DE102004004101A1

DE102004004101A1 - Method and system for protecting electronic data objects against unauthorized access

Info

Publication number: DE102004004101A1
Application number: DE200410004101
Authority: DE
Inventors: Detlef Becker; Karlheinz Dorn; Ivan Murphy; Gerhard Dr. Mönnich; Thomas Pohley
Original assignee: Siemens Corp
Current assignee: Siemens Corp
Priority date: 2003-03-14
Filing date: 2004-01-27
Publication date: 2004-09-30
Also published as: CN100449450C; CN1530792A

Abstract

Method for protection of an electronic data object against unauthorized access in which: in a first step, dependent on the contents of the data object, an electronic data object identifier is produced, in a further step an access right is determined dependent on the identifier and, in a final step, access to a data object is provided dependent on the determined access right. An independent claim is made for a data processing system for accessing an electronic data object that has an access control module.

Description

Die Erfindung betrifft ein Verfahren zum Schutz eines elektronischen Datenobjekts vor unberechtigtem Zugriff sowie ein Datenverarbeitungssystem zur Ausführung des Verfahrens und ein Speichermedium, auf dem Informationen zur Ausführung des Verfahrens auf einer Datenverarbeitungseinrichtung gespeichert sind.The invention relates to a method to protect an electronic data object against unauthorized access and a data processing system for executing the method and a Storage medium on which information on the execution of the method on a Data processing device are stored.

Der vermehrte Einsatz elektronischer Datenobjekte macht in zunehmendem Maße intelligente Mechanismen zu deren Schutz vor unerlaubtem Zugriff erforderlich. Datenobjekte können dabei zum Beispiel einzelne Dateien, zusammengesetzte Dateisysteme oder Dateistrukturen sein, die dem Abspeichern oder Ablegen von Informationen dienen. Der Schutz von Datenobjekten ist besonders wichtig an rechnergestützten Arbeitsplätzen, die von mehreren Personen benutzt werden und an denen auf vertrauliche Informationen zugegriffen werden kann. Solche Informationen kommen u.a. in medizinischen Arbeitsumgebungen vor, in Labor-, Forschungs-, Entwicklungs-Umgebungen oder demografisch arbeitenden Arbeitsumfeldern. Grundsätzlich sind insbesondere personenbezogene Informationen in besonderem Maße zu schützen.The increased use of electronic Data objects are increasingly making intelligent mechanisms to protect them against unauthorized access. data objects can for example, individual files, composite file systems or file structures that are used to save or store Serve information. The protection of data objects is special important on computer-based jobs which are used by several people and where confidential Information can be accessed. Such information is coming et al in medical work environments, in laboratory, research, Development environments or demographically working work environments. in principle personal information in particular must be protected to a particular degree.

Es sind Schutzmechanismen bekannt, die auf der Verschlüsselung der Datenobjekte beruhen. Das Ver- und Entschlüsseln kostet jedoch insbesondere bei umfangreichen Datenobjekten verhältnismäßig viel Zeit und ist innerhalb von Arbeitsumgebungen, die zu rationalisierten und ökonomischen Arbeitsweisen gezwungen sind, nicht praktikabel. Darüber hinaus stellt auch die angemessene Handhabung hinreichend sicherer Schlüssel für Verschlüsselungssysteme einen beträchtlichen Aufwand dar. Nicht zuletzt sind Änderungen am Verschlüsselungssystem lediglich unmittelbar am Datenbestand selbst durchführbar, während sie sonstige Kopien der Datenobjekte, z.B. auf Datenträgern oder mobilen Arbeitsplätzen, nicht erreichen.Protection mechanisms are known the on the encryption of the data objects are based. However, encryption and decryption are particularly expensive in the case of extensive data objects, a relatively long time and is within from work environments to rationalized and economic ones Working methods are forced to be impractical. Furthermore also provides adequate handling of sufficiently secure keys for encryption systems a considerable one Last but not least are changes on the encryption system only feasible directly on the database itself, while you other copies of the data objects, e.g. on data media or mobile workplaces, do not reach.

Darüber hinaus bietet der auf Verschlüsselung beruhende Schutz von Datenobjekten keinen Schutz vor dem Löschen von Datenobjekten und erlaubt keine differenzierte Vergabe von Zugriffsrechten, z.B. die Unterscheidung zwischen Lese-, Schreib- oder Lösch-Zugriff. Nicht zuletzt muss bei asymmetrischen Verschlüsselungsverfahren bereits beim Verschlüsseln der gesamte Empfängerkreis bekannt sein, da der öffentliche Schlüssel jedes Empfängers berücksichtigt werden muss.It also offers encryption based protection of data objects no protection against deletion of Data objects and does not allow differentiated assignment of access rights, e.g. the distinction between read, write or delete access. Last but not least, with asymmetric encryption methods already at encode the entire group of recipients be known because the public key of each receiver considered must become.

Bekannt ist auch der Schutz von Datenobjekten auf Betriebssystem-Ebene, bei dem der Umfang des Datenzugriffs in Abhängigkeit von den Rechten des am Betriebssystem angemeldeten Nutzers vorgegeben wird. Der Umfang der Zugriffsrechte bestimmt sich durch eine sogenannte Access-Control-List (ACL), die durch das Betriebssystem jedem Datenobjekt im Dateisystem zugeordnet wird. In der ACL jedes Datenobjekts sind die nutzerabhängigen Zugriffsrechte spezifisch für das jeweilige Betriebssystem aufgelistet.The protection of data objects is also known at operating system level, at which the extent of data access in dependence is determined by the rights of the user logged on to the operating system. The scope of access rights is determined by a so-called Access control list (ACL) by the operating system of each data object in the file system. In the ACL of each data object are the user-dependent Access rights specific to the respective operating system listed.

Die ACL ist jedoch insofern Bestandteil des Betriebssystems bzw. Dateisystems und nicht der Datenobjekte, als sie beim Kopieren von Datenobjekten lediglich innerhalb des Dateisystems mitkopiert, also vererbt wird, während sie beim Kopieren nach außerhalb des jeweiligen Dateisystems nicht erhalten wird. Dies ist aufgrund der betriebssystem-spezifischen Funktionsweise der ACL nicht möglich. Darüber hinaus können Änderungen an den Zugriffsrechten für Datenobjekte, die in mehrfacher Kopie innerhalb des Dateisystems vorliegen, ebenfalls nicht zentral durchgeführt werden, da sie nicht automatisch auf die Kopien der Datenobjekte übernommen werden.The ACL is, however, part of this the operating system or file system and not the data objects, than when copying data objects only within the Copied filesystem, i.e. is inherited while copying to outside of the respective file system is not preserved. This is because the operating system-specific functionality of the ACL is not possible. Furthermore can make changes access rights for Data objects in multiple copies within the file system are also not carried out centrally since they are not automatic copied to the copies of the data objects become.

Darüber hinaus ist es, z.B. auf medizinischen Systemen in einer klinischen Umgebung oder auf Personal- oder Finanz-Verwaltungssystemen, vorteilhaft, bestimmte Funktionalitäten nicht nur auf bestimmte Nutzer einzuschränken, sondern eine zusätzliche Abhängigkeit von den bearbeiteten Daten einzuführen. So könnten beispielsweise in einer klinischen Umgebung sämtliche Zugriffsrechte auf Privatpatientendaten mit Ausnahme eines Leserechts ausschließlich für Chefärzte freigeschaltet werden, während auf die Daten aller anderen Patienten sämtliche Ärzte vollumfänglichen Zugriff hätten. Weiter Unterscheidungen könnten für Datenarten wie Laborberichte eingeführt werden, auf die grundsätzlich lediglich Labor-Assistenten Bearbeitungs-Zugriff haben müssen, während sonstiges Klinikpersonal lediglich Lesezugriff benötigt. Ähnliche Unterscheidungen werden auch in anderen Arbeitsumgebungen wie Banken oder Personalmanagement ebenfalls sinnvoll eingesetzt.In addition, e.g. on medical systems in a clinical setting or on personnel or financial management systems, advantageous, certain functionalities not only to certain Restrict users, but an additional one dependence of the processed data. For example, in a clinical environment all Access rights to private patient data with the exception of a read right exclusively unlocked for chief physicians be while on the data of all other patients all doctors fully Would have access. Further distinctions could be made for data types like laboratory reports introduced be on the principle only laboratory assistants Must have editing access while other clinic staff only need read access. Similar Distinctions are also made in other work environments such as banks or human resources management also used sensibly.

