Richtlinien zur Umsetzung der DSGVO

IBM Decision Intelligence erfüllt die Anforderungen der Allgemeinen Datenschutzverordnung (GDPR) für die Verarbeitung personenbezogener Daten von Einzelpersonen.

Dieses Thema enthält Informationen über Decision Intelligence, seine konfigurierten Funktionen und Aspekte seiner Verwendung.

Hinweis: IBM ist verantwortlich für die Einhaltung verschiedener Gesetze und Vorschriften, einschließlich der Allgemeinen Datenschutzverordnung der Europäischen Union.

Inhaltsverzeichnis

DSGVO

Warum ist die DSGVO so wichtig?

Die DSGVO bietet einen strengeren Rechtsrahmen für den Datenschutz bei der Verarbeitung personenbezogener Daten von Einzelpersonen. Das bietet die DSGVO:
  • Neue und erweiterte Rechte für Einzelpersonen
  • Erweiterte Definition der personenbezogenen Daten
  • Neue Verpflichtungen für Unternehmen und Organisationen bei der Handhabung personenbezogener Daten
  • Potenzial für erhebliche finanzielle Sanktionen bei Nichteinhaltung
  • Verpflichtende Benachrichtigung bei Datenschutzverletzungen

Weitere Informationen zur DSGVO

Siehe GDPR-Website Externer Link öffnet ein neues Fenster oder eine neue Registerkarte.

Produktkonfiguration - Berücksichtigung der GDPR-Konformität

Datenverarbeitung in Decision Intelligence

Unter Decision Intelligence befinden sich die Daten in den folgenden Datenbanken oder Verzeichnisdiensten:
  • Der Decision Designer speichert Automatisierungsprojekte, Entscheidungsmodelle und andere Entscheidungsartefakte sowie Benutzerrollen und -berechtigungen.
  • Die Entscheidungs-Laufzeitdatenbank speichert die eingesetzten Entscheidungsdienstarchive im Binärformat. Die Entscheidungsdienstarchive sind kompilierte Entscheidungsdienste, die aufgerufen werden können und die Entscheidungen des Kunden unterstützen.
  • Mit Decision Intelligence kann die Benutzerauthentifizierung von IBM® verwaltet oder an Clients delegiert werden, die den SAML-Verbund (Security Assertion Markup Language) nutzen. Die Benutzerberechtigungen werden über die Authentifizierungsschicht IBM Cloud® gehandhabt und pro Abonnement gespeichert.

Datenschutz und -sicherheit

IBM ist verantwortlich für den Datenschutz und die Sicherheit der Datenbanken, Konfigurationen, LDAP und Protokolldateien in Decision Intelligence. IBM befolgt die Richtlinien für sicheren Datenschutz und -schutz.

Allgemeine Regeln für Datenschutz und Datensicherheit

  • Die Zugriffssteuerung ist effektiv und wird ordnungsgemäß umgesetzt.
  • Die Berechtigungsnachweisstärke ist hoch und stark.
  • Standardkennwörter werden nie verwendet und sind für jede Subskription spezifisch.
  • Verschlüsselung oder Hashing (auch Hashing mit Saltwert) von Benutzerkennwörtern in LDAP wird implementiert.

Decision Intelligence auskunftsdienst

  • Die Zugriffssteuerung ist effektiv und wird ordnungsgemäß umgesetzt.
  • Die Verschlüsselung oder das Hashing von Berechtigungsnachweisdaten (z. B. Kennwörter) wird implementiert.
  • Es werden regelmäßig Backups und Wiederherstellungstests durchgeführt.

Decision Designer und Entscheidungs-Laufzeit-Datenbanken

  • Die Verbindung zwischen der Anwendung und der Datenbank ist durch die Implementierung von Java™™ Database Connectivity ( JDBC ) über Transport Layer Security (TLS) für alle Datenquellen gesichert.
  • Die Zugriffssteuerung ist vorhanden und wirksam.
  • Die Berechtigungsnachweisstärke ist hoch und stark.
  • Die Verschlüsselung wird auf Datenbank-oder Dateisystemebene implementiert.
  • Es werden regelmäßig Backups und Wiederherstellungstests durchgeführt.

Persönlich identifizierbare Informationen (PII) in der Datei

Personenbezogene oder sensible Daten werden durch geeignete technische und organisatorische Maßnahmen wie Verschlüsselung, Vertraulichkeitsmaßnahmen und Zugangsbeschränkungen geschützt, die unter anderem die logische oder physische Isolierung von Dateien oder Datenbanken mit diesen Daten umfassen können.

