20. Apr 2008, 12:32

Enterprise Privacy Authorization Language, kurz: EPAL ist ein Fachbegriff aus dem Bereich der Informationssicherheit ^[1]. Er bezeichnet eine XML-basierte Beschreibungssprache für Unternehmen. Sie ermöglicht es, unternehmensspezifische Datenschutzrichtlinien (engl.: privacy policies) in ein maschinenlesbares Regelwerk zu übertragen. Im Fokus stehen dabei personenbezogene Daten.

EPAL versteht sich als Weiterentwicklung von P3P. Der grundsätzlich neue Aspekt ist der Gedanke, Zugriffsregeln unternehmenszentral zu formulieren.

Inhaltsverzeichnis 1 Details 2 Beispiel 3 Quellen 4 Weblinks

[Bearbeiten] Details

Mit EPAL steht eine von IBM entwickelte "allgemeine Sprache zur Beschreibung für Datenschutzregelwerke" zur Verfügung, die von Produkten wie z.B. Anwendungsprogrammen zur Durchsetzung (engl.: enforcement) der Regeln ausgewertet werden kann. Dabei wurden die Mechanismen klassischer Zugriffssteuerungensmodelle (wie RBAC) erweitert: Nun können Zugriffsregeln auch aus einer Beschreibung des Einsatzzweckes der vorgehaltenen Daten formuliert werden.

Ein EPAL-Anwender nutzt für seine Regeln ein 'Vokabular': Er definiert Elemente, die sich am natürlichsprachlichen Ausdruck von Zugriffsregeln orientieren. Das sind die betroffenen Benutzer (oder Gruppen), die Datenkategorien, die durchzuführenden Aktionen, den Einsatzzweck der Daten, Bedingungen des Zugriffs (z.B. 'muß über 18 Jahre alt sein') und Einschränkungen der Datenhaltung (z.B. 'nach 90 Tagen zu löschen'). Diese Elemente werden in einer Regel zusammengefasst, die den Zugriff entweder erlaubt oder verweigert.

[Bearbeiten] Beispiel

Folgende Regel legt fest, daß ein Röntgenarzt nach Einwilligung des Chefarztes und des Patienten dessen Röntgendaten zu Diagnosezwecken einsehen darf, die aber nicht länger als 5 Jahre aufbewahrt werden.

<rule id="radiodata" ruling="allow">
  <data-user id="radiologist"/>
  <data-category id="radiograph"/>
  <purpose id="diagnosis"/>
  <action id="read"/>
  <condition id="chiefPhysicianConsent"/>
  <condition id="patientHasAccepted"/>
  <obligation id="retention">
    <parameter id="years">5</parameter>
  </obligation>
</rule>

[Bearbeiten] Quellen

1. ↑ IBM (CH):Enterprise privacy authorization language

[Bearbeiten] Weblinks

• EPAL Einreichung beim W3C, 11.10.2003
• Kommentar vom W3C zur Einreichung
• Aufsatz von Ashley, Hada, Karjoth, Powers und Schunter (alle IBM)

Dieser Artikel ist eine Kopie aus der freien Enzyklopädie Wikipedia. Am Originalartikel kann jeder Korrekturen und Ergänzungen vornehmen. Zudem kann man frühere Versionen einsehen.

Abkürzungen • Dateiendungen • Netzjargon