Daten klassifizieren

Sie können nichts schützen, was Sie nicht kategorisiert haben. Datenklassifizierung kennzeichnet Informationen nach ihrer Sensibilität, damit die passenden Kontrollen, Zugriffsregeln und DLP-Richtlinien angewendet werden. Sie bildet die Grundlage von DLP und den meisten Compliance-Programmen.

Ein gängiges Schema mit vier Stufen:

• Öffentlich: kann frei geteilt werden.
• Intern: für Mitarbeitende bestimmt, bei einem Verlust nur geringfügiger Schaden.
• Vertraulich: sensibel, Zugriff eingeschränkt.
• Eingeschränkt / Geheim: höchste Sensibilität, strenge Kontrollen.

Verknüpfen Sie die Stufen mit konkreten Beispielen, damit Mitarbeitende wissen, wo Daten einzuordnen sind:

• Öffentlich: Marketingbroschüren.
• Intern: Organigramme, Sitzungsnotizen.
• Vertraulich: personenbezogene Kundendaten, Verträge.
• Eingeschränkt: Kartendaten, Gesundheitsdaten, Geheimnisse.

Einige Daten unterliegen besonderen rechtlichen Anforderungen:

• PII: personenbezogene identifizierbare Informationen (GDPR).
• PCI: Karteninhaberdaten.
• PHI: geschützte Gesundheitsinformationen (HIPAA).

Diese werden üblicherweise als vertraulich oder eingeschränkt eingestuft.

Klassifizierung wird nützlich, wenn sie gekennzeichnet wird, also die Kategorie an die Daten angehängt wird, damit Tools darauf reagieren können.

• Metadatenkennzeichnungen, die zusammen mit der Datei gespeichert werden.
• Visuelle Kennzeichnungen in Kopf- und Fußzeilen.
• Kopfzeilen/Tags in E-Mails und Dokumenten.

Zwei Ansätze, die häufig kombiniert werden:

• Manuell: Der Autor wählt bei der Erstellung eine Kennzeichnung aus; präzise, aber uneinheitlich.
• Automatisiert: Tools durchsuchen Inhalte und wenden Kennzeichnungen anhand von Mustern an; skalierbar, aber abstimmungsbedürftig.

In den meisten Unternehmen gibt es überall nicht gekennzeichnete Daten. Tools zur Datenermittlung durchsuchen Dateifreigaben, Datenbanken und Cloud-Speicher, um bereits vorhandene sensible Daten zu finden und zu klassifizieren.

Die Kennzeichnung bestimmt die Regeln für den Umgang:

• Eingeschränkt: verschlüsseln, Zugriffe protokollieren, externe Freigaben blockieren.
• Vertraulich: Zugriff auf Personen mit berechtigtem Bedarf beschränken.
• Öffentlich: keine Einschränkungen.

DLP-Richtlinien beziehen sich auf Kennzeichnungen, um zu entscheiden, ob eine Übertragung blockiert werden soll.

Für jede Klasse sollte festgelegt werden, wie Daten gespeichert, übertragen und geteilt werden und wie lange sie aufbewahrt werden. Für eingeschränkte Daten können Verschlüsselung und eine kurze Aufbewahrungsdauer erforderlich sein; für öffentliche Daten gelten keine solchen Vorgaben. Dokumentieren Sie dies in einem Standard für den Umgang mit Daten.

Die Sensibilität von Daten ändert sich im Laufe der Zeit. Ein vertraulicher Ergebnisbericht wird nach seiner Veröffentlichung öffentlich. Legen Sie fest, wann und wie Daten neu klassifiziert oder herabgestuft werden, damit die Kontrollen angemessen bleiben.

Klassifizierungsprogramme scheitern, wenn:

• Zu viele Stufen die Benutzer verwirren (beschränken Sie sich auf 3–4).
• Kennzeichnungen nicht durch Tools durchgesetzt werden.
• Altdaten nie ermittelt und gekennzeichnet werden.
• Keine klar verantwortliche Person das Schema pflegt.

Wenden Sie die Klassifizierungsstufen an.

Klassifizierung bildet die Grundlage des Datenschutzes:

• Verwenden Sie ein einfaches Stufenschema (von öffentlich bis eingeschränkt).
• Kennzeichnen Sie Daten mithilfe von Metadaten, Markierungen und Tags.
• Kombinieren Sie manuelle und automatisierte Klassifizierung mit Datenermittlung.
• Lassen Sie die Kennzeichnung den Umgang, die Aufbewahrung und die DLP-Kontrollen steuern.