Üblicherweise bekommt ein Benutzer benutzerabhängig und eventuell system- oder domänenabhängig eine Kombination von „Create", „Read", „Update" und „Delete" Rechten, also Standard-Rechten zugeordnet. Funktionale Rechte, also „Execute" Recht bezeichnet, werden in Abhängigkeit vom Datentyp oder Dateninhalt ausschließlich innerhalb einer Applikation und von der Applikation selbst vergeben. Ein „Execute" Recht legt fest, ob eine bestimmte Funktionalität ausgeführt werden darf, wie z.B. eine Bildverarbeitungsmaßnahme, die Kommentierung eines Datensatzes, eine Befundung in einer elektronischen Patientenakte o.ä. Die benutzerabhängige Zuteilung von Standard-Rechten ist von der datenabhängigen Zuteilung von funktionalen „Execute" Rechten unabhängig. Die datenabhängige Zuteilung von „Execute" Rechten wiederum ist applikationsabhängig und kann daher unerwünschter Weise durch unterschiedliche Applikationen in unterschiedlichen Domänen unterschiedlich gehandhabt werden.Usually a user gets user-dependent and possibly one depending on the system or domain Combination of "Create", "Read", "Update" and "Delete" rights, ie standard rights assigned. Functional rights, ie "Execute" rights, are dependent of data type or data content only within an application and assigned by the application itself. An "Execute" right determines whether a certain functionality accomplished may be, such as an image processing measure, the commenting on a Data set, a diagnosis in an electronic patient record etc. The user-dependent Allocation of standard rights is based on data-dependent allocation independent of functional "Execute" rights data-dependent Allocation of "Execute" rights is application dependent and can therefore be more undesirable Way through different applications in different domains are handled differently.

Ein besonderes Problem herkömmlicher Mechanismen zur Zugriffskontrolle stellen Kopien von Datenobjekten, z.B. durch Versenden per E-Mail oder durch Übertragen auf Portable Speicherträger, dar, deren Vorliegen werder in Anzahl noch in Umfang kontrollierbar ist. Dadurch wird jegliche Möglichkeit zur nachträglichen, zentralen Änderung von Zugriffsrechten auf inhaltlich zusammengehörige oder übereinstimmende Kopien oder modifizierte Kopien unmöglich gemacht. Sie ist durch die herkömmlichen Kontrollmechanismen nicht an allen Datenobjekten vorzunehmen, da deren Anzahl und Aufenthaltsort nicht bekannt ist.A particular problem of conventional mechanisms for access control are copies of data objects, for example by sending them by e-mail or by transferring them to portable storage media, the number of which can still be checked in quantity. This eliminates any possibility of subsequent, central change of access rights to content-related or matching copies or modified copies made impossible. Due to the conventional control mechanisms, it cannot be carried out on all data objects, since their number and location are not known.

Die Aufgabe der Erfindung besteht darin, einen Verfahren und ein Datenverarbeitungssystem zur Vergabe von Zugriffsrechten auf zum Speichern von Informationen angelegte elektronische Datenobjekte anzugeben, die Änderungen der Zugriffsrechte für die Datenobjekte einschließlich aller Kopien davon von zentraler Stelle aus ermöglichen.The object of the invention is therein, a method and a data processing system for award of access rights to data storage Electronic data objects indicate the changes in access rights for the Data objects including enable all copies of it from a central location.

Die Erfindung löst diese Aufgabe durch ein Verfahren, durch ein Datenverarbeitungssystem sowie durch ein Speichermedium mit den jeweiligen Merkmalen der unabhängigen Patentansprüche.The invention solves this problem by Method, through a data processing system and through a storage medium with the respective features of the independent claims.

Ein Grundgedanke der Erfindung besteht darin, ein Verfahren zum Schutz eines zum Speichern von Informationen angelegten elektronischen Datenobjektes vor unberechtigtem Zugriff anzugeben, bei dem in einem ersten Schritt in Abhängigkeit von dem Inhalt des Datenobjekts eine elektronische Datenobjektkennung erzeugt wird, in einem weiteren Schritt in Abhängigkeit von der Datenobjektkennung ein Zugriffsrecht ermittelt wird, und in einem letzten Schritt in Abhängigkeit von dem Zugriffsrecht ein Zugriff auf das Datenobjekt zugelassen wird. Unter Datenobjekt soll dabei eine Datei ebenso wie ein Objekt aus mehreren Dateien oder eine Datei- oder Verzeichnisstruktur verstanden werden. Unter Zugriffsrecht sollen dabei sowohl Standard-Rechte als auch funktionale „Execute" Rechte verstanden werden. Die Standard-Rechte werden also durch frei definierbare Zugriffsrechte ergänzt.A basic idea of the invention is therein, a method of protecting one for storing information created electronic data object before unauthorized access specify, depending on which in a first step an electronic data object identifier is generated from the content of the data object in a further step depending on the data object identifier an access right is determined, and in a last step in dependence the access right allows access to the data object becomes. A file as well as an object should be under data object understood from multiple files or a file or directory structure become. Under access rights, both standard rights and also understood functional "execute" rights become. The standard rights are therefore freely definable Access rights added.

Ein wesentliches Element dieses Grundgedankens besteht darin, eine vom Inhalt des Datenobjekts abhängige elektronische Da tenobjektkennung zu verwenden. Dadurch können Zugriffsrechte aus dem Datenobjekt selbst heraus festgelegt werden. Der für die Festlegung der Zugriffsrechte relevante Inhalt des Datenobjekts wird beim Kopieren, da er ja zum Inhalt gehört, ebenfalls kopiert, also vererbt, so dass jede Kopie des Datenobjekts ebenfalls die zum Festlegen der Zugriffsrechte erforderlichen Informationen enthält. Die Zuordnungen zwischen Zugriffsrechten und Datenobjektkennungen, auf deren Basis Zugriffsrechte zugelassen werden, können z.B. tabellarisch an zentraler Stelle abgelegt und verändert werden, so dass Änderungen an diesen Zuordnungen automatisch für sämtliche Kopien eines Datenobjekts gültig werden. Damit können Zugriffsrechte unabhängig von und sogar ohne Kenntnis von Anzahl und Aufenthaltsort von Kopien jederzeit von zentraler Stelle aus verändert werden. Die Zugriffsrechte umfassen dabei sämtliche für das Datenobjekt geltende Standard-Rechte und „Execute" Rechte.An essential element of this basic idea consists of an electronic depending on the content of the data object Data object identifier to be used. This allows access rights from the Data object itself can be determined. The one for fixing the content of the data object relevant to access rights is copied, since it belongs to the content, also copied, ie inherited, so that every copy of the data object also the information required to set access rights contains. The assignments between access rights and data object identifiers, on the basis of which access rights are permitted, e.g. stored and changed in a central location in a table, so changes at these assignments automatically for all copies of a data object valid become. So that can Access rights independent of and even without knowing the number and location of copies can be changed at any time from a central location. The access rights include all for the Standard rights valid for data objects and "Execute" rights.

Ein weiterer Grundgedanke der Erfindung besteht darin, ein Datenverarbeitungssystem anzugeben, das eine Datenverarbeitungseinrichtung aufweist, durch die auf ein zum Speichern von Informationen angelegtes elektronisches Datenobjekt zugegriffen werden kann, und ein Zugriffsteuerungs-Modul, durch das eine elektronische Datenobjektkennung in Abhängigkeit von dem Inhalt des Datenobjekts erzeugbar ist, und durch das in Abhängigkeit von der Datenobjektkennung ein Zugriffsrecht ermittelbar ist, und durch das in Abhängigkeit von dem Zugriffsrecht ein Zugriff auf das elektronische Datenobjekt zugelassen werden kann. Das Zugriffsteuerungs-Modul ermöglicht es, in Abhängigkeit von Informationen, die in dem Datenobjekt enthalten sind, Zugriffsrechte für das Datenobjekt zu vergeben. Da der Inhalt des Datenobjekts beim Erzeugen von Kopien mitkopiert wird, kann die Vergabe von Zugriffsrechten damit einheitlich für das Datenobjekt sowie sämtliche Kopien davon von zentraler Stelle aus und unabhängig vom Aufenthaltsort eventueller Kopien erfolgen. Unter Zugriffsrechten sollen dabei sämtliche für das Datenobjekt geltende Standard-Rechte und „Execute" Rechte verstanden werden.Another basic idea of the invention consists in specifying a data processing system that a Has data processing device through which to save Accessed electronic data object created by information and an access control module through which an electronic Data object identifier depending can be generated by the content of the data object, and by the in dependence an access right can be determined from the data object identifier, and through that depending the right of access to access the electronic data object can be approved. The access control module enables dependent on access rights of information contained in the data object for the Allocate data object. Because the content of the data object when it was created copying copies, the granting of access rights thus uniform for the data object and all copies possibly from a central location and regardless of where you are Copies are made. All should be under access rights for the Standard rights valid for data object and "Execute" rights understood become.

In einer vorteilhaften Ausgestaltung der Erfindung wird die Datenobjektkennung unter Verwendung von in dem Datenobjekt gespeicherten Informationen automatisch erzeugt. Zum Beispiel kann die Datenobjektkennung unter Verwendung eines gespeicherten Personennamens sowie Geburtsdatums sowie des Inhaltstyps, etwa Bild oder Text, zusammengesetzt werden. Dies gestattet die Erzeugung Datenobjektkennungen, die Informationen zum Inhalt der Datenobjekte in sich tragen, so dass die Datenobjekte anhand der Datenobjektkennung systematisch klassifiziert und eingeordnet werden könnten. Derartige Datenkennungen können folgerichtig auch zur systematischen Vergabe von Zugriffsrechten für Klassen von Datenobjekten genutzt werden, wenn z.B. identische Zugriffsrechte für sämtliche Datenobjekte einer bestimmten inhaltlichen Relevanz, z.B. für sämtliche Laborberichte, Studienergebnisse, diagnostische Befunde oder Rechnungsdaten, vergeben werden sollen.In an advantageous embodiment the invention is the data object identifier using in information stored in the data object is generated automatically. For example, the data object identifier can be created using a stored personal name and date of birth as well as the content type, such as image or text. This allows the Generation of data object identifiers that contain information about the content of the Carry data objects in them so that the data objects based on the Data object identifier can be systematically classified and classified could. Such data identifiers can be logical also for the systematic assignment of access rights for classes used by data objects, e.g. if identical access rights for everyone Data objects of a certain relevance, e.g. for everyone Laboratory reports, study results, diagnostic findings or invoice data, to be awarded.

