TWI303785B

TWI303785B - Implementation and use of a pii data access control facility employing personally identifying information labels and purpose serving function sets

Info

Publication number: TWI303785B
Application number: TW093122918A
Authority: TW
Inventors: Linda Betz; John C Dayka; Walter B Farrell; Richard H Guski; Guenter Karjoth; Mark A Nelson; Birgit M Pfitzmann; Matthias Schunter; Michael P Waidner
Original assignee: Ibm
Priority date: 2003-08-19
Filing date: 2004-07-30
Publication date: 2008-12-01
Also published as: US7617393B2; KR100877650B1; CN100504714C; US20070250913A1; EP1660967A1; JP4550056B2; CN1836195A; US7302569B2; WO2005017720A1; US20050044409A1; KR20060061820A; JP2007503035A; TW200519696A

Description

1303785 案號.93122918 97年9月3日修替換胃九、發明說明：【發明所屬之技術領域】本發明係關於一電腦系統中之個人資訊安全，特別是關於一種條件式存取設備的使用與實施，其藉由使用者控制存取在一企業電腦糸統中之個人識別資訊(pers〇nally identifying information，PII)物件或資源。【先前技術】為了讓人們及組織能夠儲存與處理大量的個人資訊，運算與通訊技術的發展使得隱私的保護變得不易。為了達到資料的保密’保護儲存資料、傳送資料與在資料釋出上的若干控制顯得重要。然而’保護儲存資料有時會被新興㈣私政策語言與其實施所遮蓋，目前卻無機制可確保來自企設備中個人識職_正確使用及其釋出_。、傳統上，電腦系統的安全管理需一相對較低_控制，其通常是存取控财單。也使以-付合要求财錢個人使财⑽ 又一運«崎朗錢證，在健將朗=2)先被可存取物件之名稱進行比較％/、表中所列取文件、程式、tm、社他物杜八5 _錢t存〜、他物件會受到-安全系統（如系統 1303785 良 p m .., ,, ,, ...j 案號：93122918 v L 9 !乙獻」3，二U'l 97年9月3日修IE-替換頁安全管理器）的控制。一般來說，此技術稱為自由選定存取控制(discretionary access control，DAC)。根據美國政府及其他組織廣泛使用之較複雜與高度發展之電腦系統安全模式，在運算系統中存取物件可藉由象限化分隔(compartmentalization)邏輯系統來控制，其係與使用者及受保護之電腦來源物件相關之邏輯安全等級(階層式)與/或種類 (categories)(非階層式)的方式來實現。這樣的系統被視為，，多階層安全(multilevel secure，MLS)’，系統，其由 D· Bell 與 L· LaPadula 於 1973 年 11 月之 MTR2547 之 MITRE 報告之，，Secure computer system: Mathematical foundations and model”中定義的Bell-LaPadula安全模式來實施。此系統之發展、確認與實現已有可觀的研究在進行。於MLS系統中，與最高安全等級及最大數目之種類相關 (藉由分配)的使用者在系統中具有最高的安全等級。當請求的使用者(在電腦系統適當識別與認證之後)具有至少與請求物件一樣咼之相關安全等級，且使用者具有一組包含此請求物件的種類時，讀取保護物件之權限會授權給使用者。在這種情形下，使用者被視為支配此物件。相反地，當請求物件具有至少 I3Q3785

案號:93122918 97年9月3日修IE-替換頁 …月求使用者-樣而之相關安全等級，且物件具有—組種類包 3 H求使用者細之翻貞時，寫人至狐$保護物件之權限會授權給使財。在這種情形下，物件被視為支配此使用者。從延些被BelKUPadula模式所定義之規則看來，當資訊從-物件被讀取且寫入至另一物件時，如同資訊從安全性較低 P皆層移動至較高階層且/或從較少移動至較多麵時，mls保 4貝訊只會變得更加安全。相反地，一有效之逆Bdl_LaPaduia 模式之授權確認模式於19?7年美國空軍電子系統部門技術報口 76 372 中’由 Κ· Biba 戶斤著之，，integrity considerations for secure computer systems”中被描述。Biba表示資料與程式化系統的完整性係依賴於：資料及在其建立(creati〇n)中使用的程式化系統的完整性，並說明確保此完整性的處理模式。

Bell-LaPadula(MLS)模式與Biba之”逆MLS，，概念皆在現今的運真工業中使用’例如在程式產品Resource Access Control Facility(RACF)中使用，此為IBM所提供之z/OS作業系統中之一可選擇要件。此結構於2001年10月D3M公開刊物

SA22-7832-01 之”z/Architecture principles of operation” 中被描述，在此作為一參考資料。再者，RACF亦於2002年9月IBM 編號 SA22-7683-03 之”z/OS V1R4.0 Security Server RACF

Security Administrator’s Guide”中被描述，在此亦作為一參考資 1JUJ / 〇 j ] ' i Ϊ7.4 j f . 案號:9312291δ 缸一―一二 J·?——’一―™_J 97 年 Θ 月 3 日修 jg-替換頁料。【發明内容】如同達到MLS系統的需求一樣，用於控制個人識別資訊 (ΡΙΙ)保護物件的需求係加入一涉及保護物件種類化與存取它們之使用者的方法。在ΡΙΙ的情形下，分配給受保護物件的用途可視為是與分配給MLS受保護物件之種類相似。然而，用以控制ΡΠ資料物件之需求基本上不同於用以控制MLS受保護物件之需求。由於PII資料物件需要的隱密性較低，因此其要求較少的安全性，即更多的用途會與它們相關(能被存取）。再者’雖然在PII用途與MLS種類之間有類比的關係，但在階層式MLS安全等級中並無類似的對應關係。此外，傳統 MLS方法係處理使用者及物件，而ρη用途不僅要考慮使用者’更必顧時考紐用者触用者正在騎雜式(流程），以及其程式存取PII資料的理由(用途）。故此領域需要一麵的資料存取控做備，例如核日聘所魏之有效隱私模式，以及在不需要過度限制資訊流的情況下，可在像是一企業中精確控制個人資訊的釋出與傳遞。本發明之-目的在於藉由實現控制存取PII資料物件之資料存取控制設制方法，來解決f知之缺點並提供其他的優 10 1303785

B jT-;1 * 案號· 93122918 97年9月3日修j£-替換頁點。此方法包含：分配PII分類標號給ρπ資料物件其中一 HI資料物件分配有- ΡΠ分類標號；定義至少一 pn用途服務功能組(purpose serving細-对，咖），其包含.、寫入或再分類Μ資料物件之-應用程式功能清單；以及分配一 ρπ分類標號給每- PSFS，其中PII資料物件基於一具有ρπ 分類標號之ra PSFS醜難式舰僅材存取上述ρπ

分類標號等於ΡΙΙ資料物件之ΡΙΙ分練號，或為ρπ資料物件之ΡΙΙ分類標號之一真子集·合。本發明之另一目的在於提供一種資料存取控制方法，包含：由-資料存取控制設備之使財呼叫—特定功能，此資料存取控制n又備具有分配給ΡΙΙ資料物件以及至少一 pH psfs之 ΡΙΙ分類標號，PSFS包含讀取或寫入ριι :身料物件之應用程式功能清單，其中資料存取控制設備之使用者係分配到一 ριι授權集合(clearance set)，其中供使用者使用之ρπ授權集合包含一具有至少一 ΡΙΙ分類標號之清單；判斷特定功能是否被定義成資料存取控制設備之至少一 ΡΠ PSFS當中之ΡΙΙ PSFS，若疋，判_使用者之ΡΠ授權集合是否包^一 ΡΙΙ分類標號與分配給PII PSFS之ΡΙΙ分類標號匹配，若是，則允許存取其特定功能；以及判斷使用者是否被允許存取一被選資料物件，以執 11 1303785

案號:93122918 97年9月3日修]£一替換頁行其特定功能。與上述方法相對應之系統及電腦程式產品亦在此描述與主張。再者，透過本發明之技術能更了解其他的特徵與優點。本

