ES2945428T3 - Procedimiento de etiquetado de objetos en un entorno de tratamiento de grandes volúmenes de datos y sistema de etiquetado asociado - Google Patents

Procedimiento de etiquetado de objetos en un entorno de tratamiento de grandes volúmenes de datos y sistema de etiquetado asociado Download PDF

Info

Publication number
ES2945428T3
ES2945428T3 ES21184555T ES21184555T ES2945428T3 ES 2945428 T3 ES2945428 T3 ES 2945428T3 ES 21184555 T ES21184555 T ES 21184555T ES 21184555 T ES21184555 T ES 21184555T ES 2945428 T3 ES2945428 T3 ES 2945428T3
Authority
ES
Spain
Prior art keywords
type
attribute
access
marker
access rule
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
ES21184555T
Other languages
English (en)
Inventor
Jean-François Wiorek
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Thales SA
Original Assignee
Thales SA
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Thales SA filed Critical Thales SA
Application granted granted Critical
Publication of ES2945428T3 publication Critical patent/ES2945428T3/es
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/104—Grouping of entities
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/6218—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/64—Protecting data integrity, e.g. using checksums, certificates or signatures
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/105—Multiple levels of security
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Computing Systems (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Software Systems (AREA)
  • General Health & Medical Sciences (AREA)
  • Bioethics (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Health & Medical Sciences (AREA)
  • Databases & Information Systems (AREA)
  • Storage Device Security (AREA)
  • Radar Systems Or Details Thereof (AREA)
  • Ultra Sonic Daignosis Equipment (AREA)
  • Image Analysis (AREA)
  • Management, Administration, Business Operations System, And Electronic Commerce (AREA)
  • Information Retrieval, Db Structures And Fs Structures Therefor (AREA)

Abstract

Este método de etiquetado (100) comprende los siguientes pasos de creación (110) en dicho entorno de procesamiento de un marcador para cada atributo de un archivo tipo SPIF, de creación (120) en dicho entorno de procesamiento de un grupo de usuarios para cada atributo de dicho Fichero tipo SPIF, determinación (130) para cada marcador correspondiente a un atributo de tipo de clasificación de una regla de acceso que comprende una autorización de acceso para cada grupo de usuarios correspondiente a un atributo de tipo de clasificación de nivel jerárquico superior o igual al nivel jerárquico de la atributo de tipo de clasificación correspondiente a este marcador, y de asociación (160) con cada objeto de dicho entorno de procesamiento de al menos un marcador. (Traducción automática con Google Translate, sin valor legal)

