Gegevens classificeren

Koppel niveaus aan concrete voorbeelden, zodat medewerkers weten waar gegevens thuishoren:

• Openbaar: marketingbrochures.
• Intern: organogrammen, vergadernotities.
• Vertrouwelijk: PII van klanten, contracten.
• Beperkt: kaartgegevens, gezondheidsgegevens, geheimen.

Sommige gegevens hebben juridische betekenis:

• PII: persoonlijk identificeerbare informatie (GDPR).
• PCI: gegevens van kaarthouders.
• PHI: beschermde gezondheidsinformatie (HIPAA).

Deze vallen meestal onder Vertrouwelijk of Beperkt.

Classificatie wordt nuttig wanneer deze wordt gelabeld: de categorie wordt aan de gegevens gekoppeld, zodat hulpmiddelen ermee kunnen werken.

• Metadatalabels die bij het bestand worden opgeslagen.
• Visuele markeringen in kopteksten en voetteksten.
• Kopteksten en labels in e-mails en documenten.

Twee benaderingen, die vaak worden gecombineerd:

• Handmatig: de auteur kiest bij het maken een label; nauwkeurig maar inconsistent.
• Geautomatiseerd: hulpmiddelen scannen de inhoud en passen labels toe op basis van patronen; schaalbaar maar vereist afstemming.

De meeste organisaties hebben overal al gegevens zonder label. Hulpmiddelen voor gegevensontdekking doorzoeken gedeelde bestandslocaties, databases en cloudopslag om bestaande gevoelige gegevens te vinden en te classificeren.

Het label bepaalt de verwerkingsregels:

• Beperkt: versleutel gegevens, registreer toegang en blokkeer delen met externe partijen.
• Vertrouwelijk: beperk toegang tot personen die deze nodig hebben.
• Openbaar: geen beperkingen.

DLP-beleid verwijst naar labels om te bepalen of een overdracht moet worden geblokkeerd.

Elke klasse moet bepalen hoe gegevens worden opgeslagen, verzonden en gedeeld, en hoe lang ze worden bewaard. Voor beperkte gegevens kunnen versleuteling en een korte bewaartermijn nodig zijn; voor openbare gegevens gelden geen van beide. Leg dit vast in een norm voor gegevensverwerking.

De gevoeligheid van gegevens verandert in de loop van de tijd. Een vertrouwelijk winstrapport wordt openbaar nadat het is gepubliceerd. Bepaal wanneer en hoe gegevens opnieuw worden geclassificeerd of in een lagere klasse worden ingedeeld, zodat de maatregelen proportioneel blijven.

Classificatieprogramma's mislukken wanneer:

• Te veel niveaus gebruikers in verwarring brengen (houd het bij 3 à 4).
• Labels niet door hulpmiddelen worden afgedwongen.
• Verouderde gegevens nooit worden ontdekt en gelabeld.
• Niemand duidelijk verantwoordelijk is voor het beheer van de indeling.

Classificatie is de basis van gegevensbescherming:

• Gebruik een eenvoudige indeling in niveaus (van Openbaar tot Beperkt).
• Label gegevens met metagegevens, markeringen en tags.
• Combineer handmatige en geautomatiseerde classificatie met gegevensontdekking.
• Laat het label de verwerking, bewaartermijn en DLP-maatregelen bepalen.