Globale Sicherheit

Decision Intelligence anwendungen werden in Java auf einem Anwendungsserver in einer Kubernetes Umgebung ausgeführt. Sicherheit und Datenschutz auf Decision Intelligence hängt von der Konfiguration des zugrunde liegenden Java und den Sicherheitsfunktionen ab, die der Anwendungsserver bietet. Der Datenschutz und die Datensicherheit in Decision Intelligence ist auf dem Java Software Development Kit (SDK) mit den Sicherheitsfunktionen in Java und dem Anwendungsserver implementiert.

Decision Intelligence verwendet auch eine Reihe von Java-Archivdateien (JAR) von Drittanbietern. Decision Intelligence hält die JAR-Dateien auf dem neuesten Stand, wenn es Sicherheits-Patches in Übereinstimmung mit der Produkt-Release-Planung und -Fähigkeit gibt. Wenn eine JAR-Datei einer neuen Sicherheitslücke ausgesetzt ist, bewertet das Decision Intelligence produktteam die Auswirkungen und bietet möglicherweise Zwischenkorrekturen an, die auf dem Prozess des IBM Product Security Incident Response Team (PSIRT) beruhen.

Middleware von Drittanbietern, die verwendet wird von Decision Intelligence wie z.B PostgreSQL datenbank und Kubernetes verwendet wird, wird regelmäßig auf die neuesten Versionen und Fixpacks aktualisiert, die auf dem IBM PSIRT-Prozess zur Bewertung der Auswirkungen von Schwachstellen basieren.

Datenlebenszyklus

Der Datenlebenszyklus von Decision Intelligence entspricht dem Lebenszyklus von Automatisierungsprojekten:
  • IBM bestimmungen Decision Intelligence abonnements. Diese Arbeit umfasst die Installation und Konfiguration der Middleware sowie die Datenbankintegration und die Decision Intelligence produktkonfiguration zur Bereitstellung eines Mandanten für den Kunden.
  • Benutzer mit Verwaltungsaufgaben laden Mitwirkende zum Tenant ein.
  • Informationen über Benutzer und Rollen werden automatisch in den Decision Designer und die Entscheidungslaufzeit importiert.
  • Die Benutzer entwickeln Entscheidungsdienste im Decision Designer.
  • Benutzer arbeiten zusammen, um Entscheidungsartefakte zu erstellen. Automatisierungsprojekte werden mit den Daten erstellt, die von Haus aus geschützt sind.
  • Entscheidungsdienstarchive werden für die Entscheidungslaufzeit zur Verwendung mit Client-Anwendungen bereitgestellt.
  • Integratoren rufen Entscheidungsdienste auf, indem sie sie als Nutzlast übergeben.
  • Ausführungstraces werden in cloudnativen Komponenten für Sicherheitsprüfungen und Fehlerbehebung gespeichert.
  • Die Projekte werden stillgelegt.
  • Daten werden gesichert und sicher von der Platte gelöscht.

Datenerfassung

Im Allgemeinen werden Daten, die für die Basisauthentifizierung verwendet werden, vom Verzeichnisservice oder LDAP des Clients bereitgestellt. Diese Daten werden benötigt, wenn der Client Decision Intelligence. Die Authentifizierungsinformationen werden von der Authentifizierungsschicht IBM Cloud integriert, wenn die Decision Intelligence anwendungen eingerichtet werden. Die Authentifizierungsinformationen werden extern verwaltet Decision Intelligence verwaltet, und alle Änderungen werden mit Decision Intelligence.

Die Datenbanken für Decision Intelligence werden von IBM für ihre Kunden bereitgestellt. Decision Intelligence speichert Automatisierungsprojekte und Entscheidungsdienste in diesen Datenbanken. Die Datenbanken entwickeln sich mit der Erstellung von Automatisierungsprojekten und deren Einsatz als Entscheidungsdienste:
  • Die Datenbanken werden während des gesamten Lebenszyklus des Produkts gepflegt Decision Intelligence.
  • Die Daten werden täglich auf der Basis der Geschäftsanforderungen und der Risikostufe des Kunden gesichert.
  • Wenn Decision Intelligence nicht mehr verwendet wird, werden die in diesen Datenbanken enthaltenen Mieterdaten sicher gelöscht oder für eine mögliche spätere Verwendung gesichert. IBM ist für das Löschen und Sichern der Datenbanken verantwortlich.
  • Als Datenverantwortlicher bietet IBM die Möglichkeit, Datenzugriffsanforderungen für personenbezogene Daten oder andere Konformitätsanforderungen zu erfüllen.

Decision Intelligence verlangt für die Authentifizierung in seinen Anwendungen grundlegende persönliche Daten.

In Decision Designer werden bestimmte Benutzerinformationen gesammelt, darunter auch:
  • Benutzername
  • Benutzer-ID (E-Mail-Adresse)
  • Benutzerfoto (optional)
  • Benutzerrolle im Decision Designer und zugewiesene Berechtigungen

Die Aktivitäten der Benutzer können in der Phase der Regelerstellung und -verwaltung verfolgt werden.

