분류 기반 접근 제어

분류 기반 접근 제어(CBAC)는 민감한 정부 정보를 보호하기 위해 사용되는 필수 제어입니다. CBAC 표시는 분류 표시가 있는 사용자만 정보에 접근할 수 있도록 접근을 제한합니다.

분류 표시 접근은 Palantir 플랫폼 외부에서 진행되는 보안 승인 절차와 연관될 수 있습니다. 일반적으로 필수 제어와 마찬가지로, 분류 표시는 임의 역할 및 리소스에 적용될 수 있는 필수 표시와 결합될 수 있습니다.

분류 표시의 주요 특성

분류 표시에는 다음과 같은 세 가지 주목할 만한 특성이 있습니다:

• 계층 구조: 분류 표시의 일반적인 유즈케이스는 정보의 민감도가 계층적으로 정의된 민감한 정보에 대한 접근을 제한하는 것입니다. 예를 들어, 특정 사용자 그룹은 비밀 또는 그 이하로 표시된 민감한 데이터에만 접근할 수 있습니다. 다른 사용자 그룹은 최고 비밀 또는 그 이하로 표시된 민감한 정보에 접근할 수 있으며, 이는 비밀 데이터를 포함할 수 있습니다.
• 분류 표시의 분리 요소: 비분류 표시는 결합적으로 작동합니다 - 사용자는 리소스에 적용된 모든 표시를 가져야 접근할 수 있습니다. 분류 표시는 분리 요소를 가질 수 있으며, 분류 표시의 분리 요소에 속한 그룹 중 하나에 속한 사용자는 CBAC 접근 조건을 충족할 수 있습니다. 이는 다른 조직이나 국가 간의 공유와 같은 공개 가능성을 정의하는 데 일반적으로 사용됩니다. 예를 들어, country A 또는 country B의 사용자는 분류 표시의 분리 요소를 충족할 수 있습니다 (아래 참조).
• 분류 표시의 보편성: CBAC 필수 제어를 사용하는 환경에서는 모든 프로젝트에 프로젝트 분류가 설정되어야 합니다. 또한, 모든 데이터셋은 데이터 분류를 가져야 하며, 이는 입력이 없는 원시 데이터셋이 파일 분류를 가져야 함을 의미합니다.

주요 개념

분류 표시

분류 표시는 카테고리로 구성됩니다. 예를 들어, 한 카테고리는 데이터 유형을 정의하고, 다른 카테고리는 해당 데이터가 어떻게 배포되어야 하는지(즉, 공유) 설명할 수 있습니다.

하나의 분류는 여러 분류 표시를 가질 수 있습니다. 하나의 분류는 다른 카테고리의 분류 표시로 구성될 수 있습니다. 유효한 분류 표시 조합을 구성하는 규칙은 Palantir에 의해 구성되고 플랫폼에서 강제될 수 있습니다.

결합적 및 분리적 분류 표시 카테고리

분류 표시 카테고리의 정의적 특징은 분리적(OR) 동작을 지원할 수 있다는 것입니다. 카테고리가 결합적(AND)일 때, 사용자는 분류된 데이터에 접근하기 위해 해당 카테고리에서 사용된 모든 분류 표시에 접근할 수 있어야 합니다. 카테고리가 분리적일 때, 사용자는 해당 카테고리의 하나의 표시만으로도 표시된 분류 데이터에 접근할 수 있습니다.

전체 분류의 구성 요소는 결합적으로 결합됩니다. 이는 분류가 여러 카테고리의 분류 표시를 포함하는 경우, 사용자가 데이터에 접근하기 위해 각 분류 표시 카테고리의 모든 구성 요소를 충족해야 함을 의미합니다.

단일 카테고리와 두 개의 분류 표시가 있는 간단한 구성을 고려해 보십시오. 다음의 간단한 구성에는 두 명의 사용자, Martha Washington (mwashington)과 John Adams (jadams)가 있습니다.

mwashington 사용자는 GBR 및 CAN 분류 표시 그룹에 속합니다. jadams 사용자는 GBR 그룹에만 속합니다. RELEASE TO 카테고리는 분리적이므로 사용자는 최소한 하나의 표시를 가져야 합니다. 분리적 카테고리에서는 사용자가 분류 표시의 하나의 표시에 접근할 수 있는 경우, 동일한 카테고리의 다른 표시로도 레이블된 데이터를 볼 수 있습니다. 이는 GBR, CAN으로 분류된 데이터를 mwashington 또는 jadams가 볼 수 있음을 의미합니다. 두 사용자는 최소한 하나의 표시를 가지고 있기 때문입니다.

이전 예는 단일 카테고리의 고립된 예입니다. 실제로, 분류 표시는 여러 카테고리의 표시를 포함할 수 있습니다.

파일 및 데이터 분류

파일 분류는 사용자가 파일을 발견하기 위해 충족해야 하는 분류 표시이며, 프로젝트 최대 분류 및 기타 필수 표시와 같은 다른 요구 사항도 포함됩니다.

데이터 분류는 데이터셋과 같은 특정 유형의 파일에 적용됩니다. 데이터 분류는 사용자가 파일 내 데이터를 보기 위해 충족해야 하는 분류를 의미합니다. 사용자는 파일 내 데이터를 보기 위해 데이터 분류를 충족해야 하지만, 데이터셋의 존재를 발견하고 메타데이터(예: 이름, 설명 및 스키마)를 보는 능력에는 영향을 미치지 않습니다. 데이터 분류는 직접 편집할 수 없으며, 대신 다음을 결합하여 형성됩니다:

• 리소스의 파일 분류, 설정된 경우.
• 모든 상위 데이터 종속성의 데이터 분류.

이는 데이터 분류가 항상 파일 분류 및 모든 상위 데이터 종속성의 데이터 분류만큼 엄격함을 의미합니다.

파일, 데이터, 및 프로젝트 분류는 다른 적용 가능한 접근 요구 사항과 함께 Palantir 플랫폼에서 전달됩니다. 데이터 분류와 달리, 파일 분류는 리소스 사이드바에서 편집할 수 있습니다.

입력 상위 데이터셋이 없는 새로운 비파생 데이터셋은 생성 사용자가 파일 분류를 설정해야 합니다.

프로젝트 분류

프로젝트 분류는 프로젝트의 최대 분류로도 불릴 수 있습니다. 분류 표시를 사용하는 환경의 모든 프로젝트는 생성 시 프로젝트 분류가 설정되어야 합니다.

프로젝트 분류는 두 가지 동작을 제어합니다:

• 프로젝트 분류는 프로젝트의 존재를 발견하고 그 안의 리소스에 접근할 수 있는 사용자를 제어합니다. 사용자는 프로젝트를 발견하거나 그 리소스에 접근하기 위해 프로젝트 분류를 충족해야 합니다.
• 더 높은 데이터 또는 파일 분류를 가진 리소스는 더 낮은 최대 분류를 가진 프로젝트에 생성되거나 이동될 수 없습니다. 프로젝트의 최대 분류보다 낮거나 같은 분류를 가진 리소스는 프로젝트에 존재할 수 있지만, 프로젝트의 분류를 충족하는 사용자에게만 표시됩니다.

더 높은 분류가 다른 프로젝트의 상위 데이터셋에 파일 분류로 추가되고, 이 프로젝트 내 데이터셋에 데이터 표시로 상속되면, 해당 데이터 표시는 프로젝트의 최대 분류를 위반하게 됩니다.

• 이 경우, 데이터는 계속해서 더 높은 분류로 보호되지만 경고가 표시되고, 위반이 해결될 때까지 데이터셋이나 그 아래에 있는 프로젝트 내의 리소스를 빌드할 수 없습니다.
• 위반은 상위 데이터셋의 분류를 수정하거나, 해당 상위 데이터셋을 입력에서 제거하고 데이터셋을 재구성하거나, 프로젝트의 최대 분류를 업데이트하여 해결할 수 있습니다. 이는 프로젝트 제약 조건 위반과 동일한 동작입니다.

프로젝트 분류는 프로젝트 내 데이터셋의 데이터 분류에 영향을 미치지 않습니다. 따라서 프로젝트 분류는 데이터 종속성을 따라 상속되지 않습니다. 다른 프로젝트에 파생된 하위 데이터셋이 있는 경우, 데이터 분류만 상속됩니다. 이는 프로젝트 표시가 하위 데이터셋에 상속되는 동작과 다릅니다.