Data Masking          

Die steigende Anzahl von Geschäftsvorfällen, in denen sensitive und vertrauliche Daten verloren gegangen oder gestohlen wurden oder aber „undicht“ waren, hat in der Industrie Panik ausgelöst. Da strenge Vorschriften und Regulierungs-Organisationen wie die PCI DSS, HIPAA, die GLBA, die DPA und SOX immer mehr Druck auf die Organisationen ausüben, werden die Anforderungen höher, wenn mit Gesundheitsinformationen von Patienten gearbeitet wird, Sozialversicherungs-Nummern, Kreditkarten-Nummern und anderen Arten von persönlichen und sensitiven Daten. Verletzungen der Datensicherheit können nicht mehr länger unter den Teppich gekehrt werden.

Datenmaskierung von strukturierten Daten ist der richtige Ansatz, um bestimmte Daten innerhalb einer Datenbank-Tabelle oder –Zelle unkenntlich zu machen, zu verschlüsseln oder zu maskieren. Denn so wird sichergestellt, dass Daten geschützt werden und sensitive Kundeninformationen nicht außerhalb der autorisierten Umgebung auftauchen. Datenmaskierung wird typischerweise in „Nicht-Produktions-Umgebungen“ ausgeführt, so dass für Test- und Entwicklungszwecke erstellte Kopien keinerlei sensitive Informationen zeigen. Maskierungs-Algorithmen werden auf „Nicht-Master-Tabellen“ genutzt, somit wird die referentielle Integrität eingehalten.

Hinter dem Begriff Datenmaskierung stehen u.a. folgende Funktionen: Daten-Erstellung, Daten-Anonymisierung und Daten-Bereinigung.

Grid-Tools bietet schnelle und einfache Methoden zur Datenmaskierung für die meisten gängigen Datenbanken und für komplizierte IT-Infrastrukturen an. Es werden aber  auch einfach und „out-of-the box“ Fast Data Masking™ Lösungen angeboten.

• Datenverschlüsselung, Daten-Maskierung und Daten-De-Identifikations-Projekte beginnen oft mit einer kleinen Anforderung aus dem DBA-Team um „etwas zu tun, damit sichergestellt ist, dass in der Entwicklung keinerlei Produktions- oder „Live“-Daten benutzt werden.“
• Die DBAs sind möglicherweise in der Lage, schnell einige Spalten zu verschlüsseln, die Verantwortung bzw die Daten-Eigentümerschaft kann aber nicht  innerhalb des DBA-Teams liegen. Die Kontrolle für ein Datenmaskierungs-/-Verschlüsselungs-Projekt sollte der Anwendungsentwicklung unterliegen, und zwar in Zusammenarbeit mit den entsprechenden „Dateneigentümern“ Zu viele Projekte scheitern daran, dass sie keinen grundlegenden Datenschutz gewährleisten.
• Üblicherweise wurden die Daten einfach aus der Live-Umgebung herauskopiert, um in der Entwicklungs-Umgebung und für das Testen genutzt zu werden. Doch dies wird nicht mehr als durchführbare und zuverlässige Option gesehen, um einerseits die Anforderungen der internationalen Gesetze zu erfüllen und andererseits einen möglichen Datendiebstahl, ein Delikt, das in letzter Zeit zu einem schwunghaften Handel geführt hat, zu unterbinden
• Eine geeignete Maßnahme die Erfüllung gesetzlicher Anforderungen zu gewährleisten besteht darin, Ihre sensitiven Daten „entsprechend zu behandeln”. Allerdings ist es nicht ausreichend, Daten einfach zu maskieren, denn die Daten selbst müssen aussagefähig bleiben. Es ist notwendig, dass die Transaktions-, Business- und relationale Integrität gewährleistet sind. Mit anderen Worten, die Daten müssen die gleichen Eigenschaften und Relationships haben wir die „echten Daten“.
• Die augenblicklichen Gesetze/Verordnungen/Richtlinien bezüglich des Datenschutzes schreiben vor, dass die Unternehmen Korrektheit und Sicherheit der persönlichen Daten ihrer Kunden gewährleisten müssen. Diese Vorschriften zu brechen wird international zunehmend als  ein kriminelles Vergehen gewertet und es gibt auch zunehmend Anstrengungen, um das Unternehmen, sowie den für die Nachlässigkeit verantwortlichen Angestellten zu bestrafen. Die Gewährleistung des Datenschutzes in Test- und Entwicklungsumgebungen ist noch nie so wichtig für das Personal eines Unternehmens gewesen. Und der Grid-Tools-Ansatz wird helfen, die Anforderungen zu gewährleisten.

Was ist ein Data Masking Framework?

• Das Verständnis für die Daten – ihre Eigenheiten, Qualitäts-Merkmale und Schnittstellen
• Von vornherein abklären, welche Daten sensitiv sind – vergessen Sie nicht, die internen IDs einzubeziehen
• Über die unterschiedlichen Methoden zu diskutieren und wie sie in der Anwendung angewandt werden, als Ganzes und im Detail auf Spalten-Level
• Aufbau einer Funktions-Bibliothek – denken Sie daran, einige Ihrer bestehenden Funktionen  wieder zu nutzen, um Non-Standard-Situationen zu behandeln
• Kaufen Sie ein Tool zum Verschlüsseln von Daten – wie Grid-Tools DatamakerTM
• Erwägen Sie, Daten ganz neu zu erstellen – das ist oft einfacher als man denkt und hat viele Vorteile bzgl. des Abdeckungsgrades des Codes
• Dokumentieren und halten Sie alles fest, was Sie tun
• Benutzen Sie normale Projekt-Kontrollmechanismen
• Vergessen Sie nicht, dass das Verschlüsseln immer auf dem neuesten Stand gehalten werden muss, berücksichtigen Sie diese Tatsache bei der Erstellung Ihrer Verschlüsselungs-Anwendung.
• Viele Unternehmen haben z.B. schon Kopien der Produktionsdaten, die für Reporting-Datenbanken oder mit Data Warehousing Tools genutzt werden. Diese Datenbank-Kopien sind durch Sicherheits-Layer und Zugriffs-Kontrolle geschützt. Die Reporting-Datenbank kann als Quelle für verschlüsselte Extrakte genutzt werden, ohne negative Auswirkungen auf die Performance der Produktion zu haben.
• GT-Datamaker-Berater werden Sie unterstützen, um:
• die Datenstrukturen zu analysieren und ein Modell der Datentypen Relationen zu erstellen. Dies ist typischerweise  Project-spezifisch.
• alle Key-Datenelemente auszuwerten. Durch diesen Ansatz wird ein Minimum von vier Key-Areas angesprochen, die notwendig sind, um einen effizienten Datenschutz zu gewährleisten:
• Klassifizierung von Datenelementen
• Methoden zur Behandlungder klassifizierten Daten - Identifizieren der technischen Maskierungs-Lösung
• Bearbeitung der Abhängigkeit der  Application-Daten (z.B. Übereinstimmung von Anrede und Geschlecht)
• Außerdem Erkennung des Risikos, sensitive Daten aus Non-Key-Feldern offenzulegen  (z.B. Kommentare, freie Formatfelder)
• Grid-Tools empfiehlt, mit einem klar definierten Projekt zu beginnen und sich dann schrittweise weiter in der Organisation vorzuarbeiten.

Grid-Tools Data Masking Architecture