Pianificazione delle norme sulla protezione dei dati dell'autore

L'obiettivo di questo argomento è stabilire una linea guida sulla progettazione delle regole di protezione dati per massimizzare la protezione che utilizza dati e attributi utente. Esplorare i passi per creare le regole in base alle partizioni identificate utilizzate per formare insiemi disgiunti di asset che possono essere gestiti in modo efficace utilizzando le regole di protezione dei dati.

Considerare un caso di utilizzo di esempio in cui gli asset di dati possono contenere termini di business come informazioni personali sensibili (SPI), informazioni di identificazione personale (PII) e classi di dati come il numero di previdenza sociale (SSN). Inoltre, gli utenti possono appartenere a gruppi di utenti come ADMINISTRATORS, DATA STEWARDS e DEVELOPERS. Per semplificare questo esempio, si presume che l'appartenenza al gruppo di utenti sia disgiunta e utilizzi le regole di protezione dei dati senza basarsi sulla precedenza.

Ricorda:

Il termine partizione indica una divisione logica di un gruppo di oggetti. Ad esempio, partizionare tutti gli asset o gli utenti in determinati insiemi significativi in base agli attributi assegnati.

Illustrazione della partizione di asset in serie logiche per serie di attributi assegnati:

Un diagramma Venn che mostra la partizione degli asset in base agli attributi assegnati.

Completare le seguenti attività per creare regole di protezione dati:

Configurazione delle impostazioni delle regole.
Identificazione o partizionamento dell'asset e dello spazio utente.
Scelta del risultato per ogni partizione
Definizione delle regole per ogni partizione.
Facoltativo: Definizione delle meta regole dinamiche per l'elaborazione delle eccezioni di decisione.

Configurazione delle impostazioni delle regole

Impostare la convenzione di accesso ai dati. È possibile scegliere tra le seguenti due opzioni di convenzioni:

Impostazione API	Impostazione UI	Convenzione
AEAD (predefinito)	Sbloccato	Valore predefinito. Segue la convenzione AEAD ( allow everything author deny ). Consente l'accesso ai dati a meno che una regola non lo neghi. Si scrivono regole che negano l'accesso ai dati, si mascherano i dati e si filtrano le righe dai dati.
DEAA	Bloccato	Segue la convenzione deny everything author allow (DEAA). Nega l'accesso ai dati a meno che una regola non lo consenta. Scrivere regole che consentono l'accesso ai dati, mascherare i dati e filtrare le righe dai dati.

Suggerimento:

Se non è possibile valutare alcuna regola di trasformazione, il risultato assume come valore predefinito le seguenti decisioni di convenzione:

Deny per Bloccato
Allow per Sbloccato

Se un utente tenta di accedere a un asset e se non viene attivata alcuna regola, la convenzione determina uno dei seguenti risultati:

Deny: Quando la convenzione di accesso ai dati è impostata nell'interfaccia utente come Bloccato o configurato nell'API come DEAA, il risultato è Deny.

Allow: Quando la convenzione di accesso ai dati è impostata nell'interfaccia utente come Sbloccato o configurata nell'API come AEAD, il risultato è Allow.

Impostare la precedenza dell'azione della regola. Scegliere una delle seguenti opzioni per determinare il corso dell'azione da intraprendere se vengono attivate più regole in conflitto contemporaneamente per un asset specifico e un utente specifico:

L'azione più sicura vince (impostazione predefinita)

Se la convenzione di accesso ai dati è impostata nell'interfaccia utente come Bloccato o configurata nell'API come DEAA, l'ordine di precedenza è la regola Transform e quindi la regola Allow .

Se la convenzione di accesso ai dati è impostata nell'interfaccia utente come Sbloccato o configurata nell'API come AEAD, l'ordine di precedenza è la regola Deny e quindi la regola Transform .

Vince la mossa più indulgente

Se la convenzione di accesso ai dati è impostata nell'interfaccia utente come Bloccato o configurata nell'API come DEAA, l'ordine di precedenza è la regola Allow e quindi la regola Transform .

Se la convenzione di accesso ai dati è impostata nell'interfaccia utente come Sbloccato o configurata nell'API come AEAD, l'ordine di precedenza è la regola Transform e quindi la regola Deny .

In un esempio della convenzione Bloccato (DEAA), se un utente tenta di accedere a un asset e due regole vengono attivate in modo che una regola trasformi una o più colonne e l'altra regola consenta l'accesso completo all'asset e l'opzione L'azione più indulgente vince è selezionata, l'utente può accedere all'intero asset perché la regola Allow sovrascrive la regola Transform .

