Veri Maskeleme Nedir ve Nasıl Doğru Şekilde Uygulanır?

Yayınlanan: 2023-03-13

Hassas verilerin açığa çıkmasıyla ilgili para cezaları artıyor. Örneğin, büyük GDPR ihlalleri şirketlere yıllık küresel cirolarının %4'üne kadar mal olabilirken, ağır HIPAA ihlalleri hapisle sonuçlanabilir.

Üretim ortamınız tamamen korunuyor olabilir. Peki ya test girişimleri ve satış demoları? Hassas verilerinize erişimi olan üçüncü taraf yüklenicilere güveniyor musunuz? Onu korumak için ellerinden geleni yapacaklar mı?

Uyum ve veri güvenliğini sağlamak için şirketler veri yönetimi hizmet sağlayıcılarına yöneliyor. Siz de ilgileniyorsanız, üç önemli soruyu yanıtlayan bu kılavuza göz atın:

  • veri maskeleme nedir?
  • Neden ve ne zaman ihtiyacınız var ve
  • Şirketiniz bunu nasıl başarılı bir şekilde uygulayabilir?

Ayrıca portföyümüzden ayrıntılı bir veri maskeleme örneği sunar. Makaleyi okuduktan sonra, veri maskeleme satıcılarıyla pazarlık yapmak için yeterli bilgiye sahip olacaksınız.

Veri maskelemeyi anlama

Peki, veri maskeleme nedir?

Veri maskeleme, kurumsal verilerin gerçekçi ve yapısal olarak benzer, ancak yine de sahte bir sürümünü oluşturmak olarak tanımlanır. Aynı formatı korurken manipülasyon tekniklerini kullanarak orijinal veri değerlerini değiştirir ve tersine mühendislik uygulanamayan veya orijinal değerlere geri izlenemeyen yeni bir sürüm sunar. İşte maskelenmiş verilere bir örnek:

Şirketinizde depolanan tüm verilere veri maskeleme algoritmaları uygulamanız mı gerekiyor? Büyük olasılıkla değil. İşte kesinlikle korumanız gereken veri türleri:

  • Korunan Sağlık Bilgileri (PHI), tıbbi kayıtları, laboratuvar testlerini, sağlık sigortası bilgilerini ve hatta demografiyi içerir.
  • Ödeme kartı bilgileri, Ödeme Kartı Sektörü Veri Güvenliği Standardı (PCI DSS) kapsamında kredi ve banka kartı bilgileri ve işlem verileriyle ilişkilidir.
  • Pasaport ve sosyal güvenlik numaraları gibi kişisel olarak tanımlanabilir bilgiler (PII) . Temel olarak, bir kişiyi tanımlamak için kullanılabilecek herhangi bir bilgi parçası.
  • Fikri mülkiyet (IP) , tasarımlar gibi icatları veya kuruluş için değeri olan ve çalınabilecek her şeyi içerir.

Neden veri maskelemeye ihtiyacınız var?

Veri maskeleme, üretken olmayan amaçlar için kullanılan hassas bilgileri korur. Bu nedenle, önceki bölümde sunulan hassas veri türlerinden herhangi birini eğitim, test, satış demoları veya diğer üretim dışı faaliyetlerde kullandığınız sürece, veri maskeleme tekniklerini uygulamanız gerekir. Üretim dışı ortamlar normalde daha az korumalı olduğundan ve daha fazla güvenlik açığı oluşturduğundan bu mantıklıdır.

Ayrıca, verilerinizin üçüncü taraf satıcılar ve iş ortakları ile paylaşılması gerekiyorsa, karşı tarafı orijinal veritabanına erişmek için kapsamlı güvenlik önlemlerinize uymaya zorlamak yerine, maskelenmiş verilere erişim izni verebilirsiniz. İstatistikler, veri ihlallerinin %19'unun iş ortağı tarafındaki tavizler nedeniyle gerçekleştiğini gösteriyor.

