Poslovna skrivnost ali preglednost: kako zaščititi občutljive podatke v času DPP-ja?

Če bi direktorju uspešnega proizvodnega podjetja rekli: „Od prihodnjega leta morate objaviti natančno sestavo svojih izdelkov in seznam dobaviteljev, tako da ga lahko vsak prebere s telefonom,“ bi se najverjetneje odzval s paniko. In to je povsem razumljivo.

Podjetja so stoletja gradila uspeh na varovanju skrivnosti. Recept za Coca-Colo, posebna zlitina švicarske ure, edini dobavitelj ultralahkih tkanin za športno opremo: to je premoženje, vredno milijarde.

Evropska unija pa zdaj uvaja nov pristop: DPP. Njegov glavni cilj je korenita preglednost. In tu nastane neizogibno nasprotje. Kako biti pregleden do potrošnikov in nadzornih organov, ne da bi intelektualno lastnino in poslovne skrivnosti izročili konkurenci?

V tem članku pokažemo, kako lahko podjetja prečkajo to minsko polje in DPP iz grožnje spremenijo v varno orodje, ki ga imajo pod nadzorom.

Paradoks preglednosti: česa se podjetja v resnici bojijo?

Preden iščemo rešitev, moramo opredeliti težavo. Strahovi podjetij pri uvajanjuDPP-ja se večinoma nanašajo na tri področja:

• Kraja intelektualne lastnine: strah, da bodo podrobni podatki o materialih razkrili „skrivno sestavino“ izdelka. Če lahko konkurent z drugega konca sveta iz digitalnega potnega lista prebere natančna kemijska razmerja vaše inovativne barve, jo zlahka kopira.
• Prevzem dobavne verige: iskanje zanesljivih, kakovostnih in cenovno ugodnih dobaviteljev traja leta. Če DPP zahteva popolno sledljivost, lahko konkurenti preprosto vidijo, v kateri tovarni v Vietnamu kupujete komponente, in se nanjo obrnejo neposredno.
• Izguba pogajalske moči: če imajo dobavitelji ali kupci popoln vpogled v vaše proizvodne stroške in maržo (kar je mogoče razbrati iz podrobnih podatkov o dobavni verigi), izgubite pogajalski vzvod.

Kaj zakon v resnici zahteva in česa NE zahteva?

Prvi korak, da se teh strahov znebite, je natančno razumeti, kaj določa Uredba o okoljsko primerni zasnovi za trajnostne izdelke (ESPR), s katero se v Evropi uvaja DPP. Dobra novica je, da Evropska komisija ne želi uničiti konkurenčnosti podjetij. Uredba izrecno predvideva varstvo intelektualne lastnine in poslovnih skrivnosti.

DPP od vas ne zahteva, da objavite:

• natančnih receptur ali lastniških formul
• trgovinskih pogodb in cen surovin
• podrobnosti proizvodnega znanja

DPP od vas zahteva, da objavite:

• podatke o trajnosti (ogljični odtis, poraba vode)
• podatke o prisotnosti skrb vzbujajočih snovi
• navodila za pravilno recikliranje, popravilo in vzdrževanje
• poreklo kritičnih surovin (da ni dvoma, da niso pridobljene z nezakonitim delom)

Razlikovanje teh dveh kategorij je temelj, na katerem boste zgradili strategijo zaščite podatkov.

Strategije zaščite: kako biti pregleden in hkrati varen?

Tehnologije, ki omogočajoDPP , so iste, ki lahko zaščitijo vaše podatke. Tu so štirje osnovni mehanizmi, ki bi jih moralo uvesti vsako podjetje.

Dostop do podatkov glede na vlogo

To je najpomembnejše načelo v zasnovi DPP-ja. Digitalni potni list ni ena datoteka PDF, ki jo lahko vsak prebere od začetka do konca. Je dinamična zbirka podatkov, ki prikaže različne informacije glede na to, kdo skenira kodo.

• Končni uporabnik: skenira izdelek v trgovini in vidi informacije za kupce: ogljični odtis, delež recikliranih materialov, navodila za pranje ali nego ter certifikate o etičnem poreklu.
• Pooblaščeni servis ali center za popravila: skenira isto kodo, vendar s posebnim programskim ključem dostopa do tehničnih načrtov za razstavljanje, seznama rezervnih delov in zgodovine servisov.
• Obrat za recikliranje: dobi dostop le do natančne kemijske sestave materialov (na primer katera vrsta plastike je uporabljena), da ve, kam jih usmeriti, ne vidi pa, kdo je plastiko izdelal.
• Nadzorni in carinski organi: imajo najvišjo raven dostopa za preverjanje skladnosti s predpisi, a morajo po zakonu varovati poslovne skrivnosti. V Sloveniji nadzor trga za okoljsko primerno zasnovo izvaja Tržni inšpektorat RS.

Ko podatke ločite po vlogah, vsakemu daste natanko to, kar potrebuje, in niti malo več.

Dokazi brez razkritja znanja (Zero-Knowledge Proofs)

To je kriptografski koncept, ki zveni kot znanstvena fantastika, a se v tehnologiji veriženja blokov že dejavno uporablja. Za kaj gre? Gre za metodo, s katero ena stran drugi dokaže, da je trditev resnična, ne da bi razkrila karkoli razen dejstva, da je resnična.

Primer iz vsakdanjega življenja: predstavljajte si, da želite v klub. Varnostnik mora vedeti, da ste stari več kot 18 let. Namesto osebne izkaznice mu pokažete kriptografski žeton na telefonu, ki zasveti zeleno. Žeton pove le: „Ta oseba je starejša od 18 let.“

Primer pri DPP-ju: dokazati morate, da bombaža v vaši majici niso obirali otroci. Namesto da v potnem listu razkrijete točno ime in lokacijo kmetije v Indiji (kar je poslovna skrivnost), uporabite dokaz brez razkritja znanja (Zero-Knowledge Proof) certifikacijskega organa. Potrošnik vidi zeleni žig „Etično poreklo – dokazano“, vaš konkurent pa ne more izvedeti, za katero kmetijo gre.

Združevanje podatkov in razponi

Kadar zakon zahteva preglednost sestave, pogosto ni treba navajati podatkov na drugo decimalko. Namesto natančne recepture uporabite razpone.

Namesto da v potni list zapišete: „Izdelek vsebuje 62,5 % recikliranega poliestra, 30 % organskega bombaža in 7,5 % elastana znamke X,“ lahko navedete združene podatke, ki so skladni z uredbo in hkrati varujejo vašo skrivnost: „Vsebuje 60–70 % recikliranega polimera in organskih vlaken.“ (Seveda je to odvisno od konkretnih zahtev za posamezno skupino izdelkov, ki jih EU še dokončuje.)

Decentralizirana hramba

Podjetjem ni treba vseh občutljivih podatkov naložiti v osrednjo evropsko zbirko, v katero bi lahko vdrli hekerji. Evropski model DPP-ja je decentraliziran. To pomeni, da vaši občutljivi podatki ostanejo na vaših lastnih, varnih strežnikih.

V javnem registru EU se objavi le zgoščena vrednost („hash“, digitalni prstni odtis) potnega lista in povezava do vašega strežnika. Ko nekdo zahteva podatke, sistem preveri, ali ima ustrezne pravice, preden mu vaš strežnik pošlje informacije. Če se podatki kdaj spremenijo, se zgoščena vrednost ne bo ujemala, kar pokaže, da potnega lista nihče ni ponaredil.

Nov pogled na poslovne skrivnosti v 21. stoletju

Tehnične rešitve so izjemno pomembne, a prava sprememba se mora zgoditi v razmišljanju uprave.

Desetletja je poslovni nagon govoril: „Skrij, kolikor moreš.“ Danes pa živimo v času obilja informacij. Konkurent, ki je dovolj motiviran in ima dober laboratorij za povratni inženiring, najverjetneje že ve, iz česa je vaš izdelek. Prav tako v globaliziranem svetu dobavne verige le redko ostanejo povsem skrite.

Konkurenčna prednost danes ne izvira iz skrivanja dobaviteljev, ampak iz dobavne verige, ki je bolj trajnostna, etična in učinkovita od konkurenčnih. V času DPP-ja bodo v ospredju podjetja, ki preglednost uporabijo sebi v prid. Ko lahko kupcu kriptografsko dokažete, da je vaš izdelek boljši za planet od konkurenčnega, pridobite zaupanje, ki ga nobena poslovna skrivnost ne more kupiti.

Konkretni koraki: kaj naj podjetja naredijo danes?

Če vodite podjetje, ki se pripravlja na uvedbo DPP-ja, ne čakajte, da bo varnostno vprašanje sam rešil oddelek IT. To je strateško poslovno vprašanje.

Preglejte in razvrstite podatke

Sestavite skupino strokovnjakov iz razvoja, proizvodnje, marketinga in pravne službe. Vse podatke o izdelkih razdelite v tri stolpce:

• Javni: vidi jih lahko vsak
• Omejeni: za podjetja za recikliranje in servise
• Strogo zaupni: le za nadzorne organe in notranjo uporabo

Izberite pravega tehnološkega partnerja

Pri izbiri programske platforme za digitalne potne liste prvo vprašanje ne bi smelo biti „Koliko stane?“, temveč „Kako upravljate pravice dostopa in ali podpirate Zero-Knowledge Proofs?“.

Preglejte pogodbe z dobavitelji

Dobavitelji vam bodo morali posredovati podrobnosti, ki jih boste vključili v DPP. Tudi oni se bodo bali za svoje skrivnosti. Pripravite nove pogodbe, ki zagotavljajo, da se njihovi občutljivi podatki združijo ali šifrirajo, preden pridejo v končni potni list.

Sklep

Digitalni potni list izdelka postavlja pod vprašaj eno najstarejših poslovnih dogem, da skrivnost pomeni dobiček. Varstvo intelektualne lastnine ostaja temeljno, metode varovanja pa se razvijajo.

S pravo zasnovo podatkov, ki temelji na dostopu glede na vlogo, decentralizaciji in naprednih kriptografskih metodah, lahko podjetja dosežejo, kar doslej ni bilo mogoče: odprejo vrata zaupanju potrošnikov, konkurenco pa obdržijo za ograjo. Preglednost in varnost se ne izključujeta več: sta dve strani istega digitalnega kovanca.