Description

DESCRIPCIÓN
Procedimiento de etiquetado de objetos en un entorno de tratamiento de grandes volúmenes de datos y sistema de etiquetado asociado
[0001] La presente invención se refiere a un procedimiento de etiquetado de objetos en un entorno de tratamiento de grandes volúmenes de datos.
[0002] La presente invención se refiere también a un sistema de etiquetado asociado a este procedimiento.
[0003] La invención se sitúa en el campo técnico de los procedimientos de tratamiento y de seguridad de grandes volúmenes de datos. Este tipo de datos se conoce más habitualmente por la denominación inglesa de «Big Data» que en algunos casos se traduce también por el término «megadatos» o «datos masivos».
[0004] De manera general, los datos de tipo Big Data presentan datos cuyo volumen no permite tratarlos de manera eficaz por un ser humano ni por ningún otro procedimiento de automatización clásico.
[0005] Así, en el estado de la técnica, existen numerosos procedimientos de tratamiento diseñados especialmente para este tipo de datos.
[0006] Algunos de estos procedimientos pueden reunirse entre sí para formar un entorno particular de tratamiento de datos de tipo Big Data.
[0007] Dicho de otro modo, por «entorno de tratamiento de grandes volúmenes de datos» se entiende un conjunto de procedimientos y de herramientas de tratamiento de estos datos reunidos según un cierto criterio. Dicho criterio puede referirse por ejemplo a la manera de usar estos procedimientos y herramientas, la interfaz de interacción con el usuario, el campo de aplicación, etc. Un ejemplo de dicho entorno de tratamiento es el entorno Hadoop.
[0008] Se sobreentiende, para ser eficaces, que los procedimientos de tratamiento de datos de tipo Big Data deben poder usar el conjunto de los datos disponibles.
[0009] Sin embargo, esta necesidad se enfrenta a problemas de seguridad cuando los datos presentan sensibilidades diferentes.
[0010] De hecho, según los procedimientos del estado de la técnica, se procede en general a una compartimentación de datos de sensibilidades diferentes para preservar su confidencialidad. Dicho de otro modo, según estos procedimientos, los datos de sensibilidades diferentes se tratan de manera separada.
[0011] Se entiende así que la compartimentación de datos va en contra de los procedimientos de tratamiento de datos de tipo Big Data que, por el contrario, necesitan tener en cuenta un máximo de datos.
[0012] La presente invención tiene por objeto permitir el tratamiento de datos de tipo Big Data respetando su confidencialidad y sin compartimentación que separe los datos de sensibilidades diferentes.
[0013] Para este fin, la invención propone un procedimiento y un sistema tal como se define en las reivindicaciones 1 y 10. Las reivindicaciones dependientes se refieren a implementaciones particulares.
[0014] Las características y ventajas de la invención aparecerán con la lectura de la descripción que se ofrece a continuación, proporcionada únicamente a modo de ejemplo no limitativo, y hecha en referencia a los dibujos adjuntos, en los que:
- [Fig. 1] la figura 1 es una vista esquemática de un sistema de etiquetado según la invención; y
- [Fig. 2] la figura 2 es un organigrama de un procedimiento de etiquetado según la invención, siendo el procedimiento de etiquetado implementado por el sistema de etiquetado de la figura 1.
[0015] El sistema de etiquetado 10 de la figura 1 permite etiquetar objetos en un entorno de tratamiento 13 de grandes volúmenes de datos según una política de etiquetado.
[0016] Como se explica anteriormente, el entorno de tratamiento 13 de grandes volúmenes de datos presenta un conjunto de procedimientos y de herramientas adaptados para tratar los datos de tipo Big Data designados en la figura 1 por la referencia numérica 12. Un ejemplo de dicho entorno es el entorno Hadoop.
[0017] Por «objeto» en dicho entorno de tratamiento se entiende una unidad mínima en la que se efectúa el tratamiento. Puede tratarse por ejemplo de un archivo, un grupo de archivos o cualquier otra entidad elemental como por ejemplo el objeto conocido por el término «datastore» o el objeto conocido por el término «dataset».
[0018] De manera conocida de por sí, el entorno de tratamiento 13 de datos de tipo Big Data define un cierto número de elementos que permiten manejar el acceso a los objetos por los usuarios.