Ek olarak, veri maskeleme aşağıdaki avantajları sağlayabilir:

  • Siber suçlular, erişebildikleri takdirde kurumsal verileri işe yaramaz hale getirir
  • Verilerin yetkili kullanıcılarla paylaşılması ve projelerin dış kaynak kullanımı yoluyla ortaya çıkan riskleri azaltır
  • Genel Veri Koruma Yönetmeliği (GDPR), Sağlık Sigortası Taşınabilirlik ve Hesap Verebilirlik Yasası (HIPAA) ve alanınızda geçerli diğer tüm düzenlemeler gibi veri gizliliği ve güvenlikle ilgili düzenlemelere uymanıza yardımcı olur
  • Geleneksel dosya silme yöntemleri eski veri değerlerinin izini bırakmaya devam ettiğinden, silme durumunda verileri korur
  • Yetkisiz veri aktarımı durumunda verilerinizi korur

Veri maskeleme türleri

Farklı kurumsal ihtiyaçları karşılamayı amaçlayan beş ana veri maskeleme türü vardır.

1. Statik veri maskeleme

Bu, orijinal verilerin bir yedeğinin oluşturulması ve üretim kullanım durumları için ayrı bir ortamda güvenli bir şekilde saklanması anlamına gelir. Daha sonra sahte ama gerçekçi değerler ekleyerek kopyayı gizler ve onu üretim dışı amaçlarla (örn. test etme, araştırma) ve yüklenicilerle paylaşmaya uygun hale getirir.

2. Dinamik veri maskeleme

Veritabanına bir sorgu alırken çalışma zamanında orijinal verilerin bir alıntısını değiştirmeyi amaçlar. Böylece, hassas bilgileri görüntüleme yetkisi olmayan bir kullanıcı, üretim veritabanını sorgular ve yanıt, orijinal değerleri değiştirmeden anında maskelenir. Aşağıda gösterildiği gibi veritabanı proxy'si aracılığıyla uygulayabilirsiniz. Bu veri maskeleme türü, üretim verilerinin geçersiz kılınmasını önlemek için normalde salt okunur ayarlarda kullanılır.

3. Anında veri maskeleme

Bu veri maskeleme türü, verileri bir ortamdan diğerine, örneğin üretimden teste aktarırken gizler. Sürekli olarak yazılım dağıtan ve büyük veri entegrasyonları gerçekleştiren kuruluşlar arasında popülerdir.

4. Deterministik veri maskeleme

Sütun verilerini aynı sabit değerle değiştirir. Örneğin, "Olivia"yı "Emma" ile değiştirmek istiyorsanız, bunu yalnızca o anda maskelediğiniz tabloda değil, ilişkili tüm tablolarda yapmanız gerekir.

5. İstatistiksel veri gizleme

Bu, orada temsil edilen gerçek kişiler hakkında herhangi bir ayrıntıyı paylaşmadan bir veri kümesindeki kalıplar ve eğilimler hakkında bilgi ortaya çıkarmak için kullanılır.

7 ana veri maskeleme tekniği

Aşağıda en popüler yedi veri maskeleme tekniğini bulabilirsiniz. İşletmenizin çeşitli ihtiyaçlarını karşılamak için bunları birleştirebilirsiniz.

  1. karıştırma. Aynı tablo içinde veri değerlerini karıştırabilir ve yeniden atayabilirsiniz. Örneğin, çalışan adı sütununu karıştırırsanız, bir çalışanın diğeriyle eşleşen gerçek kişisel bilgilerini alırsınız.
  2. Çırpınma Bir veri alanındaki karakterleri ve tamsayıları rasgele sırada yeniden düzenler. Bir çalışanın orijinal kimliği 97489376 ise, karıştırmayı uyguladıktan sonra 37798649 gibi bir şey alırsınız. Bu, belirli veri türleriyle sınırlıdır.
  3. Sıfırlama. Bu, bir veri alanına boş değer atanan basit bir maskeleme stratejisidir. Bu yöntemin, uygulamanın mantığında başarısız olma eğiliminde olduğu için sınırlı kullanımı vardır.
  4. İkame. Orijinal veriler, sahte ancak gerçekçi değerlerle değiştirilir. Bu, yeni değerin yine de tüm etki alanı kısıtlamalarını karşılaması gerektiği anlamına gelir. Örneğin, birinin kredi kartı numarasını kartı veren bankanın koyduğu kurallara uygun başka bir numarayla değiştiriyorsunuz.
  5. Sayı farkı. Bu çoğunlukla finansal bilgiler için geçerlidir. Bir örnek, +/- %20 varyans uygulayarak orijinal maaşları maskelemektir.
  6. Tarih yaşlanması. Bu yöntem, elde edilen tarihin uygulamanın kısıtlamalarını karşılamasını sağlayarak bir tarihi belirli bir aralık kadar artırır veya azaltır. Örneğin, tüm sözleşmeleri 50 gün yaşlandırabilirsiniz.
  7. ortalama. Tüm orijinal veri değerlerinin bir ortalama ile değiştirilmesini içerir. Örneğin, bu tablodaki her bir maaş alanını ortalama maaş değerleri ile değiştirebilirsiniz.

