تصنيف البيانات

لا يمكنكم حماية ما لم تصنّفوه. يضع تصنيف البيانات تسميات على المعلومات حسب حساسيتها، حتى تُطبّق ضوابط وقواعد وصول وسياسات DLP المناسبة. وهو أساس DLP ومعظم برامج الامتثال.

مخطط شائع من أربع درجات:

• عام: يمكن مشاركته بحرية بأمان.
• داخلي: مخصص للموظفين، ولا يسبب تسريبه ضررًا كبيرًا.
• سري: حساس ومقيد الوصول.
• مقيّد / سري للغاية: أعلى درجات الحساسية، مع ضوابط صارمة.

اربطوا الدرجات بأمثلة ملموسة حتى يعرف الموظفون التصنيف المناسب للبيانات:

• عام: الكتيبات التسويقية.
• داخلي: المخططات التنظيمية وملاحظات الاجتماعات.
• سري: بيانات التعريف الشخصية للعملاء والعقود.
• مقيّد: بيانات البطاقات والسجلات الصحية والأسرار.

تتمتع بعض البيانات بأهمية قانونية:

• PII: معلومات التعريف الشخصية (GDPR).
• PCI: بيانات حاملي البطاقات.
• PHI: المعلومات الصحية المحمية (HIPAA).

تُصنّف هذه البيانات عادةً ضمن الفئة السرية أو المقيّدة.

يصبح التصنيف مفيدًا عندما تُضاف إليه تسمية، إذ تُرفق الفئة بالبيانات حتى تتمكن الأدوات من التعامل معها.

• تسميات البيانات الوصفية المخزنة مع الملف.
• علامات مرئية في الرؤوس/التذييلات.
• رؤوس/وسوم في رسائل البريد الإلكتروني والمستندات.

نهجان غالبًا ما يُستخدمان معًا:

• يدوي: يختار المؤلف تسمية عند الإنشاء؛ وهو دقيق لكنه غير متسق.
• آلي: تفحص الأدوات المحتوى وتطبّق التسميات حسب الأنماط؛ وهو قابل للتوسع لكنه يحتاج إلى ضبط.

تمتلك معظم المؤسسات بيانات غير موسومة في كل مكان. تعمل أدوات اكتشاف البيانات على فحص مشاركات الملفات وقواعد البيانات والتخزين السحابي للعثور على البيانات الحساسة الموجودة وتصنيفها.

يحدد الوسم قواعد التعامل:

• مقيد: التشفير، وتسجيل الوصول، وحظر المشاركة الخارجية.
• سري: قصر الوصول على من يحتاجون إلى معرفته.
• عام: بلا قيود.

تشير سياسات DLP إلى الأوسمة لتحديد ما إذا كان ينبغي حظر عملية النقل.

ينبغي أن تحدد كل فئة كيفية تخزين البيانات ونقلها ومشاركتها، والمدة التي يُحتفظ بها خلالها. قد تتطلب البيانات المقيدة التشفير وفترة احتفاظ قصيرة، بينما لا تفرض البيانات العامة أي متطلبات. وثّق ذلك في معيار للتعامل مع البيانات.

تتغير حساسية البيانات بمرور الوقت. فعلى سبيل المثال، يصبح تقرير أرباح سريًا عامًا بعد نشره. حدّد متى وكيف تُجرى إعادة تصنيف البيانات أو خفض تصنيفها، حتى تظل الضوابط متناسبة.

تفشل برامج التصنيف عندما:

• تؤدي كثرة المستويات إلى إرباك المستخدمين (يُفضّل الإبقاء عليها بين 3 و4).
• لا تفرض الأدوات الالتزام بالأوسمة.
• لا تُكتشف البيانات القديمة ولا تُوسم مطلقًا.
• لا يوجد مالك واضح يتولى صيانة المخطط.

طبّق مستويات التصنيف.

التصنيف هو أساس حماية البيانات:

• استخدم مخططًا بسيطًا متعدد المستويات (من عام إلى مقيد).
• وسم البيانات باستخدام البيانات الوصفية والعلامات والوسوم.
• اجمع بين التصنيف اليدوي والآلي، إلى جانب اكتشاف البيانات.
• دع الوسم يحدد ضوابط التعامل والاحتفاظ وDLP.