Tietojen luokittelu: julkinen, sisäinen, luottamuksellinen ja rajoitettu

Julkishallinnon luokittelujärjestelmät poikkeavat kaupallisista. Yhdysvaltain hallinnon tiedot luokitellaan tasoihin Unclassified, Controlled Unclassified Information (CUI), Confidential, Secret ja Top Secret. Top Secret/SCI (Sensitive Compartmented Information) on korkein taso, joka edellyttää erityistiloja (SCIF) ja taustaselvityksiä. Security+ -kokeessa testataan sekä kaupallisia että julkishallinnon luokittelumalleja ja julkishallinnon luokituksiin liittyviä turvallisuusselvitysprosesseja.

Tietojen omistaja (ylempi liiketoimintarooli, ei IT-tiimi) vastaa tietojen luokittelusta ja asianmukaisten kontrollien soveltamisen varmistamisesta. Tietojen säilyttäjä on IT-ammattilainen, joka ottaa kontrollit käyttöön ja ylläpitää niitä omistajan puolesta. Ero on tärkeä: omistaja tekee luokittelupäätöksen ja säilyttäjä valvoo sen toteutumista. Kun tietojen omistajat eivät osallistu, tiedot jäävät usein luokittelematta tai niiden oletustasoksi tulee alin taso, mikä aiheuttaa piiloriskin arvokkaissa tietoaineistoissa.

Kun tiedot on luokiteltu, niihin on lisättävä merkinnät, jotta käsittelijät tietävät niihin liittyvät vaatimukset. Digitaalisiin merkintöihin kuuluvat metatietotunnisteet, tiedoston ominaisuudet, asiakirjojen ylä- ja alatunnisteet sekä vesileimat. Fyysisiä merkintöjä käytetään tulostetuissa asiakirjoissa, tallennusvälineissä ja laitteissa. Kuhunkin luokittelutasoon liittyy erityisiä käsittelysääntöjä: rajoitetut tiedot voivat edellyttää salausta siirron aikana ja levossa, kahden henkilön käyttöoikeutta varmuuskopioihin, silppuamista kierrättämisen sijaan sekä sellaisten pilvitallennuspalvelujen käytön kieltämistä, joita tietoturvatiimi ei ole hyväksynyt.

Luokittelu määrittää suoraan salausvaatimukset. Julkiset tiedot eivät yleensä tarvitse salausta. Sisäiset tiedot pitäisi salata siirron aikana (TLS). Luottamukselliset tiedot edellyttävät salausta sekä siirron aikana että levossa ja lisäksi käyttöoikeuslokeja. Rajoitetut tiedot edellyttävät yleensä vahvaa salausta (AES-256), laitteistopohjaisia turvamoduuleja (HSM) avainten hallintaan, tietokannan kenttätason salausta ja säännöllistä avainten vaihtamista. Data Loss Prevention (DLP) -työkalut käyttävät luokittelumerkintöjä arkaluonteisten tietojen siirtojen hälytysten käynnistämiseen tai estämiseen.

Luokittelu ohjaa pääsynhallintaa koskevia päätöksiä kaikilla tasoilla. Rajoitettuihin tietoihin pitäisi olla pääsy vain henkilöillä, joilla on osoitettu tiedonsaantitarve. Tämä toteutetaan rooli- tai attribuuttipohjaisella pääsynhallinnalla. Luokittelu vaikuttaa myös etuoikeutettujen käyttöoikeuksien hallintaan: vaikka tietokannan ylläpitäjällä voisi teknisesti olla pääsy kaikkiin tauluihin, hänen pääsyään rajoitetun luokituksen tauluihin pitäisi rajoittaa, ellei hänen tehtävänsä nimenomaisesti sitä edellytä. Käyttöoikeuksien tarkistuksissa on varmistettava uudelleen, ettei kenelläkään käyttäjällä ole hänen tarpeitaan laajempia käyttöoikeuksia.

PII tarkoittaa kaikkia tietoja, joiden avulla tietty henkilö voidaan tunnistaa — esimerkiksi nimeä, osoitetta, Social Security Number -tunnusta, sähköpostiosoitetta, puhelinnumeroa, biometrisiä tietoja tai laitetunnisteita. PII kuuluu yleensä luottamuksellisten tai rajoitettujen tietojen luokkaan. Organisaatioiden on selvitettävä, missä PII-tietoja säilytetään (tietojen etsintä), luokiteltava ne asianmukaisesti, otettava käyttöön säädösten (GDPR, CCPA, HIPAA) edellyttämät hallintakeinot sekä määriteltävä säilytys- ja hävittämissäännöt. Arkaluonteiset PII-tiedot — kuten talous-, terveys- ja biometristen tietojen kaltaiset tiedot — edellyttävät vahvempaa suojausta kuin yleiset PII-tiedot.

PHI tarkoittaa kaikkia HIPAA-säädöksellä suojattuja henkilöön yhdistettävissä olevia terveystietoja. Niihin kuuluvat diagnoosit, hoitotiedot, laskutuskoodit ja kaikki potilaaseen yhdistettävissä olevat tiedot. PHI luokitellaan aina rajoitettuihin tietoihin, ja se edellyttää salausta, auditointijälkiä, vähimmän tarpeellisen pääsyn periaatetta, toimittajien kanssa tehtäviä liikekumppanisopimuksia (BAA) sekä tietoturvaloukkauksesta ilmoittamista 60 päivän kuluessa sen havaitsemisesta. PHI-tietojen tietoturvaloukkaus käynnistää sääntelyyn perustuvia velvoitteita, joita sisäiseen luokkaan kuuluvien tietojen loukkaus ei käynnistäisi.

Luokittelua sovelletaan tietojen koko elinkaaren ajan. Kun tietojen säilytysaika päättyy, ne on hävitet­tävä niiden luokitustason mukaisesti. Rajoitetut tiedot edellyttävät kryptografista tyhjentämistä (salausavainten tuhoamista), demagnetointia (magneettista tuhoamista), fyysistä silppuamista tai NIST 800-88:n mukaista tyhjentämistä. Pelkkä tiedostojen poistaminen tai levyjen alustaminen ei riitä luottamuksellisten tai rajoitettujen tietojen hävittämiseen, koska tiedostojen palautustyökalut voivat rekonstruoida ne.

Data Loss Prevention (DLP) -työkalut valvovat luokittelukäytäntöjen noudattamista automaattisesti. Sisältöä tarkistava DLP etsii tiedostoista ja verkkoliikenteestä luokittelukriteerejä vastaavia malleja, kuten SSN-tunnuksia, luottokorttinumeroita ja terveyteen liittyviä avainsanoja. Päätepisteiden DLP estää luokiteltujen tietojen kopioinnin USB-asemille tai lataamisen hyväksymättömiin pilvipalveluihin. Verkon DLP tarkastaa lähtevän liikenteen. Koneoppimiseen perustuvat luokittelutyökalut voivat merkitä jäsentämättömiä tietoja, kuten asiakirjoja ja sähköposteja, automaattisesti sisältöanalyysin perusteella.

Tässä oppitunnissa opitte, että tietojen luokittelu jakaa tiedot julkisiin, sisäisiin, luottamuksellisiin ja rajoitettuihin luokkiin niiden arkaluonteisuuden ja vaikutusten perusteella, tietojen omistajat tekevät luokittelupäätökset ja säilyttäjät toteuttavat hallintakeinot, ja luokittelu määrittää kunkin luokan salaus-, pääsynhallinta- ja hävittämisvaatimukset. Seuraavaksi tutustumme GDPR:n periaatteisiin ja rekisteröityjen oikeuksiin.