Impostare la precedenza del metodo di mascheramento regola. Scegliere una delle opzioni seguenti:

Il metodo con la maggior parte della privacy vince (impostazione predefinita): L'ordine di precedenza della trasformazione è Redact, Substitutee quindi Obfuscate.

Vince il metodo più utile: L'ordine di precedenza della trasformazione è Obfuscate, Substitutee quindi Redact.

Ad esempio, se un utente tenta di accedere a un asset e due regole vengono attivate in modo tale che una regola rediga una particolare colonna e l'altra regola offusca la stessa colonna e viene selezionato Il metodo con la maggior parte della privacy vince , tale colonna viene revisionato perché la regola Redact sovrascrive la regola Obfuscate .

Per ulteriori informazioni sulle impostazioni delle regole, consultare l'argomento Gestione delle impostazioni delle regole . Inoltre, consultare la seguente schermata della finestra Gestisci impostazioni regola in cui è possibile configurare l'interfaccia utente.

Una schermata della finestra Gestisci impostazioni regola

Identificazione o partizionamento dell'asset e dello spazio utente

Prendere nota degli attributi nello spazio asset e dei valori di tali attributi che si desidera mascherare o proteggere per formare la base delle regole di protezione dei dati. Esempi di attributi nello spazio asset sono classi di dati, termini di business, tag e nomi colonna.
Prendere nota degli attributi nello spazio utente e dei valori degli attributi che si desidera mascherare o proteggere per formare la base delle regole di protezione dei dati. Esempi di attributi nello spazio utente sono i ruoli utente e i gruppi di utenti.

Ad esempio, considerare la costruzione di regole basate sui termini di business SPI e PII. Inoltre, l'attributo utente gruppo utenti con valori ADMINISTRATORS, DATA STEWARDSe DEVELOPERS. Lo spazio asset e lo spazio utente possono essere partizionati come illustrato nella seguente tabella:

Termine di business	Gruppo di utenti
`SPI`	`ADMINISTRATORS`
`SPI`	`DATA STEWARDS`
`SPI`	`DEVELOPERS`
`SPI`	`--`
`PII`	`ADMINISTRATORS`
`PII`	`DATA STEWARDS`
`PII`	`DEVELOPERS`
`PII`	`--`
`--`	`ADMINISTRATORS`
`--`	`DATA STEWARDS`
`--`	`DEVELOPERS`
`--`	`--`
`SPI`, `PII`	`ADMINISTRATORS`
`SPI`, `PII`	`DATA STEWARDS`
`SPI`, `PII`	`DEVELOPERS`
`SPI`, `PII`	`--`

Un diagramma di Venn che illustra questo esempio con gli asset partizionati:

Un diagramma di Venn che mostra questo esempio con le attività suddivise.

Scelta del risultato per ogni partizione

Decidere il risultato per ogni combinazione di attributi e valori di esempio.

Termine di business	Gruppo di utenti	Azione o risultato selezionato
`SPI`	`ADMINISTRATORS`	`ALLOW`
`SPI`	`DATA STEWARDS`	`REDACT (SPI)`
`SPI`	`DEVELOPERS`	`DENY`
`SPI`	`--`	`DENY`
`PII`	`ADMINISTRATORS`	`ALLOW`
`PII`	`DATA STEWARDS`	`OBFUSCATE (PII)`
`PII`	`DEVELOPERS`	`REDACT (PII)`
`PII`	`--`	`DENY`
`--`	`ADMINISTRATORS`	`ALLOW`
`--`	`DATA STEWARDS`	`ALLOW`
`--`	`DEVELOPERS`	`ALLOW`
`--`	`--`	`DENY`
`SPI`, `PII`	`ADMINISTRATORS`	`ALLOW`
`SPI`, `PII`	`DATA STEWARDS`	`REDACT (SPI), OBFUSCATE (PII)`
`SPI`, `PII`	`DEVELOPERS`	`DENY`
`SPI`, `PII`	`--`	`DENY`

Un esempio di serie di risultati in cui il verde indica Allow, il rosso indica Deny, il giallo indica Obfuscatee il marrone indica Redact nei seguenti diagrammi di Venn per ciascun gruppo di utenti:

Diagrammi di Venn per ogni gruppo di utenti.