發明之其他實施例與目的如後詳述，並應視為本發明主張之一部分V 【實施方式】在此顯示一資料存取控制設備，其提供PII之安全性。根據此設備，存取ΡΠ資訊係基於各種不同的條件，這些條件可存在(或發生作用)於或促使電腦流程的執行，而存取隱私機密電腦化資源(privacy classified computerized resource)(在此可廣義視為”物件，，或，，資料物件”)係發生於上述電腦流程執行期間。這樣的條件可包含但不限於··（1)包含使用者已請求存取 ρπ物件之應用程式功能；（2)使用者如何被識別並認證以使用其運算設備；（3)使用者在何處；（4)請求的時間；以及(5)其他可私式化確定之前後關係(c〇ntextual)及環境的因素。根據本發明之一目的，有許多方式可將條件應用於任何給 12 1303785 ;f—___________ 、年I日修正案號:93122918 嚴各，召——二::J 97年9月3日修ΪΕ~替類疋之存取控制檢查事件(event)中，例如：⑴隱私分類可基於使用者Ϊ试存取一 PII敏感物件(sensitiveobject)時，動態地分配給使用者；或(2)-物件之隱私分類反而(或亦)可根據相似(有時為相同)的條件而為動態。因此，此資料存取控制設備的優點在於允許使用者或-電腦流程根據存取事件情況(繼π event situation)之動態，存取不同組的ρπ分類物件與功能藉以增加請求存取ΡΙΙ之資訊程序之彈性並提高上述資訊程序之安全。廣義來說’在此揭露(為一目的)係為一種實現資料存取控制設備的技術，其包含分配ΡΙΙ分類標號給ρη資料物件其中每- PII物件分配有- ΡΠ分類標號。至少定義一 PIIPSFS， •其包含讀取、寫入或再分類PII資料物件的-應用程式功能清單。分配- PII分類標號給每一 PSFS。當使用時基於一具有ΡΠ分類標號的PIIPSFS的應用程式功能，—ριι物件僅能被項取’上述PII分類標號等於物件之Ρπ分類標號或為物件之ΡΙΙ分類標號之-子集合，或者基於PIIPSFS的應用程式功能僅能被寫入’其PIIPSFS具有之PII分類標號等於物件之 PII分類標號或高於物件之PII分類標號，或具有PSFS所允許之ΡΠ再分類清單。 13 1303785

案號:93122918 97年9月3日修替換頁在操作上，資料存取控制設備之使用包含··在運算系統中執行之運算應用程式之使用者呼叫一特定功能；判斷此特定功月色是否被定義成資料存取控制設備之一 pnpSFS，若是，判斷使用者之PII授權集合(其包含一具有至少一 ρπ分類標號之清單)是否包含一 ΡΙΙ分類標號與分配給上述PIIPSFS之ρπ分類心5虎相匹配，若是，允許存取其特定功能；以及判斷使用者是否被允許存取一被選物件以執行其特定功能。因此，如後之進 -步說明，根據本發明之一目的之ΡΙΙ資料存取控制設備剛開始係判斷使用者是否有縣存取-特定魏，接著判斷使用者是否被允許去存取一被選資料物件。在進-步仔細討論ΡΠ資料存取湖設備之前先定義以下的邏輯概念。在此討論的範例中，PII控制設備係被假設應用於醫p元中，此假設僅作為舉例使用。乱麵概：列出PII資料物件的擁有者，且包含由擁有者所選擇之-或多個用途之清單，其PII資料物件之分類可被使用，像是：財者、使用者識職、用途、雜、治療方法、報告、帳單。包含在PII受保護資料物件的資訊之後續使用者只能制特錢叙㈣，此狀崎麵财擁有者同 1303785

案號:93122918 97年9月3日修It-替換頁思且在ΡΠ分類標號中明確標示之。可使用ρπ物件的用途係包含在允許使用者對資料進行的功能中。 :讀/寫ρπ物件之應用程式功能清單。PSFS本身以一特定之ΡΠ分類標號所標記。在一給定pSFS中之功能清單包含：特定程式、應用程式、應用程式中的功能，例如 EJB(EnterpnSe javaBean)、方法、資料庫管理起始程序、sql 一《句等等。若且當執行特定pg’FS之使用者將資料寫入至一具有ρπ標號之ΡΠ物件時，PSFS可選擇性地包含特定psFs允許之PII分類更動(再分類)清單，上述PII標號包含未被包含儲存在目前程序標號(current process label，CPL)中之標號的用途’ I CPL係記錄有先前使用者在相同電腦作業系統流程中已讀取之ρπ資料之ρπ標號。紐物件:具有一相關ΡΠ分類標號之任何資源、文件、程式、設備等等。一給定PII物件只能有一個ριι分類標號。PII資料物件的擁有者和使用物件的用途均被包含在與物件相關的侃巾。為了完整舰，ΡΠ資料物件的擁有者係被包含在此·巾，因為在整辦取鋪檢查流程已完成其部分 ΡΠ存取控制檢查後（此為本發明之目的），其在存取控制檢查 15 1303785 Γ---------------------------t 、 R|.正替類 »93122918 L·—!— ------—1 97年9月3日修正》替換頁 d間之某-點上開始作動。更進_步來說，ρπ受保護資料物件之擁有者只能存取他們自己的資料物件，不能存取其他擁有者所擁有之ΡΠ受保護資料物件，此觀念由自由選定存取控制檢查(即習知之DAC)所執行。髮:使用者ID與群組ID(使用者ID群組)包含师資料的)擁有者與企業使用者，也就是那些存取資料物件且被企業安全存取管理部門所授權，以執行具有psFs功能作為他們部分企業功能的人。朗主里邏^± :分配給企業使用者之PII分類標於

，士口口 1 U β早。使用者PII授權集合建立起PSFS或使用者被授權執行企業令之功能的集合。.舉例來說，行政人員可以具有{報告）、 {帳單，報告ΜΡΠ授權集合，並且藉此被授權執行在psfQs中定義的功能’其中刪具有{報告}或{帳單，報告}的ΡΠ標破。醫生可以具有{診斷}、{診斷，報告}的？11授權集合，並且藉此被授權執行在PSFS中定義的功能，其中PSFS具有{診斷} 或{診斷，報告}的PII標號。護士可以具有{治療方法）、（診斷，治療方法}的PII授權集合。 ’ 16

案號:93122918 97年9月3日修I&-替換頁 1303785 fflCPL : PII標號，其動態地分配給使用者之作業系統流程，並且當使用者存取PII受保護物件時而更新。CPL係被動態地更新吨含任何PII物件之PII標號之記錄，與/或在一給定電腦作業系統流程期間使用者所讀取之物件。饭设-安全彳了政人貞為-特定企業設定ΡΠ資料存取控制設備。程序上，實現此設備可包含： 1) 安全行政人員定義i途之有效集合給—安全管理器’例如腿之RACF，其實現PII資料存取控制設備。以醫院為例： - 此企業之合法PII用途可能包含：用途1(例子··診斷）用途2(例子：治療方法）用途3(例子：帳單)· ·· 用途η(例子：報告）。 2) 安全行政人員分配ΡΙΙ標號給各種:_物件。物件名稱（例子：簡易診斷記錄） ΡΙΙ分類標號（例子：{診斷，報告})。 3) 安全行政人S定義侧使用者與使財群組，其為不間斷的活動，舉例來說，使用者可每天更換。 /、 17 1303785

月HI修案號:93122918 97年9月3日修正-替換頁

使用者K)-a(例子：病患使用者)加入至群組pATIENTS 使用者ID-x(例子··護士使用者)加入至群組那把四使用者ID-y(例子：醫生使用者）加入至群組 DOCTORS 〇 4) 安全行政人員分配使用者piI授權集合給每一個適當的使用者。舉例來說：使用者ID-x(例子··護士使用者）pn授權集合(例子： {治療方法}，{診斷，治療方法})。 - 5) 女王行政人貝疋義PSFS給安全管理5|。 PSFS名稱1 相關程式功能清單程式X 方法y 企業 Java Bean z。 6) 安全行政人員分配PII標號給psFs PSFS名稱1 一 -PII分類標號{診斷，治療方法卜 7)女全行政人員分配PII再分類。

清單)在執行期間被允許之再分類。當此PSFS被用來寫從{診斷，治療方法}到{診斷，報告} 可具有多個(因此為 18 1303785 年 ,97.

案號:93122918 97年9月3日修¢-替換頁

圖1係根據本發明之目的，用以說明一 ρΠ擁有者1〇(如醫院企業中的病患)輸入(或存取)ρπ物件至(或在)一關聯式資料官理系統與儲存裝置12之範例，其物件如完整診斷記錄 14、簡易醫療記錄16以及病患財務記錄18。操作上，病患1〇可呼叫為了病患使用所創造之PSFS中之一特定功能。此特定功能可被用來儲存PII資料物件於關聯式資料管理系統中，例如由IBM所提供，揭露於2〇〇2年1〇月之公開刊物號 SC26-9937-02 ^DB2 UDB for OS/390 V7 An Introduction to DB2 forOS/39〇”之DB2關聯式資料管理系統，在此將一併作為參考。資料可被儲存於具有適當預先定義ρπ分類標號之個別表-行-列(table-row-column)位置中。之後病患的個人資料保留在具有不同PI1分類標號之各種PII資料物件中。在圖1的例子中，標號{診斷，治療方法}、{診斷，報告}與{帳單，報告}僅以例子的方式顯示。接著，病患可藉由一指定的pSFS功能，查看自己# PII資料物件，其指定之PSFS功能允許一特定病患查看自己為擁有者之PII物件。圖2說明實施如此處描述之ρπ :身料存取控制設備之—企業運算環境的範例。在此範例中，使用者21(例如ρπ資料之擁有者與/或企業的雇員）藉由網際網路22穿過防火牆24，以 19 1303785

