KR100877650B1

KR100877650B1 - 개인 식별 정보 라벨 및 사용목적 서빙 펑션 세트를사용하는 ｐｉｉ 데이터 액세스 제어 기능부의 구현 및이용방법과 시스템

Info

Publication number: KR100877650B1
Application number: KR1020067002726A
Authority: KR
Inventors: 린다 베츠; 존 데이카; 월터 파렐; 리차드 구스키; 권터 카를요스; 마크 넬슨; 비르기트 피츠만; 마티아스 터; 미카엘 바이드너
Original assignee: 인터내셔널 비지네스 머신즈 코포레이션
Priority date: 2003-08-19
Filing date: 2004-08-16
Publication date: 2009-01-09
Also published as: KR20060061820A; JP2007503035A; TW200519696A; US20070250913A1; JP4550056B2; CN1836195A; EP1660967A1; US20050044409A1; US7302569B2; CN100504714C; US7617393B2; TWI303785B; WO2005017720A1

Abstract

데이터 액세스 제어 기능부는, 각각의 PII(personally identifying information) 데이터 오브젝트가 이 데이터 오브젝트에 할당된 하나의 PII 분류 라벨을 가지는 상태로, PII 분류 라벨들을 PII 데이터 오브젝트들에 할당함으로써 실행된다. 제어 기능부는 추가적으로 PII 데이터 오브젝트들을 판독 또는 기록하는 애플리케이션 펑션들의 리스트를 구비하는 하나 이상의 PII PSFS (purpose serving function set) 을 포함한다. 또한, 각각의 PII PSFS 에는 PII 분류 라벨이 할당된다. PII 데이터 오브젝트는 상기 PII 오브젝트의 PII 분류 라벨과 동일한 PII 분류 라벨 또는 이 PII 분류 라벨의 도미넌트(dominant) 를 가지는 PII PSFS 의 애플리케이션 펑션을 통하여 액세스될 수 있다. 제어 기능부의 사용자에는 하나 이상의 PII 분류 라벨의 리스트를 포함하는 PII 클리어런스 세트가 할당되며, 이 리스트는 사용자가 특정 펑션으로의 액세스에 대하여 권리를 부여받았는지 여부를 결정하는데 사용된다.

데이터 액세스 제어 기능부

Description

개인 식별 정보 라벨 및 사용목적 서빙 펑션 세트를 사용하는 ＰＩＩ 데이터 액세스 제어 기능부의 구현 및 이용방법과 시스템{IMPLEMENTATION AND USE OF A PII DATA ACCESS CONTROL FACILITY EMLPLOYING PERSONALLY IDENTIFYING INFORMATION LABELS AND PURPOSE SERVING FUNCTION SETS}

본 발명은 일반적으로 컴퓨터 시스템 내의 개인 정보의 보안에 관한 것으로, 보다 상세하게는 사용자들에 의해 기업의 컴퓨터 시스템 내의 PII(personally identifying information; 개인 신상 정보) 오브젝트 또는 리소스에 액세스하는 것을 제어하는 조건부 액세스 기능부의 실행 및 사용에 관한 것이다.

컴퓨팅 및 통신 기술의 진보에 의해 사람들 및 조직이 방대한 량의 개인 정보를 저장(store) 및 처리할 수 있도록 함으로써 프라이버시를 지속적으로 감소되고 있다. 데이터의 프라이버시를 위하여, 저장된 데이터, 이동중인 데이터를 보호하고, 데이터의 릴리즈에 걸쳐서 부분적으로 제어할 필요가 있다. 저장된 데이터의 보호는 긴급 프라이버시 처리 언어 및 이들의 적용에 의해 다소 커버되는 반면에, 이들의 정확한 사용을 보증하기 위한 현재 제안된 메카니즘들이 없으므로 기업 컴퓨팅 설비로부터의 개인 신상 정보의 릴리즈를 제어해야 한다. 통상적으로, 컴퓨터 시스템의 보안 관리는 조직의 보안 정책을 비교적 낮은 레벨 세트의 제어 통상적으로 액세스 제어 리스트들로의 매핑을 필요로 한다. 즉, 개인 사용자들 (사람 또는 논리적인 프로세스들) 은 만족스런 방식으로 컴퓨터 시스템에 먼저 식별 및 입증되고, 무선, 프로그램, 설비로의 이들의 액세스, 보호된 컴퓨터 시스템 내의 다른 "오브젝트들"이 그 후 예를 들어, 시스템 보안 관리자와 같은 보안 시스템에 의해, 주어진 오브젝트에 액세스하도록 권한 부여 받은 사람들의 이름 리스트에 대하여 사용자의 이름을 간단히 비교함으로서 제어된다. 일반적으로, 이러한 기술은 임의의 액세스 제어 또는 DAC 로 알려져 있다.

미국 정부 내에서 널리 사용되는 컴퓨터 시스템들의 보안에 대하여 더욱 정교하고 잘 발전된 모델, 및 다른 경우에, 컴퓨팅 시스템에서의 오브젝트들로의 액세스가 논리적인 보안 레벨들 (이는 계층적임) 및/또는 사용자 및 보호된 컴퓨터 리소스 오브젝트들과 연관되어 있는 카테고리들 (이는 계층적이지 않음) 에 의해 구분된 논리적인 시스템에 의해 제어될 수 있다. 이러한 시스템들은 "멀티레벨 보안"("MLS") 시스템으로 지칭되며, 1973 년 11 월에 기고된‘보안 컴퓨터 시스템 : 수학적 기초 및 모델’MITRE 리포트, MTR 2547 에서 D.Bell 과 L.Lapadula 에 의해 규정된 Bell-Lapadular 보안 모델의 수단이다. 이러한 시스템들의 발전, 검증 및 구현에 큰 투자가 행해졌다.

MLS 시스템들에서, 가장 높은 보안 레벨들 및 가장 많은 수의 카테고리와 연관되는 사용자들은 이 시스템에서 가장 높은 보안 레벨들을 가지는 것으로 지칭된다. 보호된 오브젝트를 판독하기 위한 권한은, 요청하는 사용자(컴퓨팅 시스템에 대한 적절한 식별 및 인증 이후)가 적어도 요청된 오브젝트의 레벨과 같이 높은 관 련 보안 레벨을 가지는 경우에, 사용자에게 수여되고, 사용자는 그 요청된 오브젝트와 연관된 카테고리를 포함하는 카테고리들(하나 또는 그 이상)의 세트를 가진다. 이 경우에, 사용자는 그 오브젝트를“지배”하는 것으로 지칭된다. 이와 반대로, MLS 보호된 오브젝트에 기록하기 위한 권한은, 요청된 오브젝트가 적어도 요청하는 사용자의 레벨과 같이 높은 관련 보안 레벨을 가지는 경우에 사용자에게 수여되고, 그 오브젝트는 적어도 요청하는 사용자와 연관되는 카테고리들을 포함하는 카테고리들의 세트를 가진다. 이 경우에, 오브젝트는 사용자를 지배한다고 지칭된다. Bell-Lapadula 모델에 의해 규정된 이러한 주제들로 부터, MLS 보호된 정보가 보안의 하부 레벨로 부터 상부 레벨로 및/또는 소수의 카테고리로부터 다수의 카테고리로 이동함에 따라, 상기 MLS 보호 정보가 하나의 오브젝트로부터 판독되고 또 다른 오브젝트에 기록되는 경우에 단지 더욱 안전하게 될 수 있음을 알 수 있다. 이와 반대로, 효과적으로 Bell-Lapadula 모델과 정반대인 허가(authorization) 체킹용 모델은, K. Biba 에 의해 1977 년에 미공군 전자 시스템부에서 기고된‘보안 컴퓨터 시스템들에 대한 인테그리티 고려’의 기술적 리포트 76-372에 개시되어 있다. Biba 는 데이터 및 프로그래밍 시스템의 인테그리티는 그 생성시에 사용되었던 데이터 시스템 및 프로그래밍 시스템의 인테그리티에 의존한다는 점과 이러한 인테그리티를 보증하는 프로세싱 모델을 나타낸다. Bell-Lapadula (MLS) 모델 및 Biba 모델의 "MLS-inverse" 양태는, 예를 들어 IBM (International Business Machine) 에 의해 제공된 z/OS 동작 시스템의 임의의 구성요소인 프로그램 프로덕트 RACF (Resource Access Control Facility) 내에서 컴퓨팅 산업내에서 일반적으 로 사용된다. z/구조는 명칭이 "z/구조 동작 원리" 인 IBM 공보, 제 SA22-7832-01 호, 2001 년 10 월판 공보에 개시되어 있다. 또한, RACF 는 명칭이 "z/OS VIR4.0 보안 서버 RACF 보안 관리자의 가이드" 인 SA22-7683-03, IBM Corp., 2002 년 9 월판 공보에 개시되어 있다.

개요

PII 보호된 오브젝트들의 제어는, 보호된 오브젝트들 및 이 오브젝트들에 액세스하는 사용자들의 분류를 포함하는 접근방식에 대하여 요구된다. 사용목적은 카테고리들을 MLS 보호된 오브젝트들에 할당하는 것에 유사한 방식으로 PII 보호된 오브젝트들에 할당될 수도 있다. 그러나, PII 데이터 오브젝트들의 제어에 대한 필요성은, 더 많은 사용목적들 (PII 데이터 오브젝트들이 액세스될 수도 있음) 이 PII 데이터 오브젝트들과 연관되는 경우에 PII 데이터 오브젝트들이 보안을 덜 필요로 한다는 점에서, MLS 보호된 오브젝트들의 제어에 대한 필요성과는 기본적으로 다르다. 이는 더 큰 개수의 사용목적들이 PII 데이터 오브젝트들이 덜 개인적임을 내포하기 때문이다. PII 사용목적과 MLS 카테고리 사이에 유사성을 끌어내는 경우에도, 계층적 MLS 보안 레벨들에 관한 동일한 유사성은 존재하지 않는다. 또한, 종래의 MLS 접근방식은 사용자들과 오브젝트들을 처리하지만, PII 사용목적에 대해서는, 사용자들을 간단히 고려할 수 없고, 사용자가 작동중인 프로그램(프로세스) 과 함께 사용자를 그리고 PII 데이터에 액세스를 하기 위하여 프로그램이 가지는 이유 (사용목적) 모두를 고려해야 한다. 따라서, 효과적인 프라이버시 모델을 구현하고 예를 들어 기업 전반에 걸쳐서 정보 흐름을 과도하게 제한하지 않고 개인 정보의 공개 및 전파의 정밀한 제어를 허용하는, 여기서 제공된 바와 같은 신규한 데이터 액세스 제어 기능부가 당해 분야에 요청된다.

일 양태에서, 본 발명은 PII 데이터 오브젝트들로 액세스를 제어하기 위한 규정을 가지는 데이터 액세스 제어 설비를 실행하는 방법을 제공한다. 이 방법은 PII 분류 라벨들을 PII 데이터 오브젝트들에 할당하는 단계로서, 상기 PII 데이터 오브젝트는 상기 PII 데이터 오브젝트에 할당된 하나의 PII 분류 라벨을 가지는, 할당 단계; PII 데이터 오브젝트들을 판독 또는 기록 또는 재분류하는 애플리케이션 펑션들의 리스트를 포함하는 하나 이상의 PII PSFS (purpose serving function set) 를 규정하는 단계; PII 분류 라벨을 각각의 PSFS 에 할당하는 단계를 포함하며, 상기 PII 데이터 오브젝트는 상기 PII 데이터 오브젝트의 상기 PII 분류 라벨과 동일한 PII 분류 라벨 또는 상기 PII 분류 라벨의 적절한 서브세트를 가지는 PII PSFS 의 애플리케이션 펑션을 통해서만 액세스될 수 있다.

