CN1501623A - 用于远程传输敏感数据的方法和装置 - Google Patents

Abstract

本发明涉及一种远程传输和/或查看应用计算机(3，5，7)敏感数据(53)的方法，其中，对敏感数据的远程传输和/或查看按要求进行。在远程传输(53)和/或查看之前，对所要求数据的需要保密的数据成分，例如用于识别患者的数据进行识别并删除(41，49)。本发明还涉及一种远程传输和/或查看应用计算机(3，5，7)敏感数据的数据保护模块(13)，其中，要求对敏感数据的远程传输和/或查看，根据这种要求将敏感数据由应用计算机(3，5，7)传输至所述数据保护模块(13)。通过该数据保护模块(13)识别数据中需要保密的数据成分、例如姓名、年龄和/或地址，并将其排除在远程传输(53)和/或查看之外(41，49)。

Description

用于远程传输敏感数据的方法和装置

技术领域

本发明涉及用于远程传输敏感数据的一种方法和一种装置。其中，敏感数据应该理解为这样的数据，其部分需要保密，即包含需要保密的数据成分。

背景技术

当代通信技术使得可以在不同的地点之间传输多种数据。为了处理和传输数据通常使用计算机，其可以通过局域网、电话连接、无线接口或者因特网相互连接。通过这些连接的数据传输通常是可监听的，而且存在多种用于密码保护的机制。这些机制要么实现对整个通信路径的保护，要么用于对所有文件或者数据库进行加密。

尤其在医疗、科研和开发以及财政企业等领域需要对数据的有效保护。在这些领域中数据通信格外重要，同样重要的是使用计算机进行数据处理。对计算机系统和通信路径要尽最大可能进行加密保护以防窃听。

由于投入使用的计算机系统数量众多，其中部分是高度复杂的，因此密切的维护不可避免。这种维护也可能要求在非预期的和按不规则的时间间隔进行，例如当出现故障时。根据计算机系统的哪个部位出现了故障，可能要求在维护中例如向技术员显示处理敏感数据的应用。如果该技术员不属于有权了解该敏感数据的人员圈子，则这在现场维护措施中已经是不可接受的。在要评价远程维护措施的情况下，则问题更严重，其中，例如应用程序的功能或者显示器上的内容必须通过基本上没有保护的通信路径进行传输。

例如在使用计算机控制的诊断设备对患者进行医学检查中可以要求，引入一位维护专业人员，以便可以在系统中进行优化或者排除在计算机支持的诊断应用中出现的故障。如果在计算机支持的财务应用中例如出现了在运行过程中必须向维护人员展示的故障，则可能产生类似的问题。在查看运行的系统中不可避免的是，也可以看到需要保密的数据成分。

除了维护之外，为了培训的目的也需要查看计算机系统，以便可以演示完整应用的操作。这常常只有这样才可能，即提供应用工作所需的数据，而不涉及数据的实际内容。但是，对于没有被授权查看数据的人员的培训这本身就是不可能的。

此外，也恰恰是在医疗环境中在所谓的专家系统的范围内要求查看，在其中其它医疗专家参与评价医学数据。这里要求，使得参与的专家可以查看患者的诊断照片或者发病机理。由此，免不了使患者档案中涉及患者的数据被传输，并由此可能造成数据非授权地泄露。

特别快速和有效的数据交换大多通过数据远程传输进行。这同样适用于培训措施和专家系统以及远程维护措施，通过远程维护措施可以避免直到维护人员抵达现场前的等待时间。此外，也可以使得专家系统为维护人员所利用。对于远程维护有这样的可能，由远程工作的维护专业人员查看应用计算机中的数据。这包括同样如在工作存储器中查看运行的过程数据一样查看硬盘数据，此外还可以传输显示器上的内容，以便可以看到当前的提示和可以整体理解显示器的显示。这里专用应用的远程维护的前提是，在应用计算机和在远程维护计算机的硬件和软件兼容。