案號:93122918 97年9月3日修Ϊ&-替換頁

存取在企業内之舰器上執行的—執行管理师羅_ manager)25。或者，於防火牆24 _使用者2ia可直接存取包=執行管理H 25之繼ϋ。賴縣㈣統26(在此範例中亦存在於彳狐H内)存取在_相關儲存裝置27中之表格28所包含的ΡΙΙ標號物件29。物件健存裝置27可為任何所而之形式。-安全t理器30(如上述由職所提供，做為 z/OS作業系統之一選擇之說卩)查閱由企業之安全管理部門 3—2所維護之安全註冊器(隨吻吻卿讲。安全註冊器31可定義具有相關PII標號且包含群組和用途之使用者以及可定義包含存取規則、審核控制等之物件種類。

操作如下詳述。使財向執行f理騎求執行—特定功能 (其可能錢可能沒錄PSFS蚊義)導職作㈣統中建立起-”流程”，此因應使用者的請求而產生。上述使用者係利用崎網路連接至此作麵統，献本地連接的使时，如雇員。實現PII資料存取控制設備(本發明之目的)之作業系统平台安全管理肢峰行管職所呼叫，以蚊使財執行所請求力此的獅旦批准’其功能便開始執行，接著便是正常流程的—部份，會藉由執行管理器產生—ΡΠ標號資料請求(假設)，其中PI1標號資料係在關聯式資料庫管理系統的控制下。 20 J3 03 785 .......-:::=二二二二二—___.〜...] • j 1?97f^9, i：-^'止督換貝I 93122918 >·, 97 年 9 月 3 日修正一替換頁資料庫管理錢呼叫安全管理^關斷請求的使用者是否被允許存取所WPII物件。舉例來說，安全管理器基於與所請求物件相關之ΡΙΙ標號、與使用者相關的Ρπ標號、以及物件的其他相關存取規則做出決定。接著，安全管理人員便能建立及維護PII標號以及其他存取規則，而PII標號以及其他存取規則可儲存在安全管可尋址之安全註冊器上。圖3根據本發明之目的，用以說明在醫院環境中使用 PSFS之資訊流程。在此範例中’4生使用者利用目前的作業系統程序登錄至 ’、认備巾並试著執行一特定應用程式功能。上述使用者已由企業安全管理部門分配一使用者ρπ授權集合在此範例中假 «又其包3[{衫斷}，{診斷，報告μ診斷，治療方法》]。若此特定功能係在ΡΙΙPSFS中，則使用者之ΡΙΙ授權集合必須包含分配給 ^者使用之PSFS的PII標號(見圖仏），以允許執行上料 =功此。舉例來說’醫生使用者在使用psFs分類標號，，診斷，⑷ ^逕行從關聯式資料庫管理系統44中讀取”完整診斷記 =。在頃取具有{診斷，治療方法}細標號之，，完整診斷記錄” 時’使用者的CPL被設定至此請的標號，藉此記錄任何讀 21 1303785 正物案號:93122918 97年9月3日修f替換頁進使用者目前作衫触序之賴的標號。cpL雛在授權 ^序進行到此程种之寫人操作_時，會被參考以確保ρπ 貝枓只被寫人至有相同或較少崎之標號的其他ra標號資料物件，或是允許再分類PII資料使用此具有Μ資料特定結合之鹏的其他PII標號資料物件，其中ρπ資料特定結合之 ΡΠ資料已㈣取域流紅正被_。舉例來說，在使用者沌授權集合中具雜斷，報告}使用權利，且因此能執行定義於具有{診斷m職之祕D +的功能之使用者可讀取” 完整診斷記錄”但無法寫人至”完整診斷記錄，，並且由於 PSFS-D被允許從{診斷，治療方法}到{診斷，報告丨之四再分類，使用者可同時讀取與寫入，，簡易診斷記錄，，。相反地，使用者無法呼叫在使用者ΡΠ授權集合中未定義之ρπ分類標號之 PSFS中定義之功能’因此無法存取使用者ρπ授權集合範圍外的ΡΠ物件。舉例來說，圖3的使用者！不能讀取或寫入，病患財務記錄”。圖4耶根據本發明之目的，進_步說明上述ρΗ資料存取控制設備之流程之範例。參照圖4，pn控制設備的使始於使用者向執行管㈣提出—請求(步驟勢喊行預先^ 立且在鹏中定義之一應用程式功能(步驟6〇)。這使得執行 22 1303785

^里器本身執行之物統平台建立起邏輯的程序。同樣地，案號:93122918 97年9月3日修疋一替換頁 =乍業糸統平台中執行或邏輯地連接至作業系統平台的是揭路於此實現ρπ之資料存取控制設備。與圖4a相關之進行使用者所欲着之魏的顯範働贿如τ。赌使用者被允許存取其特定功能’則執行管理器為使用者請求存取一被選 ΡΙΙ資料物件(步驟70)。安全管理器被呼叫來判斷是否允許使

用者存取被選ΡΙΙ物件(步㈣），而安全管理器判斷是否允許使用者存取。此是否允許使用者存表被選ΡΙΙ資料物件的決定在某種程度上是基於此特定魏衫涉及讀取或寫入(步驟 90)。用以決定是否允許存取特定piI資料物件的邏輯範例係顯示在圖4B-4D中。圖4A為一流程範例，實施於使用者試著執行一特定功能的時候。此流程範例從圖4的步驟60開始。起初，使用者具體才曰疋特疋應用私式功能(步驟1〇2)，而安全管理器流程判斷此功能是否被定義在一 PSFS(步驟1〇4)。若此特定功能未被定義在PSFS(步驟104) ’則安全管理器流程判斷cpL是否先如已被设疋(步驟105)。若是，安全管理器程序回到圖4，並拒絕存取此特定功能(步驟110)。若CPL先前未設定，則安全管理為程序回到圖4，以進一步評估是否允許使用者存取被選 23 1303785

案號:93122918 97年9月3日修]E-替換頁資料物件(步驟106)。若此特定功能被定義在PSFS(步驟1〇4)，則安全管理n絲觸使崎之PII授觀合衫包含分配給此PSFS之PII分類標號(步驟108)。若使用者之授權集合未包含分配給此PSFS的1>11分類標號’則拒絕使用者存取其功能且流程回到圖4。若使用者之ΡΠ授權集合確實包含分配給此PSFS之ρπ 分類標步驟108) ’則應用程式流程繼續執行步驟112，直到某-時間點細程式藉由圖4之執行管理科求pH資料物件(步驟7G)，執行管理器傳送其請求至f料庫管理器（如 DB2)，其呼叫圖4之安全管理器(步驟，以_是否授權使用者存取受保護資料物件並做出決定(步驟％)，其被送回至資料庫管理器以進行適當之動作。圖犯.兒明田雜疋否允許使用者存取一被選抓資料物 T由安王g理⑽執行之判斷流程範例。剛開始，流程判斷物件是否具有- PII標號(步驟剛。若否且使用者流程之沉先前未被設定(步驟⑵），則安玲1|§流程藉由傳統自由選定存取控制檢查提供—存取決定(步驟127)。自由選定存取控制(DAQ檢細為—觀以執行麵控碰查的方法，並 24 1303785 年月日修.正替換頁 192“^一居…一——，一_j 案號:93122918 97年9月3日修正―替換頁且疋基於透過作業纟統的★全管理設備而與被保護之來源/物件相關之存取控制規則。作業系統的安全管理器可以是由mM 所提供，運作於Z/0S作業系統之RACF安全管理器。在其他方面存取控制規則包含存取控制清單(狀⑶％ c〇ntml 1紐， ACL)，其包含特定使用者與使用者群組之存取模式項目 (aCCess-m〇de entry)。當沒有與受保護物件相關之ρπ標號(用途)時，並且在ΡΙΙ標號流程已發生以進一步同意(或篩選)存取控制決定後，DAC檢查可被使用。DAC檢查像是ρπ存取控制檢查，係可利用與物件相關之特殊活動之存取模式。有關 DAC檢查之存取模式的範例包含產生、刪除、更新、更新但不言買取、以及讀取。存取的規則(在ΙΒΜ之racF中為，，來源設定檔(resourceprofile)，，)亦被具體列出。這樣的規則通常具有 • 一種形式·對象”可對”物件”執行存取模式。再者，任何自由選定存取控制檢查方法可在圖4B流程的此階段中應用。自由選定存取控制檢查決定是否允許使用者存取一被選定物件(步驟127)，此決定可以是允許存取(步驟132)或拒絕存取(步驟 134)。DAC之進一步說明可以於2〇〇2年9月IBM公開刊物 SA22-7683-3 之”Z/OS VIR4.0 Security Serve RACF Security

