Lesen und beachten Sie die Automation Anywhere-Dokumentation

Automation Anywhere

Inhalt schließen

Inhalte

Inhalt öffnen

Richtlinien für die Datenschutz-Grundverordnung

  • Aktualisiert: 5/10/2019
    • 11.3.x
    • Erkunden
    • Enterprise

Richtlinien für die Datenschutz-Grundverordnung

Die Datenschutz-Grundverordnung (DSGVO) ist eines der strengsten Compliance-Rahmenwerke zum Schutz von Privatsphäre und personenbezogenen Daten. In der DSGVO werden personenbezogene Daten als Daten definiert, anhand derer eine natürliche Person identifiziert werden kann.

Diese natürliche Person wird als „betroffene Person” bezeichnet. Unternehmen, die den Zweck und die Methoden der Verarbeitung personenbezogener Daten (Geschäftsprozess) definieren und bestimmen, werden als „Verantwortliche” bezeichnet. Unternehmen, die personenbezogene Daten verarbeiten, werden als Datenverarbeiter definiert. Verantwortliche und Auftragsverarbeiter müssen nachweisen können, dass ihre Datenverarbeitungsaktivitäten und Sicherheitsprozesse der DSGVO entsprechen, wenn sich die verarbeiteten personenbezogenen Daten auf einen Betroffenen beziehen, bei dem es sich um einen Bürger der Europäischen Union (EU) handelt, selbst wenn diese Verarbeitung außerhalb der EU stattfindet. Mit der DSGVO soll sichergestellt werden, dass die Rechte von Betroffenen in Bezug auf ihre personenbezogenen Daten gewahrt werden. Diese Rechte beziehen sich auf den Datenschutz, die Verarbeitung nur für legitime Geschäftszwecke sowie das Recht, die eigenen personenbezogenen Daten zu kontrollieren, darauf zuzugreifen und aus den Systemen von Auftragsverarbeitern zu entfernen.

Automation Anywhere-Kunden, die Automation Anywhere Enterprise (AAE) nutzen, sind normalerweise Verantwortliche und/oder Auftragsverarbeiter im Sinne der DSGVO. Da es sich um eine Software handelt, die vom Kunden erworben, bereitgestellt und verwaltet wird, hängt die Einhaltung der DSGVO von den Verfahren des bereitstellenden Kunden ab. Die DSGVO zwingt die bereitstellende Organisation zur Implementierung angemessener technischer und organisatorischer Maßnahmen, um sicherzustellen, dass Daten nur zu den angegebenen Zwecken verarbeitet und standardmäßig geschützt werden. Die unten beschriebenen Richtlinien müssen eingehalten werden, um sicherzustellen, dass Automation Anywhere in einer Weise genutzt wird, die der DSGVO entspricht.

Datenschutz

Automation Anywhere bietet einen umfassenden Satz an Sicherheitsfunktionen, die Datenschutz entweder automatisch bereitstellen oder so konfiguriert werden können, dass Datenschutz sichergestellt wird. Wie bei jeder Unternehmensanwendung, hängt die einheitliche und ordnungsgemäße Verwendung von Sicherheitskontrollen von der Organisation ab. Mehrere Sicherheitsaspekte in einer Kundenumgebung liegen außerhalb des Geltungsbereichs von Automation Anywhere, z. B. der Sicherheitsstatus des Betriebssystems, auf dem Automation Anywhere bereitgestellt wird, oder die Netzwerksicherheit der Umgebung.

Automation Anywhere verwendet Verschlüsselungstechnologien für ruhende Daten, Daten während der Übertragung und Daten im Speicher. Die Verschlüsselungstechnologien sind in den Sicherheitsarchitektur-Handbüchern von Automation Anywhere (für Version 10 und 11) dokumentiert.

Alle Nutzer mit Zugriff auf Automation Anywhere können mithilfe von standardmäßigen, zentralisierten Authentifizierungsmethoden wie Active Directory authentifiziert werden. Außerdem kann der Zugriff mit Anmeldedaten durch Automation Anywhere entweder mit dem integrierten Anmeldedatentresor, der für den Bankensektor geeignete Sicherheit bietet, oder mit externen Anmeldedaten-Speichersystemen wie CyberArk erfolgen.