DE 19651270 C2探讨了对特别是计算机支持工作的医疗诊断设备，例如CT断层造影、MR扫描器或者图像档案工作站进行远程维护的可能性。其中，提出了通过使用统一的编程语言、例如HTML，使远程维护的实现更灵活的解决方案。但是，并没有给出防止维护技术人员看到敏感数据的可能性。

发明内容

本发明要解决的技术问题是，提供一种在计算机支持工作的应用中进行查看的可能性，该可能性允许尽可能地对应用计算机的数据和过程的查看，但同时又避免对需要保密的数据的查看可能性。

上述技术问题的解决是通过一种用于远程传输和/或查看应用计算机的敏感数据的方法和装置实现的。在本发明的方法中，要求对敏感数据的远程传输和/或查看；对所要求数据的需要保密的数据成分、例如用于识别患者的数据进行识别；并将所识别出的数据成分排除在远程传输和/或查看之外。在本发明的装置中，涉及一种数据保护模块，用于远程传输和/或查看应用计算机的敏感数据，其能够要求对敏感数据的远程传输和/或查看；根据应用计算机的这种要求能够将敏感数据传输至该数据保护模块；通过该数据保护模块可以识别数据中需要保密的数据成分、例如姓名、年龄和/或地址；并将所识别出的数据成分通过该数据保护模块排除在远程传输和/或查看之外。

本发明的基本思路在于，尽管在计算机支持工作的应用中可将总体数据提供给查看或者远程传输，但同时将所有需要保密的数据成分排除在传输或者观看之外。由此，可使要向其传输数据的计算机的观察者查看和跟踪计算机支持的应用的总体数据和过程，而同时又防止他进行没有授权的、对需要保密的数据成分进行查看的可能性。这里，总体数据被理解为那些在计算机中可供使用的信息，例如硬盘存储器内容、工作存储器内容或者显示器显示内容。需要保密的数据成分被理解如人的姓名、年龄、地址，ID、UID、密码、社会保险号码、银行帐户数据、财务信息或者调查数据。

在本发明的一个优选实施方式中，根据不同的需要将需要保密的数据成分删除、匿名化或使用假名。其中，匿名化指的是使所有涉及人的数据成分无法识别，由此不能或者只有通过大量时间、花费和劳动力才能将关于个人具体内容或者实际关系与所属人员联系起来。使用假名是通过一种记号使姓名和其它识别特征无法被识别，以便不能识别所涉及的人员或者使识别极其困难。这具有这样的优点，即根据不同的应用将对应的数据区域填入空格或者匿名或假名的显示元素，这些显示元素提示观察者，在各位置上放置的是何种类型的信息，以及在哪些位置尽管有信息存在但不能看到。

在本发明的另一优选实施方式中，还将需要保密的数据成分从显示器内容或者其它显示元素内容中除去。由此，得到这样的优点，即位于远处的观察者为了分析现场工作的系统可以看到和跟踪在显示器上的交互过程，但同时不能访问需要保密的数据。

在本发明的另一个优选实施方式中，数据的远程传输按设置在远处的计算机的要求进行，其中涉及一个服务维护提供者的工作位，其对对现场工作计算机进行远程维护。由此，尽管存在需要保密的数据仍然可以保证，维护人员在不用考虑授权状态的情况下而可以进行所有专业化的服务。特别是还可以通过变换的维护服务对具有需要保密数据的应用计算机进行快速和有效的远程维护。变换的、不同的维护在实际应用中经常出现。

在本发明的另一种优选实施方式中，通过数据保护模块消除需要保密的数据成分，该模块可以作为卡集成在应用计算机中，或者可以作为独立的设备与应用计算机连接。由此产生这样的优点，即几乎每个计算机工作位在需要时都可以用该数据保护模块模块化地构成。这样也可以在变换的应用区域中实现对应用计算机功能随后的构成以及适配。

