Verileri Sınıflandırma

Kategorilere ayırmadığınız bir şeyi koruyamazsınız. Veri sınıflandırma, doğru kontrollerin, erişim kurallarının ve DLP politikalarının uygulanabilmesi için bilgileri hassasiyetlerine göre etiketler. DLP'nin ve çoğu uyumluluk programının temelini oluşturur.

Yaygın olarak kullanılan dört seviyeli bir şema:

• Genel: serbestçe paylaşılması güvenlidir.
• Dahili: çalışanlara yöneliktir; sızması durumunda zarar düşüktür.
• Gizli: hassastır, erişim kısıtlıdır.
• Kısıtlı / Gizli: hassasiyet düzeyi en yüksektir, sıkı kontroller uygulanır.

Çalışanların verilerin hangi kategoriye girdiğini anlayabilmesi için seviyeleri somut örneklerle ilişkilendirin:

• Genel: pazarlama broşürleri.
• Dahili: kuruluş şemaları, toplantı notları.
• Gizli: müşteri PII'si, sözleşmeler.
• Kısıtlı: kart verileri, sağlık kayıtları, sırlar.

Bazı verilerin hukuki önemi vardır:

• PII: kişiyi tanımlayabilir bilgiler (GDPR).
• PCI: kart hamili verileri.
• PHI: korunan sağlık bilgileri (HIPAA).

Bunlar genellikle Gizli veya Kısıtlı kategorisine girer.

Sınıflandırma, kategori etiketlendiğinde kullanışlı hâle gelir; böylece kategori veriye iliştirilir ve araçlar bu veriye göre işlem yapabilir.

• Dosyayla birlikte depolanan üst veri etiketleri.
• Üst ve alt bilgilerde bulunan görsel işaretler.
• E-postalardaki ve belgelerdeki üst bilgiler/etiketler.

Çoğu zaman birlikte kullanılan iki yaklaşım vardır:

• Elle: yazar, oluşturma sırasında bir etiket seçer; doğrudur ancak tutarsız olabilir.
• Otomatik: araçlar içeriği tarar ve örüntüye göre etiketler uygular; ölçeklenebilirdir ancak ayarlama gerektirir.

Çoğu kuruluşta etiketlenmemiş veriler zaten her yerde bulunur. Veri keşfi araçları, mevcut hassas verileri bulup sınıflandırmak için dosya paylaşımlarını, veritabanlarını ve bulut depolama alanlarını tarar.

Etiket, işleme kurallarını belirler:

• Kısıtlı: şifreleyin, erişimi günlükleyin, dışarıyla paylaşımı engelleyin.
• Gizli: yalnızca bilmesi gereken kişilerle sınırlayın.
• Herkese açık: kısıtlama yoktur.

DLP politikaları, bir aktarımın engellenip engellenmeyeceğine karar vermek için etiketlere başvurur.

Her sınıf, verilerin nasıl depolanacağını, aktarılacağını ve paylaşılacağını, ayrıca ne kadar süreyle saklanacağını tanımlamalıdır. Kısıtlı veriler şifreleme ve kısa süreli saklama gerektirebilir; herkese açık veriler için böyle bir gereklilik yoktur. Bunları bir veri işleme standardında belgeleyin.

Veri hassasiyeti zaman içinde değişir. Gizli bir kazanç raporu yayımlandıktan sonra herkese açık hale gelir. Denetimlerin orantılı kalması için verilerin ne zaman ve nasıl yeniden sınıflandırılacağını veya daha düşük bir düzeye indirileceğini tanımlayın.

Sınıflandırma programları şu durumlarda başarısız olur:

• Çok fazla düzey kullanıcıların kafasını karıştırır (3-4 düzeyle sınırlı tutun).
• Etiketler araçlar tarafından uygulanmaz.
• Eski veriler hiçbir zaman keşfedilip etiketlenmez.
• Şemayı sürdüren belirli bir sorumlu yoktur.

Sınıflandırma düzeylerini uygulayın.

Sınıflandırma, veri korumanın temelidir:

• Basit ve kademeli bir şema kullanın (Herkese Açık'tan Kısıtlı'ya).
• Verileri üstveriler, işaretlemeler ve etiketler aracılığıyla etiketleyin.
• Elle ve otomatik sınıflandırmayı keşifle birlikte kullanın.
• İşleme, saklama ve DLP denetimlerini etiketin belirlemesini sağlayın.