Datenspeicher

Die Datenbanken werden durch geeignete Sicherheitskontrollen geschützt. Zu diesen Steuerelementen gehören unter anderem die folgenden:
  • Verschlüsselung ruhender Daten mit Schlüsseln, die separat mit einem Schlüsselverwaltungstool an einem sicheren Ort gespeichert sind. Die Verschlüsselung erfolgt auf der Ebene der Datenbank oder des Dateisystems.
  • Zugriffssteuerung für die Datenbanken
  • Es gilt die IBM -Infrastruktur-und -Sicherheitstopologie:
    • Verfolgung und Protokollierung von Benutzeraktivitäten
    • Ein SIEM-System (Security Event Management) zur Überwachung der Verbindungen und Sicherheitsereignisse
  • Verschlüsselung von Datensicherungen

Datenzugriff

IBM implementiert Schutzmaßnahmen für den Datenzugriff.
  • Die Zugriffssteuerung für die Datenbanken ist vorhanden und wirksam.
  • Decision Intelligence bietet Anwendungsprogrammierschnittstellen (API) als Representational State Transfer (REST) für den Zugriff auf Projektdaten und Laufzeitentscheidungsdienste. IBM implementiert bestimmte Schutzmaßnahmen, einschließlich:
    • Hypertext Transfer Protocol Secure (HTTPS) für alle Verbindungen
    • Basisauthentifizierung oder andere Authentifizierungsverfahren
    • Ordnungsgemäße Berechtigung zum Einschränken des Zugriffs nach Rolle auf API

Datenverarbeitung

Wenn Entscheidungsdienstarchive bereitgestellt werden, wird ein neuer Endpunkt für jeden Entscheidungsdienst verfügbar. Der Kunde ruft einen Dienst auf, indem er eine Nutzlast übergibt, um Entscheidungen zu erhalten.

IBM implementiert die folgenden Sicherheitsrichtlinien beim Aufruf der REST-APIs mit Decision Intelligence :
  • HTTPS mit sicheren Verschlüsselungen.
  • Schutz der Infrastruktur vor DOS-Angriffen.
Der Client implementiert die folgenden Sicherheitsrichtlinien, wenn er die REST-APIs aufruft mit Decision Intelligence :
  • Bereinigt die Eingabenutzdaten ordnungsgemäß.
  • Manipuliert sorgfältig die Ausgabe von Decision Intelligence manipuliert, obwohl sie durch Decision Intelligence.

Datenlöschung

Artikel 17 der DSGVO besagt, dass betroffene Personen das Recht haben, ihre personenbezogenen Daten unter bestimmten Umständen unverzüglich von den Systemen der für die Verarbeitung Verantwortlichen und Auftragsverarbeiter entfernen zu lassen.

IBM implementiert geeignete Steuerelemente und Tools, um das Recht auf Löschung zu erfüllen.

Decision Intelligence erfordert keine besondere Methode zur Datenlöschung. IBM ist für die Implementierung geeigneter Methoden für seine Speichermedien verantwortlich, um Daten sicher zu löschen, einschließlich der "Zeroisierung" von Speichermedien, der vollständigen Neuformatierung von Speichermedien, falls erforderlich. IBM ist auch für das Löschen von Daten verantwortlich. Allerdings sind die Entwickler für das Löschen der Daten auf ihren Computern verantwortlich, z. B. die Benutzer, die mit Decision Designer arbeiten.

Datenüberwachung

IBM testet, bewertet und bewertet regelmäßig die Effektivität seiner technischen und organisatorischen Maßnahmen zur Einhaltung der DSGVO. Zu diesen Maßnahmen gehören fortlaufende Datenschutzbewertungen, Bedrohungsmodellierung, zentralisierte Sicherheitsprotokollierung und Überwachung.

Auf Rechte betroffener Personen reagieren

Die personenbezogenen Daten, die gespeichert und verarbeitet werden von Decision Intelligence fallen unter die folgenden Kategorien:
  • Grundlegende persönliche Daten wie Namen, Benutzernamen und Passwörter
  • Technisch identifizierbare personenbezogene Daten wie Internet Protocol (IP)-Adressen und Hostnamen, mit denen die Nutzeraktivitäten möglicherweise in Verbindung gebracht werden können.
  • Personenbezogene Daten, die im Text der Regeln gespeichert werden. Als Regelautor steuert der Client die Regeln, die er schreibt.
Diese Daten sind für den Betrieb eines effektiven Entscheidungssystems von wesentlicher Bedeutung. IBM implementiert Methoden zur Reaktion auf die folgenden Anforderungen:
  • Löschung von Daten
  • Korrektur von Daten
  • Daten modifizieren
  • Extraktion bestimmter Daten für den Export auf ein anderes System
  • Die Verwendung der Daten innerhalb des Gesamtsystems beschränken