General Data Protection Regulation - L'approccio aubay al mascheramento dei dati

1. - -
SEMINARIO ONLINE ‘’DATAMASKING FORGDPR’’
L’APPROCCIOAUBAYALMASCHERAMENTODEIDATI
24 Novembre 2016

2. - -
SOMMARIO
- -
2
Big Data &
Analytics C.C. 4
Test Data
management
3 GDPR
2
1
Big Data &
Analytics C.C.
Aubayincifre
5
Persistent
Data Masking
6
Approccio
Aubay

3. - -3
AUBAY IN CIFRE1

4. - -- -
AUBAY, QUICK FACTS & FIGURES
273,8 M243,3M
+15,2%
211,1 M
+10,8%
190,4 M
2012 2013 2014 2015
+12,5%
61,2 M58,8 M
+13,7%
51,7 M
+28,3%
40,3 M
2012 2013 2014 2015
+4,0%
Aubay ItalyAubay Group
4667
2012 2013 2014 2015
375033372674
975
2012 2013 2014 2015
915820623
BELUX – 8%
ITALY – 24%
SPAIN / PORTUGAL – 6%
FRANCE – 62%
UK – NEW
28,9
18,6
28,4
11,4
6,1
9,9
0
INDUSTRY
FINANCE
ENERGY
PUBLIC COMPANY
TELCO & MEDIA
INSURANCE
Share % per mercato
4

5. - -
BIG DATA & ANALYTICS C.C.2
5

6. - -- -
COMPETENCE CENTER BIG DATA & ANALYTICS
24/11/20166
Il Competence Center Big Data & Analytics rappresenta la struttura fondata con lo scopo di erogare
servizi legati all’ambito dell’Enterprise Information Management.
 Dalla realizzazione di reporting per il management alla costruzione di architetture Big Data, il
nostro approccio è comunque caratterizzato da pragmatismo, indipendenza tecnologica ed
integrazione tra soluzioni tecnologiche e business requirements, in modo da raggiungere la
massima efficacia con il minor “costo”.
Caratteristiche
 Dal disegno strategico fino alla gestione delle
applicazioni siamo in grado di fornire un’ampia
gamma di servizi per aiutare le aziende a sviluppare le
capacità analitiche necessarie per l’analisi dei dati e la
creazione del valore.

7. - -- -
Competence Center Big Data & Analytics
Data Governance Business Intelligence CPMData Integration
DL & Meta Data
Management
Data Quality
& MDM
Test Data
Management
Data
Warehousing
Data
Virtualization
Big Data Lake
Query &
Reporting
OLAP&DD
Business
Analytics
Budgeting &
Forecasting
Pianificazione
Finanziaria
Dashoboard &
Scorecard
COMPETENZE CORE
7 24/11/2016

8. - -
GENERAL DATA PROTECTION REGULATION
8
3

9. - -- -
GENERAL DATA PROTECTION REGULATION (1)
24/11/20169
GDPR
4 Maggio 2016 24 Maggio 2016 25 Maggio 2018
Pubblicazione in
Gazzetta Ufficiale
Europea
Entrata in vigore Piena applicazione
IL GDPR disciplina il trattamento dei dati personali
dei cittadini appartenenti alla EU.
I dati personali devono essere trattati solo se si verificano le seguenti condizioni:
TRASPARENZA
FINALITÀ
LEGITTIMA
PROPORZIONALITÀ
Queste condizioni non si verificano durante la creazione di ambienti di test a partire dai dati di
produzione, che comporta seppur non intenzionalmente una divulgazione dei dati personali a categorie
di utenti non autorizzate al trattamento.

10. - -- -
GENERAL DATA PROTECTION REGULATION (2)
24/11/201610
Per adeguarsi alla normativa è necessario rendere anonime le informazioni personali durante la
creazione degli ambienti di test, attraverso il processo di Persistent Data Masking.
Aubay vanta una forte esperienza sui processi
di Data Masking acquisita su importanti clienti
quali:
• Intesa San Paolo
• Allianz
• ….
Abbiamo così svilupparto un framework di
riferimento per il General Data Protection
Regulation, che consente di industrializzare il
processo di mascheramento dei dati.

11. - -11
TEST DATA MANAGEMENT4

12. - -- -
Cloning or Subsetting
CREAZIONE DI AMBIENTI DI TEST
24/11/201612
Source Applications
and Databases
Non-production
Environments

13. - -- -
SUBSETTING
24/11/201613
Obiettivo:
creare un ambiente con tutti e soli i dati necessari agli utenti nel minor tempo possibile
Tecniche
 Riduzione dei tempi di test e analisi grazie al ridotto numero di dati
 Riduzione dei tempi di popolamento degli ambienti
 Riduzione della richiesta di risorse
Benefici
Restringere la scala temporale oppure selezionarla in particolari serie temporali
1
2
3 Escludere alcuni dati
Selezionare particolari combinazioni di caratteristiche/dimensioni sui dati

