Klasyfikowanie danych

Nie można chronić czegoś, czego wcześniej nie skategoryzowano. Klasyfikacja danych oznacza informacje według poziomu wrażliwości, aby można było zastosować właściwe mechanizmy kontroli, reguły dostępu i polityki DLP. Stanowi podstawę DLP i większości programów zgodności.

Typowy schemat czteropoziomowy:

• Publiczne: można bezpiecznie udostępniać bez ograniczeń.
• Wewnętrzne: przeznaczone dla pracowników, wyciek powoduje niewielkie szkody.
• Poufne: wrażliwe, z ograniczonym dostępem.
• Zastrzeżone / Tajne: najwyższy poziom wrażliwości i rygorystyczne mechanizmy kontroli.

Poziomy należy powiązać z konkretnymi przykładami, aby pracownicy wiedzieli, gdzie zaklasyfikować dane:

• Publiczne: broszury marketingowe.
• Wewnętrzne: schematy organizacyjne, notatki ze spotkań.
• Poufne: dane osobowe klientów, umowy.
• Zastrzeżone: dane kart płatniczych, dokumentacja medyczna, sekrety.

Niektóre dane mają znaczenie prawne:

• PII: informacje umożliwiające identyfikację osoby (GDPR).
• PCI: dane posiadaczy kart.
• PHI: chronione informacje o stanie zdrowia (HIPAA).

Zwykle przypisuje się je do kategorii Poufne lub Zastrzeżone.

Klasyfikacja staje się użyteczna, gdy dane zostają oznaczone, czyli gdy kategoria zostaje do nich dołączona, aby narzędzia mogły odpowiednio działać.

• Etykiety metadanych przechowywane wraz z plikiem.
• Oznaczenia wizualne w nagłówkach i stopkach.
• Nagłówki i znaczniki w wiadomościach e-mail i dokumentach.

Stosuje się dwa podejścia, często łączone:

• Ręczne: autor wybiera etykietę podczas tworzenia dokumentu; rozwiązanie jest dokładne, ale niespójne.
• Automatyczne: narzędzia skanują treść i przypisują etykiety na podstawie wzorców; rozwiązanie dobrze się skaluje, ale wymaga dostrajania.

Większość organizacji ma już wszędzie nieoznaczone dane. Narzędzia do odkrywania danych przeszukują udziały plików, bazy danych i pamięć masową w chmurze, aby znaleźć i sklasyfikować istniejące dane wrażliwe.

Etykieta określa zasady postępowania:

• Zastrzeżone: szyfrowanie, rejestrowanie dostępu, blokowanie udostępniania na zewnątrz.
• Poufne: dostęp ograniczony do osób, które muszą go mieć.
• Publiczne: brak ograniczeń.

Reguły DLP odwołują się do etykiet, aby zdecydować, czy zablokować transfer.

Każda klasa powinna określać sposób przechowywania, przesyłania i udostępniania danych oraz czas ich przechowywania. Dane zastrzeżone mogą wymagać szyfrowania i krótkiego okresu przechowywania, natomiast dane publiczne nie wymagają żadnych ograniczeń. Należy opisać te zasady w standardzie postępowania z danymi.

Wrażliwość danych zmienia się z czasem. Poufny raport o wynikach finansowych staje się publiczny po jego opublikowaniu. Należy określić, kiedy i jak dane są reklasyfikowane lub przenoszone do niższej klasy, aby mechanizmy kontroli pozostały proporcjonalne.

Programy klasyfikacji zawodzą, gdy:

• Jest zbyt wiele poziomów i użytkownicy się w nich gubią (należy ograniczyć ich liczbę do 3–4).
• Etykiety nie są egzekwowane przez narzędzia.
• Starsze dane nigdy nie są wyszukiwane ani oznaczane.
• Brakuje jasno określonego właściciela, który utrzymuje ten schemat.

Zastosuj poziomy klasyfikacji.

Klasyfikacja stanowi podstawę ochrony danych:

• Stosuj prosty, wielopoziomowy schemat (od Publicznych do Zastrzeżonych).
• Oznaczaj dane za pomocą metadanych, oznaczeń i tagów.
• Łącz klasyfikację ręczną i automatyczną z odkrywaniem danych.
• Pozwól, aby etykieta wyznaczała zasady postępowania, przechowywania i mechanizmy kontroli DLP.