.»

Nye elementer

En av de viktigste endringene i denne revisjonen er å lage en nettbasert versjon av rammeverket. Dette betyr mer enn bare å legge det ut på nettstedet, og det betyr at NIST kan publisere rettidige og relevante oppdateringer som svar på brukernes behov. Anderson sier at del tre er flyttet, der det finnes veiledning om hvordan man bruker personvernrammeverket.

«Håpet vårt er at det på den måten blir litt mer interaktivt, og at vi kan oppdatere det litt oftere i stedet for å ha det i et PDF-dokument som står stille», sier hun. «På denne måten kan vi tilby det på nettstedet mer umiddelbart i stedet for i PDF-en, som tar tid å oppdatere, revidere og publisere på nytt.»

Hun sier også at tilbakemeldinger om nye trender – som AI – var vanlige, så ytterligere retningslinjer om forholdet mellom AI og personvernrisikostyring ble lagt til, og det er nå en ny seksjon i personvernrammeverkets første offentlige utkast.

Det første offentlige utkastet hevder at det reviderte rammeverket «kan hjelpe organisasjoner med å identifisere og håndtere personvernrisikoer som kan oppstå fra databehandling i AI-systemer gjennom hele AI-livssyklusen.» Dette inkluderer personvernrisikoer som oppstår når AI-systemer trenes på data samlet inn uten enkeltpersoners samtykke, eller har manglende eller utilstrekkelige personverntiltak.

I noen tilfeller kan AI-teknologi «være den viktigste faktoren for personvernrisiko» og kan skape personvernproblemer for enkeltpersoner og grupper. AI kan påvirke «personvernet til enkeltpersoner og grupper, noe som fører til betydelige organisatoriske konsekvenser, alt fra inntektstap til omdømmeskader».

Derfor kan organisasjoner bruke det nye rammeverket til å «effektivt håndtere personvernrisikoer knyttet til AI og sikre at organisasjonens personvernverdier gjenspeiles i utviklingen og bruken av AI-systemer».

Essensiell evolusjon

Det er ikke en komplett løsning, men det er definitivt et skritt fremover. Hva med fra utøverens perspektiv? Er dette nok til å møte moderne utfordringer?

I et intervju med ISMS.online sier Tarun Samtani, medlem av det rådgivende styre i IAPP, at den foreslåtte revisjonen «representerer essensiell utvikling» og roser dens samsvar med fjorårets rammeverk for cybersikkerhet.

Han sa at revisjonen «bygger bro mellom kritiske driftsmessige gap mellom sikkerhet og personvern – et smertepunkt jeg har vært vitne til gjentatte ganger».

Samtani hevder spesielt at det nåværende rammeverket tilbyr solid teori, men sliter med praktisk anvendelse. Når han ser på utkastet til v1.1, roser han innføringen av å adressere nye AI-risikoer, men sier: «Det mangler praktiske implementeringsveier for ressursbegrensede organisasjoner.»

Utilstrekkelig Ikke foreldet

Fra et praktikerperspektiv, mener han at denne revisjonen er nødvendig, og var veiledningen fra 2020-versjonen spesielt utdatert? Han sier at den ikke er foreldet, men at den i økende grad er utilstrekkelig. «Siden lanseringen av 1.0 i 2020 har vi sett en eksplosiv vekst i bruken av AI-systemer og automatisert beslutningstaking, noe som skaper nye personvernrisikoer», sier han.

«Det foreslåtte PFW 1.1 innlemmer klokelig nye AI-hensyn samtidig som det reflekterer lærdommer fra modne regulatoriske regimer. Denne betimelige oppdateringen erkjenner at personvernrisikohåndtering nå strekker seg utover tradisjonell databehandling til algoritmisk åpenhet.»

På den annen side var ikke Samtani helt full av lovord for de påfølgende revisjonene, og hevdet at utkastet trenger tydeligere målinger utover modenhetsnivåer og mer forskrivende tilnærminger for mindre bedrifter som navigerer i dagens utfordrende data- og AI-landskap.

Han sier: «De strukturelle forbedringene i PFW 1.1 kan kanskje løse noen problemer med brukervennlighet, men uten strukturert implementeringsveiledning kan det være vanskelig å overholde regelverket, spesielt for organisasjoner som mangler velutviklede personvernprogrammer.»

Han hevder at den foreslåtte strukturelle tilpasningen mellom PFW 1.1 og CSF 2.0 adresserer operasjonell friksjon, noe han har vært vitne til mens han har gitt råd til multinasjonale organisasjoner. Han anbefalte tre praktiske tillegg for å forbedre brukervennligheten for utøvere:

  • Først, integrerte implementeringshåndbøker som demonstrerer samtidig operasjonalisering.
  • For det andre, standardiserte tverrrammeverksmålinger for konsistent rapportering.
  • For det tredje, teknologispesifikke profiler for vanlige scenarier som AI-distribusjoner.

«Disse forbedringene vil transformere rammeverk fra referansedokumenter til operative verktøy som driver frem målbare forbedringer i personvernstyringen», konkluderer han. Som svar,

Anderson sier at alle kommentarer til revisjonen av versjon 1.1 er velkomne.

Å revidere noe slikt kommer med utfordringer, og de teknologiske endringene de siste fem årene gjør at denne revisjonen må gjøres. Fra et samsvars- og etterlevelsesperspektiv bør den nye versjonen ikke være for problematisk, ettersom endringene ikke er for betydelige og bør gjøre det mulig for bedrifter å bygge bro mellom rammeverket for cybersikkerhet og personvern.

For mange vil disse endringene være velkomne, men mindre eller mindre ressurssterke organisasjoner kan slite uten tydeligere implementeringsveier. Det er her overgangen til en mer dynamisk, nettbasert versjon av rammeverket kan vise seg å være mest verdifull, slik at NIST kan reagere raskere på nye problemer og tilby mer praktisk, utviklende veiledning. Selv om rammeverket ikke vil møte alles behov perfekt første gang, markerer denne overgangen mot en levende, responsiv ressurs et meningsfullt skritt fremover.