In einer weiteren vorteilhaften Ausgestaltung der Erfindung wird eine elektronische Kennung als solche in dem Datenobjekt gespeichert. Dann genügt es, die Datenobjektkennung als Kopie der Kennung in dem Datenobjekt zu erzeugen. Mit anderen Worten muss die Datenobjektkennung dann lediglich aus dem Datenobjekt ausgelesen werden. Die Erzeugung der Datenobjektkennung als unmittelbare Kopie einer in dem Datenobjekt enthaltenen Kennung reduziert auch die Möglichkeiten zur Manipulation, da keine manipulierbaren Schritte zur mittelbaren, indirekten Erzeugung der Datenobjektkennung in Abhängigkeit vom Inhalt des Datenobjekts, z.B, ein Zusammensetzen der Datenobjektkennung aus einem gespeicherten Personennamen und Geburtsdatum, verwendet werden.In a further advantageous embodiment The invention provides an electronic identifier as such in the Data object saved. Then it is sufficient to enter the data object identifier to generate as a copy of the identifier in the data object. With others The data object identifier then only needs to be words from the data object be read out. The generation of the data object identifier as immediate Copy of an identifier contained in the data object also reduces the possibilities for manipulation, since there are no manipulable steps for indirect, indirect generation of the data object identifier depending the content of the data object, e.g. a composition of the data object identifier from a saved personal name and date of birth become.

Eine weitere vorteilhafte Ausgestaltung der Erfindung besteht darin, das Verfahren auf einem Datenverarbeitungssystem auszuführen, das ein Zugriffsrecht-Modul aufweist, durch das Da ten bezüglich einer gegenseitigen Zuordnung von Nutzerkennungen und Zugriffsrechten speicherbar sind, wobei das Zugriffsteuerungs-Modul des Datenverarbeitungssystems ein Zugriffsrecht in Abhängigkeit von einem Zugreifen auf das Zugriffsrecht-Modul ermittelt. Unter Modul wird dabei jegliche Art von elektronischem Service verstanden, z.B. ein Server, eine elektronische Bibliothek oder ein auf einem Rechner laufender Prozess. Dadurch ergibt sich eine modulare Anordnung des Zugriffsrechts-Moduls innerhalb des Datenverarbeitungssystems, die deren zentrale Positionierung an flexibler Stelle ermöglicht. Dadurch können Änderungen der Vergabe von Zugriffsrechten von zentraler Stelle aus vorgenommen werden. Durch das Zugriffsrecht-Modul, das sogenannte Central Token Repository Modul, werden Zugriffsrecht-Kategorien definiert, innerhalb derer bestimmten Nutzerkennungen bestimmte Zugriffsrechte, wie Lese-, Schreib, Lösch-, Kopie- oder funktionale Rechte, zugeordnet werden. Die Nutzerkennungen umfassen dabei sowohl individuelle als auch Gruppen-Nutzerkennungen.Another advantageous embodiment of the invention consists in the method on a data Execute processing system that has an access right module, through which data relating to a mutual assignment of user IDs and access rights can be stored, the access control module of the data processing system determining an access right depending on access to the access right module. Module is understood to mean any kind of electronic service, for example a server, an electronic library or a process running on a computer. This results in a modular arrangement of the access rights module within the data processing system, which enables its central positioning at a flexible location. This means that changes to the assignment of access rights can be made from a central location. The access right module, the so-called Central Token Repository Module, defines access right categories within which certain user IDs are assigned certain access rights, such as read, write, delete, copy or functional rights. The user IDs include both individual and group user IDs.

Eine weitere vorteilhafte Ausgestaltung der Erfindung besteht darin, dass das Datenverarbeitungssystem ein Datenobjekt-Kategorie-Modul aufweist, durch das Daten bezüglich einer gegenseitigen Zuordnung von Datenobjektkennungen und Zugriffsrecht-Kategorien speicherbar sind und auf das das Zugriffsteuerungs-Modul Zugriff hat, wobei durch das Zugriffsteuerungs-Modul das Zugriffsrecht in Abhängigkeit von einem Zugreifen auf das Datenobjekt-Kategorie-Modul ermittelt wird. Unter Modul soll dabei, wie oben auch, jeglicher elektronische Service verstanden werden, z.B. ein Server, eine elektronische Bibliothek oder ein auf einem Rechner laufender Prozess. Das Datenobjekt-Kategorie-Modul erlaubt das Festlegen und ändern der Zuordnung zwischen Datenobjektkennung und Zugriffsrecht-Kategorie. Durch Änderungen innerhalb des Datenobjekt-Kategorie-Moduls können von zentraler Stelle aus Datenobjektkennungen anderen Zugriffsrecht-Kategorien zugeordnet und dadurch die Datenzugriffsrechte verändert werden.Another advantageous embodiment The invention is that the data processing system Data object category module through which data regarding a mutual assignment of data object identifiers and access right categories are storable and to which the access control module access has, with the access control module in the right of access dependence determined by accessing the data object category module becomes. Under module, as above, any electronic Service, e.g. a server, an electronic library or a process running on a computer. The data object category module allows setting and changing the assignment between data object identifier and access right category. Through changes within the data object category module from a central location Data object IDs assigned to other access right categories and thereby the data access rights are changed.

Die Erfindung weist den Vorteil auf, dass alle Datenobjekte und sämtliche Kopien davon in konsistenter Weise geschützt werden. Das heißt, ein Nutzer hat identische Zugriffsrechte auf jedes Datenobjekt und jede Kopie davon und unabhängig vom Zugriffsort sowie vom Speicherort des Datenobjekts, soweit er sich innerhalb des Datenverarbeitungssystems befindet. Dieses Datenverarbeitungssystem kann ein Netzwerk von mehreren Maschinen mit flexiblen Zugriffsmöglichkeiten sein. Durch geeignete Einrichtung der Zugriffsrechte kann zudem sichergestellt werden, das Datenobjekte diese Sicherheitsdomäne nicht verlassen können.The invention has the advantage that all data objects and all Copies of it are protected in a consistent manner. That is, a User has identical access rights to every data object and every copy of it and independently from the access location and from the storage location of the data object, insofar as it is located within the data processing system. This data processing system can be a network of several machines with flexible access options his. By appropriately setting up the access rights can also ensure that data objects do not use this security domain being able to leave.

Die Erfindung weist den weiteren Vorteil auf, dass die Zugriffsrechte eines Nutzers auf ein Datenobjekt unabhängig von dem Datenobjekt selbst ermittelt werden können. Es genügt statt dessen, die Datenobjektkennung zu kennen. Dies ist ohne weiteres möglich, falls die Datenobjektkennung systematisch aus dem Inhalt des Datenobjekts oder weiteren, das Datenobjekt betreffenden Informationen erzeugt wird. Zur Ermittlung der Zugriffsrechte für das betreffende Datenobjekt genügt es dann, die systematischen Informationen zu kennen, z.B. Patientenquadrupel und gegewärtige Station in einem definierten Workflow. So können die Zugriffsrechte für Datenobjekte, die bestimmten systematischen Kategorien zuordenbar sind, unabhängig von deren Aufenthaltsort ermittelt werden.The invention has the further Advantage on that the access rights of a user to a data object independent of the data object itself can be determined. It is enough instead of knowing the data object identifier. This is straightforward possible, if the data object identifier is systematic from the content of the data object or generates further information relating to the data object becomes. To determine the access rights for the relevant data object enough then know the systematic information, e.g. Patients quadruples and current Station in a defined workflow. So the access rights for data objects, the specific systematic categories can be assigned, regardless of their whereabouts are determined.

Ein weiterer Vorteil der Erfindung besteht darin, dass Datenobjekte innerhalb der Sicherheitsdomäne unabhängig von einem Datentransport-Protokoll oder Betriebssystem transportiert werden können. Es genügt, lediglich die Integrität eines Datenobjekts während des Transports aufrechtzuerhalten, so dass die zur Ermittlung von Zugriffsrechten erforderliche Datenobjektkennung auch aus Kopien des Datenobjekts erzeugt werden kann.Another advantage of the invention is that data objects within the security domain are independent of a data transport protocol or operating system can be. It is enough, just the integrity of a data object during of the transport, so that the determination of Access rights required data object identifier also from copies of the data object can be generated.

