Dataklassifisering: offentlig, intern, konfidensiell og begrenset

Offentlige klassifiseringssystemer skiller seg fra kommersielle systemer. Amerikanske myndighetsdata klassifiseres som Unclassified, Controlled Unclassified Information (CUI), Confidential, Secret og Top Secret. Top Secret/SCI (Sensitive Compartmented Information) er det høyeste nivået og krever spesialiserte lokaler (SCIF-er) og bakgrunnsundersøkelser. Security+-eksamenen tester både kommersielle og offentlige klassifiseringsordninger samt klareringsprosessene som følger med offentlige klassifiseringer.

Dataeieren (en seniorrolle i virksomheten, ikke IT-teamet) har ansvar for å klassifisere data og sørge for at riktige sikkerhetstiltak brukes. Dataforvalteren er IT-medarbeideren som implementerer og vedlikeholder sikkerhetstiltak på vegne av dataeieren. Dette skillet er viktig: Eieren tar klassifiseringsbeslutningen, mens forvalteren håndhever den. Når dataeiere ikke involveres, blir data ofte stående uklassifisert eller automatisk plassert på det laveste nivået. Det skaper skjult risiko i datasett med høy verdi.

Når data er klassifisert, må de merkes slik at de som håndterer dem, kjenner kravene. Digital merking omfatter metadataetiketter, filegenskaper, dokumenthoder, bunntekster og vannmerker. Fysisk merking gjelder trykte dokumenter, lagringsmedier og utstyr. Hvert klassifiseringsnivå har bestemte håndteringsregler: Restricted-data kan kreve kryptering under overføring og ved lagring, tilgang for to personer ved sikkerhetskopier, makulering i stedet for resirkulering og forbud mot skylagringstjenester som ikke er godkjent av sikkerhetsteamet.

Klassifiseringen avgjør direkte hvilke krav som gjelder for kryptering. Public-data trenger vanligvis ikke kryptering. Internal-data bør krypteres under overføring (TLS). Confidential-data krever kryptering både under overføring og ved lagring, samt tilgangslogger. Restricted-data krever vanligvis sterk kryptering (AES-256), hardware security modules (HSM-er) til nøkkelhåndtering, databasekryptering på feltnivå og regelmessig bytte av nøkler. Data Loss Prevention-verktøy (DLP) bruker klassifiseringsetiketter til å utløse varsler eller blokkere overføringer av sensitive data.

Klassifisering legger grunnlaget for beslutninger om tilgangskontroll på alle nivåer. Begrensede data skal bare være tilgjengelige for personer som kan dokumentere et tjenstlig behov for tilgang. Dette gjennomføres ved hjelp av rollebasert eller attributtbasert tilgangskontroll. Klassifisering påvirker også administrasjon av privilegert tilgang: En databaseadministrator som teknisk sett kan få tilgang til alle tabeller, skal nektes tilgang til tabeller med begrenset klassifisering med mindre rollen uttrykkelig krever det. Tilgangsgjennomganger skal bekrefte på nytt at ingen brukere beholder tilgang utover behovet sitt.

PII er alle data som kan identifisere en bestemt person – navn, adresse, Social Security-nummer, e-postadresse, telefonnummer, biometriske data eller enhetsidentifikatorer. PII faller vanligvis inn under klassifiseringsnivået Konfidensiell eller Begrenset. Organisasjoner må kartlegge hvor PII finnes (dataoppdagelse), klassifisere opplysningene på riktig måte, iverksette kontroller som kreves av regelverk (GDPR, CCPA, HIPAA) og definere regler for oppbevaring og kassering. Sensitiv PII – økonomiske, helserelaterte og biometriske opplysninger – krever sterkere beskyttelse enn generell PII.

PHI er alle individuelt identifiserbare helseopplysninger som er beskyttet av HIPAA. Dette omfatter diagnoser, behandlingsjournaler, faktureringskoder og alle data som kan knyttes til en pasient. PHI klassifiseres alltid på nivået Begrenset og krever kryptering, revisjonsspor, tilgang etter minste nødvendige omfang, avtaler med forretningsforbindelser (BAA-er) og varsling om brudd innen 60 dager etter at bruddet er oppdaget. Et brudd på PHI utløser regulatoriske forpliktelser som et brudd på data klassifisert som Interne ikke ville ha gjort.

Klassifisering gjelder gjennom hele datasyklusen. Når data når slutten av oppbevaringsperioden, må de destrueres i henhold til klassifiseringsnivået. Begrensede data krever kryptografisk sletting (ødeleggelse av krypteringsnøkler), avmagnetisering (magnetisk destruksjon), fysisk makulering eller tømming i samsvar med NIST 800-88. Det er ikke tilstrekkelig å bare slette filer eller formatere disker for konfidensielle eller begrensede data, fordi verktøy for filgjenoppretting kan rekonstruere dem.

Verktøy for Data Loss Prevention (DLP) håndhever klassifiseringspolicyer automatisk. DLP for innholdsinspeksjon skanner filer og nettverkstrafikk etter mønstre som samsvarer med klassifiseringskriterier (SSN-er, kredittkortnumre og helseopplysninger). DLP på endepunkter hindrer at klassifiserte data kopieres til USB-stasjoner eller lastes opp til ikke-godkjente skytjenester. DLP i nettverket inspiserer utgående trafikk. Klassifiseringsverktøy basert på maskinlæring kan merke ustrukturerte data automatisk, for eksempel dokumenter og e-poster, basert på innholdsanalyse.

I denne leksjonen lærte De at dataklassifisering organiserer data i nivåene Offentlige, Interne, Konfidensielle og Begrensede basert på sensitivitet og konsekvens, at dataeiere tar klassifiseringsbeslutninger mens forvaltere implementerer kontroller, og at klassifisering styrer kravene til kryptering, tilgangskontroll og destruksjon for hvert nivå. Deretter skal vi se nærmere på GDPR-prinsipper og registrertes rettigheter.