Klasyfikacja danych: publiczne, wewnętrzne, poufne, zastrzeżone

Klasyfikacja danych to proces porządkowania danych w kategorie na podstawie ich wrażliwości oraz wpływu nieuprawnionego ujawnienia, modyfikacji lub utraty. Klasyfikacja wyznacza wszystkie kolejne decyzje dotyczące bezpieczeństwa: wymagany poziom szyfrowania, osoby uprawnione do dostępu, sposób przechowywania i przesyłania danych oraz okres ich przechowywania. Bez klasyfikacji organizacje stosują albo zbyt wiele zabezpieczeń (marnując zasoby), albo zbyt mało (pozostawiając wrażliwe dane bez ochrony).

Większość organizacji komercyjnych stosuje cztery poziomy klasyfikacji. Dane Public można swobodnie udostępniać wszystkim — są to na przykład materiały marketingowe i komunikaty prasowe. Dane Internal (lub Private) nie są tajne, ale nie należy ich udostępniać poza organizacją — są to na przykład katalogi pracowników i polityki wewnętrzne. Dane Confidential wymagają ochrony, ponieważ ich nieuprawnione ujawnienie szkodzi organizacji — są to na przykład raporty finansowe i umowy. Dane Restricted (lub Highly Confidential) podlegają najsurowszym zabezpieczeniom — są to na przykład tajemnice handlowe, PII, chronione informacje zdrowotne i dane uwierzytelniające.

Rządowe systemy klasyfikacji różnią się od komercyjnych. Dane rządu Stanów Zjednoczonych klasyfikuje się jako Unclassified, Controlled Unclassified Information (CUI), Confidential, Secret oraz Top Secret. Top Secret/SCI (Sensitive Compartmented Information) to najwyższy poziom, który wymaga specjalistycznych obiektów (SCIF) i postępowań sprawdzających. Egzamin Security+ sprawdza znajomość zarówno komercyjnych, jak i rządowych schematów klasyfikacji oraz procesów uzyskiwania poświadczeń bezpieczeństwa związanych z klasyfikacją rządową.

Właściciel danych (osoba pełniąca wyższą funkcję biznesową, a nie członek zespołu IT) odpowiada za klasyfikowanie danych i zapewnienie zastosowania odpowiednich zabezpieczeń. Opiekun danych to specjalista IT, który w imieniu właściciela wdraża i utrzymuje zabezpieczenia. To rozróżnienie jest istotne: właściciel podejmuje decyzję o klasyfikacji, a opiekun ją egzekwuje. Gdy właściciele danych nie angażują się w ten proces, dane często pozostają niesklasyfikowane albo trafiają domyślnie do najniższej kategorii, co tworzy ukryte ryzyko w przypadku cennych zbiorów danych.

Po sklasyfikowaniu danych należy zastosować etykiety, aby osoby nimi dysponujące znały obowiązujące wymagania. Etykietowanie cyfrowe obejmuje znaczniki metadanych, właściwości plików, nagłówki i stopki dokumentów oraz znaki wodne. Etykietowanie fizyczne dotyczy drukowanych dokumentów, nośników danych i sprzętu. Każdy poziom klasyfikacji wiąże się z określonymi zasadami postępowania: dane Restricted mogą wymagać szyfrowania podczas przesyłania i przechowywania, dostępu do kopii zapasowych przez dwie osoby, niszczenia dokumentów zamiast ich recyklingu oraz zakazu korzystania z usług przechowywania w chmurze, których nie zatwierdził zespół bezpieczeństwa.

Klasyfikacja bezpośrednio określa wymagania dotyczące szyfrowania. Dane Public zazwyczaj nie wymagają szyfrowania. Dane Internal należy szyfrować podczas przesyłania (TLS). Dane Confidential wymagają szyfrowania zarówno podczas przesyłania, jak i w spoczynku, a także rejestrowania dostępu. Dane Restricted zazwyczaj wymagają silnego szyfrowania (AES-256), modułów bezpieczeństwa sprzętowego (HSM) do zarządzania kluczami, szyfrowania na poziomie pól bazy danych oraz regularnej rotacji kluczy. Narzędzia Data Loss Prevention (DLP) wykorzystują etykiety klasyfikacji do generowania alertów lub blokowania przesyłania wrażliwych danych.