附图说明

下面对照附图对本发明实施方式的优点作进一步的说明。图中，

图1示出了具有按照本发明的数据保护模块的计算机系统，

图2示出了本发明方法的实施。

具体实施方式

图1示出了具有按照本发明的数据保护模块13的计算机系统。该计算机系统设置在利用敏感数据工作的工作环境1中，例如医疗环境、在财政企业或者在调查机构中的环境。在该工作环境1中安装了作为诊断工作位的工作站3，其具有显示器4并在其中进行对敏感数据进行处理、存储、归档或者使敏感数据可用。

只要在工作环境1中为敏感数据提供了其它工作位，则通过在图1中没有详细示出的通信路径和工作环境的专门数据保护支持是足够的。但是，工作站3还拥有通信路径的连接，其使得可以通过工作环境1外部的通信路径交换数据。与该通信路径的连接通过调制解调器9实现，其中，这里的调制解调器可以是电话调制解调器以及无线调制解调器，或者网络连接。

因为工作站3可以访问敏感数据，所以必须由数据保护模块13控制或者阻止通过调制解调器9对工作站3的无权访问。在此，对数据的访问仅按照使数据保护模块13参与起作用的、远程传输或者查看的请求进行。按照这种请求不允许对敏感数据的直接访问，而是通过间接激活数据保护模块13进行的。其中，对数据保护模块13的激活实现可以是依赖于角色的，即依赖于对请求的识别，或者依赖于各数据通道，即依赖于请求的内部或外部位置，或者依赖于可以直接激活数据保护模块13的用户输入。

数据保护模块13和调制解调器9可以作为插件卡或者插接部件集成在工作站中，并共同构成硬件结构，这通过用虚线画出的边框2示出。但是，这些部件可以不妨碍功能地作为单独的设备从外部与工作站连接，此外，数据保护模块13和调制解调器9自身也可以集成为共同的部件，这在图中没有示出。此外，数据保护模块13也可以是一个在工作站3、在与其分离的服务器中或者在调制解调器9中集成的软件模块。此外，数据保护模块1 3和调制解调器9的顺序也可以交换，使得调制解调器9可直接与工作站3连接，并通过数据保护模块13建立与工作环境1外的通信路径的连接。

在工作环境1中可以安装其它同样利用敏感数据工作的计算机支持的工作位，例如用于产生医疗诊断图像数据的模件5，或者可以借助电子患者档案处理诊断数据和药品的医疗工作位7。其它的以及根据工作环境的分离的不同的计算机支持的应用也是可以设想的，这些应用处理敏感数据并可以在工作环境1内通过在图1中没有示出的数据网络相互连接。对于每个这样的工作位可以通过调制解调器9建立通过数据保护模块13保护的、至工作环境1外部的通信路径11。

只要至外部通信路径11的数据连接用于交换包含需要保密的数据成分的敏感数据，就需应用加密的数据保护机制，这不是本发明的主题。但是存在多个数据连接，它们尽管是建立来交换敏感数据的，但不是用来交换需要保密的数据成分的。这种数据连接的应用可以是在专家系统范围内的对数据的查看，其中，要针对不需要保密的数据成分咨询工作环境1之外的医疗专家，而为此需要保密的数据成分不是所需要的。还可以设想为了其它目的数据连接，例如用于交换来自应用的一般信息或者建立可供个人使用的、用于发送电子邮件或者传输文件的通信连接，其与应用没有直接的关系，但开启了对工作环境1内的计算机访问的可能性。

至工作环境1外部的数据连接也可以特别地用于对计算机支持应用的远程维护，其中，例如可以从外部查询所安装软件的版本号、从外部执行软件、从外部查看故障报告，或者从外部观察需要优化的计算机行为。这种远程维护措施是常见的，因为通过电子数据连接的查看可以迅速地实现，并在必要时可以咨询在远程维护服务中心的其它维护专业人员。这里，维护分别涉及安装的硬件或者软件以及其工作方式，为此必要时必须启动应用程序。但是，这里维护专业人员不能查看需要保密的数据，以便其可以独立于授权状态进行工作。