Das Aufrechterhalten der Informationen zur Erzeugung der Datenobjektkennung ermöglicht vorteilhafterweise auch das kontrollierte Transportieren des Datenobjektes von einer Sicherheits-Domäne in eine andere Sicherheits-Domäne. Dadurch können automatisch Änderungen der Zugriffsrechte erreicht werden, ohne dass am Inhalt des Datenobjektes etwas geändert werden müsste. Diese Nutzung verschiedener Sicherheits-Domänen kann insbesondere in Workflow-Systemen genutzt werden, wo Datenobjekte z.B. von einer Abteilung in eine andere transportiert werden. So ist es etwa in einer klinischen Umgebung möglich, unterschiedliche Zugriffsrechte für die Patientenaufnahme, für die Radiologie und für die Therapie zu vergeben, indem jede dieser Arbeitsablauf-Stufen durch eine eigene Sicherheits-Domäne repräsentiert wird. Zu diesem Zweck sind in unterschiedlichen Sicherheitsdomänen unterschiedliche Zugriffsrechte und Datenobjekt-Kategorien vorgesehen. Dadurch ergeben sich in vorbestimmter Weise domänen-abhängig unterschiedliche Zugriffsrechte. Gegebenenfalls können darüber hinaus auch unterschiedliche Nutzergruppen vorgesehen sein, um insbesondere unterschiedliche Gruppenzugehörigkeiten abbilden zu können.Maintaining the information for generating the data object identifier advantageously also enables the controlled transport of the data object from a security domain to a other security domain. This allows automatically changes of access rights can be achieved without affecting the content of the data object something changed should be. This use of different security domains can be used especially in workflow systems where data objects e.g. be transported from one department to another. So For example, in a clinical environment it is possible to have different access rights for the Patient admission, for radiology and for to forgive the therapy by each of these workflow stages is represented by its own security domain. To this end are different access rights in different security domains and data object categories are provided. This results in predetermined Different depending on the domain Access rights. If necessary, you can about that In addition, different user groups can also be provided, in particular different group affiliations to be able to map.

Ein besonderer Vorteil der Erfindung ergibt sich daraus, dass die Datenobjektkennung in Abhängigkeit vom in einem Datenobjekt gespeicherten Inhalt erzeugt werden kann. Dadurch können auch die Zugriffsrechte inhaltsabhängig gestaltet werden.A particular advantage of the invention this means that the data object identifier depends on the content stored in a data object can be generated. Thereby can the access rights are also designed depending on the content.

Werden die Datenobjekte Änderungen unterworfen, die sich beispielsweise beim Abarbeiten einer Aufgabe und Speichern entsprechender Informationen in einem Datenobjekt ergeben können, können sich im Anschluss daran geänderte Zugriffsrechte ergeben. Zum Beispiel könnte ein Datenobjekt nach Zufügen vertraulicher Informationen zur Person automatisch für eine bestimmte Klasse von Personen Zugriffs-gesperrt werden.The data objects will change subject, for example, when processing a task and storing corresponding information in a data object can result can subsequently changed Access rights result. For example, a data object could become more confidential after adding it Personal information automatically for a specific class of Access-blocked people.

Weitere vorteilhafte Ausgestaltungen der Erfindung sind Gegenstand der abhängigen Patentansprüche.Further advantageous configurations the invention are the subject of the dependent claims.

Nachfolgend werden Ausführungsbeispiele der Erfindung anhand von Figuren näher erläutert. Es zeigen:The following are exemplary embodiments the invention explained in more detail with reference to figures. Show it:

1 Datenverarbeitungssystem zur Ausführung der Erfindung, 1 Data processing system for carrying out the invention,

2 schematische Darstellung logischer Ebenen innerhalb des Datenverarbeitungssystems, und 2 schematic representation of logical levels within the data processing system, and

3 Verfahrensschritte der Erfindung. 3 Process steps of the invention.

In 1 ist ein Datenverarbeitungssystem zur Ausführung der Erfindung dargestellt. Es weist eine Datenverarbeitungseinrichtung 1 mit einem Bildschirm 3 und einer Tastatur 5 auf, durch die auf elektronische Datenobjekte zugegriffen werden kann. Die zugreifbaren Datenobjekte befinden sich in einem Anwendungsspeicher 9. Zugriffe auf Datenobjekte in dem Anwendungsspeicher 9 werden durch das Zugriffsteuerungs-Modul 7 kontrolliert.In 1 A data processing system for carrying out the invention is shown. It has a data processing device 1 with a screen 3 and a keyboard 5 through which electronic data objects can be accessed. The accessible data objects are located in an application memory 9 , Access to data objects in the application memory 9 through the access control module 7 controlled.

Das Zugriffsteuerungs-Modul 7 arbeitet unabhängig von Zugriffs-Kontrollmechanismen des Betriebssystems wie z.B. einer nutzerabhängigen, dateispezifischen ACL. In einer vorteilhaften Ausgestaltung ist es als zusätzliche Programmebene, als Data-Access-Layer, konzipiert und kann als modularer Hardware-Baustein an den Datenbus der Datenverarbeitungseinrichtung 1 angeschlossen sein. Seine Realisierung ist jedoch auch ausschließlich auf Software-Ebene möglich innerhalb der Datenverarbeitungseinrichtung 1 möglich. Das Zugriffsteuerungs-Modul 7 kontrolliert sämtliche Datenzugriffe, z.B. Löschen, Kopieren, Erzeugen, Editieren oder ausführen von Funktionalitäten, auf diejenigen Datenobjekte, die seiner Kontrolle unterworfen sind, d.h. auf sämtliche Datenobjekte innerhalb der Sicherheits-Domäne. Daneben ist es selbstverständlich möglich, dass in dem Datenspeicher 9 bzw. durch die Datenverarbeitungseinrichtung 1 auch anderer Datenobjekte, z.B. Anwendungsprogramme oder öffentliche, nicht vertrauliche Datenobjekte, unabhängig von dem Zugriffsteuerungs-Modul 7, also außerhalb der Sicherheitsdomäne, gespeichert werden.The access control module 7 works independently of access control mechanisms of the operating system such as a user-dependent, file-specific ACL. In an advantageous embodiment, it is designed as an additional program level, as a data access layer, and can be connected to the data bus of the data processing device as a modular hardware module 1 be connected. However, it can also be implemented exclusively at the software level within the data processing device 1 possible. The access control module 7 controls all data access, such as deleting, copying, creating, editing or executing functionalities, on those data objects that are subject to its control, ie on all data objects within the security domain. In addition, it is of course possible that in the data storage 9 or by the data processing device 1 also other data objects, for example application programs or public, non-confidential data objects, regardless of the access control module 7 outside of the security domain.

Beim Starten des Betriebssystems der Datenverarbeitungseinrichtung 1 ist normalerweise eine Nutzer-Anmeldung erforderlich, bei der sich ein Nutzer identifizieren und für Datenzugriffe authentifizieren muss. Die Authentifizierung beinhaltet sowohl die Identifizierung eines Nutzers als auch die Autorisierung des Nutzers für Datenzugriffe. Zur Identifikation des Nutzers ist eine Sicherheitsabfrage vorgesehen, bei der z.B. über die Tastatur 5 eine Nutzerkennung und ein Passwort eingegeben werden muss. In diesem Sinne können jegliche Eingabemittel als Identifikationsmittel 6 aufgefasst werden. In einer besonders vorteilhaften Ausführungsform führt ein Identifikationsmittel 6 eine automatische Abfrage, z.B. einer Chipkarte, des Fingerabdrucks oder der Gestalt der Iris, durch, die die eindeutige Identifikation eines Nutzers erlaubt. Die Zugriffskontrolle durch das Zugriffsteuerungs-Modul 7 erfolgt zwar unabhängig von einer Nutzeranmeldung am Betriebssystem, ist jedoch auch auf eine Identifikation des Nutzers angewiesen. Hierfür kann sie dasselbe Identifikationsverfahren über Tastatur 5 oder Identifikationsmittel 6 nutzen.When starting the operating system of the data processing device 1 a user login is usually required, in which a user must identify himself and authenticate for data access. Authentication includes both the identification of a user and the authorization of the user for data access. A security query is provided to identify the user, for example using the keyboard 5 a user ID and a password must be entered. In this sense, any input means can be used as identification means 6 be understood. In a particularly advantageous embodiment, an identification means leads 6 an automatic query, for example a chip card, the fingerprint or the shape of the iris, which allows the unique identification of a user. Access control by the access control module 7 occurs regardless of a user logging on to the operating system, but is also dependent on an identification of the user. To do this, it can use the same identification method using the keyboard 5 or means of identification 6 use.

Ein wesentliches Element der Erfindung besteht darin, dass für jedes elektronische Datenobjekt, das unter Zugriff des Zugriffsteuerungs-Moduls 7 gespeichert wird, eine eindeutige Datenobjektkennung erzeugt werden kann. Diese kann entweder als solche in dem Datenobjekt gespeichert sein, oder sie kann automatisch aus dem Inhalt des Datenobjekts erzeugt werden. Zum Beispiel kann es sich um die in DICOM-Datenobjekten vorkommende DICOM-UID handeln. Das Zugriffsteuerungs-Modul 7 dient sowohl dem Erzeugen von Kennungen, die dann in einem Datenobjekt gespeichert werden, als auch dem Erzeugen, oder anders gesagt extrahieren, von Datenobjektkennungen aus dem Inhalt von Datenobjekten.An essential element of the invention is that for each electronic data object that is accessed by the access control module 7 is saved, a unique data object identifier can be generated. This can either be stored as such in the data object, or it can be generated automatically from the content of the data object. For example, it can be the DICOM UID that occurs in DICOM data objects. The access control module 7 is used both to generate identifiers, which are then stored in a data object, and to generate, or in other words extract, data object identifiers from the content of data objects.