Veri maskeleme doğru şekilde nasıl uygulanır?

İşte 5 adımlı veri maskeleme uygulama planınız.

1. Adım: Projenizin kapsamını belirleyin

Başlamadan önce, hangi yönleri ele alacağınızı belirlemeniz gerekecektir. Veri ekibinizin maskeleme girişimlerine devam etmeden önce üzerinde çalışabileceği tipik soruların bir listesi aşağıdadır:

  • Hangi verileri maskelemek istiyoruz?
  • Nerede yaşıyor?
  • Kimin erişme yetkisi var?
  • Yukarıdakilerden her bir kullanıcının erişim düzeyi nedir? Yalnızca kimler görüntüleyebilir ve değerleri kimler değiştirebilir ve silebilir?
  • Bu hassas verileri hangi uygulamalar kullanıyor?
  • Veri maskelemenin farklı kullanıcılar üzerinde nasıl bir etkisi olacak?
  • Hangi düzeyde maskeleme gereklidir ve işlemi ne sıklıkla tekrarlamamız gerekecek?
  • Tüm kuruluş genelinde veri maskeleme uygulamak mı yoksa belirli bir ürünle sınırlamak mı istiyoruz?

2. Adım: Veri maskeleme teknikleri yığınını tanımlayın

Bu adım sırasında, eldeki görev için hangi tekniğin veya veri maskeleme araçları kombinasyonunun en uygun olduğunu belirlemeniz gerekir.

Her şeyden önce, farklı türler özel veri maskeleme algoritmaları gerektirdiğinden, örneğin adlar, tarihler, finansal veriler vb. gibi hangi veri türlerini maskelemeniz gerektiğini belirlemeniz gerekir. Buna dayanarak, siz ve satıcınız, en uygun veri maskeleme çözümünü üretmek için hangi açık kaynaklı kitaplıkların yeniden kullanılabileceğini seçebilirsiniz. Çözümü özelleştirmenize ve herhangi bir iş sürecini kesintiye uğratmadan tüm şirket genelindeki iş akışlarınıza zahmetsizce entegre etmenize yardımcı olacağı için bir yazılım satıcısına başvurmanızı öneririz. Ayrıca, şirketin benzersiz ihtiyaçlarını karşılamak için sıfırdan bir şey inşa etmek mümkündür.

Oracle Data Masking, IRI FieldShield, DATPROF ve çok daha fazlası gibi satın alıp kendiniz kurabileceğiniz hazır veri maskeleme araçları vardır. Tüm verilerinizi kendiniz yönetiyorsanız, farklı veri akışlarının nasıl çalıştığını anlıyorsanız ve üretkenliği engellemeden bu yeni veri maskeleme çözümünü mevcut süreçlere entegre etmeye yardımcı olabilecek bir BT departmanınız varsa bu stratejiyi tercih edebilirsiniz.

3. Adım: Seçtiğiniz veri maskeleme algoritmalarının güvenliğini sağlayın

Hassas verilerinizin güvenliği büyük ölçüde seçilen sahte veri üreten algoritmaların güvenliğine bağlıdır. Bu nedenle, yalnızca yetkili personel hangi veri maskeleme algoritmalarının devreye alındığını bilebilir, çünkü bu kişiler bu bilgiyle maskelenmiş verileri orijinal veri kümesine tersine çevirebilir. Görevler ayrılığı uygulamak iyi bir uygulamadır. Örneğin, güvenlik departmanı en uygun algoritmaları ve araçları seçerken, veri sahipleri verilerini maskelemek için uygulanan ayarları korur.

