Klassifizierung (von Daten)

Datenklassifizierung ordnet Informationen eine Kennzeichnung oder Kategorie zu, abhängig davon, wie sensibel sie sind und welcher Schaden bei einer Offenlegung entstünde. Ein Klassifizierungsschema legt eine kleine Menge an Stufen fest, und jedes Dokument, jede Nachricht und jeder Datensatz sollte eine davon tragen. Das Schema sortiert vor allem die sensiblen Daten ein, denn für sie gelten die strengsten Regeln zur Behandlung.

Die Kennzeichnung bestimmt danach den Umgang: wer auf die Daten zugreifen darf, wo sie gespeichert werden dürfen, welche Kanäle sie übertragen dürfen und wie schnell ein Verlust behandelt werden muss. Die Klassifizierung ist die Entscheidung, die Datenkennzeichnung hält diese Entscheidung an der Datei oder Nachricht fest.

Zwei Familien von Schemata dominieren. Sie unterscheiden sich vor allem darin, wer die Regeln festlegt.

Unternehmensschemata übertragen dieselbe Idee auf das Geschäft. Ihr Zweck ist Verhältnismäßigkeit: aufwendige Maßnahmen wie Verschlüsselung, eingeschränkte Weitergabe und DLP-Durchsetzung konzentrieren sich auf den kleinen Teil der Daten, der wirklich sensibel ist.

Eine Kennzeichnung kann auf vier Wegen an ein Dokument gelangen.

• Manuelle Klassifizierung: Der Autor oder Datenverantwortliche wählt beim Erstellen eines Dokuments oder einer E-Mail eine Stufe, oft über ein Kennzeichnungs-Add-in.
• Automatische Inhaltsanalyse: Werkