Власність та доступ до IoT-даних: політики для спільних просторів

Зі зростанням впровадження Інтернету речей (IoT) у комерційних та промислових спільних просторах питання про те, хто володіє згенерованими даними та як їх слід використовувати та надавати доступ, стає першочерговим для операційної ефективності, дотримання законодавства та довіри між зацікавленими сторонами. Відсутність чітких політик може призвести до розрізнених даних, суперечок або порушень безпеки, що загрожує операційним збоям.

Визначення власності даних у складних IoT-екосистемах

У контексті IoT-систем у спільних просторах, таких як офісні центри чи промислові комплекси, визначення власності даних є складним завданням. Чиста інформація не завжди вважається власністю в багатьох правових системах, проте дані мають значну комерційну цінність. Права інтелектуальної власності можуть захищати деякі форми або формати даних.

Європейський закон про дані (EU Data Act), який набув чинності у січні 2024 року та став обов'язковим для виконання у вересні 2025 року, має на меті демократизувати доступ до даних, зобов'язуючи власників даних надавати їх у зручних для використання форматах, одночасно захищаючи комерційну таємницю та інтелектуальну власність. Цей закон зосереджений на даних, згенерованих сенсорами, показниках операційної ефективності та даних про використання, що часто походять з IoT та промислових систем. Він надає користувачам право доступу та обміну даними, які вони генерують.

У багатосторонніх середовищах, таких як спільне обладнання на промислових об'єктах або пристрої, що використовуються кількома орендарями в житлових будинках, виникає питання, як застосовуються правила доступу та спільного використання, коли кілька користувачів можуть мати права або інтереси до одних і тих же даних. Для вирішення цих питань необхідно чітко розмежовувати ролі та відповідальність власників будівель, орендарів, постачальників послуг та інтеграторів.

Класифікація IoT-даних та рівні доступу

Для ефективного управління даними IoT у спільних просторах необхідно розробити систему класифікації даних, яка дозволить визначити відповідні рівні доступу для різних зацікавлених сторін. Дані можуть бути поділені на кілька ключових категорій:

• Персональні дані: Інформація, що стосується ідентифікованих осіб, яка підпадає під дію законів про конфіденційність, таких як GDPR та українське законодавство про захист персональних даних.
• Операційні та машиногенеровані дані: Дані, що виробляються в результаті бізнес-операцій, датчиками обладнання або автоматизованими системами. Ця категорія швидко зростає з поширенням IoT-пристроїв.
• Спільні та конфіденційні дані: Організації повинні розрізняти спільні дані (доступні обом сторонам для операційних цілей) та конфіденційні дані (такі як інтелектуальна власність або персональні дані), які вимагають різних рівнів згоди, зобов'язань щодо безпеки та обмежень використання.
• Анонімізовані або псевдонімізовані дані: Дані, які були оброблені для видалення або приховування особистих ідентифікаторів. Це може зменшити певні зобов'язання щодо відповідності, але ризики повторної ідентифікації повинні бути враховані.

Механізми контролю доступу на основі ролей (Role-Based Access Control, RBAC) є структурованим методом призначення привілеїв, що має вирішальне значення для IoT-мереж для зниження ризиків несанкціонованого доступу. RBAC передбачає призначення ролей користувачам, а ролям – конкретних дозволів (читання, запис, виконання, конфігурація). Наприклад, адміністратор системи може мати повний доступ, адміністратор орендаря – повний контроль над своїм середовищем, а користувач-клієнт – лише доступ для читання до призначених ресурсів.

Юридичні та нормативні аспекти спільного використання даних

В Україні основним законодавчим актом, що регулює захист персональних даних, є Закон України № 2297-VI «Про захист персональних даних» від 1 червня 2010 року (Закон про ЗПД). Цей закон встановлює загальні вимоги та зобов'язання щодо збору, обробки та використання персональних даних. Важливі зміни до нього були внесені у 2012 та 2013 роках. Крім того, 25 жовтня 2022 року до Верховної Ради України було подано новий проєкт Закону № 8153 «Про захист персональних даних», який має на меті гармонізувати українське законодавство із стандартами GDPR та Конвенції 108+.

Закон про ЗПД вимагає від власників та розпорядників персональних даних забезпечувати їх захист від випадкової втрати, знищення та неправомірної обробки. Обробка персональних даних має бути відкритою та прозорою, а засоби обробки повинні відповідати її меті. Згода суб'єкта персональних даних є ключовою умовою для обробки, особливо для конфіденційної інформації.

GDPR (Загальний регламент про захист даних ЄС) також застосовується до IoT, особливо коли обробляються будь-які дані, які можуть вважатися особистими або пов'язаними з ідентифікованими особами. Відповідність GDPR вимагає сильних заходів шифрування та «приватності за задумом» (privacy by design). При розробці IoT-пристроїв для відповідності GDPR необхідно враховувати законні підстави для обробки персональних даних, проведення оцінки впливу на захист даних (DPIA) для високоризикових операцій та забезпечення права суб'єктів даних на видалення інформації.