[0019] Entre estos elementos, existen especialmente elementos denominados «marcadores» que pueden asociarse a cada objeto. Así, cada marcador define reglas de acceso al objeto al que está asociado. En el entorno Hadoop, los marcadores se conocen por la denominación «TAG» o «TAG ATLAS».
[0020] Existen también elementos denominados «grupos de usuarios» que permiten definir usuarios que tienen derechos de acceso equivalentes. En el entorno Hadoop, los grupos de usuarios se conocen por la denominación «User Group».
[0021] Finalmente, existen también elementos denominados «reglas de acceso» que permiten asociar a un marcador las condiciones de acceso con respecto a grupos de usuarios. En el entorno Hadoop, las reglas de acceso se conocen por la denominación «Policy Ranger».
[0022] En particular, cada regla de acceso presenta, para un marcador dado, al menos una autorización de acceso y/o una prohibición de acceso. Cada autorización de acceso (conocida por la denominación inglesa «Allow») o cada prohibición de acceso (conocida por la denominación inglesa «Deny») permite autorizar o prohibir a al menos un grupo de usuarios una acción en relación con el marcador. Esta acción puede comprender el derecho de lectura o de escritura o de ejecución.
[0023] Como se indica anteriormente, el sistema de etiquetado 10 según la invención permite etiquetar los objetos del entorno 13 según una política de etiquetado.
[0024] En particular, por «política de etiquetado» se entiende un conjunto de atributos de seguridad y de reglas de asociación de estos atributos.
[0025] Según la invención dicha política de etiquetado se describe en un archivo de tipo SPIF (del inglés «Security Policy Information File») designado en la figura 1 por la referencia numérica 14. Los archivos de tipo SPIF imponen así un formato específico de descripción de una política de etiquetado.
[0026] Según este formato, cada atributo presenta un tipo elegido entre el tipo clasificación, el tipo restrictivo o el tipo permisivo.
[0027] Los atributos de tipo clasificación, denominados también atributos de confidencialidad, definen un nivel jerárquico entre sí.
[0028] En particular, cada atributo de tipo clasificación define un valor correspondiente al nivel jerárquico de este atributo que permite acceder a cada atributo de tipo clasificación de un nivel jerárquico inferior o igual a este nivel jerárquico.
[0029] Por ejemplo los atributos que designan el nivel de habilitación de un usuario, en concreto, «NP» (no protegido), «DR» (difusión restringida), «CD» (confidencial defensa), «SD» (secreto defensa) y «TS» (muy secreto defensa), definen cada uno un valor elegido entre los valores «NP», «DR», «CD», «SD» y «TS». El nivel jerárquico entre los atributos que tienen valores diferentes se elige según la regla siguiente: NP<DR<CD<SD<TS.
[0030] Cada atributo de tipo restrictivo define una lista de valores y una condición de acceso con una lógica de «Y» entre los valores de esta lista.
[0031] Cada atributo de tipo permisivo define una lista de valores y una condición de acceso con una lógica de «0» entre los valores de esta lista.
[0032] En referencia a la figura 1, el sistema de etiquetado 10 comprende un módulo de entrada 21, un módulo de tratamiento 22 y un módulo de seguridad 23.
[0033] El módulo de entrada 21 permite recibir el archivo de tipo SPIF 14 y leer la política de confidencialidad descrita en este archivo 14.
[0034] El módulo de tratamiento 22 permite interpretar la política de confidencialidad descrita en el archivo 14 con el fin de transponerla al entorno de tratamiento 13, por ejemplo Hadoop, de los datos 12. Dicho de otro modo, el módulo de tratamiento 22 permite etiquetar los datos 12 de acuerdo con la política de confidencialidad descrita en el archivo 14.
[0035] El módulo de seguridad 23 permite asegurar el etiquetado efectuado por el módulo de tratamiento 22.
[0036] Los módulos 21, 22, 23 se presentan por ejemplo al menos parcialmente en la forma de programas de software. En este caso, estos programas de software son implementados especialmente por al menos un procesador (no representado) del sistema 10 usando por ejemplo una memoria de acceso aleatorio (no representada) de este sistema 10.
[0037] Según otro ejemplo de realización, al menos uno de estos módulos 21, 22, 23 se presenta al menos parcialmente en la forma de un circuito lógico programable, tal como por ejemplo un circuito de tipo FPGA (del inglés «Field-Programmable Gate Array»).