La tabella di esempio e i diagrammi consentono di chiarire il comportamento selezionato per tutte le partizioni.

Definizione di regole per ciascuna partizione

In base alla convenzione Sbloccato (AEAD) o Bloccato (DEAA), è possibile progettare regole appropriate per applicare i requisiti dei risultati. Ad esempio, considerare uno scenario in cui vengono scelte le seguenti impostazioni di regola:

Convenzione: Bloccato (DEAA) dove senza regole, nessun utente ottiene l'accesso ai dati.
Precedenza azione regola: L'azione più sicura vince
Precedenza del metodo di mascheramento regola: Il metodo con la maggior parte della privacy vince

Con le impostazioni e i risultati specificati, le regole possono essere progettate con le seguenti regole:

Regola 1: Condizione; IF (userGroup contains ADMINISTRATORS); Azione; ALLOW

Regola 2: Condizione; IF (userGroup contains DATA STEWARDS) AND (businessTerm contains SPI); Azione; REDACT (SPI)

Regola 3: Condizione; IF (userGroup contains DATA STEWARDS) AND (businessTerm contains PII); Azione; OBFUSCATE (PII)

Regola 4 Le seguenti regole 4.1 e 4.2 sono due regole differenti per ciascun gruppo utenti DEVELOPERS e DATA STEWARDS:

Regola 4.1: Condizione; IF (userGroup contains DEVELOPERS) AND NOT (businessTerm CONTAINS {SPI, PII}); Azione; ALLOW

Regola 4.2: Condizione; IF (userGroup contains DATA STEWARDS) AND NOT (businessTerm CONTAINS {SPI, PII}); Azione; ALLOW

Facoltativo La seguente regola combina le regole 4.1 e 4.2 in una singola regola:: Condizione; IF (userGroup contains {DATA STEWARDS, DEVELOPERS}) AND NOT (businessTerm CONTAINS {SPI, PII}); Azione; ALLOW

Regola 5: Condizione; IF (userGroup contains DEVELOPERS) AND (businessTerm CONTAINS PII) AND NOT (businessTerm CONTAINS SPI); Azione; REDACT (PII)

Se vengono inclusi più attributi asset o utente quando viene progettata la protezione dei dati, la tabella dei risultati richiede colonne aggiuntive per enumerare tutte le possibilità.

Una screen capture di Regola 2 in un'interfaccia utente:

Un'immagine della regola 2 in un'interfaccia utente.

Continuando con l'esempio, prendere in considerazione l'inclusione di un altro attributo asset, ad esempio una classe di dati con valore SSN nello spazio delle regole. Per progettare le regole in questo scenario, ripetere le seguenti attività precedenti con questo nuovo partizionamento dello spazio asset:

Identificazione o partizionamento dell'asset e dello spazio utente.
Scelta del risultato per ogni partizione
Definizione delle regole per ogni partizione.

Termine di business	Classe dati	Gruppo di utenti	Azione o risultato selezionato
`SPI`	`SSN`	`ADMINISTRATORS`	`ALLOW`
`SPI`	`SSN`	`DATA STEWARDS`	`REDACT (SPI, SSN)`
`SPI`	`SSN`	`DEVELOPERS`	`DENY`
`SPI`	`SSN`	`--`	`DENY`
`PII`	`SSN`	`ADMINISTRATORS`	`ALLOW`
`PII`	`SSN`	`DATA STEWARDS`	`OBFUSCATE (PII), REDACT (SSN)`
`PII`	`SSN`	`DEVELOPERS`	`REDACT (PII, SSN)`
`PII`	`SSN`	`--`	`DENY`
`--`	`SSN`	`ADMINISTRATORS`	`ALLOW`
`--`	`SSN`	`DATA STEWARDS`	`REDACT (SSN)`
`--`	`SSN`	`DEVELOPERS`	`REDACT (SSN)`
`--`	`SSN`	`--`	`DENY`
`SPI`	`--`	`ADMINISTRATORS`	`ALLOW`
`SPI`	`--`	`DATA STEWARDS`	`REDACT (SPI)`
`SPI`	`--`	`DEVELOPERS`	`DENY`
`SPI`	`--`	`--`	`DENY`
`PII`	`--`	`ADMINISTRATORS`	`ALLOW`
`PII`	`--`	`DATA STEWARDS`	`OBFUSCATE (PII)`
`PII`	`--`	`DEVELOPERS`	`REDACT (PII)`
`PII`	`--`	`--`	`DENY`
`--`	`--`	`ADMINISTRATORS`	`ALLOW`
`--`	`--`	`DATA STEWARDS`	`ALLOW`
`--`	`--`	`DEVELOPERS`	`ALLOW`
`--`	`--`	`--`	`DENY`
`SPI, PII`	`SSN`	`ADMINISTRATORS`	`ALLOW`
`SPI, PII`	`SSN`	`DATA STEWARDS`	`REDACT (SPI, SSN), OBFUSCATE (PII)`
`SPI, PII`	`SSN`	`DEVELOPERS`	`DENY`
`SPI, PII`	`SSN`	`--`	`DENY`
`SPI, PII`	`--`	`ADMINISTRATORS`	`ALLOW`
`SPI, PII`	`--`	`DATA STEWARDS`	`REDACT (SPI), OBFUSCATE (PII)`
`SPI, PII`	`--`	`DEVELOPERS`	`DENY`
`SPI, PII`	`--`	`--`	`DENY`

