- -

SEMINARIO ONLINE ‘’DATA MASKING FOR GDPR’’L’APPROCCIO AUBAY AL MASCHERAMENTO DEI DATI

24 Novembre 2016

- -

SOMMARIO

- -

2Big Data &

Analytics C.C. 4Test Data

management3 GDPR

2

1Big Data &

Analytics C.C. Aubayin cifre

5Persistent

Data Masking6

ApproccioAubay

- -3

AUBAY IN CIFRE1

- -- -

AUBAY, QUICK FACTS & FIGURES

273,8 M243,3M

+15,2%

211,1 M

+10,8%

190,4 M

2012 2013 2014 2015

+12,5%

61,2 M58,8 M

+13,7%

51,7 M

+28,3%

40,3 M

2012 2013 2014 2015

+4,0%

Aubay ItalyAubay Group

4667

2012 2013 2014 2015

375033372674

975

2012 2013 2014 2015

915820623

BELUX – 8%

ITALY – 24%

SPAIN / PORTUGAL – 6%

FRANCE – 62%

UK – NEW28,9

18,6

28,4

11,4

6,1

9,9

0INDUSTRY

FINANCE

ENERGY

PUBLIC COMPANY

TELCO & MEDIA

INSURANCE

Share % per mercato4

- -

BIG DATA & ANALYTICS C.C.2

5

- -- -

COMPETENCE CENTER BIG DATA & ANALYTICS

24/11/20166

Il Competence Center Big Data & Analytics rappresenta la struttura fondata con lo scopo di erogare

servizi legati all’ambito dell’Enterprise Information Management.

Dalla realizzazione di reporting per il management alla costruzione di architetture Big Data, il

nostro approccio è comunque caratterizzato da pragmatismo, indipendenza tecnologica ed

integrazione tra soluzioni tecnologiche e business requirements, in modo da raggiungere la

massima efficacia con il minor “costo”.

Caratteristiche

Dal disegno strategico fino alla gestione delle

applicazioni siamo in grado di fornire un’ampia

gamma di servizi per aiutare le aziende a sviluppare le

capacità analitiche necessarie per l’analisi dei dati e la

creazione del valore.

- -- -

Competence Center Big Data & Analytics

Data Governance Business Intelligence CPMData Integration

DL & Meta Data Management

Data Quality& MDM

Test Data Management

Data Warehousing

Data Virtualization

Big Data Lake

Query &Reporting

OLAP&DD

Business Analytics

Budgeting &Forecasting

PianificazioneFinanziaria

Dashoboard &Scorecard

COMPETENZE CORE

7 24/11/2016

- -

GENERAL DATA PROTECTION REGULATION

8

3

- -- -

GENERAL DATA PROTECTION REGULATION (1)

24/11/20169

GDPR

4 Maggio 2016 24 Maggio 2016 25 Maggio 2018Pubblicazione in Gazzetta Ufficiale Europea

Entrata in vigore Piena applicazione

IL GDPR disciplina il trattamento dei dati personali dei cittadini appartenenti alla EU.

I dati personali devono essere trattati solo se si verificano le seguenti condizioni:

TRASPARENZAFINALITÀ

LEGITTIMAPROPORZIONALITÀ

Queste condizioni non si verificano durante la creazione di ambienti di test a partire dai dati di

produzione, che comporta seppur non intenzionalmente una divulgazione dei dati personali a categorie

di utenti non autorizzate al trattamento.

- -- -

GENERAL DATA PROTECTION REGULATION (2)

24/11/201610

Per adeguarsi alla normativa è necessario rendere anonime le informazioni personali durante la

creazione degli ambienti di test, attraverso il processo di Persistent Data Masking.

Aubay vanta una forte esperienza sui processi

di Data Masking acquisita su importanti clienti

quali:

• Intesa San Paolo

• Allianz

• ….

Abbiamo così svilupparto un framework di

riferimento per il General Data Protection

Regulation, che consente di industrializzare il

processo di mascheramento dei dati.

- -11

TEST DATA MANAGEMENT4

- -- -

Cloning or Subsetting

CREAZIONE DI AMBIENTI DI TEST

24/11/201612

Source Applications and Databases

Non-productionEnvironments

- -- -

SUBSETTING

24/11/201613

Obiettivo:

creare un ambiente con tutti e soli i dati necessari agli utenti nel minor tempo possibile

Tecniche

Riduzione dei tempi di test e analisi grazie al ridotto numero di dati

Riduzione dei tempi di popolamento degli ambienti

Riduzione della richiesta di risorse

Benefici

Restringere la scala temporale oppure selezionarla in particolari serie temporali1

2

3 Escludere alcuni dati

Selezionare particolari combinazioni di caratteristiche/dimensioni sui dati

- -- -

MA STIAMO RISPETTANDO LA NORMATIVA?