只要需要对工作环境1的应用计算机进行远程维护，就可以由远程维护中心15来进行，该中心例如由软件制造商或者由专门的维护企业运行。与这种维护中心15的连接通过公共通信路径11实现，远程维护中心15同样通过调制解调器9与通信路径11连接。该连接由具有显示器19的维护工作站17建立，从该工作站维护专业人员可以访问待维护的计算机、在计算机上安装的软件和其上所有没有通过数据保护模块13保护的数据。在这种访问中可以查看数据、在应用计算机3，5，7中启动应用、查看应用显示器4的显示器内容，或者在应用计算机3，5，7或维护工作站17上启动维护程序。

但是，维护访问不仅可以从维护中心15出发，还可以从其它服务计算机，例如从笔记本计算机21进行，该笔记本同样可以通过一个调制解调器9建立与应用计算机3，5，7的连接。其中，与从服务中心15出发的同样的功能可供使用，特别是包括在笔记本显示器23上查看应用显示器4的显示器内容。但是，通过笔记本21或者类似的移动设备的维护也允许用于现场维护，该措施可能特别在考虑硬件问题时出于维护的目的而所需。为了该目的，调制解调器9允许数据连接的建立者不仅通过公共通信路径11，而且也与对应的调制解调器的直接连接或者与应用计算机3，5，7连接。但是，这种在工作环境1中现场的维护访问也是通过数据保护模块13保护的，因为在现场也不允许维护专业人员观看需要保密的数据。

在此，通过数据保护模块13保护的连接，使用维护笔记本21可以维护连接计算机，而不必查看有可能显示需要保密的数据的应用显示器4。但是，如果要进行维护，仍可以同样通过数据保护模块13保护在应用显示器4上显示的内容。为此目的必须将数据保护模块13集成在应用计算机3中，或者集成在应用计算机3和应用显示器4之间的连接中。这样，如果要进行维护可以借助于按压按钮激活对显示器内容的数据保护。

数据保护模块13承担这样的任务，即阻止对需要保密的数据成分的查看。但是，在此仍应使基于需要保密数据的应用程序保持为可执行的，并使计算机的其它数据内容自由地用于分析。只要需要分析在应用敏感数据的条件下在应用程序运行中才可以观察到的弱点或故障，这点就尤其需要用于应用程序的优化和维护。为了这一目的可以通过数据保护模块13原则上传输所有数据和显示器内容。但是，在传输之前数据保护模块13识别待传输数据中需要保密的数据成分。这些数据成分尤其可以是所有个人的或者人口统计的信息，例如患者或客户的姓名、ID、UID、密码、社会保险号码、生日、地址、银行帐户、经济状况信息或者关键调查或统计评估的结果。特别重要的是对在医疗领域中个人信息的保密，其中以电子患者档案的形式提供了关于个人、发病机理和对患者诊断的全部信息。这里，用非常复杂的应用计算机对特别敏感的数据进行处理。同时在医疗领域中应用计算机的优化状态是对系统特别有效和密切维护的必要前提。

数据保护模块13在传输患者档案或者文件的预定格式下识别文件或档案内包含需要保密的数据成分的数据区域。为此，数据保护模块13可以访问一个集成的或者连接的存储器，该存储器中包含一种数据格式的分配以及包含在其中的、需要保密的数据区域，并且可以按数据区域标志识别这些数据区域。该存储器特别可以是一个集成在数据保护模块13中的、不可擦除的存储器，例如一个F1ash、EPROM或者EEPROM。但是，其也可以是硬盘。只要要传输文件或者电子档案，就通过由数据保护模块13支持的通信协议实现，例如TCPIP或FTP。此外，数据保护模块13还支持待传输的文件格式。不支持的文件格式或不支持的通信协议的数据传输是不可能的。