Die Datenobjektkennung kann systematisch aufgebaut sein, um strukturelle Zusammenhänge wie Arbeitsgruppen, Forschungsteams, personelle Hierarchien, personenbezogene Inhalte oder inhaltliche Zuordnungen zu Sachgebieten oder Studien in der Systematik der Zugriffsrechte abbilden zu können. Zum Beispiel kann die Datenobjektkennung bei elektronischen Patientenakten ein den Patienten identifizierendes Quadrupel aus Patientenname, Geschlecht, Geburtsdatum und Krankenhaus-Kennung beinhalten. Dieses Patienten-Quadrupel ist im allgemeinen ausreichend zur eindeutigen Identifikation eines Patienten. Weiter kann die Datenobjektkennung die Zugehörigkeit der Akte zu klinischen Studien wiederspiegeln, zu Serien von diagnostischen Befunden oder Aufnahmen über einen längeren Zeitraum oder zu bestimmten diagnostischen Bildtypen wie Röntgenaufnahme oder Ultraschallaufnahme. Diese strukturellen Informationen können bei der Vergabe von Zugriffsrechten derart berücksichtigt werden, dass individuell verschiedene Zugriffsrechte z.B. für den behandelnden Arzt, für Studienbetreuer, für Fachleute der Radiologie oder für das Rechnungswesen zugewiesen werden. Unter Ausnutzung dieser Systematik kann für jedes elektronische Datenobjekt unabhängig vom jeweiligen Arbeitsumfeld eine eindeutige Datenobjektkennung zugeordnet werden.The data object identifier can be systematic be structured to include structural relationships such as working groups, research teams, Personnel hierarchies, personal content or content Assignments to subject areas or studies in the system of access rights to be able to map. For example, the data object identifier in electronic patient records a quadruple identifying the patient from the patient name, Include gender, date of birth and hospital ID. This patient quadruple is generally sufficient to uniquely identify one Patients. The data object identifier can also be a membership of the files reflect clinical trials, series of diagnostic Findings or recordings about a longer one Period or specific diagnostic image types such as x-rays or ultrasound. This structural information can be found at the granting of access rights are taken into account in such a way that individual different access rights e.g. for the treating doctor, for study supervisors, for professionals of radiology or for accounting will be assigned. Using this system can for every electronic data object independent of the respective work environment a unique data object identifier can be assigned.

Zur Zuordnung von Zugriffsrechten unter Ausnutzung der beschriebenen systematischen Datenobjektkennung benötigt das Zugriffsteuerungs-Modul 7 Informationen über den zugreifenden Nutzer, dessen Gruppenzugehörigkeit, und über die Zuordnung von Datenobjekttypen zu bestimmten Zugriffsrecht-Kategorien. Diese Informationen sind jeweils eigens abgelegt und modular innerhalb des Datenverarbeitungssystem zugreifbar.The access control module requires the assignment of access rights using the systematic data object identifier described 7 Information about the accessing user, their group membership, and the assignment of data object types to certain access right categories. This information is stored separately and can be accessed modularly within the data processing system.

In einer bevorzugten Ausführungsform weist das System ein Zugriffsrecht-Modul 11 auf, z.B. einen Server, eine Bibliothek oder einen auf einem Rechner laufenden Prozess, das Zugriff auf einen Zugriffsrecht-Speicher 13 hat, sowie ein Nutzergruppen-Modul 15, das ebenfalls z.B. ein Server, eine Bibliothek oder ein auf einem Rechner laufender Prozess sein kann, mit Zugriff auf einen Nutzergruppen-Speicher 17. Im Zugriffsrecht-Speicher 13 sind Informationen zur Zuordnung von Nutzerkennungen zu Zugriffsrecht-Kategorien abgelegt. Die Zugriffsrecht-Kategorien beschreiben jeweils, welcher Nutzer bzw. Nutzergruppe in welchen Umfang für Zugriffsrechte zugelassen wird. Zum Beispiel kann eine Zugriffsrecht-Kategorie wie folgt definiert sein:

– Nutzer A hat keinen Zugriff
– Nutzer B hat Read-only-Zugriff
– Gruppe C hat vollen Zugriff
– Gruppe D kann Funktionalitäten 1 und 2 ausführen
– Gruppe E kann Funktionalität 2 ausführen

In a preferred embodiment, the system has an access right module 11 on, e.g. one Server, library or process running on a computer, access to an access right memory 13 has, as well as a user group module 15 , which can also be a server, a library or a process running on a computer with access to a user group memory 17 , In the access right memory 13 information about the assignment of user IDs to access right categories is stored. The access right categories describe which user or user group is permitted and to what extent for access rights. For example, an access right category can be defined as follows:

- User A has no access
- User B has read-only access
- Group C has full access
- Group D can carry out functionalities 1 and 2
- Group E can perform functionality 2

Die möglichen Zugriffsrechte umfassen z.B. das Erzeugen von Datenobjekten, das Erzeugen von Kopien bzw. Vererben von Informationen aus Datenobjekten, das Lesen, Verändern und Löschen von Informationen, die in Datenobjekten gespeichert sind, das Ändern von Zugriffsrechten innerhalb der jeweiligen Zugriffsrecht-Kategorie und das Ausführen bestimmter Funktionalitäten, soweit sie auf einem Arbeitsplatz grundsätzlich zur Ausführung zur Verfügung stehen.The possible access rights include e.g. the creation of data objects, the creation of copies or Inheriting information from data objects, reading, changing and Clear of information stored in data objects, changing Access rights within the respective access right category and running certain functionalities, insofar as they are generally used for execution at a work station disposal stand.

Im Nutzergruppen-Speicher 17 sind Informationen gespeichert, die in Abhängigkeit von den zuvor ermittelten Informationen zur Identifizierung und Authentifizierung des Nutzer die Zuordnung einer Nutzeridentität bzw. einer Nutzergruppe ermöglichen. Die Nutzeridentität bzw. Nutzergruppe wird durch eine individuelle, elektronische Nutzerkennung repräsentiert, die eine eindeutige Identifikation innerhalb des Datenverarbeitungssystems ermöglicht. Die Gruppenzugehörigkeit kann z.B. die Zugehörigkeit zu Arbeitsgruppen, zu einer Funktion wie diensthabender Oberarzt, zu einer hierarchischen Einstufung wie Klinikdirektor, zu einer fachlichen Ausrichtung wie Radiologe oder zu einer Abteilungszugehörigkeit wie Personalabteilung oder Rechnungswesen wiederspiegeln.In the user group memory 17 Information is stored which, depending on the previously determined information for the identification and authentication of the user, enables the assignment of a user identity or a user group. The user identity or user group is represented by an individual, electronic user identification, which enables clear identification within the data processing system. Group membership can reflect, for example, membership in work groups, a function such as a senior physician on duty, a hierarchical classification such as a clinic director, a specialist focus such as a radiologist, or a departmental affiliation such as human resources or accounting.

Die Nutzeridentität und die Gruppenzugehörigkeit erlauben es, die für die Bestimmung von Zugriffsrechten relevanten Strukturen des Arbeitsumfeldes vollständig abzubilden. Die Zuordnung eines Nutzers zu Identitäten und Gruppen kann im Nutzergruppen-Speicher 17 zentral verändert werden und wird damit für jeglichen Datenzugriff des jeweiligen Nutzers im gesamten System wirksam, unabhängig davon, zu welchem Zeitpunkt oder an welchem Ort der Nutzer auf Daten zugreifen will.The user identity and the group membership allow the structures of the work environment relevant for the determination of access rights to be completely mapped. A user can be assigned to identities and groups in the user group memory 17 are changed centrally and thus becomes effective for all data access of the respective user in the entire system, regardless of the point in time or the location at which the user wants to access data.

Das Zugriffsteuerungs-Modul 7 ordnet elektronische Datenobjekte anhand der elektronischen Datenobjektkennung den Zugriffsrecht-Kategorien im Zugriffsrecht-Speicher 13 zu. Anhand der elektronischen Nutzerkennung werden zugreifende Nutzer aufgrund eines Zugriffs auf das Zugriffsrecht-Modul 11 ebenfalls Zugriffsrecht-Kategorien zugeordnet. Durch diese beiden Zuordnungen kann ermittelt werden, welches Zugriffsrecht für welchen Nutzer bei Zugriff auf ein bestimmtes Datenobjekt zugelassen wird.The access control module 7 assigns electronic data objects to the access right categories in the access right memory based on the electronic data object identifier 13 to. Using the electronic user identification, accessing users are based on access to the access rights module 11 also assigned access rights categories. These two assignments can be used to determine which access right is permitted for which user when accessing a specific data object.