L’attenzione alle problematiche di riservatezza dei dati personali

gestiti dalle aziende sui propri archivi elettronici è in forte

crescita.

Normative nazionali e internazionali (UE GDPR) sempre più

stringenti stanno portando le organizzazioni IT a mettere in atto

le misure volte a impedire il riconoscimento di soggetti anagrafici

e altre informazioni riservate, da parte di personale interno ed

esterno, che possa accedere agli archivi aziendali per scopi non

specificatamente di business.

Compliance

Officer

Siamo in regola con le normative?

14 24/11/2016

- -15

PERSISTENT DATA MASKING5

- -- -

Cloning/Subsetting and Persistent Data Masking

CREAZIONE DI AMBIENTI DI TEST E PERSISTENT DATA MASKING

24/11/201616

Source Applications and Databases

Non-productionEnvironments

- -- - 24/11/201617

Proteggere i dati effettivi, pur avendo un sostituto funzionale per le

occasioni in cui non sono richiesto i dati reali.

Obiettivo

COS’È?

Il Persistent Data Masking (mascheramento dei dati) è una metodologia adottata per creare una

versione strutturalmente identica e simile ma non autentica dei dati di un'organizzazione che

possono, quindi, essere utilizzati per scopi quali test del software senza violare le leggi di

protezione dei dati personali.

- -- -

DETTAGLI

24/11/201618

Il Persistent Data Masking utilizza tecniche che permettono di modificare i dati esistenti in modo tale da

renderli irriconoscibili e quindi anonimi.

Il Persistent Data Masking non è però soltanto una banale operazione di sostituzione dei dati originali, se

non si presta la necessaria attenzione, tale sostituzione può introdurre molteplici inconsistenze, fino a

rendere una banca dati sostanzialmente inutilizzabile.

Principali Tecniche

Nulling or Truncating1

2

3 Substitution

Scrambling or masking out

4

5

6

Shuffling

Encription

Number and date Variance

- -- -

Tabella Cliente Tabella Cliente

Tabella Prodotti Tabella Prodotti

Dati Originali Dati Mascherati

GARANTIRE L’INTEGRITÀ REFERENZIALE

Propagare i valori delle chiavi primarie in tutte le tabelle correlate mantenendo la consistenza e l’integrità referenziale nei dati mascherati

Integrità

referenziale

mantenuta

24/11/201619

- -- -

CONSISTENZA DELLE INFORMAZIONI

La consistenza deve essere garantita per

applicazione:

nei sistemi che la compongono;

nei sistemi con cui collabora;

Il codice postale deve essere valido per:

Indirizzo;

numero di telefono;

L’età deve coincidere con la data di nascita;

Il codice fiscale deve essere consistente

rispetto alle informazioni anagrafiche.

Applicazione di fatturazione

Produzione

Test

DATA MASKING

24/11/201620

- -

APPROCCIO AUBAY

21

6

- -- -

APPROCCIO PROGETTUALE AUBAY

23/01/201722

• Importazione metadati• Realizzazione

mascheramento• Test di non regressione

Pilota

• Supporto sistemistico e applicativo

Assistenza

Assessment

• Analisi del patrimonio applicativo

• Definizione regole di mascheramento

• Sw Selection• Identificazione fase

pilota

• Rilascio ambienti• Refresh periodico• Audit periodico

ambienti di sviluppo e test

Esercizio• Definizione del

processo• Adozione del tool• Definizione procedure

operative

Organizzazione

- -- -

APPROCCIO METODOLOGICO AUBAY

Cloning/Subsetting and Persistent Data MaskingCloning/Subsetting and Persistent Data Masking

DRIVE

24/11/201623

Source Applications and Databases

Non-productionEnvironments

- -- -

TABELLA DRIVE

24/11/201624

Il contenuto della tabella DRIVE è il seguente:

tutti i campi mascherati;

tutte le chiavi di JOIN necessarie per legare le informazioni fra il SOURCE e la tabella DRIVE;

i flag di mascheramento che governano il processo.

La soluzione presenta i seguenti Punti di Forza:

disaccoppia la regola dal risultato della stessa;

consente di controllare e limitare il proliferare delle regole;

consente di garantire l’integrità referenziale fra i vari sistemi;

garantisce la coerenza con i dati iniziali;

è una soluzione completamente scalabile.