数据保护模块13还可以访问包含需要保密的数据的参考数据库。由此可以将待传输的数据与参考数据库的内容进行比较，以便识别需要保密的数据成分。其中，参考数据库可以包含这样的数据，该数据在工作环境1中编制文件和档案时保持一个指明需要保密性的标注。该标注影响到将对应的数据填写到参考数据库中。在数据库系统中可以将对应的数据存储到参考数据库中，并由应用分别从该数据库中调用。参考数据库可以例如是一个人员数据库，为了保护该数据库可以采用特殊的数据保护措施。数据保护模块13完全阻止出现在参考数据库中的数据传输。

参考数据库还可以包含独立于工作环境1存储的、可能需要保密的信息的清单。例如，为了保护涉及个人的数据可以安装一个参考数据库，该参考数据库包含所有已知姓名的目录，而且与各姓名是否在工作环境1中使用无关。由此保证了，数据保护模块13通过与参考数据库比较可以阻止所有姓名的传输。按照类似的方式，可以在参考数据库中存储所有医疗诊断结果、财务的关键方案或者关键的人口统计内容。

数据保护模块13还可访问存有用于需要保密的数据成分的检索掩码的存储器。这里，可以是对常用的日期格式的日期检索掩码，如##.##.####、##/##/##或##.mmm.####。还可以是对地址内容的检索掩码，例如识别街道名和街道号或者邮政编码和地区以及国家的典型组合。此外，可以根据给定货币识别用于营业额的检索掩码，或者使用用于排除所有数字或字母的检索掩码。

另外，数据保护模块13还支持对代表显示器内容或者视频帧的数据的传输。当前显示的或者在图形存储器中存储的显示器显示可以同样为了远程维护或者培训或者仅为查看而被传输，以便使得交互过程或者显示器指示可以远程看到。因为其也可能包含应用计算机3，5，7的需要保密的数据成分，因此其传输同样要防止未授权的查看。

为此，数据保护模块拥有能够在显示器内容中识别该数据成分的程序。但是，显示器内容不是按通常的、例如ASCII的数据格式，而是必须特别通过数据识别程序进行分析。为此目的将显示器数据以类似OCR程序的方式尽可能地转换为ASCII数据，只要其没有按类似ASCII的数据格式被传输。对类似ASCII或者变换回ASCII的显示器内容，同样如待传输的文件和电子档案一样，在使用检索掩码或者参考数据库的条件下找出需要保密的数据成分。即，数据保护模块13以类似于文件和电子档案的方式处理显示器内容和视频帧。通过数据保护模块13识别的需要保密的数据成分被从待传输的数据中删除、匿名化或使用假名。

对显示器内容还可以以更简单的方式在在显示器19，23上表示出来之前被检验和保护。为此，在表示的数据可视之前，数据保护模块13已经识别出需要保密的数据成分并将其删除。这样，显示器内容的建立在与通过数据保护模块13的处理联系起来之后才实现。这样对敏感数据的可靠保护也在对显示器内容的传输中得到保证，而不需要例如用于分析基于像素的视频帧的特殊程序。

特别是在对具有固定预定数据区域的文件和档案的传输中，数据成分的删除造成，接收的文件包含有部分空白的数据区域。但是，由于文件或者档案固定的预定格式，信息的上下文没有因为删除而改变，使得传输的信息对于接收者保持良好的可读性。但是，在一定的情形下可能要求接收者得到一个提示，传输排除了哪些和在何处的数据成分。为此目的，数据保护模块13拥有将排除在传输之外的数据不是删除而是匿名化或使用假名的程序。

在匿名化中应该使所有涉及人或实际关系的数据成分无法识别或者不再可以关联。为此，例如可以将各删除的数据覆盖一个检查掩码，例如将每个删除的数字用一个菱形替代，或将每个删除的字母用一个x替代。另外，还可以使不可识别以变黑或者独立于内容的检查掩码的形式进行。在使用假名中，是通过记号置换姓名和其它识别特征，以便不能识别所涉及的人员。即，对涉及计个人的数据成分分别代之以传输一个假名，例如“MaxMustermann”、“Prename Name”或“ID”或“UID”。

