DATA LIFECYCLE / PRACTICAL DESIGN

Von der Speicherung bis zur Löschung,
Verwalten Sie, wohin die Daten gehen.

Was passiert, wenn eine verschlüsselte Adresse in Klartextprotokollen oder Suchindizes verbleibt? Was passiert, wenn gelöschte Daten aus einem Backup zurückkehren? Der Schutz muss über den Tresor hinausgehen.

Trennen Sie Geschäftsunterlagen von persönlichen Daten.

Bewahren Sie für den Einzelhandel Proxy-IDs, Bestellungen, Produkte und Lieferstatus in Geschäftssystemen auf. Speichern Sie Namen, Adressen und Telefonnummern im Tresor. Autorisierte Lieferworkflows rufen nur das ab, was sie benötigen.

Bestellsystem: Bestell-ID / Proxy-ID / Produkte / Lieferstatus
Tresor: Verschlüsselter Name, Adresse und Telefonnummer, zugeordnet zu einer Proxy-ID
Lieferung: Erforderliche Felder nur im zulässigen Zeitraum abrufen

Durch die separate Speicherung wird die Gefährdung der direkten Adresse im Falle eines Diebstahls der Bestelldatenbank verringert. Bestellhistorien und Proxy-IDs können in Kombination mit anderen Informationen weiterhin Personen identifizieren. Proxy-IDs garantieren keine Anonymität.

Bei Abholung: Definieren Sie Zweck und Aufbewahrung. Sammeln Sie keine unnötigen Felder und zeichnen Sie keine Anforderungstexte in Fehler- und Zugriffsprotokollen auf.
Während der Lagerung: Trennen Sie Chiffretext von Entschlüsselungsberechtigungen. Beziehen Sie Replikate, Caches und Analysekopien in die Datenverwaltung ein.
Im Einsatz: Autorisieren Sie Felder und Zweck. Geben Sie nur die erforderlichen Daten zurück und verfolgen Sie neue Kopien, die durch Übertragungen an Partner erstellt wurden.

Suchindizes, Löschmitteilungen an Partner und endgültige Schlüsselvernichtung sind hier Entwurfsbeispiele. Die aktuelle Adress-API bietet keine Suche, automatischen Partnermitteilungen oder sofortige physische Backup-Löschung. Der Leitfaden beschreibt den tatsächlichen Umfang. Einstieg und Hilfe

Wie können verschlüsselte Daten durchsucht werden?

Zufällige Nonces erzeugen unterschiedliche Chiffretexte für dieselbe E-Mail-Adresse und verhindern so gewöhnliche exakte Übereinstimmungssuchen. Bevorzugen Sie Proxy-IDs oder Bestell-IDs. Wenn ein Abgleich personenbezogener Daten erforderlich ist, erstellen Sie einen separaten Suchindex.

Beispiel für eine exakte Übereinstimmung: verschlüsselter HMAC.

Normalisieren Sie E-Mail-Adressen mithilfe definierter Regeln und berechnen Sie einen HMAC mit mandanten- und feldspezifischen Suchschlüsseln. Wiederholen Sie diesen Vorgang für Suchvorgänge und überprüfen Sie dann die Quelldaten nach der Autorisierung. Der Indexwert dient dem übereinstimmenden, nicht entschlüsselbaren Chiffretext.

Einfache Hashes ermöglichen das Erraten der E-Mail-Adressen oder Telefonnummern von Kandidaten. HMAC ermöglicht auch das Erraten, ob der Schlüssel gestohlen wurde. Wiederholte Werte und Häufigkeit bleiben sichtbar. Beschränken Sie Massenabfragen auf Such-APIs.

Teilzeichenfolgen-, Präfix- und Bereichssuchen können zusätzliche Informationen offenlegen und die Verarbeitungskosten erhöhen. Bewerten Sie gemeinsam Funktionalität, Leckage und Leistung. Die Suchschlüsselrotation erfordert auch die Neuerstellung von Indizes.

Was bedeutet eigentlich Löschen?

Es reicht nicht aus, Daten von einem Bildschirm zu entfernen. Blockieren Sie den Abruf und adressieren Sie dann Quelldatensätze, Indizes, Caches, Replikate und Partner. Zeichnen Sie das Verhalten bei der Aufbewahrung und Wiederherstellung von Backups auf.

Verwendung beenden: Neuen Abruf ablehnen und Token und Zuteilungen widerrufen.
Aktive Daten löschen: Quelldatensätze, Indizes und Replikate entfernen; Caches ungültig machen.
Partner benachrichtigen: Löschung beantragen und abgeschlossene und ausstehende Aktionen verfolgen.
Behandeln Sie Backups: Dokumentieren Sie, was bis zum Ablauf übrig bleibt, und bewahren Sie Löschdatensätze auf, um eine Wiederverwendung nach der Wiederherstellung zu verhindern.

Daten durch Zerstörung von Schlüsseln unlesbar machen.

Durch die kryptografische Löschung sind die benötigten Schlüssel unwiederbringlich. Dies erfordert dedizierte Schlüssel und das Entfernen von Backups, verpackten Schlüsseln, Caches und wiederherstellbaren Dienstkopien. Die Zerstörung eines gemeinsamen Schlüssels hat auch Auswirkungen auf andere Benutzer.

Die Deaktivierung des Wendeschlüssels ist keine unwiderrufliche Löschung. Bereits abgerufener Klartext oder mit anderen Schlüsseln verschlüsselte Kopien werden nicht entfernt. Verfolgen Sie Zugriffsblockierung, Löschung aktiver Daten und Backup-Ablauf separat.

Sichere Wiederherstellung, ohne gelöschte Daten wiederherzustellen.

Durch die Wiederherstellung der gestrigen Sicherung können heute gelöschte Adressen wiederhergestellt werden. Isoliert wiederherstellen, Löschdatensätze und aktuelle Sperrungen erneut anwenden und dann validieren, bevor der Zugriff erneut geöffnet wird. Löschdatensätze können nicht nur in derselben alten Sicherung vorhanden sein.

RPO: akzeptables Datenverlustfenster: Ein 15-Minuten-Ziel bedeutet, dass bis zu 15 Minuten der letzten Aktualisierungen verloren gehen können. Bestätigen Sie die tatsächliche Replikation, Sicherungen und Testergebnisse.
RTO: Zeit, den Dienst wiederherzustellen: Ein zweistündiges Ziel umfasst Schlüssel, Berechtigungen, Löschwiedergabe und Validierung, nicht nur die Datenbankwiederherstellung. Diese Zahlen sind Beispiele und keine Servicegarantien.
Wiederherstellungsprüfungen: Stellen Sie sicher, dass gültige Daten entschlüsselt werden, gelöschte Daten nicht wiederhergestellt werden können, alte Token abgelehnt werden und Schlüsselfehler die Verarbeitung stoppen, ohne dass Informationen offengelegt werden.
Prüfungsnachweise: Zeichnen Sie Akteur, Zielreferenz, Zeit, Ergebnis und Schlüsselversion auf. Vermeiden Sie das Kopieren persönlicher Daten oder Rohtokens in Protokolle.

Anhaltspunkte für die Bewertung des Entwurfs.

Überprüfen Sie Datenstandortkarten, Entschlüsselungsberechtigungen, Suchlecks, Löschstatus und Wiederherstellungstestergebnisse, um den Schutz bei Speicherung, Nutzung und Entsorgung zu bewerten.

Besprechen Sie die technische Integration