Классификация данных

Невозможно защитить то, что не классифицировано. Классификация данных присваивает информации метки по уровню чувствительности, чтобы применялись нужные меры контроля, правила доступа и политики DLP. Это основа DLP и большинства программ соответствия требованиям.

Распространенная четырехуровневая схема:

• Общедоступные: можно свободно распространять.
• Внутренние: предназначены для сотрудников, утечка причинит небольшой ущерб.
• Конфиденциальные: чувствительные данные с ограниченным доступом.
• Ограниченные / секретные: самый высокий уровень чувствительности и строгие меры контроля.

Свяжите уровни с конкретными примерами, чтобы сотрудники понимали, к какой категории относятся данные:

• Общедоступные: рекламные брошюры.
• Внутренние: организационные схемы, заметки с совещаний.
• Конфиденциальные: персональные данные клиентов (PII), договоры.
• Ограниченные: данные карт, медицинские записи, секреты.

Для некоторых данных действуют юридические требования:

• PII: информация, позволяющая идентифицировать человека (GDPR).
• PCI: данные держателей карт.
• PHI: защищенная медицинская информация (HIPAA).

Обычно такие данные относятся к категории конфиденциальных или ограниченных.

Классификация приносит пользу, когда данные получают метку: категория прикрепляется к данным, и инструменты могут использовать ее для действий.

• Метки метаданных, хранящиеся вместе с файлом.
• Визуальные обозначения в верхних и нижних колонтитулах.
• Заголовки/метки в электронных письмах и документах.

Часто сочетают два подхода:

• Ручной: автор выбирает метку при создании; подход точный, но непоследовательный.
• Автоматизированный: инструменты сканируют содержимое и назначают метки по шаблонам; подход легко масштабируется, но требует настройки.

В большинстве организаций повсюду уже есть неразмеченные данные. Инструменты обнаружения данных сканируют общие файловые ресурсы, базы данных и облачные хранилища, чтобы найти и классифицировать существующие конфиденциальные данные.

Метка определяет правила обращения с данными:

• Ограниченные: шифровать, вести журнал доступа, блокировать внешнюю передачу.
• Конфиденциальные: ограничивать доступ по служебной необходимости.
• Общедоступные: без ограничений.

Политики DLP используют метки, чтобы определить, следует ли блокировать передачу.

Для каждой категории следует определить, как данные хранятся, передаются и совместно используются, а также как долго они сохраняются. Для ограниченных данных могут потребоваться шифрование и короткий срок хранения; для общедоступных данных таких требований нет. Зафиксируйте это в стандарте обращения с данными.

Чувствительность данных со временем меняется. Конфиденциальный отчет о прибыли становится общедоступным после публикации. Определите, когда и как данные переклассифицируются или переводятся в менее строгую категорию, чтобы средства контроля оставались соразмерными.

Программы классификации не работают, когда:

• Слишком большое количество уровней сбивает пользователей с толку (ограничьте их числом 3–4).
• Инструменты не обеспечивают соблюдение меток.
• Устаревшие данные никогда не обнаруживаются и не размечаются.
• Нет четко назначенного ответственного за поддержку схемы.

Примените уровни классификации.

Классификация — основа защиты данных:

• Используйте простую многоуровневую схему (от общедоступных до ограниченных данных).
• Размечайте данные с помощью метаданных, обозначений и тегов.
• Сочетайте ручную и автоматизированную классификацию с обнаружением данных.
• Пусть метка определяет правила обращения, срок хранения и средства контроля DLP.