Norske Virtualworks har gjort forretning av GDPR med sin søketeknologi

Vi har tidligere skrevet om det norske selskapet Virtualworks sin søkeløsning (Ekstra) – og om hvordan de kombinerer lingvistikk med teknologi for å gjøre det mulig å søke i ustrukturerte data.

Virtualworks lanserte nylig en egen løsning – Viainsight som lar firmaer søke på og generere rapporter om hvilke personopplysninger de har lagret. Viainsight bygger på Via, Virtualworks’ Virtual Intelligence Architechture-plattform.

Den nye personvernforordningen (GDPR) som kommer i mai har nemlig som ett av sine krav at man skal kunne ha full oversikt over hva slags informasjon du har lagret om kunder eller ansatte.

Og det er i sammenheng med GDPR at Vitualworks mener at deres søke- og rapportløsning Viainsight vil være et nyttig verktøy.

Løsningen bruker algoritmer og lingvistikk for å gjenkjenne persondata, og er lansert i alle europeiske land og på 15 forskjellige språk.

– De fleste har nå fått med seg at det kommer ny personvernlovgivning, og mange ser seg lei på eksperter som roper «ulv-ulv». Det er på tide å bli konkret på hvordan virksomheten kan møte de nye kravene, sier daglig leder i Virtualworks, Truls Baklid, i en pressemelding.

– Kontroll på persondataene er alfa og omega i den sammenheng, og vi mener løsninger som dette er et godt sted å starte, sier Baklid i pressemeldingen.

Vi har tatt turen innom Virtualworks sine nye lokaler på Skøyen for en nærmere titt på Viainsight.

Oslo-basert utvikling

Virtualworks har sitt hovedsalgsapparat i basen i Oslo. Her foregår også det meste av utviklingen. Viainsight er kodet i C# i backend. Frontendapplikasjonen bruker Angular. Viainsight er en ren nettbasert applikasjon.

Mesteparten av servicen er også basert i Oslo-kontoret. Virtualworks har også et kontor i München der en rekke lingvistikere sitter og jobber med tekstanalysebiten.

– Løsningen blir utviklet her i Norge, men med bistand av Tyskland. Vi har også utviklere i USA og innleide ressurser i Polen. Så vi leverer et pan-europeisk globalt produkt, kan du si, smiler Roar Hansen, leder for utviklingsavdelingen i Virtualworks.

– I Viainsight bruker vi ulike komponenter vi allerede har i porteføljen – blant annet søk og moduler for å trekke ut og tolke data – som er en del av løsningen, forteller han.

– Hovedproduktet vårt er jo søkeløsningen vår. Vi har connectorer som trekker ut data fra ulike datakilder. En del firmaer som jobber med søk bruker ikke connectorer på denne måten – de jobber kanskje med søk spesifikt på en applikasjon eller for intranett også videre.

Han forteller at deres tilnærming er å få tak i absolutt alle data som kan fås tak i.

– De kundene som har vår løsning er gjerne koblet opp til veldig mange ulike datakilder, og gjør disse datakildene tilgjengelig for alle brukerne sine, sier Hansen.

– Fordelen med vår søkeløsning knyttet til GDPR er at vi allerede har indeksert alle dataene til kunden. Da kan vi blant annet bruke det til å søke opp personlig identifiserbar informasjon, som er sentralt i sammenheng med GDPR.

Oversikt over persondata

– Vi ville gjøre identifisering av personopplysninger og rapportgenerering via våre søkemotorer til en brukervennlig opplevelse, sier Hansen.

Og slik ble altså Viainsight til.

(Artikkelen fortsetter under bildet.)

– Vårt hovedfokus er å bygge connectorer til kundenes datasystemer og å kartlegge ustrukturert informasjon. Det er jo greit nok å få tak i strukturert informasjon som allerede ligger merket i databaser, tabeller og som har metadata.

– Men hva med data som ikke er kategorisert og klassifisert? Det kan vi gjøre noe med, mener Hansen.

– Vi tar tak i alle disse dataene, legger dem inn i Viainsight-plattformen vår, trekker dem gjennom OCR (Optisk tegngjenkjenning), og så trekker vi ut tekst. Vi har ordlister og grammatiske regler for å trekke ut tekstanalysebiten av det. Vi trekker ut entiteter, normaliserer disse dataene og presenterer til slutt for brukeren, sier Hansen.

• Les også: Dette er teknologien som driver Apples Siri, Google Translate – og spamfilteret ditt

– Det er denne prosessen vi bruker for å levere en søkeløsning i dag, men som vi med Viainsight har spesialisert for GDPR – da får du en ferdig løsning der du kan hente ut informasjon som omhandler personer, slik at du har et verktøy som kan hjelpe deg med å etterkomme GDPR-kravene.

– Selv om den nye personvernforordningen trer i kraft 25. mai neste år, mener vi at det er nå bedriftene lurer på hva de skal gjøre, eller at de er i en prosess og trenger hjelp til å få full oversikt over hva slags data de har.

