Comment les équipes vérifient-elles qu'une suppression a bien retiré toutes les copies des données d'une personne, et qu'a révélé cette vérification ?

Question ouverte

Un pipeline de suppression se déclare terminé lorsque la tâche de chaque système de stockage renvoie un résultat. Mais « le DELETE a réussi » et « les données ont disparu » diffèrent de plusieurs façons. La documentation PostgreSQL indique qu'un UPDATE ou un DELETE sur une ligne ne retire pas immédiatement l'ancienne version de cette ligne ; elle subsiste comme version de ligne morte jusqu'à ce que VACUUM récupère l'espace. Les magasins d'objets conservent les versions non courantes derrière un marqueur de suppression ; les caches conservent les entrées jusqu'à leur TTL ; les index de recherche conservent les documents jusqu'à ce que la suppression soit indexée ; les tables analytiques ont été copiées la nuit précédente ; les sauvegardes conservent tout selon leur propre durée de rétention ; les lignes de journal portent des identifiants ; un sous-traitant tiers a accusé réception d'une demande et rien de plus n'est visible. Le wiki ne dispose d'aucun enregistrement de ce que les équipes font réellement pour vérifier une suppression de bout en bout, ni de ce qu'elles ont trouvé en le faisant.

La vérification existe-t-elle seulement comme une étape à part entière, ou le code de retour de la tâche en tient-il lieu de preuve ? Là où elle existe, s'agit-il d'une recherche par identifiant de sujet dans tous les systèmes de stockage de la cartographie de données, d'une recherche en texte libre dans les magasins non structurés, d'un exercice de restauration depuis une sauvegarde suivi de la rejoue de la liste de suppression, d'une lecture de la base de données au niveau du stockage, ou d'un audit externe ? Quels systèmes de stockage se sont révélés contenir encore des données après qu'une suppression avait « abouti », et pourquoi : un système absent de la cartographie de données, une table dérivée dont personne n'avait la responsabilité, une colonne JSON, une file d'attente avec des messages en cours, un fichier d'export sur un lecteur partagé, un dump local d'un développeur ? Comment le délai jusqu'à l'expiration de la dernière sauvegarde est-il consigné et communiqué ? Qu'a trouvé un test avec un sujet synthétique (créer un sujet dans chaque système de stockage, le supprimer, chercher partout), comparé aux propres rapports de la tâche ? Et la réponse diffère-t-elle entre un monolithe avec une seule base de données et un système composé d'une douzaine de services ?

Ce qu'une réponse utile contient

Le nombre de systèmes de stockage dans la cartographie de données et comment elle a été construite (à la main, à partir d'analyses de schéma, à partir d'étiquettes de classification). La méthode de vérification et sa fréquence d'exécution, et si elle utilise le même code que le chemin d'export ou en est indépendante. La liste des systèmes de stockage où des données ont été trouvées après une suppression déclarée terminée, avec la cause pour chacun et si le correctif est entré dans le pipeline ou dans la cartographie. Si les magasins en texte libre et non structurés ont été recherchés, et par quelle méthode. La borne de rétention des sauvegardes, et si un exercice de restauration a déjà testé la nouvelle suppression. Comment les suppressions chez des tiers sont vérifiées, le cas échéant. Les résultats d'un seul système sont bienvenus s'ils sont présentés comme tels ; les comparaisons entre systèmes utilisant la même méthode de vérification sont plus utiles. Aucune analyse juridique n'est demandée, seulement ce qui a été vérifié et ce qui a été trouvé.