Administrator’sGuide”中找到。若使用者流程之cPL先前已被設定(步驟125)，則安全管理器流程判斷此特定功能是否為一 25 1303785

案號:93122918 97年9月3日修替換頁讀取操作(步驟1聊若是，則決定是否允許存取使用像是DAc 檢查之物件(步驟！27)。若此特定魏不是讀取操作，則由於在讀取- ΡΠ受保護物件至此流程後，從電腦作業系驗程寫入-非PII偏錄件將稀允許，所以麵遭魏(步驟134)。假使物件具有-PII分類縣’則安全管理歸程判斷使用者是否正在執行-PSFS魏(步驟122)。若是，流程進行至圖4C(步驟124)。否則，由於被選物件具有一 ρπ標號且使用者並未正撼行-PSFS魏，触ρπ魏雜拒絕存取 (步驟134)。從圖4C或4D返回之步驟13〇，安全管理器流程會判斷 ΡΙΙ標號流程是否已拒絕存取(步驟128)。若否，則利用像是自由選定存取控繼絲提供存取決定(步驟吻。否則存取會被拒絕(步驟134)。假設使用者正在執行一 PSFS功能，則流程(圖π)判斷使用者是否正在執行-讀取操作(步驟14G)。絲，使用者必須正在執行-寫入操作，故流程會在圖4D繼續。若是，則判斷 pSFS的標號是否與PII物件之標號相冑或為ριι物件之標號之 26 1303785 案號:93122918 97年9月3日修p替換頁

一真子集合(步驟142)。若否，流程回到圖4B(步驟145)，使用者因為不能藉由此特定PSFS讀取PII物件，故被ρπ標號流程拒絕存取。若步驟142為是，則增加ΡΙΙ物件之標號作為 CPL的一個項目（步驟143)。此可能是CPL的第一個項目或是既有CPL的一個新增項目。若有項目已存在於與ρπ物件之標號相等之CPL巾，則此步驟被跳過。流程進行至步驟144以回到圖4Β，ΡΠ標號流程不會拒絕使用者存取ΡΙΙ物件。若使用者並未正在執行一讀取操作，即使用者正在執行一寫入操作，則從步驟140開始，安全管理器流程進行至圖4D，先判斷使用者流程之CPL是否先配被設定(倾15〇)。若否/爪矛王回到圖4B(步，驟151)，使用者流程繼續為一 pn受控〜A ’且使用者被允許寫人非ρΗ資料至—現存ρπ資料物件。若步驟150為是，則判斷pn物件的標號是否等於每一 cpL 項目（有4僅為一)之標號，或為每一 cpL項目之標號之真子集合(步驟152)。若是，流程繼續至步驟I5卜回到如上所述之圖4B。若步驟152為否，則判斷此PSFS是否有充分的授權 k CPL巾的標號再分類ρπ物件至已被寫入之物件中的標就(步驟153)。若否，則流程回到圖4B(步驟I54)，使用者被拒、、巴存取PII貝料物件。若步驟】53為是，則流程繼續至步驟 27

案號:93122918 97年9月3日修正-替換頁 1303785 151以回到上述之圖4b。以下為利用本發明所誠之部分概念之理論基礎的形式說明。假設存在有物件集合〇、對象s與動作A，鸡一個動作aeA能解釋為具有讀取模式或寫入模式。物件與對象利用用途集u來；^。右且唯若，即用途集合I!高於用途集合12時，標號h高於標號1：2。—般來說，為了要棘受本發明所保4的PII身料，使用者必須正在執行且因此被授權(或被確執行PSFS ’其愤用者欲讀取之資料之標號高於的 ΡΠ標號。故使用者正在執行之酬必須具有一或多用途的 PH標號，其存在於被讀取之ΡΠ物件之標號中。麗私標號 · 每個個人資料的範例都具有一相關標號。標號L包含一用途集合’其中有些用途個人資料的擁有者已經同意。具有多個用途的物件較磁私’因此除非是在剩定義的環境下，否則物件_資料流只能從具有多個用途的物件流向具有較少用途的物件。故當在運算_資料流經系統時，除非特別受控的環境(流程)允許資料在受到控制的情況下被再分類，否則其標號將變得更多限制。 28 1303785 案號:93122918 97年9月3曰修正~替換頁月日修.正替換買也ϋ—-------—」上述標5虎集合形成具有一安全分類晶格(lattice)之預先順序在曰曰^!中的母個元素為可此的標號之一。標號存在於限制關係所疋義之部分順序中。最少限制的標號被標示為Β〇τ，係對應於能流向任何地方的資料。最可能的限制τ〇ρ對應不月bM向任何地方的資料，即無人可讀取它。當你在晶格中往上看打’軚號會變成更多限制。在晶格中資料總是能被向上地重新標號，其意味因為限制不能導致可能㈣訊漏失，所以它能被愈少的用途所使用。需注意標號B〇T對應於公共資訊，也就是不包含私人資訊的資料。若新標號包含相同或更少的用途，則個人資料的重新標號是一個限制。表示式-L2意味比起L2有較少或相同的限制，且資料可如下列表示式顯示的方式從標號Li被重新標號為L2 ’其中運异子說明一母集(SUper set)關係。

Ll^L2三LQL2表示若且唯若L4L2時，標號L2高於標號。當運异(或以PSFS表示的動作)分別結合標號為“與l2 兩個值時’其結果應該為具有執行所有被Li與l2具體指出的 29 1303785 患7么Η磨正替換貪案號·· 93122918 ——J 97 年 9 月 3 日修IE-替換頁使用限制之(最少限制)標號。執行所有在L!與L2中之政策的政策最低限制集合為兩政策集合之交界。此最低限制標號為 h與L2之最低上界(the least upper bound)或聯集(join)，標記為

LiUI^El^nL2。舉例來說，一組合物件(例如包含一位址與一k用卡5虎之記錄)只能被用在用途之交疊處。舉例來說，假設一晶格具有由三個用途組成之標號：帳單、#斷與報告。這樣的晶格可以由其Hasse圖(描述於1朔年麻州雷丁市Addison-Wesley出版社出版，由Skiena，s•所著之 Implementing Discrete Mathematics: Combinatorics and Graph Theory with Mathematica” 第 163、169-170 及 206-208 頁之Hasse Diagrams” §5A2)來表示，其中，，較低限制，，的關係從底部往頂部進行，同時&、略遞雜ansitive)與自反邊緣。可用於用途”診斷，’與”報告，’的物件會被標號成{診斷，報告}。從此物件出來的資料可被複製到具有標號{診斷}或{報告} 的物件。對象(或使用者)必須具有{診斷}、{報告}或是{診斷，報告}之有效標號(得自使用者正在執行的PSFS)，才能讀取此物件。需注意由於預設，’向下讀取/向上寫入”的性質，資訊在 30 1303785 晶格中只能向上移動 Q修正替換頁· 案號:93122918 97年9月3日修正—替換頁需注意岐，被包含在標號L中的用途不代表權利而代表限制。因此，在具有至少—與被讀取ρπ物件相_用途時，對象所提供_途愈少，則可讀取的物件愈多。若且唯若與縣8__途域物件。相_贿之子术δ或等於與物件〇相關的用途時，對象s可讀取ριι物件〇。右且唯若與物件0相關的用途為與對象s相關的用途之子集&或等於與對象S相關的用途時，對象s可讀取ρπ物件〇。舉例來說’具有標號{帳單，報告}的使用者可讀取具有標號{帳單，珍斷，報告}的物件，並可寫入至具有標號{帳單}的物參件0 ^^mmiiWell-forrned Star P〒rtV> 若使用者之電腦作業系統流程之CPL被視為是，，高水印 OuglMvatemiark)’’ ’則它會浮在晶格上而不會下沉。當使用者讀取若干具有一給定PSFS的個人資料時，CPL會反映與被讀 31 1303785

Latail修正替換頁案號:93122918 97年9月3日修正一替換頁

ΙΉ資料物件相關之用途，故浮在晶格上直到使用者的授權 (clearance)已經完成’其中授權為使用者已被通過(允許)去執仃之PSFS功能。糊來說’制者料觀過可峨行具有標號{診斷RPSFS。藉由讀取具有此pSFS標號為{診斷，報告} 之-物件’她的CPL會變成{診斷，報告}。從標號為{診斷}的物件讀取資訊將造祕的CPL包含{轉}之附加項目，藉此正確地反映她已讀取目前流程中之資訊的標號。糊在此狀態中的CPL ’她將舰地能夠編亍pSFS(可能但未必與她用來讀取時相同）’以將她已讀入流程中的資訊寫出至具有{診斷}標號的ΡΠ物件。需注意的是，她正在重新分類部分她已從{診斷，報告}讀取到{診斷}的資訊，這是預設允許的因為在晶格中{诊斷}比{診斷，報告}位於更上方(較少用途或更多限制）。目别所討論的資訊之資料流與再分類結果在某些方面是與在MLS控弟懷程環境中的資料流相似。然而當為了安全理由，MLS尋址能夠提供確實遵守用於電腦資源的象限化分隔存取控爾如資料)規則之工具需求時，其存在著隱私支援根據能被企業具體指定之彈性規則進而允許ρπ再分類之需求。換 a之’隱私支援必須包含一種方法，可讓企業具體指定授權給那些使用者(或使肖者群組)從-特錢蚊義之分類重新分 32 1303785