일 실시형태에서, PII 데이터 오브젝트는 그 PII 데이터 오브젝트의 PII 분류 라벨과 동일한 PII 분류 라벨 또는 그 PII 분류 라벨의 도미넌트(dominant) 가지는 PII PSFS의 애플리케이션 펑션에 의해 기록 액세스될 수 있다. PII 데이터 오브젝트는 그 PII PSFS 에 허용된 PII 재분류의 리스트를 가지는 PII PSFS 의 애플리케이션 펑션에 의해 기록 액세스될 수도 있다.

일 실시형태에서, 이 방법은 데이터 액세스 제어 설비의 특정 펑션을 호출하는 사용자를 식별하는 단계, 및 그 식별된 사용자에게 PII 클리어런스 세트를 할당하는 단계를 포함하며, 그 PII 클리어런스 세트는 그 식별된 사용자에 대한 하나 이상의 PII 분류 라벨들의 리스트를 포함한다.

그 PII 데이터 오브젝트에 할당된 PII 분류 라벨은 그 PII 데이터 오브젝트의 소유자의 ID(identification)를 포함할 수도 있다.

그 PII 데이터 오브젝트에 할당된 PII 분류 라벨은 그 PII 데이터 오브젝트를 사용할 수도 있는 하나 이상의 사용목적의 표시를 포함할 수도 있다.

이 방법은 그 데이터 액세스 제어 설비를 사용하기 위하여 기업 내에서 PII 사용목적들을 초기에 규정하는 단계, 및 그 PII 데이터 오브젝트들에 할당되고 하나 이상의 PSFS 에 할당된 PII 분류 라벨들을 규정하는데 상기 PII 사용목적들을 이용하는 단계를 포함할 수도 있다.

본 발명의 또 다른 양태에서, 데이터 액세스 제어 방법이 제공되며, 이는 데이터 액세스 제어 설비의 사용자에 의해, 특정 펑션을 호출하는 단계로서, 그 데이터 액세스 제어 설비는 PII 데이터 오브젝트들 및 하나 이상의 PII PSFS 에 할당 된 PII 분류 라벨들을 가지며, 그 PII PSFS 는 PII 데이터 오브젝트들을 판독 또는 기록하는 애플리케이션 펑션들의 리스트를 포함하며, 여기서 그 데이터 액세스 제어 설비의 사용자에는 PII 클리어런스 세트가 할당되며, 그 사용자의 PII 클리어런스 세트는 하나 이상의 PII 분류 라벨을 포함하는 리스트를 구비하는, 특정 펑션의 호출 단계; 그 특정 펑션이 그 데이터 액세스 제어 설비의 하나 이상의 PII PSFS 중 하나의 PII PSFS 에 규정되어 있는지 여부를 결정하며, 만일 규정되어 있는 경우에는, 사용자의 PII 클리어런스 세트가 그 PII PSFS 에 할당된 PII 분류 라벨에 매칭하는 PII 분류 라벨을 포함하는지 여부를 결정하며, 만일 포함하는 경우에는, 그 특정 펑션으로의 액세스를 허용하는 단계; 사용자가 그 특정 펑션을 수행하도록 선택된 데이터 오브젝트로의 액세스가 허용되는지 여부를 결정하는 단계를 포함한다.

데이터 액세스제어 방법은, 그 호출 단계 이전에, 그 데이터 액세스 제어 설비의 보안 제어 하에서 동작 시스템 내의 프로세스를 확립하는 단계를 포함할 수도 있다. 그 후, 그 호출은 그 확립된 프로세스 내에서 발생한다.

그 특정 펑션이 규정되어 있는지 여부를 결정하는 단계는, 특정 펑션이 그 데이터 액세스 제어 설비의 PII PSFS 에 대하여 규정되지 않고, CPL (current process label) 이 그 확립된 프로세스에 대하여 이전에 설정된 경우에 그 특정 펑션으로의 액세스를 거부하는 단계를 포함할 수도 있다.

사용자가 그 특정 펑션을 수행하도록 선택된 데이터 오브젝트로의 액세스가 허용되는지 여부를 결정하는 단계는 그 선택된 데이터 오브젝트가 PII 데이터 오브젝트를 포함하는지 여부를 결정하며, 만일 포함하는 경우에는, 사용자의 특정 펑션이 그 데이터 액세스 제어 설비의 하나 이상의 PII PSFS 중 하나의 PII PSFS 에 대하여 규정되는지를 확인하며, 만일 포함하지 않은 경우에는, 그 선택된 데이터 오브젝트로의 액세스를 거부하는 단계를 포함할 수도 있다.

사용자가 그 특정 펑션을 수행하도록 선택된 데이터 오브젝트로의 액세스가 허용되는지 여부를 결정하는 단계는, 만일 그 선택된 데이터 오브젝트가 PII 데이터 오브젝트와 다른 경우에 CPL (current process label) 이 그 확립된 프로세스에 대하여 설정되는지 여부를 결정하는 단계를 포함할 수도 있다. 만일 CPL 이 설정되지 않은 경우에, 그 방법은 임의의 액세스 제어 체킹을 통하여 그 선택된 데이터 오브젝트로의 액세스 결정을 행하는 단계를 포함할 수도 있다.

사용자가 그 특정 펑션을 수행하도록 선택된 데이터 오브젝트로의 액세스가 허용되는지 여부를 결정하는 단계는, 만일 CPL 그 프로세스에 대하여 이전에 설정되고, 그 선택된 데이터 오브젝트가 PII 데이터 오브젝트와 다른 경우에, 그 특정 펑션이 판독 동작인지를 결정하고, 만일 판독 동작인 경우에, 이산 액세스 제어 체킹을 통하여 그 선택된 데이터 오브젝트로의 액세스 결정을 행하며, 만일 그 특정 펑션이 판독 동작과 다른 경우에는, 그 확립된 프로세스로부터 그 선택된 데이터 오브젝트로의 액세스를 거부하는 단계를 포함할 수도 있다.

사용자가 그 특정 펑션을 수행하도록 선택된 데이터 오브젝트로의 액세스가 허용되는지 여부를 결정하는 단계는, 그 특정 펑션이 판독 동작을 포함하는지 여부를 결정하며, 만일 판독 동작을 포함하는 경우에는, 그 특정 펑션이 규정되는 PII PSFS 에 할당된 PII 분류 라벨이 그 선택된 데이터 오브젝트와 연관된 PII 분류 라벨과 동일하거나 또는 그 PII 분류 라벨의 적절한 서브세트인지를 결정하며, 만일 동일하지 않은 경우에는, 그 선택되 데이터 오브젝트로의 액세스를 거부하며, 만일 동일한 경우에는, 그 확립된 프로세스에 대한 현재의 프로세스 라벨 (CPL) 에 그 선택된 데이터 오브젝트의 PII 분류 라벨을 부가하는 단계를 포함할 수도 있다.

사용자가 그 특정 펑션을 수행하도록 선택된 데이터 오브젝트로의 액세스가 허용되는지 여부를 결정하는 단계는, 그 특정 펑션이 판독 동작과 다른 경우인지를 결정하며, 만일 다른 경우에는, 그 확립된 프로세스에 대한 현재 프로세스 라벨 (CPL) 리스트가 존재하는지 여부를 결정하며, 만일 존재하는 경우에는, 이산 액세스 제어 체킹을 통하여 그 선택된 데이터 오브젝트로의 액세스 결정을 진행시키는 단계를 포함한다.

그 확립된 프로세스에 대한 CPL 리스트가 존재하는 경우에, 데이터 액세스 제어 방법은, 그 선택된 데이터 오브젝트의 PII 분류 라벨이 그 CPL 엔트리들 각각과 동일한지 또는 그 CPL 엔트리들 각각의 적절한 서브세트인지 여부를 결정하며, 만일 동일한 경우에는, 그 선택된 데이터 오브젝트로의 액세스 결정을 이산 액세스 제어 체킹을 통하여 진행시키는 단계를 포함할 수도 있다.

그 PII 데이터 오브젝트의 PII 분류가 각각의 CPL 리스트 엔트리의 PII 분류 라벨과 동일하지 않거나 또는 그 PII 분류 라벨의 적절한 서브세트가 아닌 경우에, 그 방법은 특정 펑션이 규정된 PII PSFS 가 CPL 리스트내의 PII 분류 라벨(들)로부터 그 PII 데이터 오브젝트의 PII 분류 라벨까지 재분류를 허용하는지 여부를 결정하며, 만일 허용하는 경우에는, 그 선택된 데이터 오브젝트로의 액세스 결정을 이산 액세스 제어 체킹을 통하여 진행시키고, 만일 허용되지 않은 경우에는, 그 PII 데이터 오브젝트로의 사용자 액세스를 거부하는 단계를 포함할 수도 있다.

데이터 액세스 제어 방법은 그 확립된 프로세스에 대한 현재 프로세스 라벨 (CPL) 리스트를 제공하는 단계를 포함하며, 그 CPL 리스트는 그 확립된 프로세스내에서 판독된 각각의 PII 데이터 오브젝트의 PII 분류 라벨들의 동적 리스트를 포함한다.

데이터 액세스 제어 방법은, 특정 펑션이 제 2 PII 데이터 오브젝트에 대한 기록 동작인 경우에 확립된 프로세스의 사용자를 제 2 PII 데이터 오브젝트에 액세스시키는지 여부를 결정하는 경우에 CPL 리스트를 사용하는 단계들을 더 포함할 수도 있다. 그 제 2 PII 데이터 오브젝트는 그 정보가 판독된 PII 데이터 오브젝트와 연관된 PII 분류 라벨과 다른 PII 분류 라벨을 가지므로, 판독되었던 정보를 재분류할 수도 있다.

데이터 액세스 제어 방법은 하나 이상의 PII PSFS 와 연관된 "재분류 허용" 파라미터를 제공하는 단계를 포함할 수도 있으며, 여기서 만일 "재분류 허용" 파라미터가 설정되는 경우에, 그 파라미터는 대응하는 하나 이상의 PII PSFS 내에서 규정되는 전체 펑션들과 연관되며, 그 CPL 리스트내에 포함된 PII 분류 라벨 각각과 동일하지 않거나 또는 그 PII 분류 라벨 각각의 적절한 서브세트인 PII 분류 라벨을 가지는 PII 데이터 오브젝트에 정보를 기록하는 경우에, 이러한 펑션들 중 하나를 실행하는 사용자는 PII 데이터 오브젝트를 재분류할 수 있다.

또한, 상기 요약된 방법들에 대응하는 시스템들 및 컴퓨터 프로그램 제품을 여기서 설명하고 청구한다. 컴퓨터 프로그램 제품은 기록 매체상에 기록된 컴퓨터 프로그램으로서 이용가능하거나 또는 데이터 전송 매체를 통한 다운로드에 이용가능하게 될 수도 있다. 이 시스템은 데이터 액세스 제어 설비를 구현할 수도 있다.