Durch Änderungen innerhalb des Zugriffsrecht-Moduls 11 bzw. innerhalb des Nutzergruppen-Moduls 15 kann die Zulassung von Zugriffsrechten von zentraler Stelle aus für alle Datenobjekte, aus denen eine bestimmte Datenobjektkennung erzeugt wird, unabhängig vom Aufenthaltsort dieser Datenobjekte verändert werden. Änderungen dieser Zuordnungen werden automatisch auch für jede Kopie dieser Datenobjekte wirksam, da der Teil ihres Inhalts, aus dem die Datenobjektkennung erzeugt wird, beim Kopieren unverändert bleibt.Through changes within the access rights module 11 or within the user group module 15 the authorization of access rights can be changed from a central point for all data objects from which a specific data object identifier is generated, regardless of the location of these data objects. Changes to these assignments automatically take effect for every copy of these data objects, since the part of their content from which the data object identifier is generated remains unchanged when copied.

In einer weiteren bevorzugten Ausführungsform weist das System ein Zugriffsrecht-Modul 11, ein Nutzergruppen-Modul 15 und zusätzlich ein Datenobjekt-Kategorie-Modul 12 auf, das ebenfalls z.B. ein Server, eine Bibliothek oder ein auf einem Rechner laufender Prozess sein kann. Das Datenobjekt-Kategorie-Modul 12 hat Zugriff auf einen Datenobjekt-Kategorie-Speicher 14, in dem Informationen zur Zuordnung von Datenobjektkennungen und Zugriffsrecht-Kategorien gespeichert sind und verändert werden können.In a further preferred embodiment, the system has an access right module 11 , a user group module 15 and also a data object category module 12 which can also be, for example, a server, a library or a process running on a computer. The data object category module 12 has access to a data object category memory 14 , in which information for the assignment of data object identifiers and access right categories is stored and can be changed.

Im Vergleich zu der vorangehend beschriebenen ist diese Ausführungsform stärker modularisiert. Das Nutzergruppen-Modul 15 stellt, wie oben beschrieben, Informationen zur Ermittlung einer elektronischen Nutzerkennung zur Verfügung, und das Zugriffsrecht-Modul 11 stellt nach wie vor Informationen zur Zuordnung von Nutzerkennungen zu Zugriffsrecht-Kategorien zur Verfügung. Das Datenobjekt-Kategorie-Modul 12 stellt in Ergänzung dazu Informationen zur Verfügung, die die Zuordnung von Datenobjektkennungen zu Zugriffsrecht-Kategorien ermöglichen. Durch das Datenobjekt-Kategorie-Modul 12 kann als für jedes Datenobjekt vorgegeben und verändert werden, welcher Zugriffsrecht-Kategorie es zugeordnet ist.This embodiment is more modular than the one described above. The user group module 15 provides, as described above, information for determining an electronic user identification and the access right module 11 still provides information on the assignment of user IDs to access right categories. The data object category module 12 also provides information that enables the assignment of data object identifiers to access right categories. Through the data object category module 12 can be specified and changed for each data object, to which access right category it is assigned.

In jeder Zugriffsrecht-Kategorie haben dann die dieser Zugriffsrecht-Kategorie zugeordneten Nutzer und Nutzergruppen die darin vorgegebenen Zugriffsrechte. Durch Änderung einer Zuordnung im Datenobjekt-Kategorie-Modul 12 können die Zugriffsrechte für ein Datenobjekt also z.B. in Anpassung an das Durchlaufen eines vorgegebenen Workflow geändert werden, in dem nacheinander unterschiedliche Nutzer oder Nutzergruppen Zugriff auf das Datenobjekt haben sollen. Im klinischen Arbeitsumfeld könnten diese Stationen z.B. die Aufnahme des Patienten in die Klinik, die Eingangs-Diagnose, die anschließende Untersuchung mittels bildgebender Verfahren der Radiologie, die Therapie und die abschließende Diagnose sein, in denen jeweils unterschiedliche Nutzergruppen, z.B. medizinisch-technische Assistenten, Radiologen und Therapeuten, mit den Patientendatenobjekten arbeiten.In each access right category, the users and user groups assigned to this access right category then have the access rights specified therein. By changing an assignment in the data object category module 12 For example, the access rights for a data object can be changed in order to adapt to the execution of a given workflow in which different users or user groups should have access to the data object in succession. In the clinical work environment, these stations could be, for example, the admission of the patient to the clinic, the initial diagnosis, the subsequent examination using radiological imaging methods, the therapy and the final diagnosis, in each of which because different user groups, such as medical technicians, radiologists and therapists, work with the patient data objects.

Wann immer ein Datenzugriff innerhalb des Datenverarbeitungssystems, also innerhalb der Sicherheitsdomäne, erfolgen soll, wird durch das Zugriffsteuerungs-Modul 7 zunächst die Datenobjektkennung des zuzugreifenden Datenobjekts erzeugt. Durch Zugriff auf das Nutzergruppen-Modul 15 ermittelt das Zugriffsteuerungs-Modul 7 eine Nutzerkennung und anhand der Nutzerkennung durch Zugriff auf das Zugriffsrecht-Modul 11 eine Zugriffsrecht-Kategorie. Durch Zugriff auf das Datenobjekt-Kategorie-Modul 12 ermittelt es anhand der zuvor erzeugten Datenobjektkennung, welcher Zugriffsrecht-Kategorie das Datenobjekt angehört. Damit sind über die Zuordnung von Datenobjektkennung und Nutzerkennung alle Informationen ermittelt worden, um den Nutzer für bestimmte Zugriffsrechte auf dieses Datenobjekt zulassen zu können.Whenever data is to be accessed within the data processing system, that is to say within the security domain, is performed by the access control module 7 first the data object identifier of the data object to be accessed is generated. By accessing the user group module 15 determines the access control module 7 a user ID and based on the user ID by accessing the access right module 11 an access right category. By accessing the data object category module 12 it determines which access right category the data object belongs to based on the previously generated data object identifier. This means that all information has been determined via the assignment of data object identifier and user identifier in order to be able to allow the user for certain access rights to this data object.

Die Funktionsweise des Zugriffsteuerungs-Moduls 7 kann auch für Datenzugriffe aufrechterhalten werden, die von entfernt angeordneten Arbeitsplätzen erfolgen. Zum Beispiel kann über eine Datenfernverbindung 19, etwa eine Modemverbindung oder eine Mobilfunkverbindung, eine mobile Datenverarbeitungseinrichtung 21, etwa ein PDA oder ein Notebook, auf Datenobjekte des Systems zugreifen. Dies kann z.B. bei einem Heimarbeitsplatz oder innerhalb eines Arbeitsumfeldes wie einer Klinik bei Mobilgeräten der Fall sein.How the access control module works 7 can also be maintained for data access from remote workstations. For example, via a remote data connection 19 , such as a modem connection or a cellular connection, a mobile data processing device 21 , such as a PDA or a notebook, access data objects of the system. This can be the case, for example, in a home office or within a work environment such as a clinic with mobile devices.

Der vorangehend beschriebene Aufbau des Datenverarbeitungssystems kann in seiner Modularität verändert werden, ohne die Funktionsweise des Zugriffsteuerungs-Moduls 7 zu verändern. Zum Beispiel können der Nutzergruppen-Speicher 17 und der Zugriffsrecht-Speicher 13 auf einem gemeinsamen Speichermedium vereint sein, oder das Zugriffsrecht-Modul 11 und das Nutzergruppen-Modul 15 können in einer einzigen Datenverarbeitungseinrichtung integriert sein. Auch deren von dem Zugriffsteuerungs-Modul 7 getrennte Anordnung ist für die Funktionsweise nicht erforderlich und sie können statt dessen darin integriert sein. Der modulare Aufbau ermöglicht die besonders flexible Verwendung des Systems zur flexiblen Vergabe von Zugriffsrechten entsprechend aller strukturellen Anforderungen des jeweiligen Arbeitsumfelds.The modularity of the structure of the data processing system described above can be changed without the functioning of the access control module 7 to change. For example, the user group store 17 and the access right memory 13 be united on a common storage medium, or the access right module 11 and the user group module 15 can be integrated in a single data processing device. Also from the access control module 7 separate arrangement is not required for the operation and they can instead be integrated therein. The modular structure enables the system to be used in a particularly flexible manner for the flexible assignment of access rights in accordance with all structural requirements of the respective work environment.

In 2 sind logische Ebenen innerhalb des Datenverarbeitungssystems, also innerhalb der Sicherheits-Domäne, schema tisch dargestellt. Auf unterster Ebene 31 befinden sich die elektronischen Datenobjekte, deren Zugriff kontrolliert wird. Sie weisen einen kennungsrelevanten Inhalt 33 auf, aus dem eine Datenobjektkennung erzeugt werden kann. Dieser kennungsrelevante Inhalt 33 muss insofern auf einer höheren Ebene angeordnet sein, als die Datenobjektkennung unabhängig von den Zugriffsrechten eines Nutzers zugreifbar sein muss, um den Umfang von dessen Zugriffsrechten überhaupt erst bestimmen zu können.In 2 logical levels within the data processing system, i.e. within the security domain, are shown schematically. At the lowest level 31 are the electronic data objects whose access is controlled. They have an identification-relevant content 33 from which a data object identifier can be generated. This identifier-relevant content 33 It must be arranged at a higher level in that the data object identifier must be accessible independently of a user's access rights in order to be able to determine the scope of their access rights in the first place.

