Evaluating the Effectiveness of Dat

Evaluating the Effectiveness of Data Obfuscation

Data Obfuscation techniques can be classified by a number of criteria:

Usefulness - measures how appropriate is the obfuscated data set for use after it has been changed.
Potency - measures how much time, effort and skill is required by an attacker to understand, and remove, the obfuscation construct.
Resiliency - measures how much time, effort and skill an attacker would expend writing a program to automatically unobfuscate a construct, and the resources the unobfuscator requires to run. Increasing the resiliency will help prevent automated unobfuscation of data.
Cost - measures the impact of implementing the previous two methods in execution of the development/testing program e.g. methods that cause huge memory usage or require long execution time to create obfuscated data can be said to have a large cost.
Metrics allow the usefulness of particular obfuscation constructs to be objectively rated and allow users to decide if and when to include them. It is important that this is not done in the abstract but rather in the context of the kind of scenarios in which the data will be used. For example, as illustrated in the following scenarios.

Scenario 1: Testing an Application that requires data validation
The best approach is to create synthetic data however this is typically very complex so data substitution is easier to use as it ensures that data is obfuscated but can still be used to test validation routines. It should be noted, different tools provide different capabilities, for example, some tools come with knowledge of well-known COTS applications like Oracle ebusiness suite, data validation and relationship rules out-of-the box so it is easier to use obfuscation and know that the business rules in the application will still work.

Scenario 2: Securing a data set for statistical analysis
A number of techniques support obfuscation of personal data while retaining the original numerical data for statistical analysis.

Scenario 3: Backup of Test Data
The best approach is data substitution as it ensures that data is obfuscated but can still be used to test validation routines. However, data encryption can also be used to provide an additional level of protection for stored data.

Recommendations

Data obfuscation should be a key part of all HM Government development and testing to assist in significantly reducing data security risks. It is important to realise that at the current time - it is EDS's view that many clients do not seem to be aware of the potential risks that may arise as a result of the use of non-obfuscated data as part of development projects involving internal or third party staff. Third party suppliers to government clients also need to understand the potential impact of using live data in development and testing. Don't just raise problems, demonstrate the use of obfuscated or synthesised data in development or test environments.

Kết quả (Việt) 1:

Việc đánh giá hiệu quả của các dữ liệu ObfuscationDữ liệu Obfuscation kỹ thuật có thể được phân loại theo một số tiêu chí:Tính hữu dụng - các biện pháp thích hợp như thế nào là obfuscated dữ liệu tập hợp cho sử dụng sau khi nó đã được thay đổi.Tiềm năng - các biện pháp bao nhiêu thời gian, công sức và kỹ năng được yêu cầu của một kẻ tấn công để hiểu, và loại bỏ, xây dựng obfuscation.Khả năng phục hồi - các biện pháp bao nhiêu thời gian, công sức và kỹ năng kẻ nào expend viết một chương trình để tự động unobfuscate một xây dựng, và các nguồn tài nguyên unobfuscator yêu cầu để chạy. Tăng khả năng phục hồi sẽ giúp ngăn ngừa tự động unobfuscation của dữ liệu.Chi phí - các biện pháp tác động của việc thực hiện phương pháp hai trước đó trong thực hiện phát triển/thử nghiệm chương trình ví dụ như phương pháp mà làm cho việc sử dụng bộ nhớ lớn hoặc yêu cầu dài thời gian thực hiện để tạo obfuscated dữ liệu có thể được cho biết để có một chi phí lớn.Số liệu cho phép tính hữu dụng của obfuscation cụ thể xây dựng để được khách quan đánh giá cao và cho phép người dùng để quyết định nếu và khi nào để bao gồm chúng. Nó là quan trọng rằng điều này không thực hiện trong trừu tượng mà trong bối cảnh của các loại tình huống mà các dữ liệu sẽ được sử dụng. Ví dụ, như minh họa trong các trường hợp sau.Kịch bản 1: Kiểm tra một ứng dụng đòi hỏi phải xác nhận dữ liệuPhương pháp tốt nhất là tạo ra dữ liệu tổng hợp Tuy nhiên điều này là thường rất phức tạp để thay thế dữ liệu dễ dàng hơn để sử dụng vì nó đảm bảo rằng dữ liệu obfuscated nhưng vẫn có thể được sử dụng để kiểm tra xác nhận thói quen. Cần lưu ý, các công cụ khác nhau cung cấp khả năng khác nhau, ví dụ, một số công cụ đi kèm với kiến thức về ứng dụng cũi trẻ em nổi tiếng như Oracle ebusiness suite, xác nhận dữ liệu và mối quan hệ quy tắc out-of-the hộp vì vậy nó là dễ dàng hơn để sử dụng obfuscation và biết rằng các quy tắc kinh doanh trong các ứng dụng sẽ vẫn làm việc.Trường hợp 2: Bảo vệ một tập hợp dữ liệu cho phân tích thống kêMột số kỹ thuật hỗ trợ obfuscation dữ liệu cá nhân trong khi giữ lại các dữ liệu số ban đầu cho phân tích thống kê.Trường hợp 3: Sao lưu dữ liệu thử nghiệmPhương pháp tốt nhất là thay thế dữ liệu như nó đảm bảo rằng dữ liệu obfuscated nhưng vẫn có thể được sử dụng để kiểm tra xác nhận thói quen. Tuy nhiên, mã hóa dữ liệu cũng có thể được sử dụng để cung cấp một mức độ bảo vệ cho lưu trữ dữ liệu bổ sung.Khuyến nghịDữ liệu obfuscation nên là một phần quan trọng của tất cả HM chính phủ phát triển và thử nghiệm để hỗ trợ trong việc giảm đáng kể rủi ro bảo mật dữ liệu. Nó là quan trọng để nhận ra rằng thời điểm hiện tại - nó là của EDS xem rằng nhiều khách hàng không có vẻ để được nhận thức của các tiềm năng rủi ro mà có thể phát sinh do hậu quả của việc sử dụng dữ liệu phòng không obfuscated như một phần của phát triển dự án liên quan đến nhân viên nội bộ hoặc thứ ba bên. Nhà cung cấp bên thứ ba cho các khách hàng chính phủ cũng cần phải hiểu những tác động tiềm năng của việc sử dụng các dữ liệu trực tiếp trong phát triển và thử nghiệm. Không chỉ nâng cao vấn đề, chứng minh sử dụng obfuscated hay khẩu dữ liệu trong các môi trường phát triển hoặc thử nghiệm.