匿名化以及尤其是使用假名一方面提示传输数据的接收者，传输中排除了何种类型的数据，即，是否是姓名、地址、生日或者类似的内容，另一方面提供接收者关于在其得到的传输数据的哪些位置上排除了数据成分的信息。这种信息在对应用程序的维护中可能是特别重要的，即其工作方式取决于是否某些数据区域被填写了或者是否存在某些信息。

数据保护模块13尤其具有对于实现远程维护目的的功能，即进行数据询问和处理。为此目的，它可以通过数据连接接收远程维护计算机17的询问。随着该询问传输远程维护计算机17的识别数据，数据保护模块13通过将其与从识别数据存储器中调用的识别数据进行比较来进行验证。识别数据存储器可作为不可擦除存储器集成在数据保护模块13中，或者作为例如应用计算机中的外部存储器，是可以访问的。如果远程维护计算机17被识别，则数据保护模块13将数据询问通过为此设置的数据连接转送至应用计算机3，5，7。此外，如果其通过为此设置的数据连接接收了待传输的数据，则将其转送至远程维护计算机17，其中，需要保密的数据成分被排除在传输之外。

图2示出了按照本发明的用于远程传输敏感数据的方法。在步骤31，由远程或者分离设置的计算机17、21或一个一定角色(即具有一定授权状态)的用户向应用计算机3，5，7提出数据要求，用于远程传输或者查看数据。在步骤33，进行检验，是否允许向请求的计算机完全传输所有数据，必要时在步骤35进行完全的传输，否则在步骤37进行检验，待传输的数据是否包含敏感的数据成分。对敏感数据成分的检验按照待传输文件或档案对应的特征，或者借助应用检索掩码，或者通过与参考数据库的内容进行比较而实现。

在步骤39，将待传输的数据中所有需要保密的数据成分按照这样的方式识别，并在步骤41中删除、匿名化或使用假名。执行三种可能性中的哪个和采用哪种格式或者假名，将根据在数据库42中包含的匿名化设置来确定。其中，根据待传输数据的类型(例如其是否是文件或者诸如电子邮件或交谈的通信数据)，并根据数据的内容(例如是否是患者档案或者图像数据)来决定选择三种形式中的哪种。

在下面的步骤43中，进行检验，待传输的数据是否包含显示器数据或者视频帧。必要时在步骤45使用适当的程序进行检查，该显示器内容或者视频帧是否以类似ASCII形式的或者以变换回ASCII的形式包含需要保密的数据成分。如果是，则在步骤47中识别该需要保密的数据成分并在随后的步骤49中将其排除在传输之外。为此目的访问匿名化数据库51，该数据库包含了关于是否应该和应该按哪种形式对需要保密的数据成分进行删除、匿名化或使用假名。在步骤53对所请求的数据进行传输，其中，所有需要保密的数据成分通过前面的方法步骤已经被排除在传输之外。

按照本发明的方法以特殊的方式适合于在具有敏感数据的工作环境1中对于应用计算机3，5，7进行远程维护，因为该方法可以在步骤31通过远程维护计算机17的远程询问而被启动。为此目的，可以在该方法的开始进行对远程维护计算机的识别，由此可以保证，只有授权的远程维护计算机17，21可以访问敏感数据和应用计算机3，5，7。

Claims (16)

1.一种用于远程传输和/或查看应用计算机(3，5，7)的敏感数据(53)的方法，其特征在于，要求对敏感数据的远程传输和/或查看，对所要求数据的需要保密的数据成分、例如用于识别患者的数据进行识别，并将所识别出的数据成分排除在远程传输(53)和/或查看之外(41，49)。