14. - -- -
MA STIAMO RISPETTANDO LA NORMATIVA?
 L’attenzione alle problematiche di riservatezza dei dati personali
gestiti dalle aziende sui propri archivi elettronici è in forte
crescita.
 Normative nazionali e internazionali (UE GDPR) sempre più
stringenti stanno portando le organizzazioni IT a mettere in atto
le misure volte a impedire il riconoscimento di soggetti anagrafici
e altre informazioni riservate, da parte di personale interno ed
esterno, che possa accedere agli archivi aziendali per scopi non
specificatamente di business.
Compliance
Officer
Siamo in regola con
le normative?
14 24/11/2016

15. - -15
PERSISTENT DATA MASKING5

16. - -- -
Cloning/Subsetting and
Persistent Data Masking
CREAZIONE DI AMBIENTI DI TEST E PERSISTENT DATA MASKING
24/11/201616
Source Applications
and Databases
Non-production
Environments

17. - -- - 24/11/201617
Proteggere i dati effettivi, pur avendo un sostituto funzionale per le
occasioni in cui non sono richiesto i dati reali.
Obiettivo
COS’È?
Il Persistent Data Masking (mascheramento dei dati) è una metodologia adottata per creare una
versione strutturalmente identica e simile ma non autentica dei dati di un'organizzazione che
possono, quindi, essere utilizzati per scopi quali test del software senza violare le leggi di
protezione dei dati personali.

18. - -- -
DETTAGLI
24/11/201618
Il Persistent Data Masking utilizza tecniche che permettono di modificare i dati esistenti in modo tale da
renderli irriconoscibili e quindi anonimi.
Il Persistent Data Masking non è però soltanto una banale operazione di sostituzione dei dati originali, se
non si presta la necessaria attenzione, tale sostituzione può introdurre molteplici inconsistenze, fino a
rendere una banca dati sostanzialmente inutilizzabile.
Principali Tecniche
Nulling or Truncating
1
2
3 Substitution
Scrambling or masking out
4
5
6
Shuffling
Encription
Number and date Variance

19. - -- -
Tabella Cliente Tabella Cliente
Tabella Prodotti Tabella Prodotti
Dati Originali Dati Mascherati
GARANTIRE L’INTEGRITÀ REFERENZIALE
Propagare i valori delle chiavi primarie in tutte le tabelle correlate mantenendo la
consistenza e l’integrità referenziale nei dati mascherati
Integrità
referenziale
mantenuta
24/11/201619

20. - -- -
CONSISTENZA DELLE INFORMAZIONI
 La consistenza deve essere garantita per
applicazione:
 nei sistemi che la compongono;
 nei sistemi con cui collabora;
 Il codice postale deve essere valido per:
 Indirizzo;
 numero di telefono;
 L’età deve coincidere con la data di nascita;
 Il codice fiscale deve essere consistente
rispetto alle informazioni anagrafiche.
Applicazione di fatturazione
Produzione
Test
DATA MASKING
24/11/201620

21. - -
APPROCCIO AUBAY
21
6

22. - -- -
APPROCCIO PROGETTUALE AUBAY
23/01/201722
• Importazione metadati
• Realizzazione
mascheramento
• Test di non regressione
Pilota
• Supporto sistemistico e
applicativo
Assistenza
Assessment
• Analisi del patrimonio
applicativo
• Definizione regole di
mascheramento
• Sw Selection
• Identificazione fase
pilota
• Rilascio ambienti
• Refresh periodico
• Audit periodico
ambienti di sviluppo e
test
Esercizio
• Definizione del
processo
• Adozione del tool
• Definizione procedure
operative
Organizzazione

23. - -- -
APPROCCIO METODOLOGICO AUBAY
Cloning/Subsetting and
Persistent Data Masking
Cloning/Subsetting and
Persistent Data Masking
DRIVE
24/11/201623
Source Applications
and Databases
Non-production
Environments

24. - -- -
TABELLA DRIVE
24/11/201624
Il contenuto della tabella DRIVE è il seguente:
 tutti i campi mascherati;
 tutte le chiavi di JOIN necessarie per legare le informazioni fra il SOURCE e la tabella DRIVE;
 i flag di mascheramento che governano il processo.
La soluzione presenta i seguenti Punti di Forza:
 disaccoppia la regola dal risultato della stessa;
 consente di controllare e limitare il proliferare delle regole;
 consente di garantire l’integrità referenziale fra i vari sistemi;
 garantisce la coerenza con i dati iniziali;
 è una soluzione completamente scalabile.
CONTENUTO
PUNTI DI FORZA

25. - -- -
METODOLOGIA
25
STEP
1 Individuazione dei dati da mascherare
Dati personali «anagrafici» relativi a persone
fisiche
Dati «anagrafici» relativi a persone giuridiche
24/11/2016

26. - -- -
METODOLOGIA
26
STEP
2 Algoritmi di mascheramento – Persone Fisiche
24/11/2016

27. - -- -
METODOLOGIA
27
STEP
3 Algoritmi di mascheramento – Persone Giuridiche
24/11/2016

28. - -- -
METODOLOGIA
28
STEP
4 Individuazione degli ambienti in perimetro
Clone Multibanca Clone Multibanca
Clone Multibanca Clone
SWW/SVWWMOPxx
SWW/SVWWSTPxx
IDE di sviluppo SAPMOPxx
Visual Studio xxxx SAPSTPxx
MyEclipse vsxx
Repository RTC
Clone Multibanca
ClearCase UCM
G7TC - M ainframe 1
G71C - Cassaf. SW/ClearCasse 0
G72 C - D ip art iment ale 1
G7NC - M aster Test 0
WebServer WebLogic Settimo
Qmanager
Certificazione/MIGIndipendent Test
Note
Cloni Temporanei
Cloni Permanenti
Formazione/Addestramento
Produzione
WebServer Apache M oncalieri TWS
SAPSTTxx
SAPMOTxx
SWW/SVWWSTTxx
SWW/SVWWMOTxx
TQ*
Dipendente da progetto
New Appl/Facoltativo
Passaggi con UDC
Sviluppo
Condiviso
Ambiente
POUN
System Test/Collaudo
WebServer Apache Settimo
WebServer WebLogic M oncalieri
Application Test
SWW/SVWWMOSxx
SWW/SVWWSTSxx
SAPMOSxx
SAPSTSxx
SQ*
Direzione Sistemi Informativi – Servizio Infrastrutture Tecnologiche
Gestioni Operative - Gestione Ambienti di Test
AMBIENTI di SVILUPPO e TEST
Ad ogni progetto viene assegnato un DB che può essere personalizzato o generico
(calderone).
Il DB può essere Oracle o MS SQL. (Questi hanno metodi di accesso diversificati e quindi si
differenzia la modalità di copia dati.)
Per accedere è necessario avere le abilitazioni e i parametri autorizzativi, cioè UTENZA, (nome
macchina) e ISTANZA, dati che sono censiti in GSS Desktop (ex Omnia).
PIATTAFORMA DIPARTIMENTALE - Aggiornamento del 18/09/2013
N
O
T
E
24/11/2016

29. - -- -
METODOLOGIA
29
STEP
5 Popolamento tabella DRIVE
24/11/2016

30. - -- -
METODOLOGIA
30
STEP
6 Realizzazione del template di Data Masking
24/11/2016

31. - -- -
FLUSSO LOGICO DEL TEMPLATE DI PROCESSO - DIRETTA
31
SOURCE
Check
PRE
JOIN
SI
Leggo da DRIVE
dato MASCHERATO
Check
POST
JOIN
SI
TARGET
MASK=S
SI
SCRIVO DATO
MASHERATO
NO
SCRIVO DATO
IN CHIARO
MASCHERO CON
GLOSSARIO
SCRIVO DATO
MASHERATO
NO
24/11/2016

32. - -- -
FLUSSO LOGICO DEL TEMPLATE DI PROCESSO - ASSOCIATIVA
32
SOURCE
Check
PRE
JOIN
SI Leggo da DRIVE
dato MASCHERATO
Check
POST
JOIN
TARGET
MASK=S
SI
SCRIVO DATO
MASHERATO
NO
SCRIVO DATO
IN CHIARO
MASCHERO CON
GLOSSARIO
SCRIVO DATO
MASHERATO
NO
Check
SOURCE
24/11/2016
SI
SI

33. - -- -
COMPONENTI SW - CONSIGLIATI
Individuazione dei dati sensibili
E’ lo strunento (Es: Informatica Secure@Source) che consente di avere visibilità completa
dei dati sensibili e analizza e classifica il rischio che incombe sui dati sensibili.
Generatore di Regole
E’ lo strumento che consente la creazione ed esecuzione delle regole di mascheramento
delle informazioni anagrafiche
Designer
E’ l’ambiente che consente di disegnare i diversi flussi di processo che portano i dati dai
SOURCE verso i TARGET applicando le regole di mascheramento
Workflow
E’ l’ambiente che gestisce l’esecuzione dei mapping e dei processi di aggiornamento della
tabella DRIVE
Monitor
E’ lo strumento che consente di verificare l’esecuzione dei mapping richiesta dal workflow
Analyzer
E’ lo strumento che consente l’analisi dei dati di log prodotti dai singoli flussi mapping
eseguiti dal workflow
33 24/11/2016

34. - -- -
RIFERIMENTI
Giorgio David Jacchini
Professional Services Principal
Consultant
E-Mail: giorgio.jacchini@aubay.it
Mobile: +39.347,3872611
Oscar Russo
Head of Big Data & Analytics CC
E-Mail: oscar.russo@aubay.it
Mobile: +39.346.6815161
34 24/11/2016

35. - -- -35 24/11/2016