– Det er jo mye informasjon du skal kunne identifisere at du har lagret: Kort fortalt all informasjon som er identifiserbar, som navn, adresse, jobb-beskrivelse, lokasjonsdata, informasjon om ansatte, deres helsesituasjon og så videre.

Rapportgenerator

– Formålet med Viainsight er altså å gi firmaer denne oversikten over personlig identifiserbar data. Vi henter ut data fra de ulike datasystemene vi har connectorer til, og har altså bygget en løsning på toppen av det for at man enkelt skal kunne se denne informasjonen, sier Hansen.

Han forteller at man i Viainsight kan bygge predefinerte rapporter som identifiserer for eksempel hvor bankkontonummer eller personnummer er lagret og hvem som har tilgang til dem. Rapportene skal være enkle å tilpasse.

– Man henter predefinerte felt som verktøyet har generert basert på tekstanalyse og automatiske søk.

– Du kan velge å kun søke på bankkontonumre i nye dokumenter som dukker opp og kjøre et slikt søk hver gang et nytt dokument legges inn i datasystemet ditt – så får du oversikt over hvilke data du har, hvorfor du har dem der og hvem som har tilgang til dem.

Hansen forteller at man dermed kan bruke Viainsight som en del av en prosess for å se om du har kontroll over dataene dine.

– Rapporten som genereres beskriver blant annet følgende: Hvorfor ligger dataene på for eksempel en bestemt en skylagringstjeneste, hvem har tilgang, hva brukes dataene til, er det sikkerhetshull der som man må tette og lignende.

Alt fra pdf-filer, lysbildevisninger, tekstdokumenter og bildefiler kan kjøres gjennom søkeløsningen deres, forteller Hansen.

– Og med Viainsight identifiserer man hvilke av dataene som har personopplysninger, som du da kan generere rapporter om.

Man kan også sette opp en tidsplan med automatiske søk og rapportgenerering for eksempel hver fredag – og velge hvilke typer data man vil ha med i rapporten.

(Artikkelen fortsetter under bildet.)

Tilrettelegge for rett til innsyn

Ett av kravene i den nye personvernforordningen er at man skal kunne fremvise hvilke personlige data man har lagret om for eksempel sine ansatte eller kunder dersom for eksempel Datatilsynet krever dette.

– Det kan godt hende firmaer har god kontroll, og de fleste har informasjon i et HR-system eller CRM-system. Men man får ikke nødvendigvis et overordnet bilde når man har dataene lagret i disse systemene.

Han forteller at deres søkeløsning kan hente data som ligger både i CRM- og HR-systemer i tillegg til ustrukturerte data som ligger på epost eller en filserver og gi et samlet bilde av det.

– Du kan også lage en rapport om hvor dataene ligger, slik at man kan hjelpe bedriftene med rett til innsyn.

– Hva er tenker dere om at kunder indekserer ansattes epost med deres verktøy?

– Det er opp til hver bedrift hva slags avtale de har inngått med sine ansatte. Det var blant annet en kommune som ville se om de kunne bruke epost-indeksering proaktivt for å kunne avdekke hvorvidt noen sendte sensitiv informasjon i epost, for eksempel usikrede lønnsslipper med personnumre.

– Tanken var da at de kunne be de ansatte endre sine rutiner for å etterleve GDPR-kravene – og om de begynner allerede nå så vil de være i mål innen mai 2018, sier Hansen.

Rapport ved datainnbrudd

– En av Viainsights funksjoner som jeg syns er mest interessant er noe det blir snakket mye om og det kanskje er litt vel mye skremselspropaganda rundt: Datainnbrudd. Våre tjenester avdekker ikke datainnbrudd – men hvis du har hatt et datainnbrudd, må du rapportere til Datatilsynet innen 72 timer hva slags type data som kan eller har kommet på avveie.

– Du må også rapportere til hver enkelt person hvilke data som tilhørte dem som har blitt berørt. Og det kan du identifisere med Viainsight. Man kan da peke dette verktøyet på filserverne som ble angrepet – og man kan lage en rapport som viser for eksempel alle personnumre og navn som ble berørt av angrepet.

Han forteller at hva slags informasjon du kan søke på avhenger av tilgangen din – og at verktøyet først og fremst vil være mest aktuelt for de som har ansvar for å overholde GDPR-reglene i en bedrift.

Viainsight skal også gjør dataportabilitet enklere – fordi det ifølge Virtualworks blir enkelt å ta ut data i påkrevd format og flytte dem, og at man også sikrer riktig sletting av data som ikke lenger behøves.

Oppdateringer annenhver uke

– Vi er opptatt av å få tilbakemelding fra de tidlige kundene våre. Vi har signert med fem-seks kunder nå som er i gang, og da tar vi med oss mange av de tilbakemeldingene når vi utvikler videre. Vi implementerer løpende oppdateringer på softwaren – per nå er det oppdateringer og forbedringer annenhver uke.

Han forteller at de i løpet av desember blant annet implementerer en visuell oversikt over hvor du har visse typer data – hvilke datakilder som lagrer personnummer og bankkontonummer, for eksempel, eller hvor mye data som har blitt lagt til eller fjerna siden sist.