CONTENUTO

PUNTI DI FORZA

- -- -

METODOLOGIA

25

STEP1 Individuazione dei dati da mascherare

Dati personali «anagrafici» relativi a persone fisiche

Dati «anagrafici» relativi a persone giuridiche

24/11/2016

- -- -

METODOLOGIA

26

STEP2 Algoritmi di mascheramento – Persone Fisiche

24/11/2016

- -- -

METODOLOGIA

27

STEP3 Algoritmi di mascheramento – Persone Giuridiche

24/11/2016

- -- -

METODOLOGIA

28

STEP4 Individuazione degli ambienti in perimetro

Clone Multibanca Clone Multibanca

Clone Multibanca Clone

SWW/SVWWMOPxx

SWW/SVWWSTPxx

IDE di sviluppo SAPMOPxx

Visual Studio xxxx SAPSTPxx

MyEclipse vsxx

Repository RTC

Clone Multibanca

ClearCase UCM

G7TC - M ainframe 1

G71C - Cassaf. SW/ClearCasse 0

G72 C - D ipart iment ale 1

G7NC - M aster Test 0

WebServer WebLogic Settimo

Qmanager

Certificazione/MIGIndipendent Test

Note

Cloni Temporanei

Cloni Permanenti

Formazione/Addestramento

Produzione

WebServer Apache M oncalieri TWS

SAPSTTxx

SAPMOTxx

SWW/SVWWSTTxx

SWW/SVWWMOTxx

TQ*

Dipendente da progetto

New Appl/Facoltat ivo

Passaggi con UDC

Sviluppo

Condiviso

Ambiente

POUN

System Test/Collaudo

WebServer Apache Settimo

WebServer WebLogic M oncalieri

Application Test

SWW/SVWWMOSxx

SWW/SVWWSTSxx

SAPMOSxx

SAPSTSxx

SQ*

Direzione Sistemi Informativi –Servizio Infrastrutture TecnologicheGestioni Operative - Gestione Ambienti di Test

AMBIENTI di SVILUPPO e TEST

Ad ogni progetto viene assegnato un DB che può essere personalizzato o generico (calderone).

Il DB può essere Oracle o MS SQL. (Questi hanno metodi di accesso diversificati e quindi si differenzia la modalità di copia dati.)

Per accedere è necessario avere le abilitazioni e i parametri autorizzativi, cioè UTENZA, (nome

macchina) e ISTANZA, dati che sono censiti in GSS Desktop (ex Omnia).

PIATTAFORMA DIPARTIMENTALE - Aggiornamento del 18/09/2013

N

O

T

E

24/11/2016

- -- -

METODOLOGIA

29

STEP5 Popolamento tabella DRIVE

24/11/2016

- -- -

METODOLOGIA

30

STEP6 Realizzazione del template di Data Masking

24/11/2016

- -- -

FLUSSO LOGICO DEL TEMPLATE DI PROCESSO - DIRETTA

31

SOURCE

CheckPREJOIN

SILeggo da DRIVE

dato MASCHERATO

CheckPOSTJOIN

SI

TARGET

MASK=S

SISCRIVO DATO MASHERATO

NOSCRIVO DATO

IN CHIARO

MASCHERO CON GLOSSARIO

SCRIVO DATO MASHERATO

NO

24/11/2016

- -- -

FLUSSO LOGICO DEL TEMPLATE DI PROCESSO - ASSOCIATIVA

32

SOURCE

CheckPREJOIN

SI Leggo da DRIVE dato MASCHERATO

CheckPOSTJOIN

TARGET

MASK=S

SISCRIVO DATO MASHERATO

NOSCRIVO DATO

IN CHIARO

MASCHERO CON GLOSSARIO

SCRIVO DATO MASHERATO

NO

CheckSOURCE

24/11/2016

SI

SI

- -- -

COMPONENTI SW - CONSIGLIATI

Individuazione dei dati sensibili

E’ lo strunento (Es: Informatica Secure@Source) che consente di avere visibilità completa dei dati sensibili e analizza e classifica il rischio che incombe sui dati sensibili.

Generatore di Regole

E’ lo strumento che consente la creazione ed esecuzione delle regole di mascheramento delle informazioni anagrafiche

Designer

E’ l’ambiente che consente di disegnare i diversi flussi di processo che portano i dati dai SOURCE verso i TARGET applicando le regole di mascheramento

Workflow

E’ l’ambiente che gestisce l’esecuzione dei mapping e dei processi di aggiornamento della tabella DRIVE

Monitor

E’ lo strumento che consente di verificare l’esecuzione dei mapping richiesta dal workflow

Analyzer

E’ lo strumento che consente l’analisi dei dati di log prodotti dai singoli flussi mappingeseguiti dal workflow

33 24/11/2016

- -- -

RIFERIMENTI

Giorgio David JacchiniProfessional Services PrincipalConsultantE-Mail: giorgio.jacchini@aubay.itMobile: +39.347,3872611

Oscar RussoHead of Big Data & Analytics CCE-Mail: oscar.russo@aubay.itMobile: +39.346.6815161

34 24/11/2016

- -- -35 24/11/2016