또한, 부가적인 특징 및 이점들이 본 발명의 기술을 통하여 실현된다. 본 발명의 다른 실시형태들 및 양태들을 여기서 상세히 설명하며, 청구된 발명의 일부로서 간주한다.

본 발명으로 간주되는 주제는 특히 주목되며, 명세서의 끝부분에서 청구항들로 명료하게 청구된다. 본 발명의 전술한 특징, 다른 특징 및 이점은 첨부된 도면과 함께 행해진 이하의 상세한 설명으로 부터 명백하게 된다.

도 1 은 본 발명의 양태에 따라, 데이터 액세스 제어 기능부(facility)에 의해 사용되도록 할당된 PII(personally identifying information) 분류 라벨들을 가진 PII 오브젝트를 저장하기 위한 접근 방법의 일례를 나타낸다.

도 2 는 본 발명의 양태에 따라, 데이터 액세스 제어 기능부의 하나 이상의 양태를 통합 및 사용하는 컴퓨팅 환경의 일 실시형태를 나타낸다.

도 3 은 본 발명의 양태에 따라, 사용자가 PII 데이터 오브젝트들로부터 데이터를 판독 및 기록할 때, 확립된 프로세스 내에서의 변화되는 사용자의 현재 프로세스 라벨 (CPL) 을 나타내는 동작 실시예이다.

도 4 는 본 발명의 양태에 따라, PII 데이터 액세스 제어 기능부에 의해 구현된 프로세싱의 일 실시형태의 흐름도이다.

도 4a 는 본 발명의 양태에 따라, 사용자가 특정 펑션을 사용할 수 있는지 여부를 확인하기 위한 하나의 논리적인 실시형태의 흐름도이다.

도 4b 는 본 발명의 양태에 따라, 요청된 오브젝트가 PII 데이터 오브젝트를 구비하는지 여부를 결정하기 위하여 포함하며, 데이터 액세스를 야기시킬지 여부를 결정하기 위한 하나의 논리적인 실시형태의 흐름도이다.

도 4c 는 본 발명의 양태에 따라, 원하는 특정 펑션이 판독 동작을 포함하는 경우에 사용자가 PII 제어된 프로세스로서 지속할 수 있는지 여부를 결정하기 위한 하나의 논리적인 실시형태의 흐름도이다.

도 4d 는 본 발명의 양태에 따라, 원하는 특정 펑션이 기록 동작을 포함하는 경우에 사용자가 PII 제어된 프로세스로서 처리할 수 있는지 여부를 결정하기 위한 하나의 논리적인 실시형태의 흐름도이다.

실시형태들의 상세한 설명

여기서는, 개인 식별 정보 (PII) 에 대한 보안을 제공하는 데이터 액세스 제어 설비가 제공된다. 이 설비에 따르면, PII 정보로의 액세스는, 프라이버시 분류되어 컴퓨터화된 리소스(여기에서는 대략적으로 "오브젝트" 또는 "데이터 오브젝트" 로 지칭됨)로의 액세스가 발생하는 컴퓨터 프로세스의 실행 동안에 또는 이것의 실마리가 되는 경우에 존재(또는 효과적으로 됨)할 수 있는 여러 "조건" 들에 기초한다. 이러한 조건들은, (1) 사용자가 PII 오브젝트로의 액세스를 요청한 애플리케이션 펑션(function); (2) 사용자를 컴퓨터 설비에 의해 식별 및 검증하는 방법; (3) 사용자가 있는 장소; (4) 요청 시간; 및 (5) 프로그램에 입각하여 확인될 수 있는 다른 관련 및 환경 인자를 포함할 수 있지만, 이것들로 제한되지는 않는다.

본 발명의 양태에 따르면, 이 조건들을 임의의 주어진 액세스 제어 체킹 이벤트에 적용할 수 있는 몇가지 방식이 있다. 예를 들어, (1) 프라이버시 분류는, 사용자가 PII 기밀(sensitive) 오브젝트에 액세스하려 하는 경우에 유효하게 되는 조건에 동적으로 기초하는 사용자에게 할당될 수 있고; 또는 (2) 오브젝트에 관한 프라이버시 분류는 그 대신에(또는 또한) 유사한 조건, 몇몇 경우에는 동일한 조건에 동적으로 기초할 수 있다. 따라서, 여기서 제공되는 데이터 액세스 제어 설비에 의해 유리하게도 액세스 이벤트 상황의 역학관계(dynamics) 에 따라, 사용자 또는 컴퓨터 프로세스, 다른 PII 분류 오브젝트들의 "세트" 들로의 액세스, 및 펑션들을 허용하여, 개인 식별 정보로의 액세스를 필요로 하는 정보 프로세스들에 융통성을 부가하고 이러한 정보 프로세스들의 보안을 강화한다.

데이터 액세스 제어 설비를 구현하기 위한 기술이 여기서(일 양태에서) 대략적으로 설명되고 개시되며, 그 데이터 액세스 제어 설비는 각각의 개인 식별 정보 (PII) 오브젝트가 이것에 할당된 하나의 PII 분류 라벨들을 가진 상태로, 개인 식별 정보 (PII) 분류 라벨들을 PII 오브젝트들에 할당한다. 하나 이상의 PII 사용목적의 서빙 펑션 세트 (PSFS) 가 규정되고, 이는 PII 데이터 오브젝트들을 판독, 기록 또는 재분류하는 애플리케이션 펑션들의 리스트를 포함한다. 또한, PII 분류 라벨은 각 PSFS 에 할당된다. 사용시에, PII 오브젝트는 이 오브젝트의 PII 분류 라벨과 동일한 PII 분류 라벨이나 이 오브젝트의 PII 분류 라벨의 서브세트인 PII 분류 라벨을 가지는 PII PSFS의 애플리케이션 펑션을 통해서만 판독될 수 있거나, 이 오브젝트의 PII 분류 라벨과 동일한 PII 분류 라벨이나 이 오브젝트의 PII 분류 라벨을 지배하는 PII 분류 라벨을 가지는 PII PSFS 또는 이 PSFS 에 의해 허용되는 PII 재분류의 리스트를 가지는 PII PSFS 의 애플리케이션 펑션을 통해서만 기록될 수 있다.

조작상, 데이터 액세스 제어 설비의 사용 방법은, 컴퓨터 시스템 내에서 실 행중인 컴퓨팅 애플리케이션의 사용자에 의해 특정 펑션을 호출하는 단계; 이 특정 펑션이 데이터 액세스 제어 설비의 PSFS 로 규정되는지 여부를 결정하는 단계로서, 만일 규정한다고 결정하면, 사용자의 PII 클리어런스 세트 (하나 이상의 PII 분류 라벨을 포함하는 리스트를 구비함) 는 그 PSFS 에 할당된 PII 분류 라벨과 매칭하는 PII 분류 라벨을 포함하는 여부를 결정하고, 만일 포함한다고 결정하면, 이 특정 펑션으로의 액세스를 허용하는 단계; 사용자가 이 특정 펑션을 수행하기 위하여 선택된 오브젝트로의 액세스를 허용하는지 여부를 결정하는 단계를 포함한다. 따라서, 아래에 추가적으로 설명한 바와 같이, 본 발명의 양태에 따른 PII 데이터 액세스 제어 설비가, 사용자가 특정 펑션로 액세스할 자격이 있는지 여부를 초기에 결정하고, 그 후 사용자가 선택된 데이터 오브젝트로 액세스 허용되는지를 결정하는데 사용된다. PII 데이터 액세스 제어 설비를 더 상세히 설명하기 이전에, 이하의 논리적인 구조물들이 규정된다. 여기서 설명된 예에서, PII 제어 설비는 병원 기업에 대하여 사용된다고 가정한다.

PII 분류 라벨 :

PII 데이터 오브젝트의 소유자를 열거하고, 이와 같이 분류된 PII 데이터 오브젝트를 사용할 수도 있는 소유자에 의해 선택된 하나 이상의 사용목적(들) 의 리스트를 포함한다. 예 : 소유자; 사용자IDx, 사용목적; 진찰(medical), 치료, 보고, 과금. PII 보호 데이터 오브젝트 내에 포함되는 정보의 후속 사용자는 PII 분류 라벨에서 지정되고 원 소유자가 동의(consent)한 사용목적을 위해서만 그 정보를 사용할 수 있다. PII 오브젝트가 사용될 수 있는 사용목적들은, 사용자가 데이 터에 대하여 실행할 수 있는 펑션들 내에서 구현된다. 이 가정은 단지 일례이다.

PII 사용목적 서빙 펑션 세트 ( PSFS )

PII 오브젝트들을 판독/기록하는 애플리케이션 펑션들의 리스트. PSFS 는 특정 PII 분류 라벨로 그 자체에 라벨이 붙여 있다. 주어진 PSFS 내의 펑션들의 리스트는, 특정 프로그램; 애플리케이션; EJB (Enterprise Java Bean), 방법, 데이터베이스 관리 개시 절차, SQL 문의 등과 같은 애플리케이션 내의 펑션을 포함할 수 있다. PSFS 는 옵션으로 특정 PSFS 를 실행하는 사용자가 컴퓨터 동작 시스템 프로세스 내에서 이전에 판독한 PII 데이터의 PII 라벨(들)이 기록된 현재 프로세스 라벨 (CPL) 내에 저장된 PII 라벨(들)에 포함되지 않은 사용목적들을 포함하는 PII 라벨을 가지는 PII 오브젝트에 데이터를 기록하는 경우에, 특정 PSFS 에 의해 허용되는 PII 분류 변경 (재분류) 의 리스트를 포함한다.

PII 데이터 오브젝트 :

관련 PII 분류 라벨을 가진 임의의 리소스, 문서, 프로그램 등. 주어진 PII 오브젝트는 단지 하나의 PII 분류 라벨을 가질 수 있다. PII 데이터 오브젝트의 소유자는 이 오브젝트와 연관된 라벨 뿐만 아니라 오브젝트를 사용할 수 있는 사용목적(들)에 포함된다. 완결을 위하여, PII 데이터 오브젝트의 소유자는 이것의 설명에 포함되는데, 그 이유는 이것이 본 발명의 과제인, PII 액세스 제어 체킹이 전체 액세스 제어 검사 프로세스에서 부분적으로 완료된 후 임의의 포인트 에서의 액세스 제어 검사 동안에 실행되기 때문이다. 보다 상세하게는, PII 보호 데이터 오브젝트들의 소유자들이, 또 다른 소유자에 의해 소유된 PII 보호 데이터 오브젝트 들에는 액세스하지 않고, 단지 이들 자신의 데이터 오브젝트들에만 액세스할 수도 있고, 이러한 컨셉은 DAC 로서 당해분야에 알려진 임의의 액세스 제어 검사에 의해 시행된다.

서브젝트 :

사용자 ID 및 그룹 ID (사용자 ID 의 그룹) 은, 소유자 (PII 데이터의 소유자), 및 기업의 펑션(function)의 일부로서 특정 사용목적의 서빙 펑션(function) 세트(들)을 가진 펑션들을 실행하기 위하여 기업 사용자 즉, 데이터 오브젝트에 액세스하고 기업 보안 관리자에 의해 허가 받은 사용자를 포함한다.

