Bag teknikken: Sådan finder DataMapper følsomme data

Det korte svar: DataMapper bruger en kombination af teknologier såsom Text Extraction, OCR, Sproggenkendelse, Indeksering af nøgleord, Machine Learning og LLM til effektivt at scanne filer for følsomt indhold. Ved at gøre dette, filtreres irrelevant data fra og viser kun de filer, der faktisk indeholder følsomme oplysninger—så man kan overholde GDPR og beskytte data.

At identificere følsomme oplysninger på tværs af en virksomheds systemer er aldrig ligetil—uanset om man bruger manuel søgning eller særlige værktøjer. Det er en kompleks opgave af flere årsager. Her er blot nogle af dem:

• Mængden af data
  En virksomhed vil typisk have millioner af filer, e-mails, vedhæftninger og dokumenter. Det er en langsom, upræcis og næsten umulig proces at skalere, hvis man skal gennemgå disse data manuelt.

• Listen af følsomme udtryk er i konstant udvikling
  Datalovgivninger som GDPR er omfattende og opdateres løbende. Nye risikotermer opstår hele tiden. Hertil kommer at hver virksomhed kan have sine helt egne definitioner af, hvad der betragtes som følsomt.

• Følsomme data kan gemme sig overalt
  Det er ikke kun i tekstdokumenter der kan have følsomt indhold – følsomme oplysninger kan være skjult i skærmbilleder, scannede kontrakter, håndskrevne noter eller billeder af ID-kort. Uden hjælp skal hvert billede gennemgås manuelt, hvilket er både tidskrævende og – efter vores erfaringer – fejlbehæftet.

• Konteksten er afgørende
  Et ord eller et tal bliver først følsomt, når det relaterer sig til en person. For eksempel er “COVID” eller “muslim” i sig selv ikke nødvendigvis følsomme, men i en sætning som “Hun blev opsagt efter at have fortalt, at hun havde COVID”, gør konteksten det følsomt ifølge GDPR.

• Sprog- og formatkompleksitet
  Følsomme oplysninger kan forekomme på mange sprog og i forskellige nationale formater. Et dansk CPR-nummer ser anderledes ud end et amerikansk social security number, og selv det samme ord kan have forskellig betydning afhængigt af sproget.

• Teknologiske begrænsninger
  Det kan være særligt udfordrende at scanne komplekse dokumenter som Excel-ark med mange rækker og kolonner. OCR-teknologi læser typisk tekst vertikalt, men data i regneark er ofte arrangeret på måder, der ikke passer til denne læselogik. Det kræver derfor ekstra logik og avanceret behandling for nøjagtigt at kunne tolke og udtrække følsomme oplysninger fra sådanne strukturerede dokumenter.

For at imødekomme disse udfordringer har vi udviklet DataMapper.

I modsætning til andre søgemetoder, der baserer sig på manuel søgning eller regelbaseret scanning, benytter DataMapper en avanceret, AI-drevet proces til at udtrække, analysere og validere følsomme data på tværs af millioner af dokumenter—ikke over dage eller uger, men på få timer eller endda minutter.

Mange andre Data Discovery-løsninger kan identificere visse typer information ved hjælp af mønstergenkendelse eller metadatafiltrering. Men de kommer ofte til kort, når det gælder scanning af billeder, flersprogede dokumenter eller kontekstanalyse. Det fører til oversete risikofiler eller et væld af falske positiver, hvilket skaber støj.

DataMapper går en anden vej—ved at kombinere en række avancerede teknologier leverer den resultater, der ikke blot er hurtige, men også præcise. Værktøjet identificerer kun de reelt følsomme oplysninger, som ellers ville være gemt blandt millioner af dokumenter, og skærer alt det overflødige væk. De seks teknologier i DataMappers søgeproces er:

1. Text Extraction
2. Optical Character Recognition (OCR)
3. Sproggenkendelse
4. Indeksering af nøgleord
5. Machine Learning (ML) and Regular expressions (RegEX)
6. Large Language Model (LLM)

4. Indeksering af nøgleord

Når teksten er udtrukket og sproget identificeret, opretter DataMapper et komplet indeks over alle ord og tal i de scannede filer. Hvert eneste udtryk bliver gjort målbar op imod en nøje udarbejdet taksonomi af følsomme udtryk. Denne taksonomi er udviklet i samarbejde med juridiske og compliance-eksperter i overensstemmelse med eksempelvis GDPR.

