Verwaltung der Regeleinstellungen
Durch die Festlegung der Vererbung von Geschäftsbegriffen, die Definition von Datenzugriffskonventionen, der Priorität von Regelaktionen und der Priorität von Maskierungsmethoden vor dem Erstellen von Datenschutzregeln wird das Verhalten der erstellten Regeln optimiert und ein einheitlicher Datenschutz gewährleistet.
Legen Sie fest, ob Sie möchten, dass Geschäftsbegriffe, die abhängige Geschäftsbegriffe haben, bei der Bewertung von Datenschutzregeln ebenfalls berücksichtigt werden sollen.
Wählen Sie zwischen zwei Arten von Datenzugriffskonventionen für Datenschutzregeln. Sie können den Zugriff auf Daten zulassen, sofern keine Regel dies verhindert, oder Sie können den Zugriff auf Daten verweigern, sofern keine Regel dies zulässt.
Sie können auch eine Priorität für Regeln und Maskierungsmethoden festlegen. Die Regelaktionspriorität wird angewendet, wenn mehrere Regeln unterschiedliche Aktionen haben, die auf dieselben Datenwerte angewendet werden. Die Maskierungsmethode wird angewendet, wenn mehrere Regeln mit unterschiedlichen Maskierungsmethoden für dieselben Datenwerte gelten.
Bevor Sie Datenschutzregeln erstellen, planen und bewerten Sie, wem die Regeln den Zugriff auf die Daten gewähren oder verweigern. Die Ausarbeitung Ihrer Regeln nach sorgfältiger Planung bildet eine solide Grundlage für die Festlegung der Kriterien für die Durchsetzung der Regeln und der entsprechenden Durchsetzungsmaßnahmen. Dieser sorgfältige Planungsprozess minimiert auch die Wahrscheinlichkeit einer zukünftigen Entscheidung, den Regelzugriff zu ändern. Wenn Sie sich später entscheiden, das Zugriffsparadigma für Ihre Regeln zu ändern, müssen Sie zunächst alle vorhandenen Regeln löschen und anschließend die neuen Regeln für diese Regelklasse neu erstellen.
Die folgenden Geschäftsbedingungen, Konventionen und Vorrangregelungen gelten für Datenschutzbestimmungen.
Erforderliche Berechtigungen
Sie müssen über die Administrator rolle verfügen, um Regelkonventionen festlegen zu können.
Entscheidung zur Durchsetzung von Datenschutzvorschriften
Sie können Durchsetzungsentscheidungen als Audit-Ereignisse verfolgen, wenn das Kontrollkästchen „Richtlinienbewertungen an Audit-Protokolle senden“ aktiviert ist. Jede Aktivität, die eine Bewertungsentscheidung für den Datenzugriff abfragt, ist ein überprüfbares Ereignis. Prüfbare Ereignisse werden generiert und an den Prüfprotokollierungsservice weitergeleitet. Eine Liste der Audit-Ereignisse zur Verfolgung der Durchsetzungsentscheidungsereignisse finden Sie unter Audit-Ereignisse für Data Privacy in der IBMSoftware Hub Dokumentation.
Bewertung von Regeln und Vererbung von Geschäftsbedingungen
Wählen Sie „Business Term Inheritance“ (Vererbung von Geschäftsbegriffen), wenn Sie möchten, dass abhängige Geschäftsbegriffe einer hierarchischen Typbeziehung bei der Auswertung von Datenschutzregeln berücksichtigt werden. Beispielsweise hat der Geschäftsbegriff „Kredit“ eine bestimmte Art von Beziehung zu „Studienkredit“ und „Privatkredit “. Der Geschäftsbegriff „Kredit“ und seine Unterkategorien „Studienkredit“ und „Privatkredit“ werden bei der Bewertung der Datenschutzbestimmungen berücksichtigt. Weitere Informationen zu hierarchischen Beziehungen zwischen Geschäftsbegriffen finden Sie unter Geschäftsbegriffe entwerfen.