사용자 PII 클리어런스 세트 :

기업 사용자에게 할당된 PII 분류 라벨(들)의 리스트. 사용자 PII 클리어런스 세트는 사용목적 서빙 펑션 세트 또는 기업 내에서 펑션들을 실행하도록 사용자들에게 권한 부여된 것들로부터의 세트들을 확립한다. 예를 들어, 관리자는 {보고}, {과금, 보고} 의 PII 클리어런스 세트를 가질 수도 있으므로, {보고} 또는 {과금, 보고} 중 어느 하나의 PII 라벨들을 가지는 사용목적 서빙 펑션 세트들 내에 있도록 규정된 펑션들을 실행하도록 권한부여된다. 의사는 {진찰}, {진찰, 보고} 의 PII 클리어런스 세트를 가질 수도 있으므로, {진찰} 또는 {진찰, 보고} 중 어느 하나의 PII 라벨들을 가지는 사용목적 서빙 펑션 세트들 내에 있도록 규정된 펑션들을 실행하도록 권한부여된다. 간호사는 {치료}, {진찰, 치료} 의 PII 클리어런스 세트를 가질 수도 있다.

PII 의 현재 프로세스 라벨 ( CPL ) :

사용자의 동작 시스템 프로세스에 동적으로 할당되며, 사용자가 PII 보호 오브젝트들에 액세스함에 따라 업데이트 되는 PII 라벨. CPL 은 주어진 컴퓨터 동작 시스템 프로세스 동안에 사용자가 판독하는 임의의 PII 오브젝트 및/또는 오브젝트들의 PII 라벨의 기록을 포함하도록 동적으로 업데이트된다.

보안 관리자는 특정 기업의 PII 데이터 액세스 제어 설비를 공급한다고 가정한다. 관리상, 설비를 구현하는 것은,

1) 예를 들어, PII 데이터 액세스 제어 설비를 구현하는 IBM 의 RACF 와 같은 보안 관리자에 대한 유효한 사용목적의 세트를 규정하는 보안 관리자. 병원의 예에 있어서;

이 기업에 대한 유효한 PII 사용목적은,

사용목적 1 (예 : 진찰)

사용목적 2 (예 : 치료)

사용목적 3 (예 : 과금), ...

사용목적 4 (예 : 보고).

2) 보안 관리자는 여러 리소스/오브젝트들에 PII 라벨들을 할당.

오브젝트명 (예 : 간략한 의료 기록)

PII 분류 라벨 (예 ; {진찰, 보고}).

3) 보안 관리자는 진행 활동 상태에 있는 개별 사용자들 및 사용자들의 그룹들을 규정. 예를 들어, 사용자들은 매일 변할 수도 있다.

사용자 ID-a (예 : 환자인 사용자) 그룹 PATIENTS 에 부가

사용자 ID-x (예 : 간호사인 사용자) 그룹 NURSES 에 부가

사용자 ID-y (예 : 의사인 사용자) 그룹 DOCTORS 에 부가

4) 보안 관리자는 각각의 적합한 사용자에게 사용자 PII 클리어런스 세트를 할당. 예를 들어 :

사용자 ID-x (예 : 간호사인 사용자) PII 클리어런스 세트

(예 : [{치료}, {진찰, 치료}]).

5) 보안 관리자는 보안 매니저에 대한 사용목적 서빙 펑션 세트(들)을 규정.

PSFS 명(name)1

관련 프로그램 펑션들의 리스트

프로그램 x

방법 y

기업 자바 빈(bean) z.

6) 보안 관리자는 PII 라벨을 PSFS 에 할당

PSFS 명1 - PII 분류 라벨. {진찰, 치료}.

7) 보안 관리자는 이 PSFS 가 PII 오브젝트에 기록하는데 사용되는 경우에 발생하도록 허용되는 PII 재분류를 할당 :

{진찰, 치료} 로부터 {진찰, 보고} 까지 허용된 재분류. 주어진 PSFS 는 그 실행 동안에 허용되는 재분류의 배수(따라서 리스트)를 가질 수도 있다.

도 1 은 본 발명의 양태에 따른, 완성된 진찰 기록 (14), 간략한 진찰 기록 (16), 및 환자 재무 기록 (18) 과 같은 개인 식별 정보 (PII) 소유자 (10)(병원 기 업 예에서의 환자와 같은) 입력(또는 액세스) PII 오브젝트들의 일례를 나타낸다. 작동상, 환자 (10) 는 환자 사용을 위하여 생성된 사용목적 서빙 펑션 세트 (PSFS) 내의 특정 펑션을 호출할 수도 있다. 이 특정 펑션은 국제 비지니스 머신 코포레이션에 의해 제공된 DB2 관련 데이터베이스 관리 시스템과 같은 관계 데이터베이스 관린 시스템 내에 PII 데이터 오브젝트들을 저장하는데 사용될 수 있으며, 이는 OS/390 V7 에 대한 공보 DB2 UDB 인 2002 년 10 월 SC26-9937-02, OS/390 에 대한 DB2 에 도입부에 개시되어 있다. 데이터는 적절한 소정의 PII 분류 라벨들을 가진 개별적인 테이블-행렬 위치에 저장될 수 있다. 그 후, 환자의 개인 데이터는 다른 PII 분류 라벨들을 가진 여러 PII 데이터 오브젝트들내에 포함된다. 도 1 의 예에서, 라벨 {진찰, 치료}, {진찰, 보고} 및 {과금, 보고} 가 단지 예로서 도시된다. 그 후, 환자들은 설계된 PSFS 펑션을 통하여 환자 자신의 PII 데이터 오브젝트들을 볼 수도 있고, 이 PSFS 펑션에 의해 특정 환자는 그 환자가 소유자되는 PII 오브젝트들만을 볼 수 있다.

도 2 는 여기서 개시된 바와 같은 PII 데이터 액세스 제어 설비를 구현하는 기업 컴퓨팅 환경의 일례를 나타낸다. 이 예에서, PII 데이터의 소유자 및/또는 기업의 피고용인과 같은 사용자 (21) 는, 인터넷 (22) 을 통하는 동시에 방화벽을 통과하여 기업 내의 서버 상에서 동작하는 거래 관리자 (25) 에 액세스한다. 다른 방법으로, 방화벽 (24) 내부의 사용자 (21a) 는 거래 관리자 (25) 를 포함하는 서버에 직접 액세스한다. 이 예에서 서버 상에 존재하는 관련 데이터베이스 관리 시스템 (26) 는 관련 저장장치 (27) 내의 테이블 (28) 내에 포함되는 PII 라벨 오브 젝트 (29) 에 액세스한다. 오브젝트 저장장치 (27) 는 임의의 원하는 형태를 취할 수 도 있다. z/OS 동작 시스템의 옵션으로서 인터내셔널 비지니스 머신즈 코포레이션에 의해 제공된 상술된 RACF 와 같은 보안 관리자 (30) 는 기업의 보안 관리 (32) 에 의해 유지되는 보안 레지스트리 (31) 와 협의한다. 보안 레지스트리 (31) 는 그룹을 포함하는 사용자, 및 관련 PII 라벨들에 대한 사용목적을 규정할 수도 있고, 액세스 룰, 감사 제어 등을 포함하는 오브젝트 카테고리를 규정할 수도 있다.

조작상 그리고 아래에 더 상세히 설명되는 바와 같이, 특정 펑션(이는 PSFS 내에 규정되거나 또는 이것에 규정되지 않을 수도 있음) 을 실행하기 위한 처리 관리자에 대한 사용자의 요청은 동작 시스템 내에서 "프로세스" 를 생성시킨다. 이는 인터넷를 통하여 컴퓨티 시스템에 접속되는 사용자로부터 또는 국부적으로 접속되는 사용자 예를 들어 피고용인으로부터의 요청의 결과로서 발생할 수 있다. 본 발명의 주제인 PII 데이터 액세스 제어 설비를 사용하는 동작 시스템 플랫폼 보안 관리자는, 요청된 펑션을 실행하기 위한 사용자의 권한(authority) 을 결정하기 위하여 처리 관리자에 의해 호출된다. 일단 승인되면, 그 펑션이 실행되고, 이후에 그 정규 프로세싱의 일부로서, 관련 데이터베이스 관리 시스템의 제어하에 있는 PII 라벨 데이터(이것이 가정됨)에 대한 처리 관리자를 통하여 요청을 생성한다. 데이터베이스 관리 시스템은, 요청중인 사용자가 원하는 PII 오브젝트로 액세스 허용되었는지를 결정하기 위하여 보안 관리자를 호출한다. 보안 관리자는 예를 들어 요청된 오브젝트와 관련된 PII 라벨, 사용자와 연관된 PII 라벨, 및 오브젝트에 대 한 다른 관련 액세스 룰에 기초하여 결정을 행한다. 또한, PII 라벨 및 다른 액세스 룰은 보안 관리자에 의해 확립 및 유지될 수 있고, 보안 관리자에 의해 액세스가능한 보안 레지스트리 상에 저장될 수 있다.

도 3 은 본 발명의 양태에 따른 바람직한 실시형태내에 설정된 사용목적(purpose) 서빙 펑션을 이용하는 정보 흐름을 나타낸다.

이 예에서, 의사와 같은 사용자는 그 설비에 서명하고, 그의 현재 동작 시스템 프로세스로부터 특정 애플리케이션 펑션을 실행하도록 시도한다. 사용자는 기업 보안 관리, 사용자 PII 클리어런스 세트에 의해 할당되며, 상기 클리어런스 세트는 이 예에서 [{진찰}, {진찰, 보고}, {진찰, 치료}] 를 포함하는 것으로 가정한다. 만일 특정 펑션이 PII 사용목적 서빙 펑션 세트 (PSFS) 내에 있는 경우, 사용자의 PII 클리어런스 세트는, 특정 펑션을 실행하도록 허용된 사용자에 대한 그 PSFS (도 4a 참조) 에 할당된 PII 라벨을 포함한다. 예를 들어, PSFS 분류 라벨 "진찰"(41) 을 이용하는 경우, 의사와 같은 사용자는, 관련 데이터베이스 관리 시스템 (44) 으로부터 "완성된 의료 기록" 을 판독할 수 있다. {진찰, 치료}의 PII 라벨을 가지는 "완성된 의료 기록" 을 판독하는 경우에, 사용자의 현재 프로세스 라벨 (CPL) 은 그 데이터의 라벨에 설정되므로 사용자의 현재 동작 시스템 프로세스로 판독된 임의의 데이터의 라벨의 "히스토리" 를 유지한다. 이후에, CPL 은 PII 데이터가 동일한 또는 몇몇 사용목적에 대한 라벨을 가지는 다른 PII 라벨 데이터 오브젝트에만 기록되거나, 또는 PII 데이터 재분류가 이 프로세스에서 판독된 PII 데이터 및 기록중인 PII 데이터의 이러한 특정 결합을 가진 PSFS 를 이용하여 허용 되는지를 보증하기 위하여, 이 프로세스 내에서 발생하는 임의의 기록 동작을 진행하는 인증(authorizaion) 프로세싱의 일부 동안에 참조된다. 예를 들어, 사용자 클리어런스 세트 내의 {진찰, 보고} 의 사용자 클리어런스를 가지는 사용자는, [{진찰}] 의 PII 라벨을 가지는 사용목적 서빙 펑션 세트 "PSFS-D" 내에 있도록 규정되는 펑션들을 실행할 수 있고, "완성된 의료 기록"을 판독할 수 있지만 이것에 기록 할수는 없는데, 그 이유는 {진찰, 치료}로 부터 {진찰, 보고} 로의 PII 재분류에 의해 허용된 PSFS-D 가 "개략적인 의료 기록"으로 부터 판독되고 이것에 기록 할 수 있기 때문이다. 이와 반대로, 사용자가 사용자의 PII 클리어런스 세트 내에 규정되지 않은 PII 분류 라벨을 가지는 PSFS 내에 규정된 펑션을 호출할 수 없으므로, 사용자의 PII 클리어런스 세트의 범위의 밖의 PII 오브젝트들에 액세스한다. 예를 들어, 도 3 의 사용자 1 은 "환자 재무 기록"을 판독 또는 기록할 수 없다.