[0038] El procedimiento de etiquetado 100 implementado por el sistema de etiquetado 10 se explicará adicionalmente en referencia a la figura 2 que presenta un organigrama de sus etapas.
[0039] Inicialmente, se considera que se suministra el archivo de tipo SPIF 14 que describe una política de etiquetado. El módulo de entrada 21 recibe entonces este archivo y extrae de él el conjunto de los atributos, así como las reglas de asociación que corresponden.
[0040] Durante una etapa inicial 110 del procedimiento, el módulo de tratamiento 22 crea en el entorno de tratamiento 13 un marcador para cada atributo de cada tipo de dicho archivo 14.
[0041] El nombre de cada marcador así creado presenta por ejemplo una concatenación de un término específico (por ejemplo «TAG» en el entorno Hadoop) con el nombre de la política de etiquetado y el nombre del atributo correspondiente.
[0042] Por ejemplo, para la política de etiquetado denominada «FRANCIA» y que define los atributos «NP», «DR», «CD», «SD» y «TS» como se define anteriormente, se crean los marcadores siguientes:
TAG_FRANCIA_NP;
TAG_FRANCIA_DR;
TAG_FRANCIA_CD;
TAG_FRANCIA_SD;
TAG_FRANCIA_TS.
[0043] Durante la etapa siguiente 120, el módulo de tratamiento 22 crea en el entorno de tratamiento 13 un grupo de usuarios para cada atributo de dicho archivo 14.
[0044] Como en el caso anterior, el nombre de cada grupo de usuarios así creado presenta por ejemplo una concatenación de un término específico (por ejemplo «G» en el entorno Hadoop) con el nombre de la política de etiquetado y el nombre del atributo correspondiente.
[0045] En el ejemplo anterior de la política de etiquetado denominada «FRANCIA» y que define los atributos «NP», «DR», «CD», «SD» y «TS», se crean los grupos de usuarios siguientes:
G_FRANCIA_NP;
G_FRANCIA_DR;
G_FRANCIA_CD;
G_FRANCIA_SD;
G_FRANCIA_TS.
[0046] Después, durante las etapas 130, 140 y 150 implementadas por ejemplo en paralelo, el módulo de tratamiento 22 define las reglas de acceso para cada tipo de atributo en función de las reglas de asociación correspondientes.
[0047] En particular, durante la etapa 130, el módulo de tratamiento 22 define las reglas de acceso para cada atributo de tipo clasificación.
[0048] Para ello, el módulo de tratamiento 22 determina para cada marcador correspondiente a un atributo de tipo clasificación una regla de acceso que define al menos un grupo de usuarios con autorización para acceder a un objeto asociado al marcador.
[0049] En particular, cada regla de acceso definida durante esta etapa incluye una autorización de acceso para cada grupo de usuarios correspondiente a un atributo de tipo clasificación de nivel jerárquico superior o igual al nivel jerárquico del atributo de tipo clasificación que corresponde al marcador para el que se determina esta regla de acceso.
[0050] De manera equivalente, cada regla de acceso puede incluir una prohibición de acceso para cada grupo de usuarios correspondiente a un atributo de tipo clasificación de nivel jerárquico inferior al nivel jerárquico del atributo de tipo clasificación que corresponde al marcador para el que se determina esta regla de acceso.
[0051] También de manera equivalente, cada regla de acceso puede incluir autorizaciones de acceso y prohibiciones de acceso.
[0052] Además, como en el caso anterior, el nombre de cada regla de acceso así creada presenta por ejemplo una concatenación de un término específico (por ejemplo, «P» en el entorno Hadoop) con el nombre de la política de etiquetado y el nombre del atributo correspondiente.
[0053] En el ejemplo anterior de la política de etiquetado denominada «FRANCIA» y que define los atributos «NP», «DR», «CD», «SD» y «TS», se crean las políticas siguientes:
P_FRANCIA_NP;
P_FRANCIA_DR;
P_FRANCIA_CD;
P_FRANCIA_SD;
P_FRANCIA_TS.
[0054] Como complemento, durante la misma etapa 130, el módulo de tratamiento 22 determina además para la autorización de acceso de cada regla de acceso uno o varios tipos de acción autorizados en relación con el objeto al cual se aplica esta autorización. Para cada grupo de usuarios mencionado en la regla de acceso correspondiente se determina, por ejemplo, al menos un tipo de acción.
[0055] En particular, cada tipo de acción se elige en la lista que comprende:
- lectura;
- escritura;
- ejecución.
[0056] Para las reglas de acceso determinadas para los marcadores que corresponden a los atributos de tipo clasificación, cada tipo de acción para cada grupo de usuarios se elige por ejemplo en función del nivel jerárquico del atributo de tipo clasificación que corresponde a este grupo de usuarios.