Zugriff auf Datenkonventionen gewähren
Das Standardverhalten in der Zugriffsberechtigungskonvention sieht vor, dass der Datenzugriff gewährt wird. Wenn Sie bestimmte Daten schützen möchten, müssen Sie Regeln schreiben, die den Zugriff auf bestimmte Daten basierend auf Benutzer- oder Datenattributen ausdrücklich verweigern.
Mit der Konvention „Zugriff auf Daten zulassen“ stehen in den Datenschutzregeln folgende Aktionen zur Verfügung:
- Zugriff auf Daten verweigern
- Daten maskieren
- Zeilen filtern
Ein Beispiel für die Anwendung dieser Konvention könnte die Erstellung von Datenschutzregeln sein, die allen Mitarbeitern des Unternehmens den Zugriff auf die Daten ihrer Kollegen im Allgemeinen erlauben, aber den Zugriff auf Gehaltsinformationen einschränken. Um dies zu erreichen, können Sie eine Regel festlegen, die besagt, dass alle Assets, die Attribute enthalten, die auf einen Zusammenhang mit Gehaltsabrechnungsdaten hinweisen, für alle Benutzer, die nicht zur Personalabteilung gehören, gesperrt werden müssen. Somit sind alle Arten von Daten zulässig, mit Ausnahme von Gehaltsdaten für Mitarbeiter, die nicht zur Personalabteilung gehören.
Die Zugriffsberechtigungskonvention ist die Standarddatenkonvention für Datenschutzregeln.
Verweigerung des Zugangs zu Datenkonvention
Das Standardverhalten für die Zugriffsverweigerungskonvention besteht darin, den Zugriff auf Daten zu verweigern. Wenn Sie bestimmte Daten offenlegen möchten, müssen Sie Regeln festlegen, die bestimmten Benutzern ausdrücklich erlauben, diese Daten einzusehen. In einer Umgebung, in der der Zugriff auf die meisten Daten eingeschränkt werden muss, können Sie mit der Verweigerungskonvention einige wenige Regeln festlegen, in denen Daten zugelassen sind, anstatt für jeden Fall, in dem Daten eingeschränkt werden müssen, eine eigene Regel zu schreiben.
Ein Beispiel für die Verwendung der Verweigerungskonvention für Datenschutzregeln könnte ein Katalog sein, der sensible personenbezogene Daten enthält, die nicht zwischen Abteilungen eingesehen werden dürfen. In diesem Fall muss der Zugriff auf alle Datenbestände, die als Marketing gekennzeichnet sind, durch andere Benutzer als Mitglieder der Marketinggruppe verweigert werden. Ein Benutzer, der Mitglied der Marketing-Benutzergruppe ist, darf jedoch Assets sehen, die als Marketing gekennzeichnet sind. Die Konvention führt dazu, dass allen Benutzern der Zugriff auf alle Daten verweigert wird, mit Ausnahme der Benutzer in der Benutzergruppe „Marketing“, denen der Zugriff auf Daten gestattet ist, die gemäß der Datenschutzregel als „Marketing“ gekennzeichnet sind.
Mit der Konvention „Zugriff verweigern“ stehen in den Datenschutzregeln folgende Aktionen zur Verfügung:
- Zugriff auf Daten zulassen
- Daten maskieren
- Zeilen filtern
Festlegen der Datenzugriffskonvention
Die Regelkonvention muss festgelegt werden, bevor Ihr Team Datenschutzregeln erstellt. Sie müssen alle bestehenden Regeln löschen, bevor Sie die Konvention ändern. Wenn Sie die Konvention ändern, gelten für die Regeln andere zulässige Aktionen.
Um die Regelkonventionen festzulegen, rufen Sie die Seite „Regeleinstellungen verwalten“ auf, indem Sie „Governance“ > „Regeln“ auswählen und dann auf „Regeleinstellungen verwalten“ klicken. Alternativ können Sie die API für die Durchsetzung von Regeln aufrufen.
