데이터 분류

분류하지 않은 데이터는 보호할 수 없습니다. 데이터 분류는 민감도에 따라 정보에 레이블을 지정하여 적절한 통제, 접근 규칙 및 DLP 정책이 적용되도록 합니다. 이는 DLP와 대부분의 규정 준수 프로그램의 기반입니다.

일반적인 네 단계 체계는 다음과 같습니다.

• 공개: 자유롭게 공유해도 안전합니다.
• 내부: 직원용이며 유출되어도 피해가 적습니다.
• 기밀: 민감한 정보이므로 접근이 제한됩니다.
• 제한 / 비밀: 민감도가 가장 높고 엄격한 통제가 적용됩니다.

직원이 데이터의 분류를 알 수 있도록 각 등급을 구체적인 예에 연결해야 합니다.

• 공개: 마케팅 안내서
• 내부: 조직도, 회의 메모
• 기밀: 고객 PII, 계약서
• 제한: 카드 데이터, 건강 기록, 비밀 정보

일부 데이터는 법적으로 중요하게 취급됩니다.

• PII: 개인 식별 정보(GDPR)
• PCI: 카드 소유자 데이터
• PHI: 보호되는 건강 정보(HIPAA)

이러한 데이터는 일반적으로 기밀 또는 제한 등급에 해당합니다.

분류는 데이터에 범주를 연결하는 레이블 지정을 해야 도구가 해당 분류에 따라 조치를 취할 수 있어 유용해집니다.

• 파일과 함께 저장되는 메타데이터 레이블
• 머리글과 바닥글에 표시되는 시각적 표시
• 전자우편과 문서의 머리글/태그

두 가지 접근 방식을 함께 사용하는 경우가 많습니다.

• 수동: 작성자가 생성할 때 레이블을 선택합니다. 정확하지만 일관성이 떨어집니다.
• 자동: 도구가 콘텐츠를 검사하고 패턴에 따라 레이블을 적용합니다. 확장성이 높지만 조정이 필요합니다.

대부분의 조직에는 이미 곳곳에 레이블이 지정되지 않은 데이터가 있습니다. 데이터 탐색 도구는 파일 공유 저장소, 데이터베이스, 클라우드 저장소를 검색하여 기존의 민감한 데이터를 찾고 분류합니다.

레이블에 따라 처리 규칙이 결정됩니다:

• 제한됨: 암호화하고, 접근을 기록하며, 외부 공유를 차단합니다.
• 기밀: 업무상 알아야 할 필요가 있는 사람으로 제한합니다.
• 공개: 제한이 없습니다.

DLP 정책은 레이블을 참조하여 전송을 차단할지 결정합니다.

각 등급에서는 데이터를 저장하고, 전송하고, 공유하는 방법과 보존 기간을 정의해야 합니다. 제한된 데이터에는 암호화와 짧은 보존 기간이 필요할 수 있지만, 공개 데이터에는 그러한 요구 사항이 없습니다. 이 내용을 데이터 처리 표준에 문서화합니다.

데이터의 민감도는 시간이 지나면서 바뀝니다. 기밀 수익 보고서는 공개된 후 공개 데이터가 됩니다. 데이터의 재분류 또는 등급 하향이 이루어지는 시점과 방법을 정의하여 통제가 적절한 수준으로 유지되도록 합니다.

다음과 같은 경우 분류 프로그램이 실패합니다:

• 등급이 너무 많아 사용자가 혼란을 겪습니다(3~4개로 유지합니다).
• 도구가 레이블을 적용하지 않습니다.
• 기존 데이터를 검색하고 레이블을 지정하지 않습니다.
• 분류 체계를 관리할 명확한 담당자가 없습니다.

분류 등급을 적용해 보십시오.

분류는 데이터 보호의 기반입니다:

• 간단한 등급 체계를 사용합니다(공개에서 제한됨까지).
• 메타데이터, 표기 및 태그를 통해 데이터에 레이블을 지정합니다.
• 수동 및 자동 분류를 데이터 탐색과 함께 사용합니다.
• 레이블에 따라 처리, 보존 기간 및 DLP 통제가 결정되도록 합니다.