Klasyfikacja wpływa na decyzje dotyczące kontroli dostępu na każdej warstwie. Dostęp do danych o ograniczonym dostępie powinny mieć wyłącznie osoby, które mają wykazaną potrzebę dostępu do tych danych. Dostęp ten należy wdrażać za pomocą kontroli dostępu opartej na rolach lub atrybutach. Klasyfikacja wpływa również na zarządzanie uprzywilejowanym dostępem: administrator bazy danych, który technicznie mógłby uzyskać dostęp do wszystkich tabel, powinien mieć zablokowany dostęp do tabel zawierających dane o ograniczonym dostępie, chyba że jego rola wyraźnie tego wymaga. Podczas przeglądów dostępu należy ponownie sprawdzać, czy żaden użytkownik nie zachował dostępu wykraczającego poza jego uzasadnioną potrzebę.

PII to wszelkie dane, które mogą zidentyfikować konkretną osobę — imię i nazwisko, adres, numer ubezpieczenia społecznego, adres e-mail, numer telefonu, dane biometryczne lub identyfikatory urządzeń. Dane PII zwykle należą do poziomu Poufne lub Ograniczone. Organizacje muszą ustalić, gdzie znajdują się dane PII (wykrywanie danych), odpowiednio je sklasyfikować, zastosować mechanizmy kontroli wymagane przez przepisy (RODO, CCPA, HIPAA), a także określić zasady przechowywania i usuwania. Wrażliwe dane PII — finansowe, zdrowotne i biometryczne — wymagają silniejszej ochrony niż ogólne dane PII.

PHI to wszelkie informacje zdrowotne umożliwiające identyfikację osoby, chronione przez HIPAA. Obejmują one diagnozy, dokumentację leczenia, kody rozliczeniowe oraz wszelkie dane, które można powiązać z pacjentem. Dane PHI zawsze klasyfikuje się na poziomie Ograniczone i wymagają one: szyfrowania, ścieżek audytowych, dostępu ograniczonego do minimum niezbędnego, umów z partnerami biznesowymi (BAA) zawieranych z dostawcami oraz powiadomienia o naruszeniu w ciągu 60 dni od jego wykrycia. Naruszenie danych PHI powoduje powstanie obowiązków regulacyjnych, które nie wystąpiłyby w przypadku naruszenia danych sklasyfikowanych jako Wewnętrzne.

Klasyfikacja obowiązuje przez cały cykl życia danych. Gdy dane osiągną koniec okresu przechowywania, należy je zniszczyć zgodnie z poziomem ich klasyfikacji. Dane o ograniczonym dostępie wymagają wymazania kryptograficznego (zniszczenia kluczy szyfrujących), rozmagnesowania (zniszczenia magnetycznego), fizycznego rozdrobnienia lub czyszczenia zgodnego z NIST 800-88. Samo usunięcie plików lub sformatowanie dysków nie wystarcza w przypadku danych poufnych lub o ograniczonym dostępie, ponieważ narzędzia do odzyskiwania plików mogą je odtworzyć.

Narzędzia Data Loss Prevention (DLP) automatycznie egzekwują zasady klasyfikacji. Narzędzia DLP przeprowadzające inspekcję zawartości skanują pliki i ruch sieciowy w poszukiwaniu wzorców odpowiadających kryteriom klasyfikacji (numery SSN, numery kart kredytowych, słowa kluczowe związane ze zdrowiem). DLP punktów końcowych zapobiega kopiowaniu sklasyfikowanych danych na dyski USB lub przesyłaniu ich do niezatwierdzonych usług chmurowych. DLP sieci sprawdza ruch wychodzący. Narzędzia klasyfikacji oparte na uczeniu maszynowym mogą automatycznie oznaczać nieustrukturyzowane dane, takie jak dokumenty i wiadomości e-mail, na podstawie analizy treści.

Sprawdź swoją znajomość zagadnień CompTIA Security+ (SY0-701) omówionych w tej lekcji.

W tej lekcji nauczyli się Państwo, że klasyfikacja danych porządkuje dane według poziomu Publiczne, Wewnętrzne, Poufne i Ograniczone, na podstawie ich wrażliwości i potencjalnego wpływu, właściciele danych podejmują decyzje dotyczące klasyfikacji, a opiekunowie danych wdrażają mechanizmy kontroli, natomiast klasyfikacja determinuje wymagania dotyczące szyfrowania, kontroli dostępu i niszczenia dla każdego poziomu. W następnej części omówimy zasady RODO i prawa osób, których dane dotyczą.