Regelkonvention für Datenschutzregeln
Um die Regelkonvention festzulegen, verwenden Sie die Benutzeroberfläche „Regeleinstellungen verwalten“ oder rufen Sie die API für die Regelausführungseinstellungen auf und legen governance_access_type Sie einen der folgenden Werte fest:
| UI-Einstellung | API-Einstellung | Konvention |
|---|---|---|
| Entriegelt | AEAD | Standard. Befolgt die Konvention „Allow Everything Author Deny“ (AEAD). Erlaubt den Zugriff auf Daten, sofern keine Regel dies untersagt. Sie schreiben Regeln, die den Zugriff auf Daten verweigern, Daten maskieren und Zeilen aus Daten filtern. |
| Gesperrt | DEAA | Befolgt die Konvention „Deny Everything Author Allow“ (DEAA). Verweigert den Zugriff auf Daten, sofern dies nicht durch eine Regel erlaubt ist. Sie schreiben Regeln, die den Zugriff auf Daten ermöglichen, Daten maskieren und Zeilen aus Daten filtern. |
Wenn keine Transformationsregel ausgewertet werden kann, wird standardmäßig die folgende Konventionsentscheidung getroffen:
Denyfür GesperrtAllowfür Unlocked
Festlegen der Priorität für Regelaktionen und Maskierungsmethoden
Nachdem Sie die Regelkonventionen definiert haben, können Sie mithilfe der Festlegung einer Priorität für Regeln und Maskierungsmethoden Folgendes bestimmen:
- Die Aktion, die angewendet wird, wenn mehrere Regeln mit unterschiedlichen Aktionen auf dieselben Datenwerte zutreffen.
- Die Maskierungsmethode, die anzuwenden ist, wenn mehrere Regeln mit unterschiedlichen Maskierungsmethoden auf dieselben Datenwerte zutreffen.
Um Regelprioritäten festzulegen, gehen Sie zur Seite „Regeleinstellungen verwalten“, indem Sie „Governance“ > „Regeln“ auswählen und dann auf „Regeleinstellungen verwalten“ klicken.
Rangfolge der Regelaktionen
Die Regelaktionspriorität legt fest, welchen Zugriff Benutzer auf eine Ressource haben: den sichersten, den freizügigsten oder einen hierarchischen Zugriff. Die Maßnahmen sind, in der Reihenfolge ihrer Milde: Zugriff zulassen, Maskieren und Filtern, Zugriff verweigern.
Ein Beispiel für die Anwendung dieser Vorrangregelung ist die gemeinsame Nutzung von Personalressourcen innerhalb der Personalabteilung. Die Regelkonvention ist so eingestellt, dass der Zugriff verweigert wird. Eine Regel legt fest, ob ein Asset als Personalbeleg gekennzeichnet ist, und wenn der Benutzer zur Benutzergruppe „Personalwesen” gehört, wird der Zugriff gewährt. Eine weitere Regel besagt, dass, wenn eine Regel finanzielle Informationen über Mitarbeiter enthält, diese Informationen maskiert werden müssen.
Die Finanzdaten der Mitarbeiter werden in einer Datenbank mit Tabellen gespeichert, die Angaben zu Stellen, Gehältern und Renten kombinieren. Die Tabelle „Jobs“ enthält Daten zu allen Arten von Mitarbeitern und eine RetireType Spalte, die den Ruhestandsstatus der Mitarbeiter angibt. Eine dritte Regel schließt alle Zeilen aus, wenn der Wert der RetireType Spalte ist Retired.
Wenn alle Regeln in Kraft sind, wird die Entscheidung aus Allow access der ersten Regel durch die Entscheidung, Daten der zweiten Regel zu maskieren, wenn Most secure action wins, außer Kraft gesetzt. Die dritte Regel filtert alle Zeilen heraus, in denen auf Retiredgesetzt RetireType ist.
