Planificación para crear reglas de protección de datos

Configuración de valores de regla

Copy link to section

1. Establezca el convenio de acceso a datos. Puede elegir entre las dos opciones de convenio siguientes:

Si un usuario intenta acceder a un activo y no se desencadena ninguna regla, el convenio determina uno de los siguientes resultados:

Deny

Cuando el convenio de acceso a datos se establece en la interfaz de usuario como Bloqueado o se configura en la API como DEAA, el resultado es Deny.

Allow

Cuando el convenio de acceso a datos se establece en la interfaz de usuario como Desbloqueado o se configura en la API como AEAD, el resultado es Allow.

2. Establezca la prioridad de acción de regla. Elija una de las opciones siguientes para determinar el curso de acción que se debe llevar a cabo si se desencadenan varias reglas en conflicto al mismo tiempo para un activo específico y un usuario específico:

La acción más segura gana (valor predeterminado)

• Si el convenio de acceso a datos se establece en la interfaz de usuario como Bloqueado o se configura en la API como DEAA, el orden de prioridad es la regla Transform y, a continuación, la regla Allow .

• Si el convenio de acceso a datos se establece en la interfaz de usuario como Desbloqueado o se configura en la API como AEAD, el orden de prioridad es la regla Deny y, a continuación, la regla Transform .

La acción más indulgente tiene prioridad

• Si el convenio de acceso a datos se establece en la interfaz de usuario como Bloqueado o se configura en la API como DEAA, el orden de prioridad es la regla Allow y, a continuación, la regla Transform .

• Si el convenio de acceso a datos se establece en la interfaz de usuario como Desbloqueado o se configura en la API como AEAD, el orden de prioridad es la regla Transform y, a continuación, la regla Deny .

En un ejemplo del convenio Bloqueado (DEAA), si un usuario intenta acceder a un activo y se desencadenan dos reglas de forma que una regla transforma una o más columnas y la otra regla permite el acceso completo al activo, y se selecciona La acción más indulgente gana , el usuario puede acceder a todo el activo porque la regla Allow altera temporalmente la regla Transform .

3. Establezca la prioridad del método de enmascaramiento de reglas. Elija una de las opciones siguientes:

El método con más privacidad gana (valor predeterminado)

El orden de prioridad de transformación es Redact, Substitutey, a continuación, Obfuscate.

El método con más utilidad tiene prioridad

El orden de prioridad de transformación es Obfuscate, Substitutey, a continuación, Redact.

Por ejemplo, si un usuario intenta acceder a un activo y se desencadenan dos reglas de forma que una regla redacta una columna determinada y la otra enmascara la misma columna, y se selecciona el Método con más ganancias de privacidad , dicha columna se redacta porque la regla Redact altera temporalmente la regla Obfuscate .

Para obtener más información sobre los valores de regla, consulte el tema Gestión de valores de regla . Además, consulte la siguiente captura de pantalla de la ventana Gestionar valores de regla donde puede configurar la interfaz de usuario.

Identificación o particionamiento del activo y el espacio de usuario

Copy link to section

1. Anote los atributos del espacio de activos y los valores de los atributos que desea enmascarar o proteger para formar la base de las reglas de protección de datos. Ejemplos de atributos en el espacio de activos son clases de datos, términos empresariales, etiquetas y nombres de columna.
2. Tome nota de los atributos del espacio de usuario y de los valores de los atributos que desea enmascarar o proteger para formar la base de las reglas de protección de datos. Ejemplos de atributos en el espacio de usuario son roles de usuario y grupos de usuarios.

Por ejemplo, considere la posibilidad de crear reglas basadas en los términos empresariales SPI y PII. Además, el atributo de usuario user group con los valores ADMINISTRATORS, DATA STEWARDSy DEVELOPERS. El espacio de activo y el espacio de usuario se pueden particionar tal como se ilustra en la tabla siguiente:

Un diagrama de Venn que ilustra este ejemplo con los activos particionados:

Elección del resultado para cada partición

Copy link to section

Decida cuál es el resultado para cada combinación de los atributos y valores de ejemplo.

Un conjunto de resultados de ejemplo donde el verde indica Allow, el rojo indica Deny, el amarillo indica Obfuscatey el marrón indica Redact en los siguientes diagramas de Venn para cada grupo de usuarios:

La tabla de ejemplo y los diagramas ayudan a proporcionar claridad al comportamiento seleccionado para todas las particiones.