[0057] Así, por ejemplo, la acción «escritura» se elige únicamente para el grupo de usuarios correspondiente al atributo de tipo clasificación del mismo nivel jerárquico que el atributo de tipo clasificación del marcador correspondiente.
[0058] Por el contrario, la acción «lectura» se elige por ejemplo para cada grupo de usuarios correspondiente al atributo de tipo clasificación de nivel jerárquico superior o igual que el nivel jerárquico del atributo de tipo clasificación del marcador correspondiente. Sucede lo mismo, por ejemplo, en lo que se refiere a la acción «ejecución».
[0059] Teniendo en cuenta el nivel jerárquico NP<DR<CD<SD<TS, la regla de acceso P_FRANCIA_NP puede formularse, por ejemplo, según la tabla siguiente:
Figure imgf000005_0001
Figure imgf000005_0002
[0060] De manera análoga, la regla de acceso P_FRANCIA_SD puede formularse, por ejemplo, según la tabla siguiente:
Figure imgf000006_0001
[0061] Durante la etapa 140, el módulo de tratamiento 22 define una regla de acceso en relación con cada atributo de tipo restrictivo.
[0062] En particular, el módulo de tratamiento 22 determina para cada marcador correspondiente a un atributo de tipo restrictivo una regla de acceso que comprende una autorización de acceso para el grupo de usuarios correspondiente al mismo atributo de tipo restrictivo.
[0063] Dicho de otro modo, cada regla de acceso determinada durante esta etapa para un marcador da una autorización de acceso al grupo de usuarios correspondiente al mismo atributo, es decir, a la misma lista de valores, que dicho marcador.
[0064] Durante la etapa 150, el módulo de tratamiento 22 define una regla de acceso en relación con cada atributo de tipo permisivo.
[0065] En particular, el módulo de tratamiento 22 determina para cada marcador correspondiente a un atributo de tipo permisivo una regla de acceso que comprende una autorización de acceso para cada grupo de usuarios correspondiente a al menos uno de los valores de la lista de valores definida por este atributo de tipo permisivo.
[0066] Al igual que en la etapa 130, durante las etapas 140 y 150, también es posible determinar al menos un tipo de acción para cada autorización de acceso y, en su caso, para cada grupo de usuarios.
[0067] Durante la etapa 160 siguiente, el módulo de tratamiento 22 asocia a cada objeto de dicho entorno de tratamiento 13 al menos un marcador.
[0068] En particular, pueden asociarse varios marcadores a al menos algunos de los objetos.
[0069] Durante la etapa 170 siguiente, el módulo de seguridad 23 asegura las reglas de acceso y las asociaciones de los marcadores a los objetos, por ejemplo mediante la aplicación de un mecanismo de firma electrónica.
[0070] En particular, la aplicación del mecanismo de firma electrónica a cada regla de acceso comprende: - generación de un código hash a partir del contenido de la regla de acceso;
- firma del código hash con un algoritmo criptográfico a base de claves asimétricas y/o simétricas.
[0071] La aplicación del mecanismo de firma electrónica a cada asociación de uno o de varios marcadores a un objeto comprende:
- generación de un código hash a partir de un identificador único del objeto y del conjunto de los marcadores que se le asocian;
- firma del código hash con un algoritmo criptográfico a base de claves asimétricas y/o simétricas.
[0072] Como complemento, se aplica también el mismo mecanismo de seguridad a la política de etiquetado.
[0073] Se entiende así que la presente invención presenta un cierto número de ventajas.
[0074] En primer lugar, la invención permite implementar una política de etiquetado descrita en un archivo SPIF en un entorno de tratamiento de datos de tipo Big Data.
[0075] El etiquetado así creado permite obtener un control de fin de acceso a datos de sensibilidades diferentes y ello sin crear compartimentaciones de estos datos. Así, el conjunto de estos datos puede tratarse mediante los procedimientos habituales de tratamiento de datos de tipo Big Data sin restricciones en un tipo particular de datos.
[0076] Finalmente, la invención permite asegurar el conjunto de las asociaciones y las reglas de acceso creadas. Esta seguridad se realiza mediante la adición de firmas electrónicas cuya autenticidad puede verificarse cuando es necesario obtener el acceso al objeto correspondiente.