Diagrammi Venn per ogni gruppo di utenti che include una classe dati con valore SSN nello spazio delle regole:

Diagrammi di Venn per ogni gruppo di utenti che include una classe di dati con valore per lo spazio delle regole.

Con l'attributo aggiunto e i risultati selezionati corrispondenti, le regole seguenti vengono modificate nello spazio delle regole:

Regola 6: Condizione; IF (userGroup contains DATA STEWARDS) AND (dataClass contains SSN); Azione; REDACT (SSN)

Regola 7: Condizione; IF (userGroup contains DEVELOPERS) AND (dataClass contains SSN) AND NOT (businessTerm CONTAINS SPI); Azione; REDACT (SSN)

Regola 4 ' (modifica della Regola 4): Condizione; IF (userGroup contains {DATA STEWARDS, DEVELOPERS}) AND NOT (businessTerm CONTAINS {SPI, PII}) AND NOT (dataClass CONTAINS SSN); Azione; ALLOW

Se invece la convenzione scelta è Sbloccata (AEAD), le regole possono essere invece progettate nelle seguenti impostazioni:

Convenzione: Unlocked (AEAD) dove senza regole, tutti gli utenti hanno accesso a tutti i dati.
Precedenza azione regola: L'azione più sicura vince
Precedenza del metodo di mascheramento regola: Il metodo con la maggior parte della privacy vince

Termine di business	Gruppo di utenti	Azione o risultato selezionato
`SPI`	`ADMINISTRATORS`	`ALLOW`
`SPI`	`DATA STEWARDS`	`REDACT (SPI)`
`SPI`	`DEVELOPERS`	`DENY`
`SPI`	`--`	`DENY`
`PII`	`ADMINISTRATORS`	`ALLOW`
`PII`	`DATA STEWARDS`	`OBFUSCATE (PII)`
`PII`	`DEVELOPERS`	`REDACT (PII)`
`PII`	`--`	`DENY`
`--`	`ADMINISTRATORS`	`ALLOW`
`--`	`DATA STEWARDS`	`ALLOW`
`--`	`DEVELOPERS`	`ALLOW`
`--`	`--`	`DENY`
`SPI`, `PII`	`ADMINISTRATORS`	`ALLOW`
`SPI`, `PII`	`DATA STEWARDS`	`REDACT (SPI), OBFUSCATE (PII)`
`SPI`, `PII`	`DEVELOPERS`	`DENY`
`SPI`, `PII`	`--`	`DENY`

Regola 1: Condizione; IF (userGroup contains DATA STEWARDS) AND (businessTerm contains SPI); Azione; REDACT (SPI)

Regola 2: Condizione; IF (userGroup contains DATA STEWARDS) AND (businessTerm contains PII); Azione; OBFUSCATE (PII)

Regola 3: Condizione; IF (userGroup contains DEVELOPERS) AND (businessTerm CONTAINS SPI); Azione; DENY

Regola 4: Condizione; IF (userGroup contains DEVELOPERS) AND (businessTerm CONTAINS PII); Azione; REDACT (PII)

Regola 5: Condizione; IF NOT (userGroup contains {ADMINISTRATORS, DATA STEWARDS, DEVELOPERS}); Azione; DENY

Se l'attributo dell'asset, come la classe di dati con valore SSN viene aggiunto allo spazio delle regole, le regole possono essere modificate in base a questo nuovo partizionamento dello spazio dell'asset.