4. Adım: Bilgi tutarlılığını koruyun

Referans bütünlüğü, kuruluşunuzdaki her veri türünün aynı şekilde maskelenmesi anlamına gelir. Kuruluşunuz oldukça büyükse ve çeşitli iş fonksiyonlarına ve ürün gruplarına sahipse, bu zor olabilir. Bu durumda, şirketinizin çeşitli görevler için farklı veri maskeleme algoritmaları kullanması muhtemeldir.

Bu sorunu aşmak için referans kısıtlamaları içeren tüm tabloları tanımlayın ve üst tabloların karşılık gelen alt tablolardan önce maskelenmesi gerektiğinden verileri hangi sırayla maskeleyeceğinizi belirleyin. Masking işlemini tamamladıktan sonra referans bütünlüğünün korunup korunmadığını kontrol etmeyi unutmayınız.

5. Adım: Maskeleme işlemini tekrarlanabilir hale getirin

Belirli bir projede yapılacak herhangi bir ayarlama veya yalnızca kuruluşunuzdaki genel değişiklikler, hassas verilerin değiştirilmesine ve yeni veri kaynaklarının oluşturulmasına neden olarak maskeleme sürecini tekrarlama ihtiyacını doğurabilir.

Küçük bir proje için birkaç ay kullanılacak özel bir eğitim veri seti hazırlama durumunda olduğu gibi, veri maskelemenin tek seferlik bir çaba olabileceği durumlar vardır. Ancak size uzun süre hizmet edecek bir çözüm istiyorsanız, verileriniz bir noktada geçerliliğini yitirebilir. Bu nedenle, maskeleme sürecini hızlı, tekrarlanabilir ve mümkün olduğunca otomatik hale getirmek için resmileştirmeye zaman ve çaba harcayın.

Hangi verilerin maskelenmesi gerektiği gibi bir dizi maskeleme kuralı geliştirin. Bu noktada öngörebileceğiniz istisnaları veya özel durumları belirleyin. Bu maskeleme kurallarını tutarlı bir şekilde uygulamak için komut dosyaları ve otomatik araçlar edinin/oluşturun.

Bir veri maskeleme çözümü seçmek için kontrol listeniz

İster seçtiğiniz bir yazılım satıcısıyla çalışıyor olun, ister hazır bir çözümü tercih edin, nihai ürünün bu veri maskeleme en iyi uygulamalarını takip etmesi gerekir:

  • Tersine çevrilemez olması, sahte verilerin orijinal değerlerine tersine çevrilmesini imkansız hale getirir
  • Orijinal veritabanının bütünlüğünü korur ve yanlışlıkla kalıcı değişiklikler yaparak onu işe yaramaz hale getirmez
  • Hassas bilgileri korumak için gerekliyse hassas olmayan verileri maskeleyin
  • Veriler bir noktada değişeceğinden ve her seferinde sıfırdan başlamak istemeyeceğiniz için otomasyona fırsat verin.
  • Orijinal verilerin yapısını ve dağıtımını koruyan ve iş kısıtlamalarını karşılayan gerçekçi veriler oluşturun
  • İşletmenize dahil etmek istediğiniz herhangi bir ek veri kaynağını barındıracak şekilde ölçeklenebilir olun
  • HIPAA ve GDPR gibi geçerli tüm düzenlemelere ve şirket içi politikalarınıza uygundur
  • Mevcut sistemlere ve iş akışlarına iyi entegre edin

Veri maskeleme zorlukları

Uygulama sırasında karşılaşabileceğiniz zorlukların bir listesi aşağıda verilmiştir.