Oberhalb der Datenebene kann eine ACL 35 angeordnet sein, die auf Ebene des Betriebssystems und innerhalb des jeweiligen Dateisystems den Zugriff auf die Daten abhängig von der Nutzeranmeldung am Betriebssystem kontrolliert. Die ACL 35 ist insofern nicht Teil der Datenobjektebene 31, 33, als sie beim Verlassen des jeweiligen Dateisystems bzw. beim Wechseln des Betriebssystems nicht aufrechterhalten wird. Sie wird nicht zusammen mit den Daten weitervererbt oder übertragen, sondern geht verloren. Daher ist die ACL 35 in der schematischen Darstellung als eigene Ebene dargestellt.An ACL 35 be arranged, which controls access to the data at the level of the operating system and within the respective file system depending on the user login to the operating system. The ACL 35 is therefore not part of the data object level 31 . 33 than is not maintained when you exit the respective file system or when you change the operating system. It is not passed on or transferred together with the data, but is lost. Hence the ACL 35 shown in the schematic representation as a separate level.

Oberhalb der ACL 35 ist die Betriebssystem-Ebene 37 angeordnet, die die ACL 35 und darüber die Datenobjektebene 31, 33 kontrolliert.Above the ACL 35 is the operating system level 37 arranged the the ACL 35 and above it the data object level 31 . 33 controlled.

Auf der Betriebssystem-Ebene 37 setzt die Zugriffsteuerungs-Ebene 39 auf, innerhalb derer die Funktion des Zugriffsteuerungs-Moduls 7 abläuft. Sie kontrolliert sämtliche Datenzugriffe zusätzlich zu einer eventuell vorhandenen Zugriffskontrolle durch das Betriebssystem.At the operating system level 37 sets the access control level 39 within which the function of the access control module 7 expires. It controls all data access in addition to any existing access control by the operating system.

Oberhalb der Zugriffsteuerungs-Ebene 39 befindet sich die Anwendungs-Ebene 41 mit den Anwendungsprogrammen des jeweiligen Arbeitsumfeldes.Above the access control level 39 is the application level 41 with the application programs of the respective work environment.

Im rechten Teil der Abbildung sind die logischen Ebenen, die sich nach einer durch Pfeile zeichnerisch angedeuteten Über tragung von Dateien auf ein anderes Betriebssystem ergeben können, beispielhaft dargestellt. Das andere Betriebssystem weist im gewählten Beispiel keine ACL auf. Die Datenobjektebene 31, 33 bleibt unverändert aufrechterhalten, insbesondere wird die Datenobjektkennung 33 mitübertragen. Wegen der fehlenden ACL entfällt jedoch die Zugriffskontrolle durch die Betriebssystem-Ebene 37.In the right part of the figure, the logical levels, which can result from a transfer of files indicated by arrows to another operating system, are shown as examples. The other operating system has no ACL in the selected example. The data object level 31 . 33 remains unchanged, in particular the data object identifier 33 transferred. However, due to the lack of an ACL, access control by the operating system level is no longer required 37 ,

Der Zugriff auf die Datenobjektebene 31, 33 ist jedoch auch nach deren Portierung nur über die Zugriffsteuerungs-Ebene 39 möglich. Die Kontrolle des Zugriffs auf die Daten im beabsichtigten Umfang bleibt also auch nach deren Importierung und unabhängig vom Wechsel des Betriebssystems aufrechterhalten. Die Anwendungsebene 41 kann weiterhin ausschließlich über die Zugriffsteuerungs-Ebene 39 auf die Daten zugreifen.Access to the data object level 31 . 33 however, even after porting them, it is only through the access control level 39 possible. Control of the access to the data to the intended extent is therefore maintained even after it has been imported and regardless of the change in the operating system. The application level 41 can still only be accessed through the access control level 39 access the data.

In 3 sind die Verfahrensschritte beim Zugriff auf Datenobjekte innerhalb der Sicherheitsdomäne dargestellt. In Schritt 51 beginnt der Datenobjektzugriff von Seiten eines Nutzers bzw. eines Anwendungsprogramms.In 3 the procedural steps for accessing data objects within the security domain are shown. In step 51 data object access begins on the part of a user or an application program.

In Schritt 53 erfolgt die Ermittlung der Nutzerkennung zur Identifikation des Nutzers. Die dafür erforderlichen Informationen können, wie oben beschrieben, anhand von Tastatureingaben oder biometrischer Datenerfassung, erfasst werden. Anhand der so erfassten Daten wird durch Zugriff auf den Nutzergruppen-Speicher 17 über das Nutzergruppen-Modul 15 die Nutzerkennung ermittelt.In step 53 the user identification is determined to identify the user. As described above, the information required for this can be recorded using keyboard inputs or biometric data acquisition. Using the data recorded in this way, access to the user group memory 17 via the user group module 15 the user ID is determined.

In Schritt 55 wird geprüft, ob das zuzugreifende Datenobjekt die Erzeugung einer Datenobjektkennung ermöglicht. Die Datenobjektkennung kann entweder eigens im Datenobjekt gespeichert sein, oder es können Informationen enthalten sein, die die automatische Ermittlung einer Kennung ermöglichen.In step 55 it is checked whether the data object to be accessed generates a data object identifier allows. The data object identifier can either be stored specifically in the data object, or it can contain information that enables the automatic determination of an identifier.

Erweist sich die Erzeugung einer Datenobjektkennung als nicht möglich, wird in Schritt 56 eine Default-Datenobjektkennung zugeordnet, anhand derer später ein standardmäßiger Umfang an Zugriffsrechten zugeordnet werden kann. Dadurch kann die Zugriffskontrolle für Datenobjekte, die z.B. ohne Datenobjektkennung in das System eingeführt wurden, standardmäßig und ohne das zeitaufwändige Durchführen weiterer Verfahrensschritte zur Ermittlung des Zugriffsrechts-Umfangs realisiert werden.If the generation of a data object identifier proves not to be possible, in step 56 assigned a default data object identifier, which can later be used to assign a standard scope of access rights. As a result, access control for data objects that have been introduced into the system without a data object identifier, for example, can be implemented as standard and without the time-consuming implementation of further procedural steps for determining the scope of the access rights.

In Schritt 57 wird, falls möglich, die Datenobjektkennung als Kopie einer in dem Datenobjekt gespeicherten Kennung oder aus dem im Datenobjekt gespeicherten Inhalt automatisch erzeugt.In step 57 If possible, the data object identifier is automatically generated as a copy of an identifier stored in the data object or from the content stored in the data object.

In Schritt 59 wird auf das Zugriffsrecht-Modul 11 zugegriffen, um anhand von Informationen des Zugriffsrecht-Speichers 15 eine Zugriffsrecht-Kategorie zu ermitteln. Dabei wird eine Zuordnung zwischen Nutzerkennung und Zugriffsrecht-Kategorie abgefragt, die beispielsweise tabellarisch oder als Map abgelegt sein kann.In step 59 is on the access rights module 11 accessed to based on information of the access right memory 15 determine an access right category. An assignment between user ID and access right category is queried, which can be stored, for example, in tabular form or as a map.

In Schritt 61 erfolgt ein Zugriff auf das Datenobjekt-Kategorie-Modul 12, um Informationen aus dem Datenobjekt-Kategorie-Speicher 14 zu erhalten, anhand derer eine der zuvor ermittelten Datenobjektkennung zugeordnete Zugriffsrecht-Kategorie ermittelt werden kann.In step 61 the data object category module is accessed 12 to store information from the data object category 14 to obtain, on the basis of which an access right category assigned to the previously determined data object identifier can be determined.

Nachdem nun alle Informationen zur Nutzeridentität, Gruppenidentität und Datenobjektkategorie vorliegen, werden in Schritt 63 die Zugriffsrechte ermittelt, die für den Nutzer zugelassen werden. Die Ermittlung erfolgt entweder auf Basis der in Schritt 59 und Schritt 61 abgefragten Daten, oder auf Basis von in Schritt 56 zugeordneten Standardwerten. Die Zuordnung von Standardwerten kann dabei ohne weitere Zugriffe auf die Module erfolgen, um unnötige Zugriffe zu vermeiden und Zugriffszeiten einzusparen.Now that all information about user identity, group identity and data object category is available, in step 63 determines the access rights that are permitted for the user. The determination is made either on the basis of in step 59 and step 61 queried data, or based on in step 56 assigned default values. The assignment of standard values can take place without further access to the modules in order to avoid unnecessary access and to save access times.

In Schritt 65 erfolgt wird der Datenzugriff in Abhängigkeit von dem zuvor ermittelten Zugriffsrecht zugelassen.In step 65 data access is permitted depending on the previously determined access right.

In Schritt 67 wird der Datenzugriff beendet. Zum Beispiel kann der Nutzer sich vom System abgemeldet haben, es kann ein automatischer Time-out aus dem System heraus erfolgt sein oder im System wurden Änderungen an den Kategorien zur Ermittlung von Zugriffsrechten vorgenommen.In step 67 data access is ended. For example, the user may have logged out of the system, there may have been an automatic time-out from the system, or changes to the categories for determining access rights have been made in the system.