正替換頁案號:93122918 97年9月3日修正一替換頁類PII至另一特定預先定義之分類，但僅能在預設功能集合的範圍内如此進行，且其功能本身不能被有權執行它們的使用者改變或處理。此需求係由本發明另一目的所提供，也就是描述 PSFS項目之定義的，’允許再分類，，部分。被選的使用者通過(被授權)執行任何/全部包含能夠被允許再分類PII資料物件的PSFS。吾等視此概念為，，建構良好的星形性質”，其在本發明巾被視為由於使用者在企業中之職務，使用者已由安全管理部門分配之PSFS的授權集合。 #為了說明本翻所絲賴概念，吾等以醫院企業做為一範例^生遵士、行政雇員與病患在這範例中為PII資訊，係透過醫P元電職、纟絲為病患流_丨_ 所擁有，且為許夕醫院員卫所存取與使用。隨後將開始說明此例。叙λ邊私報告(statement)與四個物件種類相關。一般 ^錄包含—般的個人資訊，如姓名、地址等等，其用於帳單與斷的用述且可包含更多的用途。診斷記錄包含僅為診斷用途之病患相關的痛細。簡胃賴記雜驗帳單用途，其明 33 1303785

正替換i 案號:93122918 97年9月3日修正一替換頁確包含納人帳單的診斷資料，例如保險政策中所規定。財務記錄僅用於帳翔途，其包含保險明細、價格、寄送帳單日期與款項等等。在醫院内部有許多像是行政人員、護士與醫生這樣的角色。存取储由下顺正絲私政策所駭：只有醫院的醫生與蠖士可存取被授權執行(讀取及也許寫入)儲存於診斷記錄中之詳細貝料的PSFS。在這種方式下，醫院的醫生與護士對· 於#斷記錄而言被認為是授獅。㈣診斷記錄制醫院不能開放給護士的機密資訊，只有醫院的行政人員與醫生能夠存取廷些資料。只有醫院的行政人員能夠存取財務記錄。一方面有一些被排除的存取權利：醫生不可被授權讀取財務記錄，行政人員不可被授權讀取診斷記錄。另一方面資訊應該只有從診斷 §己錄經由間易醫療記錄流向財務記錄。另一醫院政策的項目可以界定為：那些被授權執行已被醫院電腦安全管理部π預蚊狀PSFS的”信麵象(trusted subj ect) ’ ’之能力係能夠安全地並正確地再分類甚至在一受控方式中執行降等(downgrade)的動作。 34 l3〇3785 正替換買案號:93122918 97年9月3日修1替換頁

首先，行政人員通過可執行具有”報告”PII標號之psFs 灼之功能，而醫生可同樣地被授權診斷用途，上述提供這兩個角色讀取簡易記錄的可能性。此外，行政人員可讀取財務記錄，醫生可讀取醫療記錄，反之則不行。最後，為了僅在一預先定義、安全且正_方式下鱗資職診斷記錄流向簡易記錄’醫生的授權可以被定義為像是包含標號集合{{診斷}，{診斷，報告»。因此，醫生可從執行一個已授權具有標號{診則之PSFS開始’這允許他讀取診斷記錄及簡易記錄。接著藉由執行其定義包含”允許再分類”字句：從{診斷}到{診斷，報曰告）之PSFS，他被允許降等標號為{診斷}之ρπ到{診斷，報告），但僅可透過包含在此PSFS中之企業定義功能。需注意醫°生絕不可讀取或寫入財務記錄。相對地，行政人員可從執行一個允許他讀取簡易記錄及財務，記錄具有標號{報告}之鹏開始。接著藉由執行其定義包含”允許再分類”字句：從{報告}到{帳單，報告}之咖，他被允許降等標縣{報告}之删懷單，報外但財透過包含 =此PSFS +之企業絲雜。囉地，_行政人員絕不可％取或寫入診斷記錄。 35 I3〇3785

i替換頁

案號:93122918 97年9月3日修IE-替換頁值得注意岐，資訊只能透财生錄斷記職向簡易記 # ϋϋ—政人員從簡易記錄流向財務記錄。為避免護士魏簡轉錄，可加續相職，，治療方法”。護士 (利用定義於他們被授權執行之咖内的蝴以及珍斷記錄具有標_靖，絲綠}。如此—來護士能讀取與寫入診斷記錄’但不能存取其他物件。上述即此範例政策之說明。於此範例細中，醫生不被允許以診斷·，這或許是個限制。航，此說财可藉纽變醫生的psFs授權，以分別包含標號為（診斷w診斷，報告}{診斷，治療方法}等多個删’來增加醫生其他的權限。因此，當醫生使用具有標號㊉斷，治療方法}的PSFS執行其醫療工作時，他能讀取與寫入診斷記錄。_，當鎌從事行紅作時，錄行在標號{診斷} 之PSFS _功能，以讀取診斷資訊。當他歧再分類部分被標號{診斷，治療方法}所保護的細項診斷資訊至簡易記錄時，他執行已經預先定義此權限之PSFS以便再分類，並因此降等標號{診斷，治療方法}至標號{診斷，報告}。、 36 1303785

案號·· 93122918 97年9月3日修正《替換頁熟省此項技藝之人士從以上應用在此揭露的資料存取控制設備之描述中，可注意到當使用敏感PII物件時，根據符合企業業務需求之特定操作順序，安全管理者能夠定義並建立一特定電腦功能集合。這些預先建立與控制的功能集合與操作的相關順序係為存取這些ΡΠ物件的唯一程序，如此確保ρπ物件能在企業隱私政策贿的方式下使用。上述熱存取控制設備係基於-倾的賴架構，其包含根據物件(其轉譯為能夠正當使用物件之用途)所需之隱私層級之資料物件與使用者分類的概念，以及根據各個使用者所需之ρπ物件之授權將功能群、、且刀給使用者之pSFS。此外，本發明之資料存取控制設備據存取事件狀態(access event situation)的動態，允許使用者 (或電腦流程)存取PII分類資訊與功能之不同集合，藉此增加要求存取ΡΠ物件之資訊流程的彈性與安全性。本發明可被包含於-具有像是電腦可利用媒體的製成品。或夕個電腦程式產品）。此媒體可實現為像是電腦可讀取式馬敦置，用以提供並促進本發明之功能。此製成品能被包含於一泰龟腦系統之一部分或單獨販售。 37 1303785 年月日修 97 Q _ q

正替換I 案號：93122918 97年9月3日修正-替換頁此外’至少-程式儲存裳置可被提供以執行本發明之功能’其程式贿裝置可由包含至少—可由機H執行之指令程式的機器所讀取。於此參照的流程僅為一範例，在不背離本發明精神的情況下，此處描述之圖式及步驟(或操作)可有許多變化。舉例來說，步驟可由不同的順序實施，或是步驟可被增加、刪除與修改。所有的變化都應視為是本發明之一部份。雖然較佳實施例在此被詳加說明與解釋，對於熟習此項技藝之人士而$，在不脫離本發明精神的情況下，許多的改良、加強、替換等都能夠被完成，因此本發明之範圍應以下列之申請專利範圍為限。【圖式簡單說明】本發明之標的於說明書後半段的申請專利範圍中被特別地指定並明確地記載。本發明之前半段與其他物件、特徵及優點配合下列圖式說明將更明顯，其中·· 圖1係根據本發明之目的，說明一方法之實施例，其用以儲存具有由資料存取控制設備分配使用之ΡΠ分類標號之PII 物件； 38 1303785 圖2係根據本發明之目的，說明一運算環境之實施例，其包含並利用-或多個資料存取控制^備的目的；圖3為一根據本發明之目的之操作實施例，其顯示當使用者讀取和寫入PII資料物件時，使用者之CpL在一已建立之流程序中所經歷的改變；圖4為根據本發明之目的之流程實施例流程圖，其由ρπ 資料存取控制設備實現之；

圖4Α為根據本發明之目的之邏輯貪施例流程圖，其用以確定使用者是否可利用一特定功能；、，圖4Β為根據本發明之目的之邏輯實施例流程圖，其用以判斷是否允許-:麟存取的發生，包含顺請求物件是否包含一 ΡΙΙ資料物件；圖4C為根據本發明之目的之邏輯實施例流程圖，當