2.根据权利要求1所述的方法，其特征在于，将所述识别出的数据成分通过删除、匿名化和/或使用假名(41，49)而排除。

3.根据权利要求1或2所述的方法，其特征在于，对所述需要保密的数据成分通过与参考数据库的内容进行比较来识别，例如与姓名数据库、地址数据库和/或人员数据库的内容进行比较。

4.根据上述权利要求中任一项所述的方法，其特征在于，对所述需要保密的数据成分通过与检索掩码进行比较来识别，例如与用于日期格式和/或地址格式的检索掩码进行比较。

5.根据上述权利要求中任一项所述的方法，其特征在于，对所述需要保密的数据成分根据其在敏感数据中的位置来识别，例如其在姓名数据区域和/或地址数据区域的位置。

6.根据上述权利要求中任一项所述的方法，其特征在于，所述敏感数据包括显示器内容和/或视频帧。

7.根据上述权利要求中任一项所述的方法，其特征在于，根据远程请求计算机(17)的要求(31)传输所述数据，用于对应用计算机的远程维护。

8.一种数据保护模块(13)，用于远程传输和/或查看应用计算机(3，5，7)的敏感数据，其特征在于，其能够要求对敏感数据的远程传输和/或查看，根据应用计算机(3，5，7)的这种要求能够将敏感数据传输至该数据保护模块(13)，通过该数据保护模块(13)可以识别数据中需要保密的数据成分、例如姓名、年龄和/或地址，并将所识别出的数据成分通过该数据保护模块(13)排除在远程传输(53)和/或查看之外(41，49)。

9.根据权利要求8所述的数据保护模块(13)，其特征在于，所述数据保护模块(13)可以实现为可插入应用计算机(3，5，7)的卡，或者可以实现为可与应用计算机(3，5，7)连接的设备，或者实现为集成在应用计算机(3，5，7)中的部件。

10.根据权利要求8或9所述的数据保护模块(13)，其特征在于，可通过该数据保护模块(13)将识别出的数据成分删除、匿名化和/或使用假名(41，49)。

11.根据权利要求8、9或10所述的数据保护模块(13)，其特征在于，所述数据保护模块(13)可以访问参考数据库、例如姓名数据库、地址数据库和/或人员数据库，以及可以由该数据保护模块(13)通过与参考数据库内容进行比较来识别需要保密的数据成分。

12.根据权利要求8、9、10或11所述的数据保护模块(13)，其特征在于，所述数据保护模块(13)可以访问检索掩码存储器，例如用于日期检索掩码和/或地址检索掩码的检索屏蔽存储器，以及可以由该数据保护模块(13)通过与检索掩码的内容进行比较来识别需要保密的数据成分。

13.根据权利要求8、9、10、11或12所述的数据保护模块(13)，其特征在于，所述数据保护模块(13)可以根据所述数据的需要保密的数据成分在敏感数据中的位置来对其进行识别，例如其在姓名数据区域和/或地址数据区域的位置。

14.根据权利要求8、9、10、11、12或13所述的数据保护模块(13)，其特征在于，所述数据保护模块(13)可以在表示显示器内容和/或视频帧的敏感数据中识别出所述需要保密的数据成分。

15.根据权利要求8、9、10、11、12、13或14所述的数据保护模块(13)，其特征在于，所述数据保护模块(13)具有一用于接收远程计算机(17，21)的传输敏感数据的要求的数据连接，所述数据保护模块(13)具有一用于向应用计算机(3，5，7)传输要求的数据连接，所述数据保护模块(13)具有一用于从应用计算机(3，5，7)接收所述敏感数据的数据连接，以及所述数据保护模块(13)具有一用于将所述数据传输至所述远程计算机(17，21)的数据连接。

16.根据权利要求15所述的数据保护模块(13)，其特征在于，所述数据保护模块(13)可以访问一存储器，该存储器包含用于识别远程维护计算机(17，21)的识别数据，通过该数据保护模块(13)在使用该识别数据的条件下可以识别计算机(17，21)，以及仅根据识别的结果将数据传输至远程计算机(17，21)。

Images