도 4 내지 도 4d 는 본 발명의 양태에 따른 PII 데이터 액세스 제어 설비의 상술된 프로세싱의 일례를 더욱 상세히 나타낸다. 도 4 를 참조하면, PII 제어 설비가 거래 관리자 (50) 에 대한 요청을 사용자가 행하는 것으로 부터 사용되어, 사용목적 서빙 펑션 세트 (PSFS)(60) 내에 규정될 수도 있는 소정의 애플리케이션 펑션을 실행한다. 이에 의해 거래 관리자 그 자체를 실행하는 동작 시스템 플랫폼 내에서 "프로세스"를 논리적으로 생성한다. 또한, 동작 시스템 플랫폼 내에서의 실행 또는 이것에의 논리적인 접속은 여기서 개시된 PII(personally identifying information) 컨셉들을 구현하는 데이터 액세스 제어 기능부에 의해 행해진다. 펑션을 실행하려는 사용자의 시도를 프로세싱하기 위한 로직의 일례는 도 4a 와 관련 하여 아래에 설명된다. 사용자가 특정 펑션에의 액세스가 허용되어, 거래 관리자가 선택된 PII 데이터 오브젝트 (70) 에 대한 사용자의 액세스를 요청한다. 보안 관리자는, 사용자가 선택된 PII 오브젝트 (80) 로 액세스 허용되는지를 결정하기 위하여 호출되며, 보안 관리자는 사용자 액세스를 허용하는지 여부에 대한 결정을 행한다. 선택된 PII 데이터 오브젝트에의 사용자 액세스를 허용하는지 여부에 대한 이 결정은, 부분적으로 특정 펑션이 판독 또는 기록을 수반하는지 여부에 기초한다(단계 90). 특정 PII 데이터 오브젝트로의 액세스를 허용하는지 여부에 대한 결정 로직의 일 실시형태는 도 4b 내지 도 4d 에 제공되어 있다.

상술한 바와 같이, 도 4a 는 사용자가 특정 펑션을 실행하려 하는 경우에 구현되는 프로세싱의 일례이다. 일례로서, 이 프로세싱은 도 4 의 단계 60 으로부터 호출되어야 한다. 먼저, 사용자는 특정 애플리케이션 펑션을 지정(단계 102)하고, 보안 관리자 프로세싱은 이 펑션이 PSFS 에 규정되어 있는지를 결정한다(단계 104). 만일 특정 펑션이 PSFS 에 규정되어 있지 않으면(단계 104), 보안 관리 프로세싱은 현재 프로세스 라벨 (CPL) 이 이전에 설정되었는지 (단계 105) 여부를 결정하고, 만일 이전에 설정되었으면, 보안 관리자 프로세싱은 특정 펑션에 대한 액세스가 거부되는 상태(단계 110)로 도 4 로 리턴한다. 현재 프로세스 라벨이 이전에 설정되지 않았다면, 보안 관리자 프로세싱은, 사용자가 선택된 데이터 오브젝트로 액세스 허용되었는지를 추가적으로 평가하기 위하여 도 4 의 단계 106 으로 간단히 리턴한다. 특정 펑션이 PSFS 에 규정된 경우(104)에, 보안 관리자 프로세싱은 사용자의 PII 클리어런스 세트가 그 PSFS 에 할당된 PII 분류 라벨을 포함하는 지 여부를 결정한다(단계 108). 사용자의 클리어런스 세트가 그 PSFS 에 할당된 PII 분류 라벨을 포함하지 않은 경우에, 사용자는 그 펑션으로 액세스 거부되고 프로세싱은 도 4 로 리턴한다.

사용자의 클리어런스 세트가 그 PSFS 에 할당된 PII 분류 라벨을 포함하는 경우(단계 108)에, 애플리케이션 프로세싱은 단계 112를 통하여, 일부 포인트에서, 도 4 에 있어서 사용자가 보호된 데이터 오브젝트에 액세스하도록 인증되는지 여부를 결정하는 보안 관리자를 호출(단계 80)하고, 도 4 에서 적절한 액션을 위하여 데이터베이스 관리자에게 리턴되는 결정을 행하는(단계 90) 데이터베이스 관리자 (예를들어 DB2) 에의 요청을 통과시키는 도 4 의 거래 관리자 (70) 를 통하여, 애플리케이션이 PII 데이터 오브젝트에 대한 요청을 행할 때 까지 지속된다.

도 4b 는 선택된 PII 데이터 오브젝트로의 사용자 액세스를 허용하는지 여부를 평가하는 경우에 보안 관리자에 의해 구현될 수 있는 결정 프로세스의 일례를 나타낸다. 먼저, 프로세싱은 이 오브젝트가 PII 라벨을 가졌는지 여부 (단계 120) 를 결정한다. 만일 그 라벨을 갖지 않은 경우, 사용자의 프로세스에 대한 현재의 프로세스 라벨이 이전에 설정되지 않으면(단계 125), 보안 관리자 프로세싱은 종래의 임의의 액세스 제어 체킹 (127) 을 통하여 액세스 결정을 행한다. 임의의 액세스 제어 (DAC) 체킹은 액세스 제어 체킹을 행하기 위한 접근방식이고, 동작 시스템의 보안 관리자 예를 들어, z/OS 동작 시스템을 가진 인터내셔널 비지니스 머신즈 코포레이션에 의해 제공되는 RACF 보안 관리자의 설비를 통하여 보호된 자원/오브젝트와 연관된 액세스 제어 룰들에 기초한다. 액세스 제어 룰들은 특히 특정 사용 자들 및 사용자 그룹들에 대한 액세스-모드 엔트리들을 포함하는 액세스 제어 리스트 (ACL) 를 포함한다. DAC 체킹은, 보호된 오브젝트과 연관된 PII 라벨 (사용목적) 이 없는 경우에 그리고 액세스 제어 결정을 추가적으로 적합하게(규정) 하도록 PII 라벨 프로세싱이 발생한 이후에 사용될 수 있다. PII 액세스 제어 체킹과 유사한 DAC 체킹은 오브젝트에 대한 특정 활동이 되는 액세스-모드를 사용할 수도 있다. DAC 체킹과 관련된 액세스 모드들의 일례들은 생성, 삭제, 업데이트, 판독이 없는 업데이트, 판독을 포함한다. IBM 의 RACF 에서 "리소스 프로파일"로도 지칭되는 액세스에 대한 룰들도 또한 지정된다. 일반적으로, 이러한 룰들은 "서브젝트" 가 "오브젝트"에 대한 액세스-모드를 수행할 수 있는 형태를 취한다. 또한, 어떤 임의의 액세스 제어 체킹 접근방식은 도 4b 의 프로세싱의 이 스테이지에서 사용될 수도 있다. 임의의 액세스 제어 체킹 (127) 은 선택된 오브젝트로의 사용자 액세스를 허용하는지 여부의 결정을 행한다. 이 결정은 액세스가 허용되었는지(단계 312)인지 또는 액세스가 거부되었는지 (단계 134) 중 어느 하나이다. 임의의 액세스 제어 (DAC) 에 대한 추가적인 설명은 2002 년 9 월자 IBM 공보 Z/OS V1R4.0 보안 서버 RACF 보안 관리자의 지침, SA22-7683-3 내에서 찾을 수 있다. 사용자의 "프로세스" 에 대한 CPL 이 이전에 설정된 경우(단계 125)에, 보안 관리자 프로세싱은 특정 펑션이 판독 동작인지 여부를 결정(단계 126)한다. 만일 판독 동작인 경우에, 예를 들어 DAC 체킹 (단계 127)을 이용하는 오브젝트로의 액세스를 허용하는지 여부에 대한 결정을 행한다. 만일 특정 펑션이 판독 동작 이외의 것이면, 컴퓨터 동작 시스템 프로세스로의 PII 보호 오브젝트(들)의 판독 이후에 컴퓨 터 동작 시스템 프로세스로부터 난(non)-PII 보호 오브젝트로의 기록이 허용되지 않기 때문에 액세스가 거부된다(단계 134).

오브젝트가 PII 분류 라벨을 가져, 보안 관리자 프로세싱이 사용자가 PSFS 펑션을 실행하는지 여부를 결정한다고 가정한다(단계 122). 만일 그 펑션을 실행하는 경우에는, 프로세싱은 도 4c 로 진행한다(단계 124). 그렇지 않으면, 선택된 오브젝트가 PII 라벨을 가지며, 사용자가 PSFS 펑션을 실행하지 않으므로 액세스가 PII 라벨 프로세싱에 의해 거부된다(단계 134).

도 4c 또는 도 4d 로부터 리턴되는 경우(단계 130)에, 보안 관리 프로세싱은 액세스가 PII 라벨 프로세싱 (128) 에 의해 거부되는지 여부를 결정한다. 만일 거부되지 않으면, 액세스 결정은 예를 들어 임의의 액세스 제어 체킹 (단계 127) 을 이용하여 행해진다. 만일 그렇지 않다면, 액세스는 거부된다(단계 134). 사용자가 PSFS 펑션을 실행하고, 프로세싱 (도 4c) 이 사용자가 판독 동작을 실행하고 있는지 여부를 결정(단계 140)한다고 가정한다. 만일 판독 동작을 실행하고 있지 않다면, 사용자는 기록 동작을 실행하여야 하므로 이에 따라 프로세싱은 도 4d 로 지속된다. 만일 판독 동작을 실행한다면, PSFS 의 라벨이 PII 오브젝트의 라벨과 동일하거나 이것의 적절한 서브셋과 동일한지 여부에 대한 결정을 행한다(단계 142). 만일 동일하지 않다면, 프로세싱은 도 4b 로 리턴하고, 사용자는 이 PII 오브젝트가 이 특정 PSFS 내에서 판독될 수 없기 때문에 PII 라벨 프로세싱에 의해 액세스 거부된다. 만일 단계 142 에서 예이면, PII 오브젝트의 라벨이 CPL 에 대한 엔트리로서 부가된다(단계 143). 이는 CPL 에서의 첫번째 엔트리일 수 있거나 이는 현 존 CPL 으로의 부가적인 엔트리일 수 있다. 만일 엔트리가 이미 PII 오브젝트의 라벨에 동일한 CPL 에서 존재하는 경우에, 이 단계는 무시된다. 다음으로, 프로세싱은 도 4b 로 리턴하고, 사용자는 PII 라벨 프로세싱에 의해 PII 오브젝트로의 액세스가 거부되지 않는다.