Zur Illustrierung programmtechnischer Aspekte der Erfindung sind nachfolgend einige stark vereinfachte semantische Anweisungen für Verfahrensschritte zur Realisierung der Erfindung wiedergegeben. Die Vereinfachungen schließen z.B. das Auslassen von Variablen-Definitionen und Fehlerbehandlung ein.For the illustration of programming Aspects of the invention are some highly simplified ones below semantic instructions for Process steps for realizing the invention reproduced. The simplifications close e.g. omitting variable definitions and error handling on.

Das Nutzergruppen-Modul erlaubt das Anlegen, Modifizieren, Löschen und Abfragen von Nutzer- und Gruppenidentitäten. Es beinhaltet zusätzlich Maßnahmen zur Authentifizierung des jeweiligen Nutzers. Zu seiner Realisierung können die folgenden Anweisungen Verwendung finden:
bool createUser (wchar_t *theUserName, wchar_t *thePassword, wchar_t *&heSID);
bool deleteUser (wchar_t *theUserName);
bool querySID (wchar_t *theUserName, wchar_t *&theSID);
bool createGroup (wchar_t *theGroupName, wchar_t *&heGID);
bool deleteGroup (wchar_t *theGroupName);
bool queryGID (wchar_t *theGroupName, wchar_t *&theGID);
bool addUserToGroup (wchar_t *theSID, wchar_t *theGID);
bool removeUserFromGroup (wchar_t *theSID, wchar_t *theSID);
bool authenticateUser (wchar_t *theUserName, wchar_t *theUserPassword, wchar_t *theUID);
bool releaseUID (wchar_t *theUID);
bool analyzeUID (wchar_t *theUID, wchar_t *&theSID, wchar_t *&theSID);The user group module allows you to create, modify, delete and query user and group identities. It also includes measures to authenticate the respective user. The following instructions can be used to implement it:
bool createUser (wchar_t * theUserName, wchar_t * thePassword, wchar_t * &heSID);
bool deleteUser (wchar_t * theUserName);
bool querySID (wchar_t * theUserName, wchar_t * &theSID);
bool createGroup (wchar_t * theGroupName, wchar_t * &heGID);
bool deleteGroup (wchar_t * theGroupName);
bool queryGID (wchar_t * theGroupName, wchar_t * &theGID);
bool addUserToGroup (wchar_t * theSID, wchar_t * theGID);
bool removeUserFromGroup (wchar_t * theSID, wchar_t * theSID);
bool authenticateUser (wchar_t * theUserName, wchar_t * theUserPassword, wchar_t * theUID);
bool releaseUID (wchar_t * theUID);
bool analyzeUID (wchar_t * theUID, wchar_t * & theSID, wchar_t * &theSID);

Dabei ist "bool" ein C++-Schlüsselwort, das die Boolean'schen Werte TRUE oder FALSE annehmen kann, und das vor einer Variablendefinition, einer Methodendefinition oder einer Metho dendeklaration steht. "wchar_t" definiert einen Microsoft-Datentyp. "enum" ist ein C++-Schlüsselwort, das die Definition von Aufzählungstypen (Enumerations) ermöglicht. "struct" ist ein C++-Schlüsselwort, das die Definition von neuen, zusammengesetzten Datentypen ermöglicht."Bool" is a C ++ - keyword that the Boolean Can assume values TRUE or FALSE, and that before a variable definition, a method definition or a method declaration. "wchar_t" defines one Microsoft data type. "enum" is a C ++ keyword, that's the definition of enumeration types (Enumerations) enables. "struct" is a C ++ keyword, that enables the definition of new, composite data types.

SID bzw. GID sind eindeutige Kennungen für Nutzer- bzw. Gruppenidentitäten und werden intern innerhalb der Sicherheitsdomäne genutzt. Sie dienen der Repräsentation von Nutzern und Gruppen innerhalb der Sicherheitsdomäne, ohne dass dafür tatsächliche Identitäten oder Namen verwendet werden müssten.SID and GID are unique identifiers for user or group identities and are used internally within the security domain. They serve the representation of users and groups within the security domain without that for that actual identities or names would have to be used.

Die sonstigen Worte der Anweisung, z.B. crateGroup oder deleteGroup, sind individuell gewählt und erklären sich aus ihrem Wortsinn heraus von selbst.The other words of the instruction, e.g. crateGroup or deleteGroup, are individually selected and explain themselves out of its word sense by itself.

Mit jeder erfolgreichen Authentifizierung eines Nutzers wird eine UID erzeugt, die den Nutzer und die Arbeitssitzung eindeutig kennzeichnet. Diese UID wird gelöscht, sobald der Nutzer sich vom System abmeldet oder die Arbeitssitzung von der Sicherheitsdomäne durch ein Time-out beendet wird.With every successful authentication A UID is generated that identifies the user and the work session clearly identifies. This UID will be deleted as soon as the user logs in logs off from the system or the work session from the security domain a time-out is ended.

Das Zugriffsrecht-Modul kann unter Verwendung der folgenden Anweisungen realisiert werden:

The access rights module can be implemented using the following instructions:

Das Zugriffsrecht-Modul 11 verwendet SID und GID eines Nutzers, um dessen Zugriffsrechte ermitteln zu können. Gruppen- und Nutzer-Identitäten können unterschiedliche Zugriffsrechte zugeordnet sein und ein Nutzer kann mehrere Identitäten annehmen, so dass sämtliche SIDs und GIDs ausgewertet werden müssen, um den Umfang der Zugriffsrechte des jeweiligen Nutzers ermitteln zu können.The access rights module 11 uses a user's SID and GID to determine their access rights. Group and user identities can be assigned different access rights and a user can assume several identities, so that all SIDs and GIDs must be evaluated in order to determine the scope of the access rights of the respective user.

Die Zuordnung von Datenobjektkennungen zu Kategorien, die in den vorigen Anweisungs-Beispielen als "Token" bezeichnet sind, erlaubt das Anlegen, Löschen, Durchsuchen und Modifizieren der einzelnen Zuordnungen. Sie kann unter Verwendung der folgenden Anweisungen realisiert werden:

The assignment of data object identifiers to categories, which in the previous instruction examples are referred to as "tokens", enables the individual assignments to be created, deleted, searched and modified. It can be implemented using the following instructions:

Es ist möglich, einer Datenobjektkennung mehrere Kategorien zuzuordnen. Datenobjektkennungen, die keiner Kategorie zuordenbar sind, erhalten einen standardmäßigen Umfang an Default-Zugriffsrechten zugeordnet.It is possible to assign several categories to a data object identifier. Data object identifiers that cannot be assigned to a category are assigned a standard scope of default access rights.

Claims

Method for protecting an electronic data object created for storing information against unauthorized access, wherein a) in a first step ( 56 . 57 ) an electronic data object identifier is generated depending on the content of the data object, b) in a further step ( 63 ) an access right is determined depending on the data object identifier, and c) in a last step ( 65 ) access to the data object is permitted depending on the access right.

The method of claim 1, wherein the data object identifier is generated as a copy of an identifier contained in the data object.

The method of claim 1, wherein the data object identifier using information stored in the data object is produced.

Method according to one of the preceding claims, wherein in a further step ( 53 ) an electronic user identification of an operator is determined, and the access right is determined as a function of the user identification.

The method of claim 4, wherein in a further step ( 59 ) Information is determined that enables the assignment of the user identification to an access right category, and the access right is determined depending on the assignment of the user identification to the access right category.

Method according to one of the preceding claims, wherein in a further step ( 61 ) Information is determined that enables the assignment of the data object identifier to an access right category, and the access right is determined depending on the assignment of the data object identifier to the access right category.

Method according to one of the preceding claims, wherein the access right is a standard right and a functional right includes.

Method according to one of the preceding claims, wherein Personal medical data is stored in the data object are.

Data processing system with a data processing device ( 1 ) that can access an electronic data object and with an access control module ( 7 ), by means of which an electronic data object identifier can be generated depending on the content of the data object, and by means of which an access right can be determined as a function of the data object identifier, and by which access to the electronic data object can be permitted as a function of the access right.

Data processing system according to claim 9, which comprises an identification means ( 6 ) by means of which an electronic user identification of an operator can be determined.

Data processing system according to claim 10, which comprises an access right module ( 13 ) by means of which information relating to a mutual assignment of electronic user IDs and access right categories can be stored and to which the access control module ( 7 ) Has access, whereby through the access control module ( 7 ) the access right depending on access to the access right module ( 13 ) can be determined.

Data processing system according to one of Claims 9 to 11, which comprises a data object category module ( 12 ), by means of which information relating to a mutual assignment of electronic data object identifiers and access right categories can be stored and to which the access control module ( 7 ) Has access, whereby through the access control module ( 7 ) the access right depending on access to the data object category module ( 12 ) can be determined.

Data processing system according to one of claims 9 to 12, the access right is a standard right and a functional one Right determined.

Data processing system according to one of claims 9 to 13, which is designed as a medical workplace.

Storage medium on which information is stored are that interact with a data processing device can kick to carry out the method according to one of claims 1 to 8.