Five Safes es un marco que ayuda a tomar decisiones sobre el uso eficaz de datos confidenciales o sensibles. Se utiliza principalmente para describir o diseñar el acceso a la investigación a los datos estadísticos que conservan los organismos gubernamentales y sanitarios, y los archivos de datos como el Servicio de Datos del Reino Unido . [1]
Dos de las Cinco Cajas Fuertes se refieren al control de divulgación estadística , por lo que las Cinco Cajas Fuertes se utilizan generalmente para contrastar los controles estadísticos y no estadísticos al comparar las opciones de gestión de datos.
El modelo Five Safes propone que las decisiones de gestión de datos se consideren como la solución de problemas en cinco "dimensiones": proyectos, personas, entornos, datos y resultados. La combinación de los controles conduce a un "uso seguro". Estos controles se expresan más comúnmente en forma de preguntas, por ejemplo: [2] [3]
Estas dimensiones son escalas, no límites. Es decir, las soluciones pueden tener una combinación de más o menos controles en cada dimensión, pero el objetivo general de "uso seguro" es independiente de la combinación particular. Por ejemplo, un archivo de uso público disponible para descarga abierta no puede controlar quién lo usa, dónde o con qué propósito, y por lo tanto todo el control (protección) debe estar en los datos mismos. Por el contrario, un archivo al que solo se accede a través de un entorno seguro con usuarios certificados puede contener información muy sensible: los controles no estadísticos permiten que los datos sean "inseguros". Un académico comparó el proceso con un ecualizador gráfico [4] , donde los graves y los agudos se pueden combinar de forma independiente para producir un sonido que le guste al oyente.
No existe un "orden" para las cinco cajas fuertes, ya que una es necesariamente más importante que las otras. Sin embargo, Ritchie [5] sostuvo que los controles "administrativos" (proyectos, personas, entorno) deberían abordarse antes que los controles "estadísticos" (datos, resultados).
El concepto de las Cinco Cajas Fuertes está asociado con otros temas que se desarrollaron a partir del mismo programa en la ONS, aunque no necesariamente se implementan. Las personas seguras están asociadas con la "gestión activa de investigadores", [6] mientras que los resultados seguros están vinculados con el control de divulgación estadística de resultados basado en principios .
El modelo Five Safes es un marco positivo que describe lo que es y lo que no es. El modelo actitudinal EDRU (basado en evidencia, abierto por defecto, gestionado por el riesgo, centrado en el usuario) [7] se utiliza a veces para dar un contexto normativo.
A partir de 2003, las Cinco Cajas Fuertes también se representaron de una forma más simple como un "Espectro de acceso a los datos" [8] . Los controles no relacionados con los datos (proyecto, personas, entorno, resultados) tienden a trabajar juntos, en el sentido de que las organizaciones a menudo los ven como un conjunto complementario de restricciones al acceso. Estos pueden luego contrastarse con las opciones sobre la anonimización de los datos para presentar una representación lineal de las opciones de acceso a los datos. Esta presentación es coherente con la idea de "los datos como un residuo" [5] , así como con las leyes de protección de datos de la época que a menudo caracterizaban los datos simplemente como anónimos o no anónimos.
Una idea similar ya había sido desarrollada independientemente en 2001 por Chuck Humphrey de la red canadiense RDC, el "continuo de acceso". [9] Más recientemente, el Open Data Institute ha desarrollado un "kit de herramientas de espectro de datos" [10] que incluye ejemplos específicos de la industria.
El modelo Five Safes fue ideado en el invierno de 2002/2003 por Felix Ritchie en la Oficina Nacional de Estadísticas del Reino Unido (ONS) para describir su Laboratorio Virtual de Microdatos (VML) de acceso remoto seguro. [11] En ese momento se lo describió como el "modelo de seguridad VML". Fue adoptado por el enclave de datos NORC , [12] y, de manera más amplia en los EE. UU., como el "modelo de cartera" (aunque ahora también se usa para referirse a un desglose legal/estadístico/educativo ligeramente diferente). [13] En 2012, el marco todavía se conocía como el "modelo de seguridad VML", [14] pero su uso creciente entre organizaciones no británicas condujo a la adopción de la frase más general e informativa "Five Safes". [2]
El marco original sólo tenía cuatro dimensiones seguras (proyectos, personas, configuraciones y resultados): el marco se utilizó para describir el acceso a datos altamente detallados a través de un entorno seguro, por lo que la dimensión "datos" era irrelevante. A partir de 2007, se incluyeron los "datos seguros" ya que el marco se utilizó para describir una gama más amplia de actividades de la ONS. Como la versión estadounidense se basó en la especificación de 2005, algunas iteraciones estadounidenses tienen las cuatro dimensiones originales (por ejemplo, [12] ).
En algunos debates, como el de la OCDE [15], se utiliza el término "seguro" en lugar de "a salvo". Sin embargo, el uso de ambos términos puede causar problemas de presentación: un menor control en una dimensión particular podría interpretarse como que implica "usuarios inseguros" o "entornos inseguros", por ejemplo, lo que distrae del mensaje principal. Por ello, el gobierno australiano utiliza el término "cinco principios de intercambio de datos". [16]
El 'Marco de toma de decisiones sobre anonimización' [17] utiliza un marco basado en las Cinco Cajas Fuertes, pero reclasifica los "proyectos", "personas" y "escenarios" como "gobernanza", "agencia" e "infraestructura", respectivamente; se omite el "resultado" y el "uso seguro" se convierte en "anonimización funcional". No se hace referencia a las Cinco Cajas Fuertes ni a ninguna bibliografía asociada. La versión australiana [18] debía incluir referencias a las Cinco Cajas Fuertes y la presentó como una alternativa sin comentarios.
El marco ha tenido tres usos: pedagógico, descriptivo y de diseño. Desde 2016, también se ha utilizado, directa e indirectamente, en la legislación. Véase [19] para ejemplos más detallados.
El primer uso significativo del marco, además del uso administrativo interno, fue para estructurar cursos de capacitación de investigadores en la Oficina Nacional de Estadísticas del Reino Unido a partir de 2003. UK Data Archive , Administrative Data Research Network, Eurostat , Statistics New Zealand , el Instituto Nacional de Estadística y Geografía de México , NORC , Statistics Canada y la Oficina Australiana de Estadísticas , entre otros, también han utilizado este marco. La mayoría de estos cursos están destinados a investigadores que utilizan instalaciones de acceso restringido; los cursos de Eurostat [20] son inusuales porque están diseñados para todos los usuarios de datos sensibles.
El marco se utiliza a menudo para describir soluciones de acceso a datos existentes (por ejemplo, UK HMRC Data Lab, [21] UK Data Service, [22] Statistics New Zealand [23] ) o planificadas/conceptualizadas (por ejemplo, Eurostat en 2011 [24] ). Un uso temprano [25] fue ayudar a identificar áreas en las que la ONS todavía tenía "riesgos irreducibles" en su provisión de acceso remoto seguro.
El marco se utiliza principalmente para datos confidenciales de ciencias sociales. Hasta la fecha parece haber tenido poco impacto en la planificación de la investigación médica, [26] aunque ahora está incluido en las directrices revisadas sobre la implementación de las regulaciones HIPAA [27] en los EE. UU., y por Cancer Research UK y la Health Foundation en el Reino Unido. [28] También se ha utilizado para describir un modelo de seguridad para el Programa Escocés de Informática de la Salud. [29]
En general, los Cinco Principios Seguros se han utilizado para describir soluciones a posteriori y para explicar o justificar las decisiones tomadas, pero un número cada vez mayor de organizaciones han utilizado el marco para diseñar soluciones de acceso a los datos. Por ejemplo, la Agencia Helénica de Estadística desarrolló una estrategia de datos basada en los Cinco Principios Seguros en 2016; la Fundación de Salud del Reino Unido utilizó los Cinco Principios Seguros para diseñar sus programas de gestión de datos y capacitación. [28] El uso en el sector privado es menos común, pero algunas organizaciones han incorporado los Cinco Principios Seguros a los servicios de consultoría.
En 2015, el Servicio de Datos del Reino Unido organizó un taller [22] para alentar a los usuarios de datos de los sectores académico y privado a pensar en cómo gestionar los datos de investigación confidenciales, utilizando las Cinco Cajas Fuertes para demostrar opciones alternativas y mejores prácticas.
Los primeros en adoptar el diseño estratégico fueron Australia: tanto la Oficina Australiana de Estadísticas como el Departamento Australiano de Servicios Sociales utilizaron los Five Safes como herramienta de diseño ex ante. [3] [7] En 2017, la Comisión Australiana de Productividad recomendó [30] adoptar una versión del marco para apoyar el intercambio y la reutilización de datos entre gobiernos. Esto fue objeto de una amplia consulta [16] y culminó en la Ley DAT de 2022.
Desde 2020, Five Safes ha sido el marco general para el diseño de nuevas instalaciones seguras y acuerdos de intercambio de datos en el Reino Unido para la salud pública y las ciencias sociales. Esto ha sido promovido por la Oficina de Regulación Estadística , la Autoridad Estadística del Reino Unido , NHS DIgital y los organismos de financiación de la investigación Administrative Data Research UK y DARE UK.
Tres leyes han incorporado los Cinco Principios Seguros. Están explícitos en la Ley del Sector Público (Intercambio de Datos) de Australia del Sur de 2016 e implícitos en las disposiciones de investigación de la Ley de Economía Digital del Reino Unido de 2017. La Ley de Transparencia y Disponibilidad de Datos de Australia de 2022 renombra los Cinco Principios Seguros como los Cinco Principios de Intercambio de Datos.
El Servicio de Datos del Reino Unido ha elaborado un blog [31] y un vídeo [32] para el público en general sobre el uso de Five Safes en la reutilización de datos administrativos. Statistics New Zealand elaboró una descripción no técnica [33] , al igual que la ONS para el Día de la Privacidad de Datos de 2017. [34] El Gobierno Federal de Australia ha elaborado varios vídeos sobre el intercambio de datos, incluidos los Principios de Intercambio de Datos. [35]
En el artículo de 2020, "Not fit for Purpose: A critical analysis of the 'Five Safes'", [36] los autores sostienen que Five Safes tiene fallas fundamentales debido a su desconexión de las protecciones legales existentes, su apropiación de nociones de seguridad sin fuertes medidas técnicas y su visión estática del riesgo de divulgación. Otros han argumentado que Five Safes tiene muy poco contenido para ser útil, o es un ejercicio de marcar casillas, o que se necesitan más "cajas fuertes". Green y Ritchie (2023) [19] ofrecen una revisión extensa de estas críticas y propuestas.