Termine di business	Classe dati	Gruppo di utenti	Azione o risultato selezionato
`SPI`	`SSN`	`ADMINISTRATORS`	`ALLOW`
`SPI`	`SSN`	`DATA STEWARDS`	`REDACT (SPI, SSN)`
`SPI`	`SSN`	`DEVELOPERS`	`DENY`
`SPI`	`SSN`	`--`	`DENY`
`PII`	`SSN`	`ADMINISTRATORS`	`ALLOW`
`PII`	`SSN`	`DATA STEWARDS`	`OBFUSCATE (PII), REDACT (SSN)`
`PII`	`SSN`	`DEVELOPERS`	`REDACT (PII, SSN)`
`PII`	`SSN`	`--`	`DENY`
`--`	`SSN`	`ADMINISTRATORS`	`ALLOW`
`--`	`SSN`	`DATA STEWARDS`	`REDACT (SSN)`
`--`	`SSN`	`DEVELOPERS`	`REDACT (SSN)`
`--`	`SSN`	`--`	`DENY`
`SPI`	`--`	`ADMINISTRATORS`	`ALLOW`
`SPI`	`--`	`DATA STEWARDS`	`REDACT (SPI)`
`SPI`	`--`	`DEVELOPERS`	`DENY`
`SPI`	`--`	`--`	`DENY`
`PII`	`--`	`ADMINISTRATORS`	`ALLOW`
`PII`	`--`	`DATA STEWARDS`	`OBFUSCATE (PII)`
`PII`	`--`	`DEVELOPERS`	`REDACT (PII)`
`PII`	`--`	`--`	`DENY`
`--`	`--`	`ADMINISTRATORS`	`ALLOW`
`--`	`--`	`DATA STEWARDS`	`ALLOW`
`--`	`--`	`DEVELOPERS`	`ALLOW`
`--`	`--`	`--`	`DENY`
`SPI, PII`	`SSN`	`ADMINISTRATORS`	`ALLOW`
`SPI, PII`	`SSN`	`DATA STEWARDS`	`REDACT (SPI, SSN), OBFUSCATE (PII)`
`SPI, PII`	`SSN`	`DEVELOPERS`	`DENY`
`SPI, PII`	`SSN`	`--`	`DENY`
`SPI, PII`	`--`	`ADMINISTRATORS`	`ALLOW`
`SPI, PII`	`--`	`DATA STEWARDS`	`REDACT (SPI), OBFUSCATE (PII)`
`SPI, PII`	`--`	`DEVELOPERS`	`DENY`
`SPI, PII`	`--`	`--`	`DENY`

Regola 6: Condizione; IF (userGroup contains {DATA STEWARDS, DEVELOPERS}) AND (dataClass contains SSN); Azione; REDACT (SSN)

Suggerimento:

Per la convenzione Unlocked (AEAD), se gli asset con una tag public e senza PII, SPIo SSN sono stati preferiti per essere accessibili a tutti gli utenti, ad esempio il risultato selezionato era Allow, la Regola 5 esistente deve essere modificata aggiungendo i seguenti predicati aggiuntivi:

Regola 5 ' (modifica della regola 5): Condizione; IF NOT (userGroup contains { ADMINISTRATORS, DATA STEWARDS, DEVELOPERS } ) AND NOT (tag CONTAINS PUBLIC) AND ((businessTerm CONTAINS {SPI, PII}) OR (dataClass CONTAINS SSN)); Azione; DENY

(Facoltativo) Definizione di metaregole dinamiche per l'elaborazione delle eccezioni di decisione

Le meta regole dinamiche vengono create per aggiungere eccezioni per determinati super utenti. Quando una meta regola dinamica viene definita per un determinato utente o gruppo di utenti, tutte le regole di protezione dati definite nella sezione Definizione delle regole per ogni partizione vengono ignorate e l'accesso viene concesso a tutti gli asset agli utenti nella meta regola dinamica. Ad esempio, se un gruppo di utenti SUPERADMINS ha bisogno di un accesso super utente, è possibile definire la seguente meta regola dinamica:

Meta - regola dinamica: Condizione; IF (userGroup contains SUPERADMINS); Azione; ALLOW

Una meta - regola dinamica viene definita solo con l'azione ALLOW in entrambi i sistemi Bloccato e Sbloccato .

Ulteriori informazioni

Progettazione di regole di protezione dati