‏البيانات الحساسة

البيانات الحساسة فئة واسعة. فسجل العميل والملف الطبي ورقم البطاقة وتصميم المنتج تحتاج جميعها إلى حماية، رغم أن ما بينها من تشابه قليل. والقاسم المشترك أن كشفها قد يضر بشخص أو بمؤسسة، عبر عواقب قانونية أو مالية أو تتعلق بالسمعة.

يشمل المفهوم السجلات المنظمة في قواعد البيانات وملفات السجلات، وكذلك المحتوى غير المنظم، مثل المستندات وجداول البيانات ورسائل المحادثات. وقبل أن تحمي المؤسسة هذه البيانات، يجب أن تعرف ما الذي يُعد حساسًا في بيئتها، وهذه مهمة تصنيف البيانات.

تُجمع البيانات الحساسة عادةً في فئات معترف بها. فالبيانات الشخصية مثلًا تحدد هوية شخص بعينه، إما مباشرةً أو عند اقترانها ببيانات أخرى. يعرض الجدول المجموعات الرئيسية والقواعد التي تنطبق عليها غالبًا.

لا توجد قائمة عالمية موحدة للبيانات الحساسة. ويعرّفها كل إطار تنظيمي ضمن نطاقه:

تضيف القوانين الإقليمية والقطاعية، مثل CCPA وCPRA في كاليفورنيا، تعريفاتها الخاصة. لهذا تحتفظ المؤسسات عادةً بجرد داخلي للبيانات مرتبط بكل إطار ينطبق عليها.

• يحمي GDPR البيانات الشخصية، أي أي معلومة عن شخص قابل للتعريف. وتتطلب الفئات الخاصة في المادة 9 مسوغًا إضافيًا قبل المعالجة.
• تعرّف HIPAA المعلومات الصحية المحمية بأنها بيانات صحية تُنشأ أو يتعامل معها كيان مشمول بأي شكل: إلكتروني أو ورقي أو شفهي.
• يركز PCI DSS على بيانات حامل البطاقة. وبعد التفويض يحظر تخزين بيانات المصادقة الحساسة، مثل بيانات المسار الكاملة ورمز CVV ورقم PIN.

تجمع أدوات الاكتشاف بين عدة طرق، ولكل منها نقطة قوة مختلفة:

• القواميس: قوائم كلمات مفتاحية لموضوع معين، مثل مصطلحات بطاقات الائتمان أو المفردات المالية.
• الأنماط: تعابير منتظمة تلتقط المعرّفات، مثل أرقام الحسابات المصرفية والرموز البريدية وصيغة رقم الضمان الاجتماعي الأمريكي SSN.
• البصمات الرقمية وبنوك قيم التجزئة: اكتشاف النسخ المطابقة تمامًا وقوالب المستندات المعروفة.
• ملصقات الحساسية: محتوى يحمل بالفعل ملصق حساسية من Microsoft.

تختلف التعريفات من إطار لآخر، والبيانات الحساسة موزعة على أنظمة كثيرة. وفقدان السيطرة عليها يجلب غرامات والتزامات بالإبلاغ عن الاختراقات وضررًا بالسمعة، ولذلك فأول خطوة عملية هي الاكتشاف والتصنيف. والبيانات الحساسة هي الموضوع المحوري لـمنع فقدان البيانات (DLP)، وهو لا يستطيع حماية إلا ما يجده.

1. 1

   اكتشِف

   حدد أين توجد البيانات الحساسة في الأنظمة وأجهزة المستخدمين وخدمات السحابة.

2. 2

   صنّف

   ضع علامة على البيانات لتكون حساسيتها واضحة للأشخاص والأدوات.

3. 3

   طبّق الضوابط

   اجعل الحماية متناسبة مع حساسية كل فئة، وابدأ بأكثر القنوات تعرضًا.

في Anexet DLP تجمع علامة التبويب Objects of analysis عناصر الاكتشاف. يعرض الإطار الأول القواميس المدمجة، ويعرض الثاني التعابير المنتظمة للمعرّفات ذات الصيغة الثابتة. ويختار المسؤول هذه العناصر عند إنشاء قاعدة حظر.

1 / 2

• 
• 

تفشل معظم مشاريع الاكتشاف بالطريقة نفسها: تبدأ بالقواعد بدلًا من قائمة واضحة بما يجب حمايته. فالقاموس الذي يلتقط كل إشارة إلى الرواتب، أو النمط الذي يطابق أي رقم من تسعة أرقام، يملأ قائمة الإنذارات الكاذبة، ويتعلم الموظفون بسرعة تجاهلها.

• كتابة القواعد قبل وجود جرد للبيانات، فتبقى أكثر المستودعات حساسية بلا تغطية.
• استخدام قائمة كلمات واحدة لكل الأقسام، مما يعطل العمل الاعتيادي.
• اعتبار الملصق دليلًا: فقد يغيب أو يكون خاطئًا أو لا يُطبق على الملفات المنسوخة.
• مراقبة البريد فقط وإهمال التخزين السحابي والمراسلة والوسائط القابلة للإزالة، حيث قد يبدأ تسرب البيانات دون أن يُلاحظ.

ابدأ بالبيانات التي يسبب تسريبها أكبر ضرر، ثم بالقنوات التي تنتقل عبرها فعلًا. فالقواعد التي تُكتب لكل الملفات دفعةً واحدة تعطل العمل المشروع وتنتهي بالإيقاف. وسياسة أولى محدودة يقبلها الناس أفضل من سياسة واسعة تُعطَّل بعد أسبوع.

للمزيد من القراءة: تدقيق الوصول إلى البيانات الحساسة والتحكم التقديري في الوصول; أهم 5 أنواع من البيانات يحاول المنافسون سرقتها.