У спільних просторах IoT-пристрої часто не мають можливості повідомити та отримати згоду від кожної особи, чия інформація збирається. Це створює виклики для дотримання вимог щодо згоди та прозорості.

Розробка політик доступу та управління даними для зацікавлених сторін

Створення прозорих та ефективних політик управління даними є критично важливим для багатокористувацьких середовищ. Ці політики повинні враховувати інтереси всіх учасників – власників будівель, орендарів, постачальників послуг та інтеграторів. Ключові аспекти включають:

• Угоди про обробку даних (Data Processing Agreements, DPA) та угоди про рівень обслуговування (Service Level Agreements, SLA): Ці документи повинні чітко визначати, хто є контролером та процесором даних, які дані збираються, як вони використовуються, зберігаються та передаються, а також відповідальність сторін за їх захист.
• Принцип мінімізації даних: Збір лише тих даних, які є необхідними для конкретної мети, та їх тимчасове зберігання може значно зменшити ризики невідповідності та витоків даних.
• Прозорість: Користувачі повинні бути поінформовані про те, які дані збираються, як вони використовуються та з ким діляться.
• Механізми вирішення спорів: Угоди повинні передбачати чіткі процедури для вирішення розбіжностей щодо власності або використання даних.

Ефективне управління кібербезпекою в комерційній нерухомості вимагає оцінки поточних засобів захисту, безперервної оцінки ризиків та перевірки ефективності безпеки за допомогою моніторингу, сторонньої перевірки та плану реагування на інциденти.

Технологічні рішення для реалізації політик доступу

Технології відіграють ключову роль у забезпеченні виконання визначених політик власності та доступу до даних. До них належать:

• Гранульований контроль доступу: IoT-платформи повинні підтримувати деталізовані механізми контролю доступу, такі як RBAC, що дозволяють призначати конкретні дозволи на основі ролей користувачів та їхніх потреб. Це допомагає запобігти несанкціонованому доступу до чутливих даних IoT під час передачі та зберігання.
• Анонімізація та агрегація даних: Використання методів анонімізації та псевдонімізації допомагає захистити персональні дані, дозволяючи при цьому використовувати агреговану інформацію для аналізу та оптимізації операцій, наприклад, для підвищення енергоефективності.
• Моніторинг та аудит доступу: Системи повинні реєструвати всі спроби доступу до даних та пристроїв, надаючи можливість аудиту та виявлення підозрілої активності.
• Мережева сегментація: Розміщення IoT-пристроїв в окремих мережах (наприклад, гостьова Wi-Fi або окремий VLAN) від основних корпоративних мереж допомагає обмежити потенційний збиток у разі компрометації IoT-пристрою.
• Шифрування: Використання шифрування для даних, що передаються та зберігаються, є фундаментальним заходом безпеки.

Інтеграція IoT-пристроїв з системами контролю доступу, включаючи розумні замки, датчики та камери, створює мережу підключених пристроїв, які співпрацюють для підвищення безпеки, автоматизації та енергоефективності.

Чекліст для розробки політик управління IoT-даними у спільних просторах

Для успішного розгортання IoT-систем у багатокористувацьких будівлях або спільних промислових зонах, керівникам інфраструктури та технічним лідерам рекомендується використовувати наступний фреймворк:

• Визначення всіх зацікавлених сторін та їхніх ролей (власники, орендарі, постачальники послуг, інтегратори).
• Класифікація типів даних (персональні, операційні, анонімні, агреговані).
• Визначення власника для кожного типу даних.
• Розробка матриці доступу для кожної зацікавленої сторони (читання, запис, зміна, видалення).
• Оцінка відповідності українському законодавству про захист персональних даних та GDPR.
• Розробка угод про обробку даних (DPA) та угод про рівень обслуговування (SLA).
• Визначення механізмів вирішення спорів щодо даних.
• Вибір технологічних рішень для реалізації та моніторингу політик доступу (наприклад, RBAC).
• План регулярного перегляду та оновлення політик.

Платформа AZIOT дозволяє гнучко налаштовувати права доступу до даних з IoT-пристроїв, забезпечуючи централізоване управління та відповідність визначеним політикам власності та використання інформації у багатокористувацьких середовищах. Завдяки підтримці таких протоколів, як MQTT, Modbus, BACnet, KNX, Zigbee, Z-Wave, LoRaWAN, Matter, SCADA та BMS, а також функціоналу edge processing, Unity Base, правил/сценаріїв, дашбордів, аудиту та контролю доступу, AZIOT надає інструменти для реалізації комплексних стратегій управління даними на фізичному рівні та рівні пристроїв.

Розробка чітких політик власності та доступу до IoT-даних є не просто юридичною формальністю, а стратегічною необхідністю для забезпечення операційної стабільності, довіри та інновацій у спільних фізичних середовищах. Інвестування в надійні рамки управління даними та технологічні рішення дозволить максимізувати переваги IoT, мінімізуючи при цьому ризики конфіденційності та безпеки.

Дізнайтеся більше про рішення Intecracy та inbase.com.ua для управління даними та автоматизації.