Überprüfung der Konformität

Beweisen Sie, dass Sie die richtigen Daten auf die richtige Weise geschützt haben

Herausforderungen

Weitere Datenschutzgesetze in den USA, Europa und anderen internationalen Rechtsordnungen wurden verabschiedet und werden derzeit durchgesetzt. CISOs und Data Governance-Teams, die für den Schutz gefährdeter Daten verantwortlich sind, müssen auch nachweisen, dass sie diese Daten an den richtigen Stellen und auf die richtige Weise geschützt haben.

 

Data Loss Prevention (DLP)-Systeme und Datenmaskierungssoftware können personenbezogene identifizierbare Informationen (PII) erkennen und de-identifizieren. Wie gut dokumentieren Sie ihre Verfahren? Wie einfach ist es, bestimmte Schutzfunktionen zu finden und zu ändern, wenn etwas neu gemacht oder anders gemacht werden muss? Wie kann das Risiko einer Re-Identifikation anhand quasi-identifizierender Daten gemessen und gemindert werden? Und selbst die besten Datenmaskierungs-Tools zur Einhaltung eines Datenschutzgesetzes sind nicht zwangsläufig auch die beste Lösung für ein anderes Gesetz.

Lösungen

Zur Erkennungskontrolle überprüfen Sie die Schutzfunktionen auf Feldebene, die in den selbstdokumentierenden, menschenlesbaren Jobskripten der Softwareprodukte IRI FieldShield und IRI CoSort (SortCL) oder der Datenmanagement-Plattform IRI Voracity angegeben sind.

Zum Nachweis protokollieren Sie alle Aufträge in der abfragebereiten XML-Auditdatei. Der Audit-Trail enthält das Job-Skript, das die Schutztechnik(en) zeigt, die auf jedes Feld in jeder verarbeiteten Tabelle oder Datei angewendet werden. Bei FieldShield-Aufträgen enthält der Audit-Trail den vollständigen Inhalt des Skripts sowie die darin enthaltenen geregelten und ungeregelten Komponenten. Weitere Informationen zur Operational-Governance-System (OGS)-Infrastruktur für diese Aufträge finden Sie in diesem Artikel; zudem gibt es ein integriertes Log-Wrangling-Tool, mit dem Sie compliance- und leistungsbezogene Informationen aus den Protokollen abfragen und exportieren können. Das Protokoll enthält auch andere Job-Metadaten, wie z.B. die:

  • verwendete(r) Schutzbibliotheksfunktion(en)
  • Verschlüsselungscodes oder De-ID-Codes
  • Ein- und Ausgabetabellen oder Dateien
  • Benutzer, der den Job ausgeführt hat, sowie die geltende Policy File
  • Auftragsstart- und -endzeiten
  • Anzahl der je Phase, insgesamt und pro Sekunde verarbeiteten Datensätze

Zur Präventionskontrolle können Sie Ihre Aufträge überprüfen, um den Schutz der Ausgabefelder durch einen Entwickler vor der Ausführung zu überprüfen.

Das Maskieren des SSN-Feldes in einem Gehaltsabrechnungs-Feed ist beispielsweise eine Frage der Verbindung zu Ihren Quellen (oder bestehenden Aufträgen) und des Klicks durch einen neuen Auftragsassistenten oder der Änderung bestehender Parameter in einem Dialog oder Skript. Einige der Funktionen, die Sie anwenden können (ad hoc oder in der Regel), sind:

  • Ver- und Entschlüsselung
  • Anonymisierung durch Pseudonymisierung
  • Datenmaskierung
  • De-Identifikation und Re-Identifikation
  • Feldredaktion

Als Compliance Officer sehen Sie die Schutzmaßnahmen in jedem selbstdokumentierenden Job-Skript. Nach der Genehmigung kann der Auftrag auf einem lokalen oder entfernten Server mit dem IRI-Programm gespeichert oder ausgeführt werden.

Nach der Ausführung kann das Auftragsskript isoliert und für die Wiederverwendung in der Produktion geschützt werden.

In FieldShield ist zudem ein Re-Identifikations-Risiko-Scoring-Modul enthalten, das statistisch misst, wie wahrscheinlich es ist, dass ein Datensatz anhand der ungeschützten quasi-identifizierenden (demografischen) Attribute einer Person zugeordnet werden kann. Weitere Anonymisierungstechniken wie Blurring und Bucketing, die das Re-Identifikationsrisiko senken und gleichzeitig den Nutzwert der Daten für Forschungs- und Marketingzwecke erhalten, sind ebenfalls enthalten.

Bei IRI DarkShield wird eine umfassende Reihe von Dashboard-Diagrammen erzeugt, die anzeigen, welche Daten in strukturierten, semi-strukturierten und unstrukturierten Quellen gefunden (und ggf. maskiert) wurden. Eines dieser Diagramme ist ein Bubble-Chart, mit dem Sie das PII-Risiko in jeder Datenquelle einstufen können – eine Art sofortige Schwachstellenanalyse (Heatmap), die aus aggregierten Datenerkennungs- (Such-)Aufträgen resultiert.

Diese Daten können außerdem in maschinenlesbaren Such- und Maskierungs-Artefakten (JSON-Protokolldateien) in der IRI Workbench geprüft oder zu SIEM-Tools wie Splunk Enterprise Security, IBM QRadar, Microsoft Sentinel, Excel und weiteren SIEM-/SOC- und Log-Visualisierungstools zur weiteren Analyse und Reaktion exportiert werden.

Bei IRI CellShield EE werden sowohl die Ergebnisse der Datenerkennung als auch die Audit-Trails der Maskierungsvorgänge in Excel bereitgestellt und lassen sich zum Export per E-Mail, an Splunk und an Datadog verknüpfen.

Verwandte Lösungen

Produktlinks

Häufig gestellte Fragen (FAQ)

Datenmaskierungs-Compliance bedeutet, nachzuweisen, dass Ihr Unternehmen sensible Daten nicht nur geschützt hat, sondern dies auch korrekt und im Einklang mit den jeweiligen Datenschutzgesetzen getan hat. Dazu gehört die Dokumentation der gefundenen und maskierten Daten sowie die Bereitstellung von Audit-Trails zu den durchgeführten Vorgängen.
Den Nachweis erbringen Sie über Audit-Protokolle, visuelle Job-Diagramme und selbstdokumentierende Skripte, die genau angeben, welche Spalten oder Werte wie maskiert wurden, wer die Maskierung durchgeführt hat und wann sie erfolgte. IRI-Tools wie FieldShield, DarkShield und CellShield EE liefern all diese Nachweise automatisch.
Die IRI-Tools erzeugen maschinenlesbare XML- oder JSON-Audit-Protokolle sowie visuelle Diagramme. Diese enthalten Job-Metadaten wie verwendete Schutzmethoden, Ein-/Ausgabedateien, Details zur Auftragsausführung sowie angewendete Verschlüsselungscodes oder Maskierungsfunktionen.
Mithilfe von IRI-Job-Konfigurationsdateien (Skripten), Datenklassen- und Regelbibliotheken, Mapping-Diagrammen und/oder Protokolldateien sehen Sie genau, welcher Schutz auf jedes Datenelement angewendet wurde. Ob Redaktion, Verschlüsselung, Hashing oder Pseudonymisierung – die Methoden sind klar definiert und leicht wiederverwendbar konfiguriert.
Das Re-Identifikationsrisiko bezeichnet die Wahrscheinlichkeit, dass maskierte oder unmaskierte Daten anhand direkter oder indirekter (quasi-)Identifikatoren wieder einer Person zugeordnet werden können. IRI FieldShield enthält ein integriertes Scoring-Modul, das dieses Risiko statistisch bewertet und Ihnen hilft, für direkte bzw. indirekte Identifikatoren weitere Schritte zur Anonymisierung einzuleiten.
Ja. Die IRI-Tools sind so konzipiert, dass sie Anforderungen aus verschiedenen Regelwerken wie GDPR, HIPAA, FERPA, PCI DSS und weiteren erfüllen. Jeder Maskierungsauftrag und Audit-Trail kann an die spezifischen Vorgaben unterschiedlicher Gesetze angepasst werden.
Compliance Officers können die Datenklassen-Regelbibliothek, die Datenklassen-Zuordnung, Job-Konfigurationsdateien (Skripte), Datenklassen-Mapping-Dialoge, maschinenlesbare Protokolldateien und/oder die Dashboard-Diagramm-Funktionen der IRI Workbench nutzen, um die Ergebnisse von Datenklassifizierung (PII-Erkennung) und Maskierungsaufträgen zu erstellen und zu prüfen. Solche Job-Artefakte helfen Auditoren nachzuvollziehen, welche Schutzmaßnahmen wann und von wem auf welche Daten angewendet wurden.
Das Source-to-Target-Mapping-Diagramm in FieldShield stellt visuell dar, wie Datenfelder transformiert wurden. Orangefarbene Linien und Funktionssymbole zeigen, wo sensible Daten gefunden und wie sie geschützt wurden.
Ja. Job-Skripte in den IRI-Tools sind vollständig wiederverwendbar und editierbar. Sie können sie mit Versionskontroll-Tools wie EGit isolieren, versionieren oder umgebungsübergreifend teilen, um eine reibungslose Bereitstellung und Zusammenarbeit zu ermöglichen.
DarkShield kann Dashboard-Diagramme erzeugen, die anzeigen, welche Daten in strukturierten, semi-strukturierten und unstrukturierten Quellen gefunden und maskiert wurden. Zudem gibt es ein Bubble-Chart zur Einstufung des Risikoniveaus über verschiedene Datenquellen hinweg – eine Art schnelle Heatmap zur Schwachstellenbewertung.
Audit-Protokolle und Berichte können in maschinenlesbaren Formaten exportiert werden, die mit SIEM-Tools wie Splunk, Excel und Datadog kompatibel sind. Das ermöglicht weitergehende Analysen, Alarmierungen oder regulatorisches Reporting außerhalb der IRI-Umgebung.
IRI bietet spezialisierte Tools zur Erfüllung der FERPA- und HIPAA-Anforderungen. Diese Tools können Schüler- und Patientendaten anonymisieren und dabei den Nutzwert für Analysen erhalten – unter anderem durch Bucketing und Blurring, um das Re-Identifikationsrisiko zu senken und gleichzeitig die Nutzbarkeit der Daten zu bewahren.
Ja. In allen IRI-Tools sind die Ergebnisse der Datenerkennung mit den Maskierungsvorgängen verknüpft. In CellShield EE beispielsweise werden diese Informationen in Excel angezeigt und können exportiert oder per E-Mail bzw. an Log-Überwachungssysteme gesendet werden.
IRI stellt exportierbare, manipulationssichere Dokumentationen bereit – etwa Bilder von Daten-Mapping-Diagrammen – zu allen durchgeführten Datenschutzmaßnahmen. Diese Artefakte helfen Unternehmen, bei Audits, Untersuchungen oder Auskunftsersuchen schnell und glaubwürdig zu reagieren.