Hierarchische Durchsetzung als Regelaktionspriorität
Die hierarchische Durchsetzung ist besonders interessant, wenn Sie einen restriktiveren Datenzugriff benötigen und dennoch allgemeinere Regeln schreiben möchten. Das daraus resultierende Verhalten ist jedoch möglich, indem für jede Zugriffskombination von Benutzertypen und Datentypen disjunkte Regeln geschrieben werden. Die Option „Hierarchische Durchsetzung“ als Priorität Ihrer Regelaktion vereinfacht den Denkprozess, indem sie zwei separate Fragen berücksichtigt:
Wer kann Zugriff auf welche Ressourcen erhalten? Dann können Sie viele der Fragen zur Maskierung bestimmter Datentypen entfernen und die Entscheidung auf lediglich zwei Optionen vereinfachen: entweder
AllowoderDeny.Welche Daten müssen maskiert werden? Dann können Sie den Zustand der ersten Frage für die Gewährung des Zugriffs weitgehend ignorieren. Sie können nun eine abstraktere Maskierungsregel schreiben, z. B. „Wenn Datenelement Spalte der Datenklasse
sensitive personal dataenthält, dann Spalten mit Datenklassesensitive personal dataredigieren“. Diese Regel außerhalb einer hierarchischen Konfiguration beinhaltet eine implizite Gewährung des Zugriffs auf das Asset mit angewendeter Maskierung.
Die Option zum Festlegen der Regelentscheidungspriorität auf Hierarchische Durchsetzung kann über den Regeleinstellungen verwalten Assistenten oder alternativ durch Festlegen des HIERARCHICAL Werts für die eingestellt access_decision_precedence API werden. Die hierarchische Durchsetzungskonfiguration konfiguriert eine zweistufige Bewertung für Datenschutzregeln. Die erste Ebene wertet die Regeln für eine Entscheidung aus, was entweder zu Allow oder Deny Aktionen führt, ohne dabei Maskierungsaktionen zu berücksichtigen. Nur wenn die Entscheidung der ersten Ebene lautet, Allow auf etwas zuzugreifen, wird eine zweite Ebene ausgewertet, wobei Regeln mit einer Transform Aktion berücksichtigt werden. Um maskierte oder Rohdaten zu sehen, ist mindestens eine Allow Entscheidung erforderlich.
- Für
Lockeddie Konvention kann dieseAllowEntscheidung nur mit einer Regel mitAllowAktion erreicht werden. InLockedder Konvention bleibt das Ergebnis unverändertDeny, wenn Sie Regeln haben, die zuTransformMaskEntscheidungen führen, aber keineAllowRegel, die Zugriff gewährt. Wenn Sie jedoch mehrere Regeln mit den AktionenAllowund habenTransform, dann wertet dieAllowaus,Transformund die daraus resultierende kombinierte Entscheidung ist die resultierende Maskierungsaktion. - Für
Unlockeddie Konvention wird die hierarchische Priorität gleichbedeutend mit der Priorität „Die sicherste Aktion gewinnt“ (RESTRICTIVEAPI-Option), da eineAllowEntscheidung aus der ersten hierarchischen Ebene nur ohne wirksame Regeln, die zu führenDeny, erreichbar ist. Wenn Sie also sowohl eineDenyAktion als auch eineTransformAktion haben, ist das Ergebnis sowohl für die hierarchische Durchsetzung (HIERARCHICALDenyAPI-Option) als auch für die sicherste Aktion (RESTRICTIVEAPI-Option) die Aktion.