Taksonomien dækker tre hovedkategorier af følsomme oplysninger:

• Personhenførbare oplysninger (PII) – f.eks. navn, fødselsdato, CPR-nummer

• Følsomme personoplysninger – f.eks. helbredsoplysninger, fagforeningsmedlemskab, seksuel orientering

• Forretningskritiske termer – f.eks. kontrakter, budgetter, dokumenter om immaterielle rettigheder

Denne taksonomi fungerer som et foruddefineret ordforråd af risikomarkører og opdateres løbende i takt med, at lovgivning og dataforordninger udvikler sig.

Men det er ikke nok kun at identificere nøgleord—derfor går vi et skridt videre og anvender maskinlæring til at validere mønstre og reducere mængden af falske positiver.

5. Machine Learning (ML) og Regular expressions (RegEX)

Mange typer følsomme data følger genkendelige mønstre. For eksempel:

• Et kreditkortnummer består altid af 16 cifre

• Et CPR-nr har formatet XXXX-XXXXXX

• Et IBAN (internationalt bankkontonummer) har et landespecifikt format

DataMapper bruger RegEx til at identificere disse mønstre – men mønstergenkendelse alene er ikke nok. Her kommer Machine Learning ind i billedet. ML-modeller hjælper DataMapper med at forstå konteksten og validere, hvad mønstrene faktisk betyder i den omgivende tekst. De kan f.eks. skelne mellem et reelt personnummer og et telefonnummer, der blot ligner.

For eksempel: Hvis “1234-123456” står i et dokument, vil en simpel mønstergenkendelse muligvis markere det som et CPR-nr. Men hvis det i realiteten bare er et ubetydeligt nummer, vil ML-modellen fange det og undgå en falsk positiv. Kort sagt: Machine Learning tilføjer den intelligens, som regelbaserede systemer mangler – så strukturerede data ikke bare bliver opdaget, men også korrekt forstået.

6. Large Language Model (LLM)

Selv efter brug af Machine Learning og mønstergenkendelse er konteksten stadig afgørende. Et telefonnummer i en kontaktliste er sandsynligvis ikke følsomt. Men hvis det samme telefonnummer findes i en lægerapport eller en HR-fil, så er det en anden sag. Det er her Large Language Models (LLM’er) kommer ind i billedet.

LLM’er kombineret med vektorisering af data gør det muligt for DataMapper at gå skridtet videre end mønstergenkendelse. De analyserer det omkringliggende sprog og kontekst for at vurdere, om noget faktisk er følsomt. For at gøre dette, vektoriserer DataMapper relevante tekstudsnit og omdanner dem til et format, som LLM’en kan forstå. Modellen er trænet til at afgøre, om noget er følsomt eller ej.

Et eksempel er:

“Ben Islam fra finans var en fantastisk kollega. I sin fritid var han medlem af Lonely Hearts Dart Club og en fremragende kok. Jeg vil anbefale ham til en forfremmelse. For resten – hans maleri ‘bypass operation with COVID’ var imponerende.”

I dette tilfælde registrerer LLM’en ikke noget følsomt indhold. Grunden til dette er at “bypass operation” nævnes i forbindelse med kunst – ikke som en reel medicinsk udtryk.

Et andet eksempel, som ligner det forrige, er:

“Ben Islam fra finans… For resten, hans nylige bypass-operation blev udført, mens han havde COVID. Det gik fantastisk.”

Her identificerer LLM’en korrekt følsomt indhold i form af helbredsoplysninger.

Dette er måden hvorpå LLM’er reducerer falske positiver og forbedrer nøjagtigheden – de hjælper virksomheder med at undgå at gennemgå tusindvis af irrelevante dokumenter. På få minutter får man et præcist og fokuseret resultat, der viser præcis, hvor der er brug for handling.