Classificação de Dados

Não é possível proteger o que não foi categorizado. A classificação de dados rotula as informações por nível de sensibilidade para que os controles, as regras de acesso e as políticas de DLP adequados sejam aplicados. Ela é a base do DLP e da maioria dos programas de conformidade.

Um esquema comum de quatro níveis:

• Público: seguro para compartilhar livremente.
• Interno: destinado aos funcionários, com pouco impacto se vazado.
• Confidencial: sensível, com acesso restrito.
• Restrito / Secreto: nível máximo de sensibilidade, com controles rigorosos.

Associe os níveis a exemplos concretos para que a equipe saiba onde cada dado se encaixa:

• Público: materiais de divulgação.
• Interno: organogramas e anotações de reunião.
• Confidencial: PII de clientes e contratos.
• Restrito: dados de cartões, registros de saúde e segredos.

Alguns dados têm implicações legais:

• PII: informações de identificação pessoal (GDPR).
• PCI: dados do titular do cartão.
• PHI: informações de saúde protegidas (HIPAA).

Esses dados geralmente são classificados como Confidenciais ou Restritos.

A classificação se torna útil quando os dados são rotulados, associando a categoria a eles para que as ferramentas possam agir.

• Rótulos de metadados armazenados com o arquivo.
• Marcações visuais em cabeçalhos e rodapés.
• Cabeçalhos/etiquetas em e-mails e documentos.

Duas abordagens, geralmente combinadas:

• Manual: o autor escolhe um rótulo ao criar o conteúdo; é precisa, mas inconsistente.
• Automatizada: as ferramentas analisam o conteúdo e aplicam rótulos com base em padrões; é escalável, mas precisa de ajustes.

A maioria das organizações já tem dados sem rótulo espalhados por toda parte. As ferramentas de descoberta de dados percorrem compartilhamentos de arquivos, bancos de dados e armazenamento na nuvem para localizar e classificar os dados confidenciais existentes.

O rótulo determina as regras de tratamento:

• Restrito: criptografar, registrar os acessos e bloquear o compartilhamento externo.
• Confidencial: restringir o acesso a quem precisa saber.
• Público: sem restrições.

As políticas de DLP consultam os rótulos para decidir se uma transferência deve ser bloqueada.

Cada classe deve definir como os dados são armazenados, transmitidos e compartilhados, e por quanto tempo são mantidos. Os dados restritos podem exigir criptografia e retenção curta; os dados públicos não têm nenhuma dessas exigências. Documente isso em um padrão de tratamento de dados.

A sensibilidade dos dados muda com o tempo. Um relatório confidencial de resultados financeiros se torna público após sua divulgação. Defina quando e como os dados são reclassificados ou rebaixados para que os controles continuem proporcionais.

Os programas de classificação falham quando:

• Muitos níveis confundem os usuários (mantenha 3-4).
• As ferramentas não impõem os rótulos.
• Os dados legados nunca são descobertos nem rotulados.
• Não há um responsável claro por manter o esquema.

Aplique os níveis de classificação.

A classificação é a base da proteção de dados:

• Use um esquema simples em níveis, de Público a Restrito.
• Rotule os dados por meio de metadados, marcações e etiquetas.
• Combine classificação manual e automatizada com descoberta.
• Deixe o rótulo orientar o tratamento, a retenção e os controles de DLP.