Claims (10)

REIVINDICACI0NES
1. Procedimiento de etiquetado (100) de objetos en un entorno de tratamiento (13) de grandes volúmenes de datos según una política de etiquetado descrita en un archivo de tipo SPIF, Security Policy Information File (14), tal que dicha política de etiquetado define una pluralidad de atributos atribuibles a objetos y a reglas de asociación de estos atributos, siendo al menos algunos de los atributos de tipo clasificación, de manera que cada atributo de tipo clasificación define un valor que determina un nivel jerárquico de este atributo con respecto a los otros atributos de tipo clasificación;
comprendiendo el procedimiento (100) las etapas siguientes:
- creación (110) en dicho entorno de tratamiento (13) de un marcador para cada atributo de dicho archivo de tipo SPIF (14);
- creación (120) en dicho entorno de tratamiento (13) de un grupo de usuarios para cada atributo de dicho archivo de tipo SPIF (14);
- determinación (130) para cada marcador correspondiente a un atributo de tipo clasificación de una regla de acceso que comprende una autorización de acceso para cada grupo de usuarios correspondiente a un atributo de tipo clasificación de nivel jerárquico superior o igual al nivel jerárquico del atributo de tipo clasificación que corresponde a este marcador;
- asociación (160) a cada objeto de dicho entorno de tratamiento (13) de al menos un marcador.
2. Procedimiento (100) según la reivindicación 1, en el que al menos algunos de los atributos son de tipo restrictivo cada uno de los cuales define una lista de valores y una condición de acceso con una lógica de «Y» entre los valores de esta lista; comprendiendo el procedimiento (100) además la etapa siguiente:
- determinación (140) para cada marcador correspondiente a un atributo de tipo restrictivo de una regla de acceso que comprende una autorización de acceso para el grupo de usuarios correspondiente al mismo atributo de tipo restrictivo.
3. Procedimiento (100) según la reivindicación 1 o 2, en el que al menos algunos de los atributos son de tipo permisivo cada uno de los cuales define una lista de valores y una condición de acceso con una lógica de «0» entre los valores de esta lista;
comprendiendo el procedimiento (100) además la etapa siguiente:
- determinación (150) para cada marcador correspondiente a un atributo de tipo permisivo de una regla de acceso que comprende una autorización de acceso para cada grupo de usuarios correspondiente a al menos uno de los valores de la lista de valores definida por este atributo de tipo permisivo.
4. Procedimiento (100) según cualquiera de las reivindicaciones anteriores, en el que la autorización de acceso de cada regla de acceso autoriza al menos un tipo acción en relación con el objeto al cual se aplica esta autorización, cada tipo de acción se elige en la lista que comprende:
- lectura;
- escritura;
- ejecución;
preferentemente, estando al menos un tipo de acción determinado para cada grupo de usuarios de la regla de acceso correspondiente.
5. Procedimiento (100) según cualquiera de las reivindicaciones anteriores, que comprende además una etapa de seguridad (170) de las reglas de acceso y de las asociaciones de los marcadores en los objetos, por la aplicación de un mecanismo de firma electrónica.
6. Procedimiento (100) según la reivindicación 5, en el que la aplicación del mecanismo de firma electrónica a cada regla de acceso comprende:
- generación de un código hash a partir del contenido de la regla de acceso;
- firma del código hash con un algoritmo criptográfico a base de claves asimétricas y/o simétricas.
7. Procedimiento (100) según la reivindicación 5 o 6, en el que la aplicación del mecanismo de firma electrónica a cada asociación de uno o de varios marcadores a un objeto comprende:
- generación de un código hash a partir de un identificador único del objeto y del conjunto de los marcadores que se le asocian;
- firma del código hash con un algoritmo criptográfico a base de claves asimétricas y/o simétricas.
8. Procedimiento (100) según cualquiera de las reivindicaciones anteriores, en el que dicho entorno de tratamiento (13) es el entorno Hadoop.
9. Procedimiento (100) según la reivindicación 8, en el que:
- cada marcador es un elemento de tipo «TAG» del entorno Hadoop;
- cada grupo de usuarios es un elemento de tipo «User Group» del entorno Hadoop; y
- cada regla de acceso es un elemento de tipo «Policy Ranger» del entorno Hadoop.
10. Sistema de etiquetado (10) que comprende medios técnicos (21, 22, 23) adaptados para implementar el procedimiento (100) según cualquiera de las reivindicaciones 1 a 9.
ES21184555T 2020-07-08 2021-07-08 Procedimiento de etiquetado de objetos en un entorno de tratamiento de grandes volúmenes de datos y sistema de etiquetado asociado Active ES2945428T3 (es)

