Mengklasifikasikan Data

Anda tidak dapat melindungi sesuatu yang belum dikategorikan. Klasifikasi data memberi label pada informasi berdasarkan tingkat sensitivitasnya agar kontrol, aturan akses, dan kebijakan DLP yang tepat dapat diterapkan. Klasifikasi data merupakan fondasi DLP dan sebagian besar program kepatuhan.

Skema empat tingkat yang umum:

• Publik: aman untuk dibagikan secara bebas.
• Internal: untuk karyawan, dampak kebocoran rendah.
• Rahasia: sensitif, dengan akses terbatas.
• Terbatas / Sangat Rahasia: tingkat sensitivitas tertinggi, dengan kontrol ketat.

Hubungkan setiap tingkat dengan contoh konkret agar staf mengetahui kategori data yang tepat:

• Publik: brosur pemasaran.
• Internal: bagan organisasi, catatan rapat.
• Rahasia: PII pelanggan, kontrak.
• Terbatas: data kartu, catatan kesehatan, rahasia.

Beberapa data memiliki konsekuensi hukum:

• PII: informasi yang dapat mengidentifikasi seseorang (GDPR).
• PCI: data pemegang kartu.
• PHI: informasi kesehatan yang dilindungi (HIPAA).

Data-data ini biasanya dipetakan ke kategori Rahasia atau Terbatas.

Klasifikasi menjadi berguna ketika diberi label, yaitu dengan menempelkan kategori pada data agar alat dapat menindaklanjutinya.

• Label metadata yang disimpan bersama berkas.
• Penanda visual pada kepala/kaki halaman.
• Kepala/label dalam surat elektronik dan dokumen.

Dua pendekatan yang sering digabungkan:

• Manual: pembuat memilih label saat membuat data; akurat tetapi tidak konsisten.
• Otomatis: alat memindai konten dan menerapkan label berdasarkan pola; dapat diterapkan dalam skala besar tetapi memerlukan penyempurnaan.

Sebagian besar organisasi sudah memiliki data tanpa label di berbagai tempat. Alat penemuan data menelusuri folder bersama, basis data, dan penyimpanan awan untuk menemukan serta mengklasifikasikan data sensitif yang sudah ada.

Label menentukan aturan penanganan:

• Terbatas: enkripsi, catat akses, dan blokir berbagi ke pihak luar.
• Rahasia: batasi akses berdasarkan kebutuhan untuk tahu.
• Publik: tanpa pembatasan.

Kebijakan DLP merujuk pada label untuk menentukan apakah suatu transfer harus diblokir.

Setiap kelas harus menentukan cara data disimpan, dikirimkan, dibagikan, serta lamanya data disimpan. Data terbatas mungkin memerlukan enkripsi dan masa penyimpanan singkat; data publik tidak memerlukan semua itu. Dokumentasikan hal ini dalam standar penanganan data.

Sensitivitas data berubah seiring waktu. Laporan pendapatan rahasia menjadi publik setelah dirilis. Tentukan kapan dan bagaimana data diklasifikasikan ulang atau diturunkan tingkat klasifikasinya agar kontrol tetap sebanding.

Program klasifikasi gagal ketika:

• Terlalu banyak tingkat membingungkan pengguna (batasi menjadi 3–4).
• Label tidak diberlakukan oleh alat.
• Data lama tidak pernah ditemukan dan diberi label.
• Tidak ada penanggung jawab yang jelas untuk memelihara skema.

Terapkan tingkat klasifikasi.

Klasifikasi adalah dasar perlindungan data:

• Gunakan skema bertingkat yang sederhana (dari Publik hingga Terbatas).
• Beri label pada data melalui metadata, penandaan, dan tag.
• Gabungkan klasifikasi manual dan otomatis dengan penemuan data.
• Biarkan label menentukan penanganan, masa penyimpanan, dan kontrol DLP.