Definición de reglas para cada partición

Copy link to section

En función del convenio, se pueden diseñar las reglas adecuadas Desbloqueado (AEAD) o Bloqueado (DEAA) para aplicar los requisitos de resultados. Por ejemplo, considere un escenario en el que se eligen los siguientes valores de regla:

• Convenio: Bloqueado (DEAA) donde sin ninguna regla, ningún usuario obtiene acceso a ningún dato.
• Prioridad de acción de regla: La acción más segura gana
• Prioridad de método de enmascaramiento de reglas: El método con más privacidad gana

Con los valores y resultados especificados, las reglas se pueden diseñar con las reglas siguientes:

Regla 1

Condición

IF (userGroup contains ADMINISTRATORS)

Acción

ALLOW

Regla 2

Condición

IF (userGroup contains DATA STEWARDS) AND (businessTerm contains SPI)

Acción

REDACT (SPI)

Regla 3

Condición

IF (userGroup contains DATA STEWARDS) AND (businessTerm contains PII)

Acción

OBFUSCATE (PII)

Regla 4 Las reglas siguientes 4.1 y 4.2 son dos reglas diferentes para cada grupo de usuarios DEVELOPERS y DATA STEWARDS:

Regla 4.1

Condición

IF (userGroup contains DEVELOPERS) AND NOT (businessTerm CONTAINS {SPI, PII})

Acción

ALLOW

Regla 4.2

Condición

IF (userGroup contains DATA STEWARDS) AND NOT (businessTerm CONTAINS {SPI, PII})

Acción

ALLOW

Opcional La regla siguiente combina las reglas 4.1 y 4.2 en una sola regla:

Condición

IF (userGroup contains {DATA STEWARDS, DEVELOPERS}) AND NOT (businessTerm CONTAINS {SPI, PII})

Acción

ALLOW

Regla 5

Condición

IF (userGroup contains DEVELOPERS) AND (businessTerm CONTAINS PII) AND NOT (businessTerm CONTAINS SPI)

Acción

REDACT (PII)

Si se incluyen más atributos de activo o de usuario cuando se diseña la protección de datos, la tabla de resultados requiere columnas adicionales para enumerar todas las posibilidades.

Una captura de pantalla de Regla 2 en una interfaz de usuario:

Continuando con el ejemplo, considere la posibilidad de incluir otro atributo de activo, como una clase de datos con el valor SSN en el espacio de reglas. Para diseñar reglas en este escenario, repita las siguientes tareas anteriores con este nuevo particionamiento del espacio de activos:

• Identificar o particionar el activo y el espacio de usuario.
• Elección del resultado para cada partición.
• Definición de reglas para cada partición.

Diagramas de Venn para cada grupo de usuarios que incluye una clase de datos con el valor SSN en el espacio de reglas:

Con el atributo añadido y los resultados seleccionados correspondientes, se modifican las reglas siguientes en el espacio de reglas:

Regla 6

Condición

IF (userGroup contains DATA STEWARDS) AND (dataClass contains SSN)

Acción

REDACT (SSN)

Regla 7

Condición

IF (userGroup contains DEVELOPERS) AND (dataClass contains SSN) AND NOT (businessTerm CONTAINS SPI)

Acción

REDACT (SSN)

Regla 4 ' (modificación de Regla 4)

Condición

IF (userGroup contains {DATA STEWARDS, DEVELOPERS}) AND NOT (businessTerm CONTAINS {SPI, PII}) AND NOT (dataClass CONTAINS SSN)

Acción

ALLOW

En su lugar, si el convenio elegido es Desbloqueado (AEAD), las reglas se pueden diseñar en los valores siguientes:

• Convenio: Desbloqueado (AEAD) donde sin reglas, todos los usuarios obtienen acceso a todos los datos.
• Prioridad de acción de regla: La acción más segura gana
• Prioridad de método de enmascaramiento de reglas: El método con más privacidad gana

Regla 1

Condición

IF (userGroup contains DATA STEWARDS) AND (businessTerm contains SPI)

Acción

REDACT (SPI)

Regla 2

Condición

IF (userGroup contains DATA STEWARDS) AND (businessTerm contains PII)

Acción

OBFUSCATE (PII)

Regla 3

Condición

IF (userGroup contains DEVELOPERS) AND (businessTerm CONTAINS SPI)

Acción

DENY

Regla 4

Condición

IF (userGroup contains DEVELOPERS) AND (businessTerm CONTAINS PII)

Acción

REDACT (PII)

Regla 5

Condición

IF NOT (userGroup contains {ADMINISTRATORS, DATA STEWARDS, DEVELOPERS})

Acción

DENY

Si el atributo de activo, como la clase de datos con el valor SSN , se añade al espacio de reglas, las reglas se pueden modificar basándose en este nuevo particionamiento del espacio de activos.

Regla 6

Condición

IF (userGroup contains {DATA STEWARDS, DEVELOPERS}) AND (dataClass contains SSN)

Acción

REDACT (SSN)

(Opcional) Definición de meta reglas dinámicas para el proceso de excepciones de decisión

Copy link to section

Las meta reglas dinámicas se crean para añadir excepciones para determinados superusuarios. Cuando se define una meta regla dinámica para un determinado usuario o grupo de usuarios, se omiten todas las reglas de protección de datos definidas en la sección Definición de reglas para cada partición y se otorga acceso a todos los activos a los usuarios de la meta regla dinámica. Por ejemplo, si un grupo de usuarios de SUPERADMINS necesita un acceso de superusuario, se puede definir la siguiente meta regla dinámica:

Meta regla dinámica

Condición

IF (userGroup contains SUPERADMINS)

Acción

ALLOW

Una meta regla dinámica sólo se define con la acción ALLOW en los sistemas Bloqueado y Desbloqueado .

Más información

Copy link to section

• Diseño de reglas de protección de datos

Tema padre: Planificación de la implementación del gobierno de datos