  • Biçim koruma. Maskeleme çözümü, verileri anlamalı ve orijinal biçimini koruyabilmelidir.
  • Cinsiyet koruması. Seçilen veri maskeleme metodolojisi, insanların isimlerini maskelerken cinsiyetin farkında olmalıdır. Aksi takdirde veri setindeki cinsiyet dağılımı değişecektir.
  • Anlamsal bütünlük. Oluşturulan sahte değerlerin, farklı veri türlerini kısıtlayan iş kurallarına uyması gerekir. Örneğin, maaşların belirli bir aralıkta olması ve sosyal güvenlik numaralarının önceden belirlenmiş bir formatı takip etmesi gerekir. Bu, verilerin coğrafi dağılımını korumak için de geçerlidir.
  • Veri benzersizliği. Özgün verilerin çalışan kimlik numarası gibi benzersiz olması gerekiyorsa, veri maskeleme tekniğinin benzersiz bir değer sağlaması gerekir.
  • Güvenlik ve kullanılabilirliği dengeleme. Veriler çok fazla maskelenirse, işe yaramaz hale gelebilir. Öte yandan, yeterince korunmazsa, kullanıcılar yetkisiz erişim elde edebilir.
  • Verilerin mevcut iş akışlarına entegre edilmesi, insanlar şu anda kesintiye uğrayan belirli bir şekilde çalışmaya alışkın olduğundan, başlangıçta çalışanlar için oldukça sakıncalı olabilir.

ITRex portföyünden bir veri maskeleme örneği

Uluslararası bir sağlık kuruluşu, birden fazla formatta sunulan ve hem üretim hem de üretim dışı ortamlarda bulunan hassas kişisel olarak tanımlanabilir bilgileri (PII) gizlemeye çalışıyordu. Şirketin dahili politikalarına, GDPR'ye ve diğer veri gizliliği düzenlemelerine uyarken PII'yi keşfedip gizleyebilen, makine öğrenimi destekli bir veri maskeleme yazılımı oluşturmak istediler.

Ekibimiz aşağıdaki zorlukları hemen fark etti:

  • Müşteri, muazzam miktarda veriye, 10.000'den fazla veri kaynağına ve karşılık gelen birçok veri akışına sahipti.
  • Tüm farklı departmanları kapsayacak net bir veri maskeleme stratejisi yoktu.

Bu geniş çeşitlilik nedeniyle ekibimiz, farklı veri kümesi sahiplerine verilerini nasıl maskeleyecekleri konusunda rehberlik edecek ve çözümümüzün temelini oluşturacak bir dizi ilke ve süreç bulmak istedi. Örneğin, bir kişi bir kez veya sürekli olarak karartmak istediği veri noktalarının listesiyle gelebilir ve bu ilkelerin rehberliğinde çözüm, verileri inceler ve uygun gizleme tekniklerini seçer ve uygular.

Bu projeye, manzarayı aşağıdaki sorularla inceleyerek yaklaştık:

  • Hangi veri yönetimi çözümlerini kullanıyorsunuz? Müşteri zaten Informatica kullanıyordu, biz de onunla gittik. Informatica'nın veri maskeleme çözümü, müşterinin bazı ihtiyaçlarını karşılayan kullanıma hazır özellikler sunar, ancak bu, tüm gereksinimleri karşılamak için yeterli değildi.
  • Hangi veri türlerini maskelemek istiyorsunuz? Çok sayıda veri kaynağı nedeniyle, her şeyi bir kerede ele almak imkansızdı. Bu nedenle, müşteriden görev açısından kritik olanı önceliklendirmesini ve tanımlamasını istedik.
  • Bir kez mi yapmak istiyorsunuz yoksa tekrarlanabilir bir süreç mi yapmak istiyorsunuz?

Bu soruları yanıtladıktan sonra, esasen müşterinin başlangıçta çok fazla veri kaynağı olması ve hepsini kapsamasının yıllar almış olabilmesi nedeniyle veri maskelemeyi bir hizmet olarak sağlamayı önerdik.

