Privacy-preserving process mining

Wat is privacy-preserving process mining?

Privacy-preserving process mining is het analyseren van procesgedrag met maatregelen die ongewenste onthulling van personen, cases en gevoelige bedrijfsinformatie beperken.

Proceslogs zijn bijzonder risicovol omdat volgorde, tijd, rol en zeldzame varianten samen herkenbaar kunnen zijn. Het verwijderen van naam of klantnummer maakt een trace niet automatisch anoniem.

De aanpak combineert dataminimalisatie, toegangsbeheer, outputbeperking en waar passend privacybevorderende technieken.

Welke informatie kan lekken?

Een trace kan een medewerker, patiënt of klant herkennen via tijdstippen, locatie, zeldzame activiteit en attributen. Dit zijn quasi-identifiers.

Organisational mining kan werkpatronen en samenwerking van medewerkers blootleggen. Een procesmodel kan interne controls, volumes of commerciële relaties verraden.

Ook query's en dashboards kunnen kleine groepen onthullen wanneer gebruikers herhaaldelijk filters combineren.

Begin met minimalisatie

Definieer de procesvraag en gebruik alleen benodigde events, attributen, periode en granulariteit.

Vervang precieze tijd door dag of week wanneer volgorde en doorlooptijd dat toelaten. Analyseer op teamniveau als individuele resources niet nodig zijn.

Bewaar ruwe data in een strengere zone en lever analysts een afgeleide dataset. Minder data verkleint risico en foutinterpretatie.

Pseudonimisering

Pseudonimisering vervangt directe identifiers door codes. Een beveiligde mapping kan herleiding mogelijk houden voor geautoriseerde doelen.

Consistente pseudoniemen maken traces en herhaalde cases analyseerbaar, maar verhogen linkability. Een aanvaller met context kan een zeldzaam patroon herkennen.

Bescherm sleutels en mappings apart en beperk wie datasets kan combineren. Pseudonieme persoonsgegevens blijven onder de GDPR doorgaans persoonsgegevens.

Aggregatie en generalisatie

Aggregatie toont aantallen en performance per variant, team of periode in plaats van individuele traces.

Generalisatie vervangt detail door een bredere categorie, zoals functiegroep in plaats van medewerker of week in plaats van timestamp.

K-anonymityachtige criteria kunnen eisen dat een combinatie door minstens k cases wordt gedeeld. Ze beschermen niet tegen alle attribute- en background-knowledgeaanvallen.

Differential privacy

Differential privacy voegt gekalibreerde randomisatie toe zodat de aanwezigheid van één individu de output beperkt beïnvloedt.

Een privacybudget begrenst cumulatieve onthulling over query's. Kleine groepen en veel herhaalde analyses verbruiken budget of vragen meer ruis.

De techniek is sterk gedefinieerd maar niet gratis: frequenties en performance worden minder exact en processtructuur kan veranderen. Kies mechanismen en parameters met specialistische beoordeling.

Secure computation en federatie

Secure multi-party computation of homomorphic encryption kan gezamenlijke statistieken berekenen zonder ruwe input rechtstreeks te delen.

Federatieve analyse brengt code of modelberekening naar lokale data en deelt beperkte updates of resultaten.

Deze architecturen verminderen centrale verzameling maar lossen metadata, outputlekkage en governance niet vanzelf op. Complexiteit en performance moeten worden afgewogen.

Privacy van modellen en visualisaties

Een DFG met een boogfrequentie van één kan een unieke case onthullen. Een resourcegraph kan kleine teams identificeerbaar maken.

Pas minimumcounts, suppressie, rounding en rolgebaseerde drill-down toe. Exporteerfuncties verdienen dezelfde controle als het dashboard.

Test differencing attacks waarbij twee bijna gelijke filters samen informatie over één groep laten afleiden.

Utility en juistheid

Privacymaatregelen veranderen data of output. Meet daarom welke procesvragen nog betrouwbaar kunnen worden beantwoord.

Generalisatie kan volgorde behouden maar tijdanalyse verzwakken. Suppressie van zeldzame traces kan juist complianceincidenten verwijderen.

Rapporteer beperkingen en onzekerheid. Een privacyvriendelijke analyse mag niet preciezer worden voorgesteld dan de bewerkte data toelaat.

Juridische en organisatorische maatregelen

Technische privacy is geen volledige compliancebeoordeling. Leg doel, grondslag, transparantie, retentie, rechten en verwerkers vast.

Gebruik toegangsreviews, logging, geheimhouding, veilige werkruimtes en outputcontrole. Train analysts in heridentificatierisico.

Voer waar nodig een Data Protection Impact Assessment uit en betrek privacy- en werknemersvertegenwoordiging passend bij de context.

Praktische aanpak

Maak een threat model met actor, toegang, achtergrondkennis en mogelijke schade. Kies daarna maatregelen per risico.

Valideer zowel ruwe dataset, transformaties als dashboards. Bewaar privacyparameters en lineage voor reproduceerbaarheid.

Review opnieuw wanneer nieuwe databronnen, attributen of analysefuncties worden toegevoegd. Een veilige dataset kan door koppeling later gevoeliger worden.