만일 사용자가, 사용자가 기록 동작을 실행하고 있음을 의미하는, 판독 동작의 미실행 상태에 있는 경우, 단계 140 으로부터, 보안 관리자 프로세싱은 도 4d 로 진행하여, 사용자의 프로세스에 대한 현재의 프로세스 라벨 (CPL) 이 이전에 설정되었는지 여부를 먼저 결정한다(단계 150). 만일 이전에 설정되지 않은 경우에, 프로세싱은 사용자의 프로세스가 PII 제어 프로세스로서 지속되고 사용자가 난(non)-PII 데이터를 현존 PII 데이터 오브젝트로 기록하도록 허용하는 상태로 도 4b 로 리턴한다(단계 151). 만일 설정된 경우에는, PII 오브젝트의 라벨이 CPL 엔트리들 각각의 라벨(단지 하나의 라벨이 존재할 수도 있음)과 동일하거나 또는 이들의 라벨의 적절한 서브셋과 동일한지에 대한 결정을 행한다(단계 152). 만일 동일한 경우에는, 그 프로세싱은 상술한 바와 같이 도 4b 로 리턴한 상태로 단계 151 를 지속한다. 단계 152 에서 동일하지 않는 경우에는, 이 PSFS 가 CPL 내의 라벨 또는 라벨들로부터 기록중인 PII 오브젝트내의 라벨로의 PII 오브젝트(들)을 재분류하기에 충분한 권한을 가졌는지 여부를 알아보기 위한 결정을 행한다(단계 153). 만일 재분류할 수 없는 경우에는, 프로세싱은 사용자가 PII 데이터 오브젝트로 액세스 거부된 상태로 도 4b 로 리턴한다. 만일 재분류할 수 있는 경우에는, 프로세싱은 상술한 바와 같이 도 4b 로 리턴한 상태로 단계 151 를 지속한다.

이하에서는 본 발명에 대하여 개시된 일부 개념들의 이론적인 기반을 정식적으로 설명한다. 오브젝트 O, 서브젝트 S, 액션 A 의 세트가 있다고 가정한다. 또한, 각각의 액션 a｀A 는 판독 모드 또는 기록 모드 중 어느 하나를 가지는 것으로 해석될 수 있다. 서브젝트 및 오브젝트는 사용목적들의 세트들에 대하여 라벨화된다. 라벨 l₁ 은, 만일 l₁ m l₂ 즉, 사용목적 세트 l₁ 이 사용목적 세트 l₂ 의 슈퍼 세트이기만 하면 라벨 l₂ 을 지배한다. 일반적으로, 본 발명에 의해 보호되는 PII 데이터를 판독하기 위하여, 사용자는 이 사용자가 판독하려하는 데이터의 라벨에 의해 지배되는 PII 라벨을 그 자체로 가지는 PSFS 를 실행하도록 실행되고 권한부여(또는 클리어)된다. 이는 PSFS 이고 연관에 의해, 이를 실행하는 사용자는, 판독되는 PII 오브젝트의 라벨내에 있는 하나 이상의 사용목적(들) 을 가진 PII 라벨을 가져야 한다.

프라이버시 라벨들

개인 데이터의 모든 일례는 연관된 라벨을 가진다. 라벨 L 은 사용목적들의 세트를 포함하며, 이들은 개인 데이터의 소유자가 소정의 승인을 가진 사용목적이다. 더 많은 사용목적을 가진 오브젝트는 덜 개인적이므로, 오브젝트들 사이의 데이터 흐름은, 만일 특별히 규정된 환경하에 있지 않다면, 더 많은 사용목적들을 가지는 오브젝트들로부터 더 적은 사용목적들을 가진 오브젝트들로만 이루어질 수 있다. 따라서, 컴퓨팅 동안 시스템을 통한 데이터 흐름으로서, 그 라벨들은, 특별히 제어된 환경(프로세스들) 에 의해 데이터를 제어된 방식으로 재분류하지 않는다면, 더욱 제한될 수 있다.

라벨들의 세트는 보안-클래스 격자의 본질적인 특성들에 대하여 프리-오더를 형성한다. 그 격자 내의 각 엘리먼트는 허용가능한 라벨들의 하나의 엘리먼트이다. 라벨들은 제한 관계에 의해 규정된 바와 같이 국부적인 순서로 존재한다. BOT 로서 기록된 최소한의 제한 라벨은 어느 곳으로든지 흐를 수 있는 데이터에 대응하는 제한 관계에 의해 규정된 바와 같이 국부적인 순서로 존재하며; 가장 큰 허용가능한 제한 TOP 는 어느곳으로도 흐르지 않는 데이터에 대응하며, 이는 누구에게도 판독될 수 없다. 격자내에서 상승하는 경우에, 라벨들은 엄밀하게 더욱 제한적으로 된다. 데이터는 항상 격자 내에서 위쪽으로 재라벨화되며, 이는 데이터가 몇몇 사용목적을 위하여 사용될 수 있음을 의미하며, 그 이유는 제한이 허용가능한 정보 누설을 생성하지 않기 때문이다. 라벨 BOT 는 공용 정보 즉, 개인 정보를 포함하지 않는 데이터에 대응한다.

개인 데이터의 재라벨화는, 새로운 라벨이 동일한 또는 일부 사용목적을 포함하는 경우에 제한된다. 표현 L₁[L₂ 는 L₁ 가 L₂ 보다 덜 제한적이거나 또는 이와 동일함을 그리고 데이터가 오퍼레이터 r 이 슈퍼 세트 관계를 나타내는 이하의 표현에 의해 표현될 때 라벨 L₁ 내지 L₂ 로부터 재라벨화될 수 있음을 의미한다.

L₁[L₂hL₁rL₂ 이면 라벨 L₂ 가 L₁[L₂ 이거나 단지 L₁[L₂ 이면 라벨 L₁ 을 지배한다고 할 수 있다.

계산 (또는 PSFS 로 표현되는 액션) 이 각각 L₁ 과 L₂ 으로 라벨화되는 2 개 의 값을 결합하는 경우에, 결과는 L₁ 과 L₂ 에 의해 지정된 모든 처리 제한들을 강화하는 (최소 제한) 라벨을 가져야 한다. L₁ 과 L₂에서 모든 처리를 강화하는 처리들의 최소 제한 세트는 간단히 2 개의 처리 세트의 교차점이다. 이 최소 제한 라벨은 L₁ 7 L₂ 으로 기록된 L₁ 및 L₂ 의 최소 상부 바운드 또는 결합이다.

L₁7L₂hL₁3L₂. 예를 들어, 결합된 오브젝트(예를 들어, 어드레스와 크레디트 카드 번호를 포함하는 리코드) 는 사용목적들의 교차점을 위해서만 사용될 수 있다.

예를 들어, 3 개의 사용목적에 대하여 구성된 라벨들을 가지는 격자는 과금, 진찰 및 보고로 가정된다. 이러한 격자는 그 헤세(Hasse) 다이어그램, (Skiena, S. "헤세 다이어그램" §5.4.2, "이산 수학의 구현 : 수학에 대한 순열 조합론 및 그래픽 이론"에 개시됨)에 의해 도시될 수 있다. 판독, MA : Addison-Wesley, p. 163, 169-170, 및 206-208, 1990), 여기서 "덜 제한적인" 관계는 과도적인 그리고 반사적인 에지들이 생략된 상태로 하부로부터 상부로 이동한다. 진찰 및 보고 사용목적에 사용될 수 있는 오브젝트는 {진찰, 보고} 로 라벨화된다. 이 오브젝트로부터의 데이터는 라벨 {진찰} 또는 라벨 {보고} 을 가진 오브젝트로 카피될 수 있다. 서브젝트 (또는 사용자) 는, 그 오브젝트를 판독할 수 있도록 {진찰}, {보고}, 또는 {진찰, 보고} 의 효과적인 라벨(사용자가 실행중인 PSFS 로부터 유도되는 라벨)을 가져야 한다. 디폴트에 의해, "리드 다운/라이트 업" 특성으로 인해, 정보는 격자에서 단지 위쪽으로 흐를 수 있다.

라벨 L 에 포함되는 사용목적들은 권리가 아니라 제한을 나타낸다. 따라서, 점점 더 사용목적으로 서브젝트로서 기능할 수록 오브젝트들이 더 많아지므로, 이는 서브젝트가 판독될 PII 오브젝트와 연관된 하나 이상의 사용목적에서 기능하는 경우에 판독될 수 있다.

서브젝트 s 는 만일 서브젝트 s 와 연관되는 사용목적들이, 오브젝트 o 와 연관되는 사용목적들의 서브 세트이거나 또는 이들과 동일하거나 단지 동일하면 PII 오브젝트 o 를 판독할 수 있다.

서브젝트 s 는 만일 오브젝트 o 와 연관되는 사용사용목적들이 서브젝트 s 와 연관되는 사용목적들의 서브 세트이거나 또는 이 사용목적들과 동일하거나 단지 동일하면 PII 오브젝트 o 를 기록할 수도 있다.

예를 들어, 라벨 {과금, 보고} 을 가진 사용자는 라벨 {과금, 진찰, 보고} 을 가진 오브젝트를 판독하거나 라벨 {과금}을 가진 오브젝트에 기록할 수도 있다.

양호하게 형성된 별( star ) 특성

사용자의 컴퓨터 동작 시스템 프로세스의 현재 프로세스 라벨 (CPL) 이 "하이-워터마크"로서 처리되는 경우에, 이는 격자를 부유시킬 수 있지만 가라 앉게 하지는 못한다. 사용자가 주어진 PSFS 를 가진 다양한 개인 데이터를 판독할 때, CPL 은 판독된 PII 데이터 오브젝트들과 연관된 사용목적들을 반영하므로, 사용자가 실행을 위하여 클리어(인증(authorized))되는 PSFS 의 펑션인 사용자의 클리어런스가 도달될 때까지 격자를 부유시킨다. 예를 들어, 사용자 제인이 {진찰}의 라벨을 가진 PSFS 를 실행하도록 클리어될 수도 있다. 이 PSFS 에 대하여 {진찰, 보 고} 로라벨화된 오브젝트를 판독함으로써, 그녀의 CPL 은 {진찰, 보고} 가 된다. {진찰} 로 라벨화된 오브젝트로부터 정보를 판독함에 의해 그녀의 CPL 은 {진찰} 의 부가적인 엔트리를 포함하므로, 그녀가 그녀의 현재 프로세스로 판독한 정보의 라벨들을 정확하게 반영한다. 이 상태의 그녀의 CPL 에 대하여, 그녀는 디폴트에 의해, 그녀가 그녀의 프로세스로 판독, {진찰} 의 라벨을 가진 PII 오브젝트들로 판독한 정보를 기록하기 위하여 PSFS (아마도 PSFS 그러나 반드시 그녀가 판독을 위하여 사용한 것과 동일한 것일 필요는 없다)를 실행할 수 있다. 그녀가 정보의 일부를 재분류하는 경우에, 그녀는 {진찰, 보고} 로부터 부터 {진찰} 을 판독할 수 있으마, 이는 디폴트로서 허용되며, 그 이유는 {진찰} 이 {진찰, 보고} 보다 격자 (몇몇 사용목적 또는 더 많은 제한) 가 위쪽으로 멀리 있기 때문이다.

