Che dữ liệu cá nhân trước khi gửi AI với Presidio: playbook cho SOC
Presidio hỗ trợ nhận diện và khử định danh dữ liệu nhạy cảm trong văn bản, ảnh. Playbook này giúp SOC và security engineering đặt lớp kiểm soát trước AI, tùy biến recognizer tiếng Việt, giảm rủi ro ở log và kiểm thử chính sách.
Một analyst dán nội dung ticket vào chatbot để nhờ tóm tắt sự cố. Ticket đó có thể chứa tên khách hàng, số điện thoại, địa chỉ hoặc mã định danh nội bộ.
Vấn đề không chỉ là nhắc người dùng “đừng gửi dữ liệu nhạy cảm”. Với SOC và đội security engineering, cần có một điểm kiểm soát kỹ thuật trước khi nội dung đi tới công cụ AI.
Presidio là bộ công cụ hỗ trợ nhận diện và khử định danh dữ liệu nhạy cảm trong văn bản và ảnh. Dự án cung cấp các thành phần để phát hiện PII, áp dụng thao tác khử định danh, đồng thời cho phép tùy biến theo nhu cầu của tổ chức.
> Presidio không bảo đảm phát hiện toàn bộ dữ liệu nhạy cảm. Tài liệu dự án khuyến nghị kết hợp thêm các hệ thống và biện pháp bảo vệ khác.
Mục tiêu: giảm PII trong prompt, không “hợp thức hóa” mọi dữ liệu
PII là dữ liệu có thể giúp nhận diện hoặc liên kết tới một cá nhân. Trong vận hành bảo mật, PII có thể xuất hiện trong:
Ticket hỗ trợ và hồ sơ sự cố.
Nội dung chat hoặc email.
Log ứng dụng.
Báo cáo điều tra.
Ảnh chụp màn hình và tài liệu quét.
Presidio có thể nhận diện dữ liệu bằng recognizer dựng sẵn hoặc recognizer tùy biến. Các recognizer này có thể dựa trên nhận diện thực thể có tên (NER), biểu thức chính quy, logic dựa trên rule, checksum và ngữ cảnh liên quan.
Đây là lớp giảm thiểu rủi ro, không phải lý do để gửi mọi dữ liệu vào AI. Chính sách dữ liệu, kiểm soát truy cập, quy trình phê duyệt và kiểm thử vẫn cần được áp dụng độc lập.
Đặt Presidio trước điểm gọi AI
Một cách triển khai phù hợp cho môi trường doanh nghiệp là đặt một lớp trung gian trước các lời gọi AI. Đây có thể là API gateway, dịch vụ proxy hoặc một thành phần trong ứng dụng nội bộ.
Luồng tham khảo:
Ứng dụng gửi nội dung cần xử lý tới lớp kiểm soát.
Lớp này dùng Presidio để nhận diện thực thể nhạy cảm trong văn bản hoặc ảnh.
Chính sách quyết định một trong ba hướng: cho phép, che dữ liệu hoặc chặn để xử lý thủ công.
Với nội dung được phép gửi tiếp, áp dụng khử định danh theo chính sách của tổ chức.
Gửi phiên bản đã xử lý tới dịch vụ AI.
Ghi nhận sự kiện vận hành phục vụ giám sát và điều tra.
Presidio hỗ trợ nhiều cách sử dụng, gồm Python, PySpark, Docker và Kubernetes. Nhờ đó, đội platform có thể tích hợp nó vào workload xử lý dữ liệu hoặc môi trường triển khai nội bộ.
Tùy biến recognizer cho dữ liệu tiếng Việt
Dữ liệu thực tế của doanh nghiệp thường không giống hoàn toàn các mẫu có sẵn: số điện thoại có nhiều cách viết, tên xuất hiện cùng ngữ cảnh nghiệp vụ, hay mã hồ sơ có quy ước riêng.
Nên bắt đầu bằng các loại dữ liệu vừa quan trọng vừa có thể kiểm thử rõ ràng:
Số điện thoại đi kèm các nhãn như “SĐT”, “điện thoại”, “liên hệ”.
Địa chỉ email trong ticket và trao đổi hỗ trợ.
Mã khách hàng, mã hồ sơ hoặc mã hợp đồng theo quy ước nội bộ.
Họ tên cạnh các nhãn như “khách hàng”, “người nhận”, “đại diện”.
Địa chỉ đi cùng những từ như “phường”, “quận”, “tỉnh”, “địa chỉ”.
Không nên mở rộng regex chỉ để bắt được nhiều mẫu hơn. Rule quá rộng có thể gây false positive: che cả dữ liệu không nhạy cảm, làm giảm chất lượng ngữ cảnh và gây khó khăn cho người dùng.