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
FR2007216A FR3112410B1 (fr) 2020-07-08 2020-07-08 Procédé de labellisation d’objets dans un environnement de traitement de grands volumes de données et système de labellisation associé

Publications (1)

Publication Number Publication Date
ES2945428T3 true ES2945428T3 (es) 2023-07-03

Family

ID=74045480

Family Applications (1)

Application Number Title Priority Date Filing Date
ES21184555T Active ES2945428T3 (es) 2020-07-08 2021-07-08 Procedimiento de etiquetado de objetos en un entorno de tratamiento de grandes volúmenes de datos y sistema de etiquetado asociado

Country Status (4)

Country Link
EP (1) EP3937464B1 (es)
ES (1) ES2945428T3 (es)
FR (1) FR3112410B1 (es)
PL (1) PL3937464T3 (es)

Family Cites Families (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7836490B2 (en) * 2003-10-29 2010-11-16 Cisco Technology, Inc. Method and apparatus for providing network security using security labeling
US20200195693A1 (en) * 2018-12-14 2020-06-18 Forcepoint, LLC Security System Configured to Assign a Group Security Policy to a User Based on Security Risk Posed by the User

Also Published As

Publication number Publication date
EP3937464B1 (fr) 2023-04-26
FR3112410A1 (fr) 2022-01-14
FR3112410B1 (fr) 2022-06-24
EP3937464A1 (fr) 2022-01-12
PL3937464T3 (pl) 2023-09-11

Similar Documents

Publication Publication Date Title
CN107403106B (zh) 基于终端用户的数据库细粒度访问控制方法
US9349026B2 (en) Anonymization and filtering data
US9069986B2 (en) Providing access control for public and private document fields
US10891391B2 (en) Remote file storage with multiple access levels
DE112020000134T5 (de) Sicherer, mehrstufiger zugriff auf verschleierte daten für analysen
US11036888B2 (en) Method for protecting PDF document page-by-page
US10891370B2 (en) Path-based access control for message-based operating systems
CN105975877A (zh) 一种敏感文件安全存储办法
US11669601B2 (en) Digital watermarking for textual data
US10210337B2 (en) Information rights management using discrete data containerization
US20120131351A1 (en) Managing access to a secure digital document
US11829498B2 (en) Real-time dynamic blockchain securitization platform
US20180352104A1 (en) Method for creating garbled pdf text
Krause Explaining Brazil's stance on the Ukraine war
ES2945428T3 (es) Procedimiento de etiquetado de objetos en un entorno de tratamiento de grandes volúmenes de datos y sistema de etiquetado asociado
CN104023009B (zh) 一种Web系统许可证验证方法
ES2983676T3 (es) Procedimiento de etiquetado de objetos en un entorno de tratamiento de grandes volúmenes de datos utilizando códigos binarios y un sistema de etiquetado asociado
US11775675B2 (en) Systems and methods of secure data input using a closed shadow document object model (DOM)
CN107515742B (zh) 使Web页面访问移动APP本地资源的架构方法及系统
US9646171B2 (en) Method and apparatus for correctly binding form objects to encrypted XML data
CN112084528B (zh) 基于数据模型的客户隐私数据识别和保护方法
Weaver Dissecting the 2017 National Security Strategy: Implications for Senior Administrators (the Devil in the Details)
US20140230028A1 (en) Auxiliary password
US20260023873A1 (en) Methods and systems for generating and converting role-specific electronic documents into polymorphic documents
US8972749B2 (en) Method and apparatus for securely storing data in a database