Die Autorisierung von Automation Anywhere-Nutzern liegt außerhalb des Anwendungsbereichs der Automation Anywhere-Software. Die bereitstellende Organisation muss sicherstellen, dass nur befugte Mitarbeiter mit geschäftlichen Anforderungen auf AAE zugreifen können. Firmenanwendern mit Zugriff auf Automation Anywhere können in Form von Rollen innerhalb der rollenbasierten Zugriffssteuerung (RBAC) des Produkts fein abgestufte Berechtigungen erteilt werden. Die Berechtigungen und Rollen unterstützen komplexe RBAC-Modelle, die eine doppelte Kontrolle und Aufgabentrennung innerhalb der Abläufe von Automation Anywhere sicherstellen. Berechtigungen können für alle Aspekte des Betriebs von Automation Anywhere implementiert werden, darunter: Anmeldedaten, Bots, Bot Runner, Bot Creator, Bot-Zeitpläne, Zugriff auf Audit-Protokolle, Warteschlangen für das Workload-Management und Pools. Da Automation Anywhere die Automatisierung aller Arten von Geschäftsprozessen ermöglicht, muss die bereitstellende Organisation sicherstellen, dass ausschließlich Mitarbeiter, die zum Zugriff auf Anwendungen berechtigt sind, die mit Automatisierung zu tun haben, dafür autorisiert sind. Im Rahmen dieser Richtlinie bietet Automation Anywhere alle erforderlichen Berechtigungen, um verschiedene Bots, Bot Runner und operative Mitarbeiter je nach Geschäftsfeld und Art der Verarbeitung zu trennen und so gesonderte Verarbeitungsdomänen innerhalb des Produkts sicherzustellen.

Alle Benutzeraktionen werden in Automation Anywhere geprüft und es werden Datensätze zu allen Zugriffen und Aktionen bereitgestellt, die vom Betriebspersonal vorgenommen wurden. Automation Anywhere-Audit-Protokolle unterstützen alle wichtigen Compliance-Rahmenwerke.

Automation Anywhere unterstützt eine redundante und lastverteilte Architektur, die je nach Geschäftsanforderung skaliert werden kann, um Verfügbarkeit und Verarbeitungsressourcen sicherzustellen. Automation Anywhere unterstützt Zustandssynchronisation über geografisch unterschiedliche Bereitstellungen hinweg und verbessert somit die Notfallwiederherstellung und die Belastbarkeit bei der Verarbeitung.

Bots sind von Experten des Kundengeschäfts entwickelte Softwareprogramme. Wie bei der Entwicklung jeder anderen Unternehmensanwendung erfordert es der Stand der Technik, Secure Software Development Life Cycle-Prozesse (SDLC) zu implementieren. Automation Anywhere unterstützt die Trennung von Entwicklungs-,Test- und Produktionsumgebungen durch eine Kombination separater Bereitstellungen und RBAC (wie oben beschrieben). Weitere Informationen finden Sie in den Dokumenten zur Sicherheitsarchitektur (für Version 10 und 11).

Pseudonymisierung

Die DSGVO nennt insbesondere die Pseudonymisierung als geeignetes technisches Mittel zum Schutz von Daten. Eine eingehende Diskussion zum Thema Pseudonymisierung liegt außerhalb des Anwendungsbereichs von AAE. Durch Pseudonymisierung werden Daten in künstliche Kennungen umgewandelt. Auf diese Weise können Verantwortliche und Auftragsverarbeiter die Daten so verarbeiten, dass sie nicht mehr zur Identifizierung einer natürlichen Person verwendet werden können. Die Tokenisierung ist ein weiterer Ansatz, bei dem Daten so umgewandelt werden, dass sie später referenziert werden können. Die tokenisierten Daten können jedoch nicht zur Identifizierung einer natürlichen Person verwendet werden. Automation Anywhere empfiehlt bei der Verwendung von Pseudonymisierung und Tokenisierung in allen Fällen, in denen personenbezogene Daten von einem Bot verarbeitet werden, die Einhaltung von Artikel 25 der DSGVO. Die Verwendung von Pseudonymisierung für personenbezogene Daten beseitigt jegliches Risiko, das mit der Remanenz von Daten innerhalb der Automation Anywhere-Plattform verbunden ist.

Datenremanenz in Enterprise Control Room

Es gibt Fälle, in denen Daten in den Datenbanken gespeichert werden, die den Automation Anywhere Enterprise Control Room unterstützen. Dies gilt insbesondere bei der Verwendung von Workload-Management, Bot Insight und IQ Bot. In allen Fällen bezüglich der Datenremanenz im Enterprise Control Room reduzieren Pseudonymisierung und Tokenisierung den Aufwand für Verantwortliche und Auftragsverarbeiter bei der Einhaltung der DSGVO. Außerdem werden, wenn Protokolle zur Fehlerbehebung aktiviert werden, Informationen wie der Nutzername (Nutzer der Plattform) in den Protokollen gespeichert.

Workload-Management und Warteschlangen

Wenn Sie Workload-Management verwenden, um mehrere Bots für dieselbe Automatisierung bereitzustellen, werden die in den Warteschlangen platzierten Aufgabenelemente in der Datenbank gespeichert. Über die Enterprise Control Room-Nutzeroberfläche kann jedes Aufgabenelement abgefragt, geprüft und gelöscht werden. Bei der Verarbeitung personenbezogener Daten in Aufgabenelementen sollten Warteschlangen regelmäßig gelöscht werden.

Bot Insight

Wenn Sie Bot Insight verwenden, wird jedes Feld, das innerhalb der im AAE-Entwicklerwerkzeug erstellten Automatisierungsaufgabe für Analysen markiert wurde, protokolliert und in der Analyse-Datenbank gespeichert. In Version 11 von Bot Insight werden alle Variablen automatisch für die Erfassung von Daten markiert und daher in der Datenbank gespeichert. Für Version 11 von Bot Insight sollte diese standardmäßige Aktion zum Markieren aller Datenvariablen nicht für Felder aktiviert werden, die personenbezogene Daten enthalten.

IQ Bot

IQ Bot speichert Bilder, die von Nutzern oder RPA-Aufgaben hochgeladen wurden, und extrahiert strukturierte Daten aus diesen Bildern. Diese Bilder und die extrahierten Daten werden vorübergehend in der Datenbank gespeichert, während IQ Bot ausgeführt wird oder wenn es aufgrund einer Ausnahme angehalten wird. Nachdem alle Ausnahmen in einem IQ Bot-Lauf entweder validiert oder ungültig gemacht wurden, werden die Daten aus der Datenbank entfernt. Trainingsbilder für IQ Bot werden in der Datenbank gespeichert und sollten keine personenbezogenen Daten enthalten, die eine natürliche Person identifizieren können. Bei IQ Bot Version 5.2.1 oder früher werden Produktionsbilder automatisch in die Trainingsumgebung verschoben. Die Trainingsumgebung sollte regelmäßig überprüft werden, um Produktionsbilder zu identifizieren und diese zu entfernen. In Version 5.3, deren Veröffentlichung für Juni 2018 geplant ist, wird es eine Funktion geben, die das automatische Verschieben von Produktionsbildern in die Trainingsumgebung deaktiviert.

Anmeldedaten

Anmeldedaten können in den Versionen 10 und 11 von Automation Anywhere von jedem Administrator mit den entsprechenden Berechtigungen, die durch eine Rolle vorgegeben werden, hinzugefügt und gelöscht werden. Der Enterprise Control Room unterstützt das Abfragen, Überprüfen und Löschen von Anmeldedaten zu jeder Zeit.

Automation Anywhere-Datenbanken und Entfernung von Daten

Wenn die Verarbeitung abgeschlossen ist und keine Pseudonymisierung angewendet wurde, müssen möglicherweise Daten aus Automation Anywhere-Datenbanken entfernt werden. Automation Anywhere verwendet eine Standard-SQL-Datenbank, die sich entweder auf dem Enterprise Control Room-Server oder auf einem Unternehmens-Datenbank-Server oder -Cluster befindet, der während der Installation und Konfiguration des Enterprise Control Room festgelegt wurde. Wenden Sie sich an Ihre Datenbankadministratoren, um Daten in der Automation Anywhere-Datenbank zu finden, zu melden und Daten zu extrahieren. Es steht ein Bot im Automation Anywhere Bot Store zur Verfügung, der für diesen Zweck verwendet und angepasst werden kann.

Feedback senden