データの分類

分類していないものを保護することはできません。データ分類では、情報を機密性に応じてラベル付けし、適切な統制、アクセスルール、DLPポリシーを適用できるようにします。これはDLPと、ほとんどのコンプライアンスプログラムの基盤です。

一般的な4段階の分類体系は次のとおりです。

• Public：自由に共有しても安全です。
• Internal：従業員向けで、漏えいしても被害が小さい情報です。
• Confidential：機密性が高く、アクセスが制限される情報です。
• Restricted / Secret：最も機密性が高く、厳格な統制が必要な情報です。

スタッフがデータの分類先を判断できるよう、各段階を具体例と結び付けます。

• Public：マーケティング用パンフレット。
• Internal：組織図、会議メモ。
• Confidential：顧客のPII、契約書。
• Restricted：カードデータ、医療記録、秘密情報。

法的な規制の対象となるデータもあります。

• PII：個人を特定できる情報（GDPR）。
• PCI：カード会員データ。
• PHI：保護対象医療情報（HIPAA）。

これらは通常、ConfidentialまたはRestrictedに分類します。

分類は、データにカテゴリを付加してツールがそのカテゴリに基づいて処理できるようラベル付けすると、実用的になります。

• ファイルとともに保存されるメタデータラベル。
• ヘッダーやフッターに表示する視覚的な表示。
• メールや文書に付けるヘッダー／タグ。

多くの場合、次の2つの方法を組み合わせます。

• 手動：作成時に作成者がラベルを選択します。正確ですが、一貫性に欠けます。
• 自動：ツールがコンテンツをスキャンし、パターンに基づいてラベルを適用します。拡張性がありますが、調整が必要です。

ほとんどの組織では、ラベル付けされていないデータがすでにあらゆる場所に存在します。データディスカバリーツールは、ファイル共有、データベース、クラウドストレージを走査して、既存の機密データを見つけて分類します。

ラベルによって取扱ルールが決まります。

• 制限付き：暗号化し、アクセスを記録し、外部共有をブロックします。
• 機密：知る必要のある人に限定します。
• 公開：制限はありません。

DLPポリシーはラベルを参照して、転送をブロックするかどうかを判断します。

各分類では、データの保存方法、送信方法、共有方法、および保持期間を定義する必要があります。制限付きデータには暗号化や短い保持期間が必要になる場合がありますが、公開データには特別な要件はありません。これをデータ取扱基準に記載します。

データの機密性は時間とともに変化します。機密の業績報告書も、公開後は公開データになります。制御が適切なレベルに保たれるよう、データをいつ、どのように再分類または格下げするかを定義します。

分類プログラムは、次のような場合に失敗します。

• 階層が多すぎてユーザーが混乱する（3～4段階に抑えます）。
• ラベルがツールによって適用されていない。
• レガシーデータが発見もラベル付けもされていない。
• 分類体系を維持する明確な責任者がいない。

分類階層を適用します。

分類はデータ保護の基盤です。

• シンプルな階層型の体系（公開から制限付きまで）を使用します。
• メタデータ、マーキング、タグによってデータにラベルを付けます。
• 手動分類と自動分類に加えて、データディスカバリーも組み合わせます。
• ラベルによって取扱い、保持、DLP制御を決定します。