지금까지 설명된 정보의 데이터 흐름 및 결과로서 생기는 재분류 는 MLS 제어된 프로세싱 환경에서의 데이터 흐름에 대한 일부 사항들에서 유사하게 된다. 그러나, MLS 는 보안 원인들에 대한 컴퓨터 리소스(예를 들어, 데이터)들의 구분된 액세스 제어에 대한 룰들로의 엄격하게 밀착시킬 수 있는 툴들에 대한 필요성을 논의하는 반면에, 기업에 의해 지정될 수 있는 융통성 있는 룰들에 따라 PII 를 재분류하는 프라이버시 지원에 대한 필요성이 남아 있다. 즉, 프라이버시 지원은, 특정의 미리 정해진 분류로부터 또 다른 특정의 미리 정해진 분류로 PII 를 재분류하도록 기업에 대한 방책을 포함해야 하지만, 펑션들을 실행하도록 권한부여된 사용자에 의해 그 자체가 변경 또는 조정될 수 없는 펑션들의 소정의 세트의 범위 내에서만 이를 행한다. 이러한 필요성은, 사용목적 서빙 펑션 세트 (PSFS) 의 규정의 "재분류 허용" 구성 및 이를 설명하는 엔트리인 본 발명의 또 다른 양태에 의해 제공된다.

선택된 사용자들은 PII 데이터 오브젝트들을 재분류할 수 있거나 또는 재분류하도록 허용되는 사용자들을 포함하는 임의의/모든 PSFS 를 실행하도록 클리어(권한부여)된다. 기업내의 사용자의 위치로 인하여 사용자가 보안 관리에 의해 될 수도 있는 PSFS 에 대한 클리어런스의 세트로서 본 발명내에서 표현되는 "양호하게 형성된 별(star) 특성"으로서 이 개념을 언급한다.

병원에 대한 예

본 발명 내에서 표현된 개념들을 나타내기 위하여, 병원 기업을 메타포(metaphor) 로서 이용한다. 의사, 간호사, 관리인 및 환자는, 예로서 병원 컴퓨팅 시스템을 통한 환자들의 흐름에 의해 포함되는 PII 정보로서 나타내며 다양한 병원 스태프에 의해 액세스 및 사용된다. 그 후, 여기서는 이 예를 개시한다.

병원의 프라이버시 성명서는 4 개의 오브젝트 카테고리를 논의하도록 가정된다. 일반적인 리코드는, 과금 및 진찰 목적을 가진 성명, 주소 등과 같은 일반적인 개인 정보를 포함하며, 일부 더 많은 목적을 포함할 수도 있다. 의료 기록은 진찰 목적만을 위한, 환자에 대한 진찰 데이터를 포함한다. 개략적인 진찰 기록은 과금 목적에만 사용된다. 이는 예를 들어 보험 정책에 의해 기술되는 바와 같이 진찰 데이터가 청구서로 되는 것을 정확히 포함한다. 재무 기록은 과금 목적에만 사용된다. 이는 보험의 세부사항, 가격, 청구서 및 지출서를 전송하는 날짜 등을 포함한다.

병원에서는 내부적으로, 관리자, 간호사 및 의사의 역할을 수행하는 우두머리들이 있다. 액세스는 이하의 비공식 프라이버시 정책 즉, 병원의 의사 및 간호사는 진찰 기록에 저장된 세부 데이터에 (판독 및 어쩌면 기록을 하기 위하여) 대한 실행에 대한 권한 부여 받은 사용목적 서빙 펑션 세트(들) 에 액세함에 의해 조정된다. 이러한 방식으로, 병원의 의사 및 간호사는 진찰 기록에 대하여 "클리어" 했다고 지칭된다. 개략적인 진찰 기록은 병원이 간호사에게 공개하지 않은 기밀정보이다. 단지 병원의 관리부 및 의사만이 이 데이터에 액세스한다. 병원의 관리부만이 재무 기록에 액세스한다. 한편, 독점적인 액세스 권리 즉, 의사는 재무 기록을 판독하도록 클리어 되어서는 안되며, 관리자들은 진찰 기록을 판독하도록 클리어 되어서는 안된다. 한편, 정보는 진찰 기록으로부터 개략적인 진찰 기록을 통하여 재무 기록으로만 이동되어야 한다.

안전하게 그리고 정확하게 재분류하고 심지어 제어된 방식으로 다운그레이드하는 능력을 가지는 것으로서 병원 컴퓨터 보안 관리부에 의해 사전 규정된 PSFS 를 실행하도록 클리어되는 "신뢰적인 서브젝트들"의 능력에 대하여, 병원 정책의 또 다른 명세가 주어질 수 있다.

제 1 관리자는 PII 라벨의 보고서를 가지는 사용목적 서빙 펑션 세트 내의 펑션들을 실행하도록 클리어되고, 마찬가지로 의사들은 진찰 목적을 위하여 클리어된다. 이는 양 당사자(party)에게 개략적인 기록들을 판독할 가능성을 제공한다. 부가적으로, 관리자는 재무 기록을 판독할 수 있고, 의사는 진찰 기록을 판독할 수 있지만 그 반대로는 할 수 없다. 최종적으로, 단지 소정의 안정하고 정확한 방식 으로 진찰 기록으로부터 개략적인 기록들로의 흐름을 허용하기 위하여, 의사들의 클리어런스는 예를 들어 라벨 세트 {{진찰}, {진찰, 보고}} 를 포함하도록 규정될수 있다. 따라서, 의사는 라벨 {진찰}을 사용하여 클리어되는 PSFS 를 실행함으로 개시할 수도 있으며, 이 라벨에 의해 의사는 진찰 기록 및 개략적인 기록을 판독할수 있다. 그 후, PSFS 를 실행함으로써, "재분류 허용"이라는 조항을 포함하는 규정은, 의사가 {진찰} 내지 {진찰, 보고} 로 라벨화되었던 PII 뿐만 아니라 PSFS 내에 포함된 기업규정 펑션을 통하여 다운그레이드하도록 허용한 {진찰} 로부터 {진찰, 보고} 까지이다. 의사는 재무 기록을 판독 또는 기록할 수 없다.

이에 따라서, 관리자는 라벨 {보고} 를 가진 PSFS 를 실행함으로써 개시하며, 상기 라벨에 의해 관리자는 재무 기록 뿐만 아니라 개략적인 기록을 판독할 수 있다. 그 후, PSFS 를 실행함으로써, "재분류 허용"이라는 조항을 포함하는 규정은 {보고} 로부터 {과금, 보고} 까지이며, 관리자는 {보고} 내지 {과금, 보고} 로 라벨화되었던 PII 뿐만 아니라 상기 PSFS 내에 포함된 기업 규정 펑션을 통하여 다운그레이드하도록 허용된다. 또한, 관리자는 진찰 기록을 기록 또는 판독할 수 없다.

정보는 의사를 통하여 진찰 기록으로부터 개략적인 기록까지만 그리고 관리자를 통하여 개략적인 기록으로부터 재무 기록까지 이동할 수 있다

간호사가 개략적인 기록을 판독하는 것을 방지하기 위하여, 부가적인 목적의 처리가 도입될 수 있다. 진찰 기록 뿐만 아니라 (펑션들이 실행되도록 클리어되는 PSFS(들) 내에 규정된 펑션들에 의해) 간호사들은 라벨 {진찰, 치료} 를 가진다. 따라서, 간호사들은 진찰 기록을 판독 및 기록할 수 있지만 다른 오브젝트들에 액세스하지 못한다. 이는 예시적인 정책의 명세를 완성한다.

예시적인 명세에서, 의사는 진찰 기록을 기록하도록 허용되지 않는다. 이는 제한사항으로서 간주될 수 있다. 그러나, 명세는 각각 {진찰}, {진찰, 보고}, {진찰, 치료} 로 라벨화된 복수의 PSFS 를 포함하도록 의사들의 PSFS 클리어런스를 변경함으로써 의사들에게 이러한 부가적인 힘을 주도록 확장될 수 있다. 따라서, 의사는, 진찰 작업시에, 라벨 {진찰, 치료}를 가진 PSFS 를 이용하는 경우에 진찰 기록을 판독 및 기록할 수 있다. 그러나, 의사가 관리 작업을 행하려 하는 경우, 의사는 라벨 {진찰} 을 가진 PSFS 내의 펑션을 실행하여 진찰 정보를 판독한다. 의가가 개략적인 기록으로 라벨 {진찰, 치료} 에 의해 보호된, 일부 세부 진찰 정보를 "재분류"하도록 결정한 경우에, 의사는 재분류하는 권한에 대하여 미리 정해진 PSFS 를 실행하므로, 라벨 {진찰, 치료} 로부터 라벨 {진찰, 보고} 까지 PII 를 다운그레이드시킨다.

이점

여기서 설명한 것과 같은 데이터 액세스 제어 설비를 사용함으로써, 보안 관리자는 민감함 PII 오브젝트들을 사용하여 동작하는 경우에 기업의 비지니스 필요성을 충족시키는 특정 동작 시퀀스에 따라 컴퓨터 펑션들의 특정 세트를 규정 및 확립할 수 있음을 당업자는 상기 상세한 설명부으로부터 이해할 수 있다. 펑션들의 이러한 사전-확립되고 제어된 세트들 및 동작의 연관 시퀀스는 이러한 PII 오브젝트들에 액세스할 수 있는 유일한 프로세스이므로, 이 PII 오브젝트들이 기업 프 라이버시 정책에 의해 기술되는 방식에서만 사용될 수 있다. 제공된 데이터 액세스 제어 설비는, 오브젝트에 대하여 요구된 프라이버시의 레벨(이는 오브젝트를 공정하게 사용할 수 있는 목적으로 해석) 및 개별 사용자들에 의해 요구된 PII 오브젝트들에 대한 클리어런스에 따라 사용자들에게 권한부여된 PSFS (purpose serving function set)로의 펑션들의 그룹화에 따라서, 데이터 오브젝트들 및 사용자들의 분류 표시를 포함하는 새로운 논리 구조물에 기초한다. 또한, 본 발명에 따른 데이터 액세스 제어 기능부에 의해 사용자(또는 컴퓨터 프로세스) 는 PII 분류 정보의 다른 세트들에 액세스할 수 있으며, 액세스 이벤트 상황의 역학관계에 따라 기능하므로, PII 오브젝트들로의 액세스를 요구하는 정보 프로세스들의 보안에 융통성을 부가하고 이러한 보안을 강화시킨다.

본 발명은 예를 들어 컴퓨터 사용가능한 매체를 가지는 하나의 제품(예를 들어, 하나 이상의 컴퓨터 프로그램 제품)에 포함될 수 있다. 매체는 예를 들어 본발명의 능력을 제공 및 용이하게 하는 컴퓨터 판독가능한 프로그램 코드로 구현된다. 그 제품은 컴퓨터 시스템의 일부로서 포함될 수 있거나 또는 개별적으로 판매될 수 있다.