之特疋功I包含—讀取操料，㈣躺使用者能否繼 ρπ控制流程；以及 '、 θ為根據本發明之目的之邏輯實施例流程圖，【主要元件符號說明】 10擁有者 39 1303785 案號:93122918 97年9月3日修It·替換頁 12關聯式資料管理系統與儲存裝置 14 完整診斷記錄 16簡易診斷記錄 18病患財務記錄 21 使用者 21a使用者 22 網際網路 24防火牆 25執行管理器 26關聯式資料庫管理系統 27儲存裝置 28表格 29 PII標號物件 ~ 30安全管理器 31 安全註冊器 32 安全管理部門 41 PSFS分類標號{診斷} 44關聯式資料庫管理系統

Claims

1303785 案號:93122918 97年9月3日修f替換頁平月日修正替換|Γ Lai q -q 、 — ‘tj__________________________ 十、申請專利範圍： 1·一種實施一資料存取控制設備之方法，該方法包含：分配（assigning)複數個個人識別資訊（pers〇nally identifying information，PII)分類標號給複數個ΡΠ資料物件，其中一 PII資料物件分配有一 ΡΠ分類標號；疋義至少一 PII用途服務功能組(pUrp0Se serving fUnetion set ’ PSFS)，該PIIPSFS包含讀取或寫入複數個ρΠ資料物件之一應用程式功能清單；以及分配一 ΡΙΙ分類標號給每一 PSFS，其中一 ΡΙΙ資料物件藉由一具有一 ΡΠ分類標號之PII PSFS的一應用程式功能僅為讀取可存取(read accessible)，該ΡΙΙ分類標號等於該ρπ資料物件之該ΡΙΙ分類標號’或為該ΡΙΙ資料物件之該ΡΙΙ分類標號之一真子集合。 2·如請求項1所述之方法，其中一 ΡΙΙ資料物件藉由具有一 ρπ 分類標號之一 PIIPSFS之一應用程式功能為寫入可存取(write accessible)，该PII分類標號等於或兩於(dominant)該PII資料物件之該PII分類標號。 41 1303785 「―— —___________— 、月日條正替換頁案號:93122918 97年9月3日修1£~替換頁 3·如請求項2所述之方法，其中該PII資料物件藉由一 pn pSFs 之一應用程式功能可以為寫入可存取，其中該PII PSFS具有複數個PI1再分類之一清單，該些PII再分類係為該PII PSFS 所允許。 4·如叫求項1所述之方法，更包含識別一呼叫(inv〇king)該資料存取控制設備之一特定功能之使用者，以及分配一 PII授權集合(clearance set)給該已識別使用者，其中該PII授權集合包含，鲁一或多個供該已識別使用者使用之ρπ分類標號之一清單。 5·如請求項1所述之方法，其中分配給該ρπ資料杨件之該ρη 分類標號包含該ΡΠ資料物件之一擁有者之一識別證 (identification) 〇 6·如請求項1所述之方法，其中分配給該ρπ資料物件之該_ 分類標號包含可使用該資料物件之至少—用途之一指示 (indication) 〇 7·如請求項1所述之方法，更包含於一企業内起始地定義複數個PII用途以使用該資料存取控制設備，以及運用該些卯用 42 1303785

案號:93122918 97年9月3日修正-替換頁途於定義分配給該些PII資料物件與分配給該至少一 PSFS之該些PII分類標號的時候。 8· —種資料存取控制方法，包含： ①由一資料存取控制設備之一使用者呼叫一特定功能，該資料存取控制設備具有分配給複數個ΡΠ資料物件以及至少一 PII PSFS之複數個PII分類標號，該PIIPSFS包含讀取、寫入或再分類複數個PII資料物件之一應用程式功能清單，以及分配有一 PII分類標號，其中該資料存取控制設備之該使用者已分配到一 PII授權集合，供該使用者使用之該PIJ授權集合包含一具有至少一 PII分類標號之清單； (ii) 判斷該特定功能是否被定義成該資料存取控制設備之該至少一 PII PSFS中之一 PII PSFS，若是，判斷該使用者之 PII授權集合是否包含一 ΡΠ分類標號與分配給該PII pSFS之該PII分類標號相匹配，若是，允許存取該特定功能；以及 (iii) 判斷該使用者是否被允許存取一被選資料物件，以執行該特定功能。 9·如請求項8所述之資料存取控制方法，更包含在該呼叫步驟前，於該資料存取控制設備之安全控制下之一作業系統内建立 43 1303785

案號:93122918 97年9月3日修正-替換頁一程序，其中該呼叫步驟於該被建立之程序内執行。 10·如睛求項9所述之資料存取控制方法，其中該判斷步驟⑷) 更包含·若該特定功能並非定義成該資料存取控制設備的一 PII PSFS，且一目前程序標號(current process labe卜 CPL)先前已被設定供該被建立之程序所用時，則拒絕存取該特定功能。 11·如明求項9所述之^料存取控制方法，其中該判斷步驛(沿) 包含：判斷該被選資料物件是否包含一 ρΠ資料物件，若是，核對該使用者之特定功能是否定義成該資料存取控制設備之該至少- PII PSFS中之- ΡΠ PSFS，若否，拒絕存取該被選資料物件。 I2·如請求項9所述之資料存取控制方法，其中該判斷步驟⑽ 更包含：若該被選資料物件不是一 ρπ資料物件時，判斷一 CPL是否已設定供該被建立之程序所用，若否，透過自由選定(discretionary)存取控制檢查，提供一存取決定給該被選資料物件。 13.如請求項12所述之龍存取控制方法，其中該觸步驟⑽ 44 1303785 I-----—^ Q^' g ^ _ 3 ^ 正鲁換:貝案號:93122918 一^丄一二一一…一 —J 97年9月3曰修I&-替換頁更包含：若該CPL先前已設定供該程序咖，且該被選資料物件不是-PII資料物件時，判斷該特定功能是否為—讀取操作，若是，則接著透過自由選定存取控制檢查，提供一存取決給該被騎_件，若雜定魏不是—讀取操作時拒絕從該被建立之程序存取該被選資料物件。如請求項U所述之資料存取㈣方法，其中該判斷步驟⑽ 更包含：判斷該特定功能是否包含-讀取操作，若是，判斷分配給該特定功能所定義之該PIIPSFS之該ρπ分類標號是否等於與該被選資料物件相關之-ΡΠ分類標號，或為與該被選資料物件相關之- ΡΙΙ分類標號之一真子集合，若否，則拒絕存取該被選資料物件，若是，加入該被選資料物件之該ρη分類標號至用於該被建立之程序之一 CPL清單。 K如請求項11所述之資料存取㈣方法，其中該判斷步驟㈣更包含：判斷該特定功能是否非一讀取操作，若非一讀取摔作，判斷用於該被建立之程序之一 CPL清單是否存在，若否，透過自由選疋存取控制檢查，允許處理一存取決定至該被選資料物件。、、 45 1303785 年月日修正替換頁案號:93122918 97年9月3日修正**替換頁 16·如請求項15所述之資料存取控制方法，其中若用於該被建立之程序之該CPL清單存在時，判斷該被選資料物件之該PII 分類標號是否等於該些CPL項目(entry)的每一個，或為該些 CPL項目的每一個之一真子集合，若是，透過自由選定存取控制檢查，允許處理一存取決定至該被選資料物件。 17·如凊求項16所述之資料存取控制方法，其中若該ρπ資料物件之该ΡΙΙ分類不等於每一 CPL清單項目之該ρπ分類標號’或不為每- CPL清單項目之該ΡΙΙ分類標號之一真子集合 f，則該方法更包含：判斷該特定功能所定義之該pn psFs 是否允許從該CPL清單之該(些)piI分類標號到該即資料物件之該PII分類標號之再分類，若是，則透過自由選定存取控制檢查’允許處理一存取決定至該被選資料物件，否則，拒絕该使用者存取該PII資料物件。

恶滑單。 •法，更包含提供用於該清單包含在該已建立之些PII分類標號之一動 46 1303785 ^:93122918 〜一· 97年9月3日修正〜替換頁 19.如請求項18所述之資料存取控制方法，更包含當判斷是否允許該被建立之程序的該使用者，在該特定功能為一寫入操作至一其他PII資料物件時存取另一 ρπ分類標號時，運用該 CPL清單，其中該另一 ρπ資料物件可具有與從該ρπ資料物件讀取資訊之該ΡΙΙ資料物件相關之該ρπ分類標號不同之— ΡΙΙ分類標號，藉以再分類該被讀取ρπ資料物件之資訊。 2〇.如請求項19所述之資料存取控制方‘，更包含提供—與該至少-PIIPSFS相關之”允許再分類”參數，其中若該，，允許再分類”參數被設定時，該參數與該相對應之至少—piipsFs内之所有已絲之魏有關’且該參數允賴制者執行該些功能其中之-以再分類- PII資料物件，當寫入資訊至具有一 pH 分類標號之該ΡΙΙ資料物件時，該PII分類標號不等於包含在該沉清單中之每—該ΡΠ分類標號，或不為包含在該CPL 清單中之每一該ΡΙΙ分類標號之一真子集合。住講貝冊取控制設備之系、統，該系統包含： -第-分配裝置’㈣分配細目ΡΙΙ分類標號給棚 PII資料物件，其中—PII資料物什刀配有—ΡΠ分類標號；一第-定義裝置’用以定義至少 m PSFS，該 ΡΠ PSF 47 1303785 £