Vorrang der Maskierungsmethode
Die Priorität der Maskierungsmethode legt die Umwandlung von Datenwerten mit dem höchsten Datenschutz oder dem höchsten Nutzen fest. Die Priorität wird angewendet, wenn eine Regelaktion „Maskieren“ ist, und bestimmt, wie die Datenwerte maskiert werden. Die Maskierungsmethoden in der Datenschutzreihenfolge lauten wie folgt: Unkenntlich machen, Ersetzen, Verschleiern. Die Maskierungsmethoden in der Dienstprogrammreihenfolge lauten wie folgt: Verschleiern, Ersetzen, Unkenntlich machen.
Ein Beispiel für die Anwendung dieser Priorität ist ein Buchhalter, der eine Regel erstellt hat, die vorschreibt, dass Kreditkartennummern verschleiert werden müssen. Durch das Maskieren der Nummern können nur Schadensbearbeiter die Kartennummer einsehen, um Kunden zu helfen, die ihre Ware zurückgeben möchten. Der Buchhalter hat eine weitere Regel erstellt, die alle Kreditkartennummern unkenntlich macht, wenn Sie in der Vertriebsabteilung tätig sind.
Wenn ein Mitarbeiter, der sowohl in der Vertriebsabteilung als auch in der Schadenabteilung tätig ist, auf dieselben Kreditkartendaten zugreift, wirken beide Maskierungsmethoden auf dieselben Daten. Wenn die Regelkonvention am sichersten ist, werden durch die Vorrangigkeit der Maskierungsmethode die Informationen unkenntlich gemacht, auf die der Vertrieb Zugriff hat. Da der Mitarbeiter jedoch auch in der Schadenabteilung tätig ist, kann er die letzten vier Ziffern der verschleierten Kreditkartennummer sehen.
Szenario: Anwendung von Konventionen und Vorrang
Das folgende Beispiel kombiniert die Regelkonvention, die Regelaktionspriorität und die Maskierungsmethodenpriorität. Zusammen bieten sie flexible Optionen zum Schutz von Daten.
Clarice hat eine Mitarbeiter-Tabelle erstellt und nutzt die Regeleinstellungen und Datenschutzregeln, um die Daten der Mitarbeiter vor anderen Teams in ihrem Unternehmen zu schützen. Sie schützt die Mitarbeiterdaten, indem sie zunächst Konventionen und Prioritäten für die von ihr erstellten Regeln festlegt und anschließend die Regeln entwirft.
Szenario: Festlegung von Konventionen und Vorrang
Unter „Regeleinstellungen verwalten ” wählte Clarice die folgenden Optionen aus:
- Konvention: Konvention für den entsperrten Datenzugriff, die der Konvention „Allow Everything Author Deny“ (AEAD) folgt.
- Vorrang der Regelmaßnahmen: Die mildeste Maßnahme gewinnt
- Vorrang der Regelmaskierungsmethode: Die Methode mit der höchsten Privatsphäre gewinnt.
Szenario: Erstellen von Datenschutzregeln
Clarice erstellt drei Regeln zum Schutz der Daten in der folgenden Mitarbeiter-Tabelle:
Regel 1 : If the user group is the Sales team, then deny access to the data in the asset. Niemand aus dem Vertriebsteam darf Daten einsehen, die Clarice gehören.
Regel 2 : If the asset name is Employee Spreadsheet and it contains columns named Last Name, Email Address, then mask by obfuscating all columns named Last Name and Email Address. Das folgende Beispiel zeigt, dass die Spalten „Nachname” und „E-Mail-Adresse” in der Mitarbeiter-Tabelle unkenntlich gemacht werden, wenn jemand aus der Finanzabteilung darauf zugreift.
Regel 3 : If the user group is the Sales team and that user is accessing the Employee Spreadsheet, then mask by redacting the column named Email Address. Das folgende Beispiel zeigt, dass dem Vertriebsteam beim Zugriff auf die Tabelle aufgrund der lockeren Regelpriorität der Zugriff nicht verweigert wird. Sie können die verschleierten Nachnamen sehen. Da Clarice jedoch die privateste Maskierungsmethode ausgewählt hat, werden die E-Mail-Adressen unkenntlich gemacht.