또한, 본 발명의 능력을 수행하도록 머신에 의해 실행가능한 명령들의 하나 이상의 프로그램을 구현하는, 머신에 의해 판독가능한 하나 이상의 프로그램 저장 디바이스를 제공할 수 있다.

여기서 개시된 흐름도는 단지 일례이다. 본 발명의 사상을 벗어나지 않고 여기서 기술되는 다이어그램 또는 단계들(또는 동작들)을 다양하게 변경시킬 수 있 다. 예를 들어, 단계들은 다른 순서로 수행될 수 있거나 또는 단계들이 부가, 삭제 또는 변경될 수도 있다. 이러한 변경 모두는 청구된 발명의 일부로서 간주된다.

바람직한 실시형태들을 여기서 상세히 나타내고 설명하였지만, 다양한 변경, 부가, 치환 등이 이하의 청구항에 규정된 본 발명의 범위 내에서 행해질 수 있음이 당업자에게 명백하게 된다.

Claims

데이터 액세스 제어 기능부를 실행하는 방법으로서,

PII(personally identifying information) 데이터 오브젝트들에 PII 분류 라벨들을 할당하는 단계로서, 상기 PII 데이터 오브젝트는 상기 PII 데이터 오브젝트에 할당된 하나의 PII 분류 라벨을 가지는 것인, PII 분류 라벨의 할당 단계;

PII 데이터 오브젝트들을 판독 또는 기록하는 애플리케이션 펑션들의 리스트를 포함하는 하나 이상의 PII PSFS (purpose serving function set) 를 규정하는 단계;

하나의 PII 분류 라벨을 각각의 PSFS 에 할당하는 단계를 포함하며,

상기 PII 데이터 오브젝트는, 상기 PII 데이터 오브젝트의 PII 분류 라벨과 동일한 PII 분류 라벨 또는 상기 PII 데이터 오브젝트의 PII 분류 라벨의 서브세트인 PII 분류 라벨을 가지는 PII PSFS 의 애플리케이션 펑션을 통해서만 판독 액세스될 수 있는 것인 데이터 액세스 제어 기능부의 실행 방법.
제 1 항에 있어서, 상기 PII 데이터 오브젝트는, 상기 PII 데이터 오브젝트의 PII 분류 라벨과 동일한 PII 분류 라벨 또는 상기 PII 데이터 오브젝트의 PII 분류 라벨을 지배하는 PII 분류 라벨을 가지는 PII PSFS 의 애플리케이션 펑션에 의해 기록 액세스될 수 있는 것인 데이터 액세스 제어 기능부의 실행 방법.
제 1 항에 있어서, 상기 데이터 액세스 제어 기능부의 특정 펑션을 호출(invoke)하는 사용자를 식별하는 단계, 및 상기 식별된 사용자에게 PII 클리어런스 세트를 할당하는 단계를 더 포함하며, 상기 PII 클리어런스 세트는 상기 식별된 사용자에 대한 하나 이상의 PII 분류 라벨들의 리스트를 포함하는 것인 데이터 액세스 제어 기능부의 실행 방법.
제 1 항에 있어서, 상기 PII 데이터 오브젝트에 할당된 상기 PII 분류 라벨은 상기 PII 데이터 오브젝트의 소유자의 ID(identification)를 포함하는 것인 데이터 액세스 제어 기능부의 실행 방법.
제 1 항에 있어서, 상기 PII 데이터 오브젝트에 할당된 PII 분류 라벨은 상기 PII 데이터 오브젝트가 사용될 수 있는 하나 이상의 사용목적(purpose)의 표시를 포함하는 것인 데이터 액세스 제어 기능부의 실행 방법.
삭제
(ⅰ) 데이터 액세스 제어 기능부의 사용자에 의해, 특정 펑션을 호출하는 단계로서, 상기 데이터 액세스 제어 기능부는, PII(personally identifying information) 데이터 오브젝트들에 할당된 PII 분류 라벨들을 가지고, PII 데이터 오브젝트들을 판독, 기록 또는 재분류하는 애플리케이션 펑션들의 리스트를 포함하는 하나 이상의 PII PSFS(purpose serving function set)를 가지고, 상기 PSFS에 할당된 PII 분류 라벨을 가지며, 상기 데이터 액세스 제어 기능부의 사용자에는 PII 클리어런스 세트가 할당되며, 상기 사용자의 상기 PII 클리어런스 세트는 하나 이상의 PII 분류 라벨을 포함하는 리스트를 구비하는 것인, 특정 펑션의 호출 단계;

(ⅱ) 상기 특정 펑션이 상기 데이터 액세스 제어 기능부의 하나 이상의 PII PSFS 중 하나의 PII PSFS에 규정되어 있는지 여부를 결정하는 단계로서, 만일 규정되어 있는 경우에는, 상기 특정 펑션이 규정되어 있는 PII PSFS 에 할당된 상기 PII 분류 라벨에 매칭하는 PII 분류 라벨을 사용자의 PII 클리어런스 세트가 포함하는지 여부를 결정하며, 만일 포함하는 경우에는, 상기 특정 펑션으로의 액세스를 허용하는 것인 상기 결정 단계; 및

(ⅲ) 상기 사용자가 상기 특정 펑션을 수행하도록 선택된 데이터 오브젝트로의 액세스가 허용되는지 여부를 결정하는 단계를 포함하는 데이터 액세스 제어 방법.
삭제
삭제
삭제
삭제
PII (personally identifying information) 데이터 오브젝트들에 PII 분류 라벨들을 할당하는 수단으로서, 상기 PII 데이터 오브젝트는 상기 PII 데이터 오브젝트에 할당된 하나의 PII 분류 라벨을 가지는, PII 분류 라벨의 할당 수단;

상기 PII 데이터 오브젝트들을 판독 또는 기록하는 애플리케이션 펑션들의 리스트를 포함하는 하나 이상의 PII PSFS (purpose serving function set) 를 규정하는 수단; 및

하나의 PII 분류 라벨을 각각의 PSFS 에 할당하는 수단을 포함하며,

상기 PII 데이터 오브젝트는, 상기 PII 데이터 오브젝트의 PII 분류 라벨과 동일한 PII 분류 라벨 또는 상기 PII 데이터 오브젝트의 PII 분류 라벨의 서브세트인 PII 분류 라벨을 가지는 PII PSFS 의 애플리케이션 펑션을 통해서만 판독 액세스될 수 있는 데이터 액세스 제어 기능부의 실행 시스템.
(ⅰ) 데이터 액세스 제어 기능부의 사용자에 의해, 특정 펑션을 호출하는 수단에서, 상기 데이터 액세스 제어 기능부는, PII(personally identifying information) 데이터 오브젝트들에 할당된 PII 분류 라벨들을 가지고, PII 데이터 오브젝트들을 판독, 기록 또는 재분류하는 애플리케이션 펑션들의 리스트를 포함하는 하나 이상의 PII PSFS(purpose serving function set)를 가지고, 상기 PSFS에 할당된 PII 분류 라벨을 가지며, 상기 데이터 액세스 제어 기능부의 사용자에는 PII 클리어런스 세트가 할당되며, 상기 사용자의 상기 PII 클리어런스 세트는 하나 이상의 PII 분류 라벨을 포함하는 리스트를 구비하는 것인, 특정 펑션의 호출 수단;

(ⅱ) 상기 특정 펑션이 상기 데이터 액세스 제어 기능부의 하나 이상의 PII PSFS 중 하나의 PII PSFS에 규정되어 있는지 여부를 결정하며, 만일 규정되어 있는 경우에는, 상기 특정 펑션이 규정되어 있는 PII PSFS 에 할당된 상기 PII 분류 라벨에 매칭하는 PII 분류 라벨을 사용자의 PII 클리어런스 세트가 포함하는지 여부를 결정하며, 만일 포함하는 경우에는, 상기 특정 펑션으로의 액세스를 허용하는 수단;

(ⅲ) 상기 사용자가 상기 특정 펑션을 수행하도록 선택된 데이터 오브젝트로의 액세스가 허용되는지 여부를 결정하는 수단을 포함하는 데이터 액세스 제어 기능부.
데이터 액세스 제어 기능부의 실행 방법을 수행하기 위하여 머신에 의해 실행가능한 명령들의 하나 이상의 프로그램을 구현하는, 상기 머신에 의해 판독가능한 프로그램 저장 디바이스로서,

상기 방법은,

PII(personally idenfifying information) 데이터 오브젝트들에 PII 분류 라벨들을 할당하는 단계로서, 상기 PII 데이터 오브젝트는 상기 PII 데이터 오브젝트에 할당된 하나의 PII 분류 라벨을 가지는, PII 분류 라벨의 할당 단계;

상기 PII 데이터 오브젝트들을 판독 또는 기록하는 애플리케이션 펑션들의 리스트를 포함하는 하나 이상의 PII PSFS (purpose serving function set) 를 규정하는 단계; 및

하나의 PII 분류 라벨을 각각의 PSFS 에 할당하는 단계를 포함하며,

상기 PII 데이터 오브젝트는, 상기 PII 데이터 오브젝트의 PII 분류 라벨과 동일한 PII 분류 라벨 또는 상기 PII 데이터 오브젝트의 PII 분류 라벨의 서브세트인 PII 분류 라벨을 가지는 PII PSFS 의 애플리케이션 펑션을 통해서만 판독 액세스될 수 있는 머신에 의해 판독가능한 프로그램 저장 디바이스.
데이터 액세스를 제어하는 방법을 수행하기 위하여 머신에 의해 실행가능한 명령들의 하나 이상의 프로그램을 구현하는, 상기 머신에 의해 판독가능한 프로그램 저장 디바이스로서,

상기 방법은,

(ⅰ) 데이터 액세스 제어 기능부의 사용자에 의해, 특정 펑션을 호출하는 단계로서, 상기 데이터 액세스 제어 기능부는, PII(personally identifying information) 데이터 오브젝트들에 할당된 PII 분류 라벨들을 가지고, PII 데이터 오브젝트들을 판독, 기록 또는 재분류하는 애플리케이션 펑션들의 리스트를 포함하는 하나 이상의 PII PSFS(purpose serving function set)를 가지고, 상기 PSFS에 할당된 PII 분류 라벨을 가지며, 상기 데이터 액세스 제어 기능부의 사용자에는 PII 클리어런스 세트가 할당되며, 상기 사용자의 상기 PII 클리어런스 세트는 하나 이상의 PII 분류 라벨을 포함하는 리스트를 구비하는 것인, 특정 펑션의 호출 단계;

(ⅱ) 상기 특정 펑션이 상기 데이터 액세스 제어 기능부의 하나 이상의 PII PSFS 중 하나의 PII PSFS에 대하여 규정되어 있는지 여부를 결정하며, 만일 규정되어 있는 경우에는, 상기 특정 펑션이 규정되어 있는 PII PSFS 에 할당된 상기 PII 분류 라벨에 매칭하는 PII 분류 라벨을 사용자의 PII 클리어런스 세트가 포함하는지 여부를 결정하며, 만일 포함하는 경우에는, 상기 특정 펑션으로의 액세스를 허용하는 단계;

(ⅲ) 상기 특정 펑션을 수행하도록 선택된 데이터 오브젝트로의 액세스가 상기 사용자에게 허용되는지 여부를 결정하는 단계를 포함하는, 머신에 의해 판독가능한 프로그램 저장 디바이스.