Dataklassificering: offentlig, intern, konfidentiell och begränsad

Dataklassificering är processen att organisera data i kategorier utifrån dess känslighet och konsekvenserna av obehörigt röjande, ändring eller förlust. Klassificeringen styr alla efterföljande säkerhetsbeslut: vilken kryptering som krävs, vem som får åtkomst till datan, hur den måste lagras och överföras samt hur länge den måste sparas. Utan klassificering tillämpar organisationer antingen för många kontroller, vilket slösar resurser, eller för få, vilket lämnar känsliga data oskyddade.

De flesta kommersiella organisationer använder fyra klassificeringsnivåer. Public-data kan delas fritt med vem som helst — marknadsföringsmaterial och pressmeddelanden. Internal-data (eller Private-data) är inte hemlig men bör inte delas utanför organisationen — personalkataloger och interna policyer. Confidential-data måste skyddas eftersom obehörigt röjande skadar organisationen — ekonomiska rapporter och avtal. Restricted-data (eller Highly Confidential-data) omfattas av de strängaste kontrollerna — företagshemligheter, PII, skyddade hälsouppgifter och autentiseringsuppgifter.

Statliga klassificeringssystem skiljer sig från kommersiella. Data i USA:s myndigheter klassificeras som Unclassified, Controlled Unclassified Information (CUI), Confidential, Secret och Top Secret. Top Secret/SCI (Sensitive Compartmented Information) är den högsta nivån och kräver specialanpassade lokaler (SCIF) samt säkerhetsprövningar. Security+-provet testar både kommersiella och statliga klassificeringssystem samt de klareringsprocesser som hör samman med statliga klassificeringar.

Dataägaren (en senior verksamhetsroll, inte IT-teamet) ansvarar för att klassificera data och se till att lämpliga kontroller tillämpas. Datavärden är den IT-specialist som inför och underhåller kontroller på ägarens uppdrag. Skillnaden är viktig: ägaren fattar klassificeringsbeslutet, medan datavärden verkställer det. När dataägare inte är engagerade förblir data ofta oklassificerade eller placeras på den lägsta nivån som standard, vilket skapar dolda risker i värdefulla datamängder.

När data har klassificerats måste märkningar tillämpas så att de som hanterar datan känner till kraven. Digital märkning omfattar metadataetiketter, filegenskaper, dokumenthuvuden, sidfötter och vattenstämplar. Fysisk märkning används på utskrivna dokument, lagringsmedier och utrustning. Varje klassificeringsnivå medför särskilda hanteringsregler: Restricted-data kan kräva kryptering under överföring och vid lagring, åtkomst av två personer till säkerhetskopior, fragmentering i stället för återvinning samt förbud mot molnlagringstjänster som inte har godkänts av säkerhetsteamet.

Klassificeringen avgör direkt vilka krypteringskrav som gäller. Public-data behöver vanligtvis inte krypteras. Internal-data bör krypteras under överföring (TLS). Confidential-data kräver kryptering både under överföring och vid lagring samt åtkomstloggar. Restricted-data kräver vanligtvis stark kryptering (AES-256), hårdvarusäkerhetsmoduler (HSM) för nyckelhantering, kryptering på fältnivå i databaser och regelbunden nyckelrotation. Verktyg för Data Loss Prevention (DLP) använder klassificeringsetiketter för att utlösa aviseringar eller blockera överföringar av känsliga data.

Klassificering ligger till grund för beslut om åtkomstkontroll på alla nivåer. Begränsade data ska endast vara åtkomliga för personer som kan påvisa ett behov av att känna till dem, vilket implementeras genom rollbaserad eller attributbaserad åtkomstkontroll. Klassificering påverkar även hantering av privilegierad åtkomst: en databasadministratör som tekniskt sett skulle kunna komma åt alla tabeller ska hindras från att komma åt tabeller med begränsad klassificering, såvida rollen inte uttryckligen kräver det. Åtkomstgranskningar ska på nytt verifiera att ingen användare behåller åtkomst utöver sitt behov.

PII är alla data som kan identifiera en specifik person – namn, adress, Social Security Number, e-postadress, telefonnummer, biometriska data eller enhetsidentifierare. PII hamnar vanligtvis på klassificeringsnivån Confidential eller Restricted. Organisationer måste kartlägga var PII finns (dataidentifiering), klassificera den korrekt, tillämpa de kontroller som krävs enligt regelverk (GDPR, CCPA, HIPAA) samt fastställa regler för lagringstid och förstöring. Känslig PII – finansiella, medicinska och biometriska uppgifter – kräver starkare skydd än generell PII.

PHI är all individuellt identifierbar hälsoinformation som skyddas av HIPAA. Den omfattar diagnoser, behandlingsjournaler, faktureringskoder och alla data som kan kopplas till en patient. PHI klassificeras alltid på nivån Restricted och kräver kryptering, granskningsspår, åtkomst enligt principen om minsta nödvändiga åtkomst, avtal med affärspartner (BAA) för leverantörer samt rapportering av incidenter inom 60 dagar från upptäckten. Ett intrång som rör PHI utlöser regulatoriska skyldigheter som ett intrång i data klassificerade som Internal inte skulle göra.

Klassificering gäller under hela datalivscykeln. När data når slutet av sin lagringstid måste de förstöras enligt sin klassificeringsnivå. Begränsade data kräver kryptografisk radering (förstöring av krypteringsnycklar), avmagnetisering (magnetisk förstöring), fysisk makulering eller rensning i enlighet med NIST 800-88. Det räcker inte att bara ta bort filer eller formatera om enheter för konfidentiella eller begränsade data, eftersom verktyg för filåterställning kan återskapa dem.

Verktyg för Data Loss Prevention (DLP) tillämpar klassificeringspolicyer automatiskt. DLP med innehållsgranskning skannar filer och nätverkstrafik efter mönster som motsvarar klassificeringskriterier, till exempel SSN, kreditkortsnummer och hälsorelaterade nyckelord. DLP på slutpunkter förhindrar att klassificerade data kopieras till USB-enheter eller laddas upp till icke godkända molntjänster. DLP i nätverk granskar utgående trafik. Klassificeringsverktyg baserade på maskininlärning kan automatiskt märka ostrukturerade data, som dokument och e-postmeddelanden, utifrån innehållsanalys.

I den här lektionen har du lärt dig att dataklassificering organiserar data i nivåerna Public, Internal, Confidential och Restricted utifrån känslighet och konsekvens, att dataägare fattar klassificeringsbeslut medan förvaltare implementerar kontroller, samt att klassificeringen styr kraven på kryptering, åtkomstkontroll och förstöring för varje nivå. Nästa avsnitt handlar om GDPR-principer och registrerades rättigheter.