Kết quả (Việt) 2:

Đánh giá hiệu quả của liệu Obfuscation kỹ thuật Dữ liệu Obfuscation có thể được phân loại theo một số tiêu chí: Tính hữu - các biện pháp phù hợp như thế được thiết lập các dữ liệu làm rắc rối cho việc sử dụng sau khi nó đã được thay đổi. Potency - biện pháp bao nhiêu thời gian, công sức và kỹ năng được yêu cầu của một kẻ tấn công để hiểu, và loại bỏ, các obfuscation xây dựng. Resiliency - biện pháp bao nhiêu thời gian, công sức và kỹ năng một kẻ tấn công sẽ rộng viết một chương trình để tự động unobfuscate một cấu trúc, và các nguồn tài nguyên unobfuscator yêu cầu để chạy. Tăng khả năng phục hồi sẽ giúp ngăn ngừa unobfuscation tự động của dữ liệu. Chi phí - các biện pháp tác động của việc thực hiện hai phương pháp trước đó trong khi thực hiện các phương pháp chương trình phát triển / kiểm tra ví dụ như gây ra việc sử dụng bộ nhớ lớn hoặc đòi hỏi thời gian thực hiện dài để tạo ra dữ liệu khó hiểu có thể nói có một chi phí lớn. Metrics cho phép tính hữu ích của riêng obfuscation xây dựng để được khách quan đánh giá và cho phép người sử dụng để quyết định nếu và khi bao gồm chúng. Điều quan trọng là điều này không được thực hiện một cách trừu tượng mà là trong bối cảnh các loại kịch bản trong đó dữ liệu sẽ được sử dụng. Ví dụ, như minh họa trong các tình huống sau. Kịch bản 1: Kiểm tra một ứng dụng mà yêu cầu xác nhận dữ liệu Phương pháp tốt nhất là để tạo ra dữ liệu tổng hợp tuy nhiên điều này thường rất phức tạp nên thay thế dữ liệu là dễ dàng hơn để sử dụng vì nó đảm bảo rằng dữ liệu được làm rắc rối nhưng có thể vẫn còn được sử dụng để kiểm tra thói quen xác nhận. Cần lưu ý, các công cụ khác nhau cung cấp khả năng khác nhau, ví dụ, một số công cụ đi kèm với kiến thức của các ứng dụng COTS nổi tiếng như Oracle ebusiness suite, xác nhận dữ liệu và mối quan hệ quy tắc out-of-the-box do đó, nó là dễ dàng hơn để sử dụng hoang mang và biết rằng các quy tắc kinh doanh trong các ứng dụng vẫn sẽ làm việc. Kịch bản 2: Đảm bảo một tập hợp dữ liệu để phân tích thống kê. Một số kỹ thuật hỗ trợ hoang mang dữ liệu cá nhân trong khi giữ lại dữ liệu bằng số ban đầu để phân tích thống kê Kịch bản 3: Backup của Test dữ liệu Các phương pháp tiếp cận tốt nhất là sự thay thế dữ liệu vì nó đảm bảo rằng dữ liệu được làm rắc rối nhưng vẫn có thể được sử dụng để kiểm tra thói quen xác nhận. Tuy nhiên, mã hóa dữ liệu cũng có thể được sử dụng để cung cấp mức độ bảo vệ bổ sung cho dữ liệu được lưu trữ. Khuyến cáo dữ liệu obfuscation phải là một phần quan trọng của tất cả các phát triển Chính phủ HM và thử nghiệm để hỗ trợ trong việc làm giảm đáng kể nguy cơ bảo mật dữ liệu. Điều quan trọng là nhận ra rằng ở thời điểm hiện tại - đó là quan điểm của EDS của nhiều khách hàng dường như không nhận thức được những nguy cơ tiềm ẩn có thể xảy ra như là kết quả của việc sử dụng các dữ liệu không khó hiểu như là một phần của dự án phát triển liên quan đến nội bộ hoặc nhân viên của bên thứ ba. Các nhà cung cấp bên thứ ba để khách hàng chính phủ cũng cần phải hiểu được những tác động tiềm năng của việc sử dụng dữ liệu trực tiếp trong việc phát triển và thử nghiệm. Không chỉ nâng cao vấn đề, ​​chứng minh việc sử dụng các dữ liệu khó hiểu hoặc được tổng hợp trong các môi trường phát triển hoặc thử nghiệm.