Mẫu yêu cầu xác định rule
Dùng biểu mẫu ngắn này để SOC, đội dữ liệu và chủ sở hữu nghiệp vụ thống nhất yêu cầu:
text
Thực thể cần bảo vệ: <ENTITYTYPE>
Mô tả dữ liệu: <mô tả ngắn>
Tín hiệu ngữ cảnh tiếng Việt: <nhãn hoặc cụm từ liên quan>
Ngoại lệ nghiệp vụ: <trường hợp không nên che>
Hành động mong muốn: <che | thay thế | chặn>
Cần chuẩn bị:
Mẫu nên phát hiện.
Mẫu không nên phát hiện.
Rủi ro false positive.
Rủi ro false negative.
Ví dụ, một prompt có tên khách hàng, số điện thoại và mã hồ sơ có thể được xử lý để loại bỏ hoặc thay thế phần nhận diện cá nhân. Mã hồ sơ chỉ nên bị che khi chính sách nội bộ xếp nó vào nhóm dữ liệu cần bảo vệ.
Audit: giữ bằng chứng, tránh tạo thêm bản sao PII
Log có thể trở thành nơi phát tán dữ liệu nếu lưu nguyên prompt. Với vận hành thông thường, nên ưu tiên lưu metadata và kết quả quyết định thay vì nội dung gốc.
Một sự kiện giám sát có thể bao gồm:
Ứng dụng nguồn hoặc nhóm sử dụng.
Thời điểm và mã phiên đã được giảm thiểu thông tin.
Loại thực thể được phát hiện.
Hành động đã áp dụng: cho phép, che hoặc chặn.
Phiên bản policy và recognizer.
Trạng thái xử lý yêu cầu AI.
Nếu tổ chức cần giữ prompt gốc để điều tra, việc này nên đi qua quy trình phê duyệt, kiểm soát truy cập và thời hạn lưu trữ rõ ràng. Với đa số hoạt động giám sát, mã tham chiếu hoặc định danh đã giảm thiểu thường hữu ích hơn việc đưa toàn bộ nội dung nhạy cảm vào SIEM.
Kiểm thử bằng dữ liệu tổng hợp hoặc đã được phê duyệt
Đừng đánh giá recognizer chỉ bằng vài mẫu đẹp. Hãy xây dựng tập kiểm thử có kiểm soát, ưu tiên dữ liệu tổng hợp hoặc dữ liệu đã được phê duyệt.
Tập này nên có các biến thể thường gặp trong tiếng Việt:
Có dấu và không dấu.
Viết tắt.
Xuống dòng hoặc chèn khoảng trắng.
Nhiều định dạng số điện thoại.
Ngữ cảnh gây nhiễu.
Mã nội bộ gần giống số định danh.
Ba chỉ số thực dụng để theo dõi:
Tỷ lệ lọt PII = số mẫu chứa PII không bị phát hiện / tổng số mẫu chứa PII.
Tỷ lệ che nhầm = số mẫu vô hại bị che / tổng số mẫu vô hại.
Tỷ lệ chặn đúng = số yêu cầu cần chặn đã bị chặn / tổng số yêu cầu cần chặn.
Kiểm thử cần bao phủ toàn bộ đường đi: ứng dụng, lớp trung gian, Presidio, chính sách xử lý, log và điểm gọi AI. Một recognizer hoạt động tốt vẫn không đủ nếu tích hợp sai khiến nội dung chưa xử lý được gửi ra ngoài.
Checklist trước khi mở rộng dùng AI
[ ] Xác định điểm kiểm soát trước các lời gọi AI.
[ ] Phân loại rõ dữ liệu nào được phép gửi, cần che và phải chặn.
[ ] Có recognizer tùy biến cho các định danh nội bộ quan trọng.
[ ] Mỗi recognizer có tập kiểm thử tiếng Việt và chủ sở hữu nghiệp vụ.
[ ] Không ghi mặc định prompt gốc vào log hoặc SIEM.
[ ] Audit ghi nhận loại thực thể, hành động xử lý và phiên bản policy.
[ ] Kiểm thử lại sau mỗi thay đổi recognizer hoặc chính sách.
[ ] Có quy trình xử lý khi phát hiện dữ liệu rủi ro cao hoặc kết quả không đủ tin cậy.
[ ] Đưa ảnh và tài liệu quét vào phạm vi kiểm soát khi phù hợp; Presidio có mô-đun redaction cho ảnh thông thường và ảnh DICOM.
Presidio cung cấp nền tảng linh hoạt để nhận diện và khử định danh dữ liệu trong văn bản và ảnh. Giá trị thực tế của nó phụ thuộc vào recognizer, chính sách, cách tích hợp và kỷ luật kiểm thử của tổ chức. Mục tiêu không phải hứa hẹn “không bao giờ lọt dữ liệu”, mà là tạo ra một điểm kiểm soát có thể quan sát, kiểm chứng và cải tiến.