Sonunda, veri maskelemeyi dört adımda yarı otomatik olarak gerçekleştirebilen makine öğrenimi odaklı özel bir aracın yardımıyla veri maskeleme hizmetleri sağladık:

  1. Veri türlerini tanımlayın. Veri sahipleri, veri kaynaklarını, sütunların verilerini inceleyen ve bu sütunlarda tanımlayabileceği adresler, telefon numaraları vb. .
  2. Her sütun için maskeleme yaklaşımları önerin ve bunları insan onayından sonra uygulayın
  3. Sonuçları dağıtın. Maskelenmiş veriler oluşturulduktan sonra dağıtılması gerekir. Veri depolama için birden çok seçenek sağladık. Bu, birkaç gün boyunca canlı kalan geçici bir veritabanı kullanmayı, maskelenmiş ortamlar için kalıcı bir konum atamayı, virgülle ayrılmış değerler (CSV'ler) dosyaları oluşturmayı ve daha fazlasını içerir, ancak bunlarla sınırlı değildir.
  4. Bir dizi veriyi veya bir dizi ortamı inceleyin ve uygun şekilde maskelenmiş ve uyumlu olduklarının bir kanıtı olarak onlara bir onay rozeti verin.

Bu veri maskeleme çözümü, müşterinin GDPR'ye uymasına yardımcı oldu, üretim dışı ortamlar oluşturmak için gereken süreyi önemli ölçüde azalttı ve verileri üretimden korumalı alana aktarma maliyetlerini düşürdü.

Uygulamadan sonra maskelenmiş veriler nasıl korunur?

Gizli veriler maskelendiğinde çabalarınız bitmez. Hala zaman içinde korumanız gerekiyor. İşte bu girişimde size yardımcı olacak adımlar:

  • Maskelenmiş verileri yöneten politikalar ve prosedürler oluşturun. Buna, bu verilere kimlerin hangi koşullar altında erişme yetkisinin verildiğinin ve bu verilerin hangi amaçlara hizmet ettiğinin (örn. test, raporlama, araştırma vb.) belirlenmesi dahildir.
  • Çalışanları bu verilerin nasıl kullanılacağı ve korunacağı konusunda eğitin
  • İlgili kalmasını sağlamak için maskeleme sürecini düzenli olarak denetleyin ve güncelleyin
  • Yetkisiz erişim girişimleri ve ihlaller gibi şüpheli etkinlikler için maskelenmiş verileri izleyin
  • Kurtarılabilir olduğundan emin olmak için maskelenmiş veri yedeklemeleri gerçekleştirin

Sonuç düşünceleri

Veri maskeleme, verilerinizi üretim dışı ortamlarda koruyacak, üçüncü taraf yüklenicilerle bilgi paylaşmanıza olanak sağlayacak ve uyum konusunda size yardımcı olacaktır. Bir BT departmanınız varsa ve veri akışlarınızı kontrol ediyorsanız, bir veri gizleme çözümünü kendiniz satın alabilir ve dağıtabilirsiniz. Ancak, yanlış veri maskeleme uygulamasının oldukça hoş olmayan sonuçlara yol açabileceğini unutmayın. İşte en öne çıkanlardan bazıları:

  • Üretkenliği engellemek. Seçilen veri maskeleme teknikleri, veri işlemede büyük gereksiz gecikmelere neden olarak çalışanları yavaşlatabilir.
  • Veri ihlallerine karşı savunmasız hale gelmek. Veri maskeleme yöntemleriniz veya bunların eksikliği, hassas verileri korumada başarısız olursa, cezaevinde yatış süresine varan mali ve hukuki sonuçlar doğacaktır.
  • Veri analizinden yanlış sonuçlar çıkarmak. Veriler yanlış veya çok fazla maskelenirse bu durum meydana gelebilir. Araştırmacılar deneysel veri setini yanlış yorumlayacak ve talihsiz iş kararlarına yol açacak hatalı sonuçlara ulaşacaklar.

Bu nedenle, bir şirket veri gizleme girişimlerini yürütme becerilerine güvenmiyorsa, doğru veri maskeleme tekniklerini seçmeye ve nihai ürünü iş akışlarınıza en az kesintiyle entegre etmeye yardımcı olacak harici bir satıcıyla iletişime geçmek en iyisidir.

Korunmaya devam edin!

Bir veri maskeleme çözümü uygulamayı mı düşünüyorsunuz? Temasta olmak! Verilerinizi önceliklendirmenize, uyumlu bir gizleme aracı oluşturmanıza ve iş süreçlerinizi kesintiye uğratmadan devreye almanıza yardımcı olacağız.

İlk olarak 28 Şubat 2023'te https://itrexgroup.com adresinde yayınlandı.