Er moet meer aandacht komen voor het anoniem maken van data bij het testen met productiedata. Het komt nog te vaak voor dat, omwille van tijdwinst, dat proces achterwege blijft. Als banken dat doen, handelen zij in strijd met de richtlijnen van De Nederlandsche Bank.
Niet zaligmakend Hoewel vaak gedacht wordt dat het testen met productiegegevens een test pas echt compleet maakt, loopt Tim Koomen van Sogeti er niet altijd warm voor. Die vorm van testen vindt hij ‘zeker niet zaligmakend’. “Als tester heb ik soms liever maar honderd testgevallen, als ik maar weet dat alle variaties erin zitten. Dat moet je maar afwachten bij het testen met een kopie van de productieomgeving. Want dan kun je bijvoorbeeld testen met data waar nou net de vakantieperiode niet in zit, terwijl dat wel van belang kan zijn voor de applicatie. Je gaat testen met data waar juist die nieuwe mogelijkheden van de te beproeven toepassing niet in zitten.” Vervolgens stelt hij nog een vraag: “Je denkt toch niet dat, als er met productiedata wordt getest, die miljoenen testuitslagen echt worden gecontroleerd?” Testen met productiedata geeft volgens hem een indruk van volledigheid, terwijl dat niet het geval hoeft te zijn. “Je moet dit per keer goed beoordelen.” |
Hij betoogt dat de wet- en regelgeving in Nederland wel rept van ‘zorgvuldig omgaan met data’ en dat een wet als Sarbanes-Oxley eist dat precies wordt bijgehouden wie de data in handen heeft gehad en wat die persoon er mee heeft gedaan. “Toch staat het nauwelijks in de belangstelling. En wat de Nederlandse wet betreft: zorgvuldig omgaan is wel een weids begrip. Er moet gewoon staan dat testdata anoniem gemaakt moeten worden. Misschien denkt de wetgever dat dat technisch erg moeilijk is, maar dat is geenszins het geval. Natuurlijk is het wel een investering.”
Tim Koomen, medeauteur van een boek over de toonaangevende testmethode Tmap en werkzaam bij Sogeti, zegt dat ‘Groeneveld daar wel een punt heeft’. “De Nederlandse Bank eist strikte bescherming van de privacy bij het testen met productiedata. Ik weet echter dat er toch banken zijn die de gegevens niet anoniem maken, en daarmee een zeker risico lopen.”
Volgens het tweetal gebeurt dat vaak omdat het testwerk snel aan het einde van een project moet worden uitgevoerd als er eigenlijk al geen tijd meer is en zeker geen budget.”
Onderwereld
Er doen al wel verhalen de ronde, zo vertelt Koomen, van werknemers van een Indiaas bedrijf die ‘verkeerde dingen’ hebben gedaan met productiegegevens, de financiële gegevens met naam en toenaam aan de onderwereld hebben doorverkocht. “Ook is het voorgekomen dat broncode wordt doorverkocht aan een concurrerend bedrijf. Dat voorkom je niet met anonimisering van testdata, maar het geeft wel aan dat je een risico loopt. Voor een Indiase tester is tienduizend dollar een enorm groot bedrag, vergeet dat niet.”
Hij vindt dat de Nederlandse wet ook strikter zou moeten zijn, maar geeft aan dat je er dan nog niet bent. “Want in India, Rusland of welk ander land dan ook, heb je te maken met andere wetgeving. In India is die erg ondoorzichtig; het is heel moeilijk om vanuit Nederland die rechtsgang te beïnvloeden als dat nodig is.”
Overigens wil hij de indruk wegnemen dat het anoniem maken van testdata nauwelijks voorkomt. “Dat gebeurt best vaak. Maar ik ben het met Groeneveld eens dat het onderwerp wel meer aandacht mag hebben.”
Chief privacy officer
Compuware houdt zich al dertig jaar bezig met de integriteit van data en beschikt al langer over gereedschap om gegevens anoniem te maken. Toch heeft het bedrijf onlangs zijn product File-Aid speciaal opgetuigd om dit probleem in alle denkbare situaties te kunnen aanpakken. De tools zijn niet alleen verbeterd, maar er is ook een implementatiemethode ontwikkeld die de datavoorbereiding en de initiatieven voor dataprivacy door de hele organisatie heen integreert.
De nieuwe versie van File-Aid biedt onder andere een geautomatiseerde dataprivacymanager, voorzieningen voor het uitvoeren van audits en verbeterde mogelijkheden om gegevens onherkenbaar te maken. Er is voorzien in een centrale repository voor het opslaan en documenteren van alle informatie die is verzameld gedurende alle fasen van het proces.
“Het belangrijkste is misschien wel dat bedrijven onderkennen dat hier een probleem zit en dat ze vervolgens een risicoanalyse doen, want je hoeft niet altijd te anonimiseren en misschien ook niet alles. Je hoeft geen kosten te maken als het niet nodig is.”
Groeneveld ziet ook lichtpuntjes. “In sommige bedrijven is al een chief privacy officer aangesteld die juist dit soort zaken moet regelen.” In 2000 baarde IBM nog opzien met de benoeming van Harriet P. Pierson als cpo, maar dergelijke aanstellingen halen in de VS de voorpagina niet meer.