案號:93122918 97年9月3日修正一替換頁包含讀取或寫入複數個PII資料物件之一應用程式功能清單; 以及第-分配裝置，用以分配一 pH分類標號給每一 psFs，八 11貝料物件藉由一具有-即分類標號之pIIPSFS的次應用知式功能僅為讀取可存取，該ριι分類標號等於該扭貝料物件之該ΡΠ分類標號，或為該ρπ資料物件之該兕分類標號之一真子集合。 22.如請求項21所述之系統，其中一 ΡΠ資料物件藉由具有一 ρπ分類標號之-PIIPSFS之—應聰式功能為寫人可存取，該pii分類標號等於或高於該Ρπ資料物件之該ριι分類標號。 23.如請求項22所述之系統，其中㈣資料物件藉由一！

PSFS之-應用程式功能可以為寫入可存取其中該叩四具有複數個PII再分類之一清里 q早，该些PII再分類係為該 PSFS所允許。 24.如請求項21所述之系統，更包含—識別裝置，用以識別一呼叫該資料存取控制設備之1定功能之使用者，以及分配裝置用以分配-HI授權集合給該已識別使用者，: 48 1303785 鈐.¾. ff 正替換頁案號:93122918 97年9月3日修正一替換頁 PII授權集合包含一或多個供該已識別使用者使用之ρΠ分類標號之一清單。 25·如請求項21所述之系統，其中分配給該ΡΙΙ資料物件之該 PII分類標號包含該PII資料物件之一擁有者之一識別證。 26·如請求項21所述之系統，其中分配給該PII資料物件之該 ΡΠ分類標號包含可使用該資料物件之至少一用途之一指示。 27·如請求項21所述之系統，更包一第二定義裝置用以含於一企業内起始地定義複數個Ρπ用途以使用該資料存取控制設備’以及一運用裝置，用以運用該些pn用途於定義分配給該些PI1資料物件與分配給該至少一 PSFS之該些ΡΠ分類標號的時候。 ' 28· —種資料存取控制設備，包含： ⑴-呼叫裝置，用以由一資料存取控制設備之一使用者呼叫一特定功能，該資料存取控制設備具有分配給複數個Ρπ資料物件以及至少—PII鹏之複數個ρπ分類標號，該^ PSFS包含讀取、寫人或再分類複數個ρη資料物件之一應用程式功能清單，以及分配有一 ρπ分類標號，其中該資料妹 49 1303785

97. 月 it替換頁案號:93122918 97年9月3日修;E-替換頁控制設備之該使用者已分配到一 PII授權集合，供該使用者使用之該PII授權集合包含一具有至少一 PII分類標號之清單； (ii) 一第一判斷裝置，用以判斷該特定功能是否被定義成該資料存取控制設備之該至少一 PH PSFS中之一 PII PSFS，若是，判斷該使用者之ΡΠ授權集合是否包含—ρπ分類標號與分配給該PIIPSFS之該ΡΠ分類標號相匹配，若是，允許存取該特定功能；以及

(iii) 一第二判斷裝置，用以判斷該使用者是否被允許存取一被選資料物件，以執行該特定功能。 29.如請求項28所述之資料存取控制設備，t包含一建立襄置用以在該呼叫如，於該資料存取控制設備之安全控制下之一作業系統内建立-程序，其中該呼叫於該被建立之程序内執行0

30.如請求項29所述之資料存取控制設備，其中該第一判斷裝置⑼更包3 拒絕裝置’若該特定功能並非定義成該資料存取控制設備的- PII PSFS，且一 cpL先前已被設定供該被建立之程序_時，肋拒絕存取雜定功能。 50 13〇3785 正替換頁: 案號:93122918 97年9月3日修p替換頁 31·如請求項29所述之資料存取控制設備，其中該第二判斷裝置(iii)包含：一第三判斷裝置，用以判斷該被選資料物件是否包含一 ΡΠ資料物件，若是，則用以核對該使用者之特定功能是否定義成該資料存取控制設備之該至少一 ρπ pSFS中之一 PIIPSFS ’若否，則用以拒絕存取該被選資料物件。 32·如請求項29所述之資料存取控制設備，其中該第二判斷裝置(iii)更包含：一第四判斷裝置，若該被選資料物件不是一 ριι 資料物件時，肋_— CPL枝已設定供該猶立之程序所用’若S ’透過自由選定存取控制檢查，用以提供一存取決定給該被選資料物件。 33.如請求項32所述之資料存取控繼備，其中該帛二判斷裝置⑽更包含：一第五判斷裝置，若該cpL先前已設定供該程序所用^亥被選身料物件不是一 ρπ資料物件時，用以判斷該特定功能是否為—讀轉作，若是，難著透過自由選定存取控制檢查’用以提供—存取決定給該被選資料物件，若該特定功能不是-觀操料，肋減從職粒之程序存取該被選資料物件。 51 1303785

iJ修

案號:93122918 97年9月3日修IE-替換頁 34·如凊求項31所述之資料存取控制設備，其中該第二判斷裝置(111)更包含：一第六判斷裝置，用以判斷該特定功能是否包含一讀取操作，若是，用以判斷分配給該特定功能所定義之該 PIIPSFS之該ρΠ分類標號是否等於與該被選資料物件相關之一 PII分類標號’或為與該被選資料物件相關之一 ρϋ分類標號之一真子集合，若否，用以拒絕存取該被選資料物件，若是，

用以加入該被選資料物件之該ΡΙΙ分類標號至用於該被建立之程序之一 CPL清單。 35·如請求項31所述之資料存取控制設備，其中該第二判斷裝置(in)更包含：一第七判斷裝置，用以判斷該特定功能是否非一讀取操作，若非一讀取操作，用以判斷用於該被建立之程序之- CPL清單是否存在，若否，則透過自由選定存取控制檢查，用以允許處理一存取決定至該被選資料物件。 36·如凊求項35所述之資料存取控制設備，其中若用於該被建立之程序之該CPL清單存在時，_第八判斷裝置用以判斷該被選資料物件之該ΡΙΙ分類標號是否等於該些CPL項目的每一個’或為該些CPL項目的每—個之—真子集合，錢，透過自由選定存取㈣檢查，肋允域理_存取蚊至該被選資 52

案號:93122918 97年9月3日修正一替換頁 1303785 料物件。 37·如請求項36所述之資料存取控制設備，其中若該piI資料物件之該PII分類不等於每一 CPL清單項目之該pn分類標號，或不為每一 CPL清單項目之該PII分類標號之一真子集合時，則該设備更包含：一第九判斷裝置，用以判斷該特定功能所定義之該PIIPSFS S否允許從該CPL清單之該(些)ρπ分類標號到該ΡΙΙ資料物件之該ΡΙΙ分類標號之再分類，若是，則透過自由選定存取控繼查，用以允許處王里一存取決定至該被選資料物件’否則，用以拒絕該使用者存取該PII資料物件。 ^請求項31職之雜魏㈣賴，更包含—提供CPL /月單之裝置’職提供用於該已建立之程序之—CpL、、主單清單包含在該已建立之程序中，每—被讀取心:物件之讜些PII分類標號之一動態清單。 39.如❺求項38所述之資料存取控制設備，更包含置，當判斷是否允許該被建立之程序的該使用者，在^ 能為一寫入操作至一其他ΡΙί資料 ^ 號時，用以運用該〇>L清單，並”另ρτ取另一 ™分類標 'Τα亥另一 PiJ資料物件可具有 53 1303785

與從該HI資料物件讀取資訊之該pn資料物件相關之㈣案號:93122918 97年9月3日修正一替換頁分類標號不同之一 PI1分類標號，藉以再分類該被讀取ΡΠ資料物件之資訊。 4〇.如請求項39所述之資料存取控制設備，更包含-提供，，允許再t類”錢之裝置，肋触-與駐少—聰FS相關允許再刀類參數’其中若該，’允許再分類，，參數被設定時， ^參數與該相對應之至少一 PII咖内之所有已定義之功能有關，且該錄允賴使財執行雜魏財之—以再分類資料物件，當寫入資訊至具有一 pn分類標號之該皿貝枓物件時’該PII分類標號不等於包含在該cpL清單中之每 :該ρπ分類標號，或不為包含在該肌清單中之每一㈣ S類標號之一真子集合。種職實施-資料麵㈣賴之紀錄舰，收錄至少 0由“機益執盯之心令程式’以實施一資料存取控制設備之方法，該方法包含：分配複數個PII分類標說給複數個PII資料物件，其中一 ΠΙ資料物件分配有一 PII分類標號； ’ 疋義至少- PII PSFS，該PII PSFS包含讀取或寫入複數 54 1303785 I 2薄轉.正替換頁案號:93122918 」97年9月3日修!^替換頁個PII資料物件之一應用程式功能清單；以及刀配ph分類才示號給母一 PSFS，其中一 ρπ資料物件葬由/、有pii为類“號之ΡΠ PSFS的一應用程式功能僅為读取可存取，該PII分類標號等於該PII資料物件之該PII分類才示號，或為該PII資料物件之該ρΠ分類標號之一真子集人。 42·如請求項41所述之紀錄媒體，其中一 ρη資料物件藉由具有- PII分類標號之一 PIIPSFS之一應用程式功能為寫入可^ 取，該PII分類標號等於或高於ΡΠ資料物件之該ΡΙΙ分類標號。 43·如請求項42所述之紀錄媒體，其中該^〗資料物件藉由一 PII PSFS之一應用程式功能可以為寫入可存取，其中該印 PSFS具有複數個ρΠ再分類之—清單，該些ρπ再分類係為該 PIIPSFS所允許。 44·如明求項41所述之紀錄媒體，更包含識別一呼叫該資料存取控制稍之-特定功能之細者，以及分配—即授權集合給該已識別使用者，其中該ΡΙΙ授權集合包含—或多個供該已識別使用者使用之PII分類標號之一清單。 55 1303785

曰修二 3 正替換買案號:93122918 97年9月3日修I替換頁 45. 如請求項41所述之紀錄媒體，其中分配給該piI資料物件之該PII分類標號包含該ΡΠ資料物件之一擁有者之一識別證。 46. 如請求項41所述之紀錄媒體，其中分配給該pn資料物件之該PII分類標號包含可使用該資料物件之至少一用途之一指示° 47·如請求項41所述之紀錄媒體，更包含於一企業内起始地定義複數個PII用途以使用該資料存取控制設備，以及運用該些 ΡΠ用途於疋義分配給該些pH資料物件與分配給該至少一 PSFS之該些PII分類標號的時候。 48· —種用於實施一資料存取設備之紀錄媒體，收錄至少一可由該機器執行之指令程式，以實施一資料存取控制設備之方法，該方法包含： ①由一資料存取控制設備之一使用者呼叫一特定功能，該資料存取控制設備具有分配給複數個ΡΠ資料物件以及至少一 PII PSFS之複數個PII分類標號，該PIIPSFS包含讀取、寫入或再分類複數個PII資料物件之一應用程式功能清單，以及分配有一 PII分類標號，其中該資料存取控制設備之該使用者已

案號:93122918 97年9月3日修IE-替換頁 1303785 分配到一 PII授權集合，供該使用者使用之該ΡΠ授權集合包含一具有至少一 PII分類標號之清單； (ii)判斷該特定功能是否被定義成該資料存取控制設備之該至少一 PII PSFS中之一 ΡΠ PSFS，若是，判斷該使用者之 PII授權集合是否包含一 ΡΠ分類標號與分配給該pn pSFS之該PII分類標號相匹配，若是，允許存取該特定功能；以及

(111)判斷該使用者是否被允許存取一被選資料物件，以執行該特定功能。 49·如請求項48所述之紀錄媒體，更包含在該呼叫步驟前，於該資料存_制設備之安全控制下之—作κ賊建立一程序’其中該呼叫步驟於該被建立之程序内執行。 50. 如請求項49所述之紀錄媒體，其中該判斷步驟(抝更包含：若該特定功能並非定義成該資料存取控制設備的一 ρπ PSFS且一目釗程序標號(current讲沉咖1細1，cpL)先前已被設定供該擬立之餅賴時，顺絕存取雜定功能。 51. 如明求項49所述之紀錄★某體，其中該判斷步驟⑽包含：满該被選資料物件是否包含—Ρπ㈣物件，若是，核對該 57 1303785

案號:93122918 97年9月3日修I&-替換頁使用者之特定功能是否定義成該資料存取控制設備之該至少一 PII PSFS中之- pn PSFS，若否，拒絕存取該被選資料物件0 52.如吻求項49所述之紀錄媒體，其中該判斷步驟(出)更包含：若該被選資料物件不是-PII㈣物件時，峨—cpL是否已設定供該贼立之程序，药，_自由軟㈣她邮存取控制檢查’提供-存取蚊給該被選資料物件。 ^如請求項52所述之紀錄，其巾該綱步驟㈣更包含：若該CPL先前已設定供姉序賴，且該被選資料物件不是 γη資料物件時，判斷該特定功能是否為—讀取操作，若是， 1=鍋職卿跡嫩給該被選 ’若該特定功能不是—讀取操作時拒絕從該被建立之权序存取該被選資料物件。判斷^特所述之紀錄媒雜’料該判斷步卵1)更包含：定力歧否包含—_作，若是，靖分配給該特義之㈣SFS之該PI1分類標號是否等於與該被 4物件相關之—ρπ分類標號，或為與該被選資料物件相 58 1303785 案號:93122918 97年9月3日修f替換頁關之- PII分類標號之-真子集合，若否，則拒絕存取該被選資料物件’若是’加人該被選:件之該ΠΙ分類標號至用於該被建立之程序之一 CPL清單。 55.如請求項51所述之紀錄媒體，其中該判斷步驟㈣更包含：判斷該特定功能是否非-讀取操作，若非一讀取操作判斷用於該被建立之程序之-CPL清單是否存在，的，透過自由選定存取㈣檢查’鱗處理—存取蚊製資料物件。_ 56.如請求項55所述之紀錄賴，射若驗該被建立之程序之該CPL清單存在時，判斷該被選資料物件之該ρπ分類桿號是否等於 CPL項目鱗—個，或為難〇>L項目的每Γ 個之一真子集合’若是，透過自域定存取㈣檢查，允許處理一存取決定至該被選資料物件。 ·

請求項56所述之紀錄媒體置，其中若該ra資料彩細分類不等於每_ CPL清單項目之細分類標號，為母- CPL清單項目之該H咖標號之一真子集合時，夬更已3判斷该特定功能所定義之該是否從該叫青單之該(些帅分類標號到該P11資料物件之驾 59 1303785 1 一——[丨"丨I l_—_ I ^ ~.^? i Q7 a 正替換頁案號:93122918 〜—炙一」U 97年9月3日修JE>替換頁 —地號之H 4是，職過自由選定存取控制檢查，允 ♦處理-存取決定至雜職料物件謂，拒職使用者取該PII資料物件。 .说如請求項51所述之紀錄媒體，更包含提供用於該已建立之㈣之—CPL料’該cpl料包含在該已建立之程序中，母一被讀㈣資料物件之該些ΡΠ分類標號之—動態清單。赫捷月长項58所述之紀錄媒體置，更包含當判斷是否允許該 :建立=相該朗者，在該特定魏為-寫场作至-其时，I貝料物件時存取另一 ΡΙΙ分類標號時，使用該咖清二—HI f料物件可具有與從該Pn f料物件讀取米'二貢料物件相關之該PI1.分類標號不同之一 ΡΠ八 1標號，藉以再分類該被讀取PII資料物件資訊。刀 ΓδΡ^Γ" 5 ^ - ΡΠ 被:：口許再一^ 定義又之功4 姆應之至少—PI1 PSFS内之所有已 ===_’且_數允許該使用者執行該些功能其中之再刀頒—印資料物件’當寫入資訊至具有_?11分類標 1303785 案號:93122918 97年9月3日修替換頁年月日修.正替換頁 07 Q 一 3 號之該PII資料物件時，該PII分類標號不等於包含在該CPL 清單中之每一該PII分類標號，或不為包含在該CPL清單中之每一該PII分類標號之一真子集合。

61 1303785 -ΐ" 3 p * / J I 雜-—!一.!1一：來自圖4B

加入PI1 物件標號作爲CPL之額外項自(也許鶬第一 _ 唯一項目） 144 回到圖4B :不拒I 用者存取PII物件圖4C 1303785 仏年，月如修㈤正替換頁來自圖4C

案號:93122918 97年9月3日修It-替換頁 1303785 七、指定代表圖： (一) 本案指定代表圖為：圖4。 (二) 本代表圖之元件符號簡單說明： 5〇使用者利用企業之執行管理器建立流程 60使用者嘗試執行可能在PSFS内之功能 7〇執行管理器替使用者請求存取被選之pn資料物件 80呼I]女全管理器以判斷使用者是否被允許存取被選之 Ρπ資料物件 90安全管理器根據功能是否涉及讀取或寫入，來做出是否允許使用者存取被選之ΡΠ資料物件之決定八、本案若有化學式時，麵示最能顯示發明雒的化學式: