يعامل العنوان في كثير من الأنظمة كحقل تسليم: تفصيل تشغيلي يحسن إدخاله حتى تصل الحزمة. وهو فوق ذلك بيانات شخصية. عنوان سكني يدل على أسرة واحدة، ومقترنا باسم أو بريد إلكتروني أو رقم هاتف أو رقم طلب يصبح كافيا لتحديد شخص والعثور عليه.
ما يزيد الأمر حساسية أن الدقة هنا ليست واحدة في كل الحالات. العنوان القريب من العنوان الدقيق يخبرك بأكثر مما يخبرك به العنوان البعيد. وتخزين الحي أو الرمز البريدي شيء، وتخزين السطر الذي يحمل عدد سكان المبنى شيء آخر. وهذه القضية تقع على حدود هذه المقالة، لكنها تحديدا هي ما يجعل التقليل والاحتفاظ قرارات هندسية معقولة لا مجرد التزامات شكلية.
لماذا يعد العنوان بيانات شخصية؟
لأنه يعني شخصا. العنوان الذي يحمل اسم شارع ورقم مبنى في مدينة متوسطة لا ينطبق على ملايين، بل على عائلة أو على سكان مبنى واحد. وهذا هو المعيار العملي في معظم الأنظمة: هل تسمح هذه البيانات بتحديد شخص، بشكل مباشر أو بالاقتران ببيانات أخرى متوفرة. العنوان يجتاز هذا المعيار بمريح.
والمشكلة أن العنوان لا يعيش وحده. تنضم إليه في السجل نفسه بقية الحقول، ويصبح المجموع أقوى من أي جزء منه. القيمة التي لا تدل على أحد في جدول واحد تدل عليه في سياق طلب مكتمل يحمل اسما ووقتا وطريقة دفع.
ولذلك يبدأ التفكير الصحيح من السجل كامل، لا من حقل العنوان في الخلوة.
ما معنى التقليل هنا؟
التقليل هو النشاط الذي بمرور الوقت يقلل كمية البيانات الشخصية المطلوبة لديك. وهو ثلاثة مستويات، وكلها مطلوبة، ومعالجتها بترتيب من الأعمق إلى الأقرب تعطي أفضل نتيجة.
هل يجوز تصميم العنوان كبيانات اختبار ثابتة؟
لا، لأن الثبات يصرخ بالنقص لا بالاجتهاد. كمية البيانات ذاتها قابلة للتقليل في كل مستوى، حتى إن كمية العناوين الواردة المختبرة أكبر من العناوين المختبرة النهائية.
وأول المستويات هو الحقل. اطرح على كل حقل في نموذج العنوان سؤالا واحدا: ما القرار الذي أتخذه بناء على هذه القيمة، وماذا لو لم توجد. الحقل الذي لا يوجد له جواب يبرر وجوده لا يملأ اختياريا بحجة أن الجميع يملؤه. الحقول التي كانت مطلوبة لأن النظام القديم كان يحتاجها لدقة تسليم أبطلها النظام الجديد تبقى في المخطط سنوات بعد أن فقدت كل سبب لها.
والثاني هو الدقة. كثير من الأنظمة التي تحتاج معرفة المنطقة فقط تخزن العنوان كاملا، لأن العنوان الكامل هو ما يصل من المستخدم وتقطيعه متغير. التخزين يجب أن يكون بحسب الحاجة لا بحسب ما يسهل جمعه. الحاجة الإحصائية إلى حي لا تبرر حاجة التفصيل إلى رقم المبنى.
والثالث هو النطاق. إذا كان عمود العنوان متاحا للربط في كل النظام، فقيد الغاية نفسه الذي يفترض أن يقيد الوصول إلى بيانات العملاء انتهى عند الباب الأول. هذا لا يعني منع الوصول، بل يعني إتاحة الحقل بحسب الغرض وبسجلات تدقيق، لا كعمود مفتوح للجميع.
كيف تتعامل مع الاحتفاظ؟
لا ينتهي الأمر بالتقليل، لأن البيانات التي احتفظت بها بعناية تبقى في مكانها بعد أن ينتهي الغرض، ويبقى للاحتفاظ معنى مستقل. والمدى يجب أن يكتب في سياسة، وأن ينفذ في الشيفرة لا في وثيقة تتجاهل.
اجعل لكل غرض مدة، ولاحظ أن الأغراض مختلفة. فحاجة الفوترة والمحاسبة والمراجعة قد تفرض حفظ سنوات لبعض الحقول، ومع ذلك لا تفرض على بقية السجل. بعض الأنظمة تلبي التزامها بإبقاء الرمز البريدي والمنطقة والبلد في السجل المالي، وتتخلى عن سطور الشارع بعد أن تنتهي صلاحيتها التشغيلية. هذا التقسيم يعطي الجهات المختصة ما يلزمها دون أن يحفظ العنوان الذي لا يحتاجه أحد.
والسياسة التي لا تنسحب على النسخ الاحتياطية والتصديرات والسجلات لم تنفذ فعليا. هذه هي المواضع التي تفلت، لأن البيانات فيها لا تخضع لقواعد القراءة، ولا لأي شيء آخر. والنظام الذي يجد الحذف مرهقا سيبقى يحتفظ بكل شيء إلى الأبد، لأن الاحتفاظ هو السلوك الافتراضي هنا، والحذف هو الاستثناء الذي يحتاج قرارا صريحا.
لماذا لا تنسخ العناوين الحقيقية إلى الاختبار؟
نسخ بيانات الإنتاج إلى بيئة اختبار أو تجريبية أشهر خطأ في هذا المجال، وسببه مفهوم: البيانات هناك واقعية وجاهزة وتغطي الحالات كلها بلا عمل إضافي.
والنتيجة خلاف ذلك. البيئة التجريبية أضعف ضوابط دخولها، وعدد من يصل إليها أوسع، وقد تتكرر على حواسيب فردية كثيرة. وما لا يخضع لقواعد الاحتفاظ الأصلية يعيش عمرا غير مخطط له، ويظهر في لقطات الشاشة وتقارير الأخطاء.
والممارسة السليمة أن تنسخ الصفة لا السجل. يستبدل العنوان بشيء يملك الشكل الصحيح بلا كونه عنوانا لأحد، ولذلك كان التمييز واضحا بين العنوان الذي يتصرف كالعنوان الحقيقي والعنوان الذي يحمل صفته. والوسائل التي تجعل ذلك ممكنا مع توفر التغطية الكافية موصوفة في بيانات العنوان في مجموعات الاختبار، ورقم الهاتف يواجه القاعدة نفسها كما هو موضح في بادئة الهاتف ومطابقة الموقع.
هل يكفي التمويه أو إخفاء الهوية؟
كثيرا ما يظن أن عنوانا مموها يكفي، وهو لا يكفي في معظم صوره. التمويه يحفظ الشكل ويحول بعض الحقول، لكنه لا يعمل إذا بقي الجزء الذي يحدد المكان كما هو. إذا تغير الاسم وحده وبقي الشارع والمدينة، فالتمويه لم يزدهر بشيء. الذي يحدد الشخص هو المكان، والمكان لم يتغير.
وإخفاء الهوية يضع سجلا بديلا يحل محل الأصلي، لكنه يحفظ معه جدول الربط. طالما أمكن الرجوع من العنوان البديل إلى الأصلي، فالنتيجة ليست مجهولة الهوية بل ملقمة بمعنى مختلف عن الذي يبدو للقارئ. العنوان البديل الذي يمكن رده ليس أكثر أمانا من الأصل؛ إنه فقط أصعب قليلا على من لا يملك الربط.
ويضاف خطأ شائع ثالث: إجراء التمويه بعد أن عبرت البيانات الحدود بين البيئات. في تلك اللحظة تكون البيانات الحقيقية قد دخلت بيئة جديدة وأنشأت نسخا وصولات في أماكن لا أحد يحصيها. التمويه يجب أن يحدث عند نقطة الخروج لا بعد الدخول.
وأخيرا، اعتن بالتصادم. عنوان مموه يجب أن يختار بحيث لا يوافق عن قصد أو مصادفة عنوانا حقيقيا قابلا للتسليم. والشرط عملي: استخدم مصدرا لا يمكن أن يتقاطع مع العناوين الواردة، ونطاقا لا ينشأ منه عنوان حقيقي، وعلامة في السجل تجعل صفته واضحة لأي قارئ لاحق.
للمطورين: الحدود والترتيب
اتخذ قرارا صريحا حول ثلاث قضايا معا. من يملك حق رؤية العنوان الكامل، وأي من كل غرض تنطبق عليه فترة الاحتفاظ، وأي مخرجات تعبر الحدود بين البيئات. ثلاثة قرارات، وكل واحد منها ينفذ في الشيفرة لا في وثيقة.
رتب الخطوات بحيث يكون التقليل أولا، ثم التمويه عند كل حد تعبره البيانات. ومع كل قرار جديد يتعلق بالعنوان، اسأل: هل هذا الحقل مطلوب لهذا الغرض، وهل يبقى بعد الغرض. هذا كل ما في الأمر، وهو الذي يفصل عن العنوان الذي يخدم الغرض عن العنوان الذي يبقى عبئا.
الخطوات التالية
راجع نموذج العنوان في نظامك واحسب الحقول التي لا يترتب على وجودها أي قرار. ثم انظر إلى أقدم حقل عنوان في مخططك واسأل متى حفظ آخر مرة ومتى انتهت صلاحيته.
وابدأ من مجموعة اختبار نظيفة بدلا من نسخة إنتاج: أنشئ عنوانا في أداة إنشاء العنوان واستخدمه بدلا من سجل حقيقي. وللمقارنة بين العنوان التجاري الذي يمكن تسليمه إليه والعنوان الوهمي الذي لا يمكن، راجع العنوان الافتراضي.