Klasifikasi Data: Publik, Internal, Rahasia, Terbatas

Klasifikasi Data adalah proses mengatur Data ke dalam kategori berdasarkan sensitivitasnya serta dampak pengungkapan, perubahan, atau kehilangan yang tidak sah. Klasifikasi menentukan setiap keputusan Security berikutnya: Encryption apa yang diperlukan, siapa yang dapat mengakses Data, bagaimana Data harus disimpan dan dikirimkan, serta berapa lama Data harus dipertahankan. Tanpa klasifikasi, organisasi menerapkan terlalu banyak Control (memboroskan sumber daya) atau terlalu sedikit (membiarkan Data sensitif tidak terlindungi).

Sebagian besar organisasi Commercial menggunakan empat tingkat klasifikasi. Data Public dapat dibagikan secara bebas kepada siapa pun — materi Marketing, siaran pers. Data Internal (atau Private) bukan rahasia, tetapi tidak boleh dibagikan ke luar organisasi — direktori karyawan, kebijakan Internal. Data Confidential memerlukan Protection karena pengungkapan yang tidak sah merugikan organisasi — laporan keuangan, Contracts. Data Restricted (atau Highly Confidential) memiliki Controls paling ketat — rahasia dagang, PII, informasi kesehatan yang dilindungi, kredensial.

Sistem klasifikasi Government berbeda dari sistem Commercial. Data Government US diklasifikasikan sebagai Unclassified, Controlled Unclassified Information (CUI), Confidential, Secret, dan Top Secret. Top Secret/SCI (Sensitive Compartmented Information) adalah tingkat tertinggi, yang memerlukan fasilitas khusus (SCIFs) dan penyelidikan latar belakang. Ujian Security+ menguji skema klasifikasi Commercial dan Government, serta proses pemberian izin keamanan yang menyertai klasifikasi Government.

pemilik Data (peran bisnis senior, bukan tim IT) bertanggung jawab mengklasifikasikan Data dan memastikan Controls yang sesuai diterapkan. penjaga Data adalah profesional IT yang menerapkan dan memelihara Controls atas nama pemilik. Perbedaan ini penting: pemilik membuat keputusan klasifikasi; penjaga menegakkannya. Ketika pemilik Data tidak terlibat, Data sering tetap tidak terklasifikasi atau secara otomatis masuk ke tingkat terendah, sehingga menciptakan risiko tersembunyi pada kumpulan Data bernilai tinggi.

Setelah Data diklasifikasikan, label harus diterapkan agar pihak yang menanganinya mengetahui persyaratan yang berlaku. Pelabelan digital mencakup tag metadata, properti file, header dan footer dokumen, serta watermark. Pelabelan fisik berlaku untuk dokumen cetak, Media penyimpanan, dan peralatan. Setiap tingkat klasifikasi memiliki aturan penanganan tertentu: Data Restricted mungkin memerlukan Encryption saat transit dan saat tersimpan, akses oleh dua orang untuk backup, penghancuran dengan mesin penghancur alih-alih daur ulang, serta larangan menyimpan Data di Service cloud yang tidak disetujui oleh tim Security.

Klasifikasi secara langsung menentukan persyaratan Encryption. Data Public biasanya tidak memerlukan Encryption. Data Internal sebaiknya dienkripsi saat transit (TLS). Data Confidential memerlukan Encryption baik saat transit maupun saat tersimpan, disertai Log akses. Data Restricted biasanya memerlukan Encryption kuat (AES-256), hardware security modules (HSMs) untuk manajemen kunci, Encryption basis Data pada tingkat field, dan rotasi kunci secara berkala. Alat Data Loss Prevention (DLP) menggunakan label klasifikasi untuk memicu peringatan atau memblokir transfer Data sensitif.

Klasifikasi menjadi dasar bagi keputusan pengendalian akses di setiap lapisan. Data Restricted hanya boleh diakses oleh individu yang terbukti memiliki kebutuhan untuk mengetahuinya, yang diterapkan melalui pengendalian akses berbasis peran atau berbasis atribut. Klasifikasi juga memengaruhi manajemen akses istimewa: administrator basis data yang secara teknis dapat mengakses semua tabel harus dibatasi agar tidak dapat mengakses tabel berklasifikasi Restricted, kecuali perannya memang secara eksplisit memerlukannya. Peninjauan akses harus memverifikasi kembali bahwa tidak ada pengguna yang tetap memiliki akses melebihi kebutuhannya.

PII adalah data apa pun yang dapat mengidentifikasi individu tertentu — nama, alamat, Nomor Jaminan Sosial, email, nomor telepon, data biometrik, atau pengidentifikasi perangkat. PII biasanya termasuk dalam tingkat klasifikasi Confidential atau Restricted. Organisasi harus memetakan lokasi PII (penemuan data), mengklasifikasikannya dengan tepat, menerapkan pengendalian yang diwajibkan oleh peraturan (GDPR, CCPA, HIPAA), serta menetapkan aturan penyimpanan dan pemusnahan. PII sensitif — keuangan, kesehatan, dan biometrik — memerlukan perlindungan yang lebih kuat daripada PII umum.

PHI adalah informasi kesehatan apa pun yang dapat mengidentifikasi individu dan dilindungi oleh HIPAA. Informasi ini mencakup diagnosis, catatan perawatan, kode penagihan, serta data apa pun yang dapat dikaitkan dengan pasien. PHI selalu diklasifikasikan pada tingkat Restricted dan memerlukan: enkripsi, jejak audit, akses minimum yang diperlukan, perjanjian rekanan bisnis (BAA) dengan vendor, serta notifikasi pelanggaran dalam waktu 60 hari sejak ditemukan. Pelanggaran PHI memicu kewajiban regulasi yang tidak berlaku untuk pelanggaran data berklasifikasi Internal.

Klasifikasi berlaku sepanjang siklus hidup data. Ketika data mencapai akhir masa penyimpanannya, data tersebut harus dimusnahkan sesuai dengan tingkat klasifikasinya. Data Restricted memerlukan penghapusan kriptografis (memusnahkan kunci enkripsi), demagnetisasi (pemusnahan magnetis), pencacahan fisik, atau pembersihan yang sesuai dengan NIST 800-88. Menghapus file atau memformat ulang drive saja tidak cukup untuk data Confidential atau Restricted karena alat pemulihan file dapat merekonstruksinya.

Alat Pencegahan Kehilangan Data (DLP) menerapkan kebijakan klasifikasi secara otomatis. DLP inspeksi konten memindai file dan lalu lintas jaringan untuk mencari pola yang sesuai dengan kriteria klasifikasi (nomor Jaminan Sosial, nomor kartu kredit, kata kunci kesehatan). DLP titik akhir mencegah data berklasifikasi disalin ke drive USB atau diunggah ke layanan cloud yang tidak disetujui. DLP jaringan memeriksa lalu lintas keluar. Alat klasifikasi berbasis pembelajaran mesin dapat memberi tag otomatis pada data tidak terstruktur seperti dokumen dan email berdasarkan analisis konten.

Uji pemahaman Anda tentang konsep CompTIA Security+ (SY0-701) dari pelajaran ini.

Dalam pelajaran ini Anda mempelajari: klasifikasi data mengatur data ke dalam tingkat Public, Internal, Confidential, dan Restricted berdasarkan sensitivitas dan dampaknya, pemilik data membuat keputusan klasifikasi sementara pengelola menerapkan pengendalian, dan klasifikasi menentukan persyaratan enkripsi, pengendalian akses, dan pemusnahan untuk setiap tingkat. Selanjutnya kita akan membahas prinsip-prinsip GDPR dan hak subjek data.