Dataklassifikation: Offentlig, intern, fortrolig, begrænset

Dataklassifikation er processen med at organisere data i kategorier baseret på deres følsomhed og konsekvenserne af uautoriseret videregivelse, ændring eller tab. Klassifikation styrer alle efterfølgende sikkerhedsbeslutninger: hvilken kryptering der kræves, hvem der må få adgang til dataene, hvordan de skal opbevares og overføres, og hvor længe de skal opbevares. Uden klassifikation anvender organisationer enten for mange kontroller, hvilket spilder ressourcer, eller for få, hvilket efterlader følsomme data ubeskyttede.

De fleste kommercielle organisationer bruger fire klassifikationsniveauer. Offentlige data kan frit deles med alle — markedsføringsmateriale og pressemeddelelser. Interne (eller private) data er ikke hemmelige, men bør ikke deles uden for organisationen — medarbejderkartoteker og interne politikker. Fortrolige data kræver beskyttelse, fordi uautoriseret videregivelse skader organisationen — økonomiske rapporter og kontrakter. Begrænsede (eller meget fortrolige) data er underlagt de strengeste kontroller — forretningshemmeligheder, personhenførbare oplysninger, beskyttede sundhedsoplysninger og legitimationsoplysninger.

Offentlige klassifikationssystemer adskiller sig fra kommercielle. Data fra den amerikanske regering klassificeres som Uklassificerede, Controlled Unclassified Information (CUI), Fortrolige, Hemmelige og Tophemmelige. Top Secret/SCI (Sensitive Compartmented Information) er det højeste niveau og kræver specialiserede faciliteter (SCIF'er) samt baggrundsundersøgelser. Security+-eksamenen tester både kommercielle og offentlige klassifikationsordninger samt de sikkerhedsgodkendelsesprocesser, der følger med offentlige klassifikationer.

Dataejeren (en ledende forretningsrolle, ikke IT-teamet) er ansvarlig for at klassificere data og sikre, at passende kontroller anvendes. Databehandleren er den IT-fagperson, der implementerer og vedligeholder kontroller på ejerens vegne. Denne sondring er vigtig: Ejeren træffer klassifikationsbeslutningen; databehandleren håndhæver den. Når dataejere ikke involveres, forbliver data ofte uklassificerede eller placeres som standard på det laveste niveau, hvilket skaber skjult risiko i værdifulde datasæt.

Når data er klassificeret, skal der anvendes mærkater, så de personer, der håndterer dataene, kender kravene. Digital mærkning omfatter metadata-tags, filegenskaber, dokumenthoveder, sidefødder og vandmærker. Fysisk mærkning gælder for trykte dokumenter, lagringsmedier og udstyr. Hvert klassifikationsniveau medfører bestemte håndteringsregler: Begrænsede data kan kræve kryptering under overførsel og i hvile, adgang for to personer til sikkerhedskopier, makulering i stedet for genbrug samt forbud mod cloudlagringstjenester, der ikke er godkendt af sikkerhedsteamet.

Klassifikationen bestemmer direkte kravene til kryptering. Offentlige data kræver typisk ingen kryptering. Interne data bør krypteres under overførsel (TLS). Fortrolige data kræver kryptering både under overførsel og i hvile samt adgangslogge. Begrænsede data kræver typisk stærk kryptering (AES-256), hardware-sikkerhedsmoduler (HSM'er) til nøglehåndtering, kryptering på feltniveau i databaser og regelmæssig udskiftning af nøgler. Værktøjer til forebyggelse af datatab (DLP) bruger klassifikationsmærkater til at udløse alarmer eller blokere overførsler af følsomme data.

Klassifikation danner grundlag for beslutninger om adgangskontrol på alle lag. Begrænsede data bør kun være tilgængelige for personer med et dokumenteret behov for at kende dem, implementeret gennem rollebaseret eller attributbaseret adgangskontrol. Klassifikation påvirker også styring af privilegeret adgang: En databaseadministrator, der teknisk set kunne få adgang til alle tabeller, bør nægtes adgang til tabeller med begrænset klassifikation, medmindre rollen udtrykkeligt kræver det. Adgangsgennemgange bør kontrollere igen, at ingen bruger stadig har mere adgang end nødvendigt.

PII er alle data, der kan identificere en bestemt person – navn, adresse, Social Security-nummer, e-mail, telefonnummer, biometriske data eller enhedsidentifikatorer. PII hører typisk under klassifikationsniveauet Fortrolige eller Begrænsede data. Organisationer skal kortlægge, hvor PII findes (dataopdagelse), klassificere dem korrekt, anvende de kontroller, som lovgivningen kræver (GDPR, CCPA, HIPAA), og fastlægge regler for opbevaring og bortskaffelse. Følsomme PII – finansielle, helbredsmæssige og biometriske oplysninger – kræver stærkere beskyttelse end almindelige PII.

PHI er alle individuelt identificerbare helbredsoplysninger, der er beskyttet af HIPAA. Det omfatter diagnoser, behandlingsjournaler, faktureringskoder og alle data, der kan knyttes til en patient. PHI klassificeres altid på niveauet Begrænsede data og kræver: kryptering, revisionsspor, adgang efter princippet om mindst mulig adgang, aftaler med forretningspartnere (BAA'er) og underretning om brud senest 60 dage efter, at bruddet er opdaget. Et brud på PHI udløser lovgivningsmæssige forpligtelser, som et brud på data klassificeret som Interne ikke ville udløse.

Klassifikation gælder gennem hele datalivscyklussen. Når data når slutningen af opbevaringsperioden, skal de destrueres i overensstemmelse med klassifikationsniveauet. Begrænsede data kræver kryptografisk sletning (destruktion af krypteringsnøgler), afmagnetisering (magnetisk destruktion), fysisk makulering eller rensning i overensstemmelse med NIST 800-88. Det er ikke tilstrækkeligt blot at slette filer eller omformatere drev for fortrolige eller begrænsede data, fordi værktøjer til filgendannelse kan rekonstruere dem.

Værktøjer til forebyggelse af datatab (DLP) håndhæver automatisk klassifikationspolitikker. DLP med indholdsinspektion scanner filer og netværkstrafik for mønstre, der matcher klassifikationskriterier (Social Security-numre, kreditkortnumre og helbredsrelaterede nøgleord). DLP på slutpunkter forhindrer, at klassificerede data kopieres til USB-drev eller uploades til cloudtjenester, der ikke er godkendt. DLP på netværket inspicerer udgående trafik. Klassifikationsværktøjer baseret på maskinlæring kan automatisk mærke ustrukturerede data som dokumenter og e-mails ud fra indholdsanalyse.

I denne lektion har du lært, at dataklassifikation organiserer data i niveauerne Offentlige, Interne, Fortrolige og Begrænsede ud fra følsomhed og konsekvens, at dataejere træffer klassifikationsbeslutninger, mens dataforvaltere implementerer kontroller, og at klassifikation fastlægger kravene til kryptering, adgangskontrol og destruktion for hvert niveau. Derefter ser vi nærmere på GDPR-principper og registreredes rettigheder.