Classificazione dei dati

Non è possibile proteggere ciò che non è stato classificato. La classificazione dei dati assegna etichette alle informazioni in base alla sensibilità, così da applicare i controlli, le regole di accesso e le policy DLP corrette. È la base del DLP e della maggior parte dei programmi di conformità.

Uno schema comune a quattro livelli:

• Pubblico: può essere condiviso liberamente.
• Interno: destinato ai dipendenti, con danni limitati in caso di divulgazione.
• Confidenziale: sensibile, con accesso limitato.
• Riservato / Segreto: massima sensibilità, controlli rigorosi.

Colleghi i livelli a esempi concreti, così il personale sa dove collocare i dati:

• Pubblico: materiali di marketing.
• Interno: organigrammi, note delle riunioni.
• Confidenziale: PII dei clienti, contratti.
• Riservato: dati delle carte, cartelle sanitarie, segreti.

Alcuni dati hanno rilevanza legale:

• PII: informazioni personali identificabili (GDPR).
• PCI: dati dei titolari delle carte.
• PHI: informazioni sanitarie protette (HIPAA).

Questi dati rientrano generalmente in Confidenziale o Riservato.

La classificazione diventa utile quando i dati vengono etichettati, associando loro la categoria affinché gli strumenti possano agire di conseguenza.

• Etichette di metadati memorizzate insieme al file.
• Contrassegni visivi nelle intestazioni/piè di pagina.
• Intestazioni/tag nelle email e nei documenti.

Due approcci, spesso combinati:

• Manuale: l'autore sceglie un'etichetta al momento della creazione; precisa ma incoerente.
• Automatizzata: gli strumenti analizzano il contenuto e applicano etichette in base ai pattern; facilmente scalabile, ma richiede messa a punto.

La maggior parte delle organizzazioni dispone già di dati non classificati in ogni area. Gli strumenti di data discovery analizzano condivisioni di file, database e archiviazione cloud per trovare e classificare i dati sensibili esistenti.

L'etichetta determina le regole di trattamento:

• Restricted: cifrare, registrare gli accessi, bloccare la condivisione esterna.
• Confidential: limitare l'accesso a chi ne ha necessità.
• Public: nessuna restrizione.

Le policy DLP fanno riferimento alle etichette per decidere se bloccare un trasferimento.

Ogni classe dovrebbe definire come vengono archiviati, trasmessi e condivisi i dati e per quanto tempo vengono conservati. I dati Restricted possono richiedere la cifratura e un periodo di conservazione breve; per i dati Public non sono previste restrizioni. Documentate queste regole in uno standard per il trattamento dei dati.

La sensibilità dei dati cambia nel tempo. Un rapporto sugli utili classificato come Confidential diventa Public dopo la pubblicazione. Definite quando e come i dati vengono riclassificati o declassati, in modo che i controlli restino proporzionati.

I programmi di classificazione falliscono quando:

• Troppi livelli confondono gli utenti (mantenetene 3-4).
• Le etichette non vengono applicate dagli strumenti.
• I dati legacy non vengono mai individuati e classificati.
• Non esiste un responsabile chiaro che mantenga lo schema.

Applicate i livelli di classificazione.

La classificazione è il fondamento della protezione dei dati:

• Utilizzate uno schema gerarchico semplice (da Public a Restricted).
• Etichettate i dati tramite metadati, contrassegni e tag.
• Combinate classificazione manuale e automatica con il data discovery.
• Lasciate che l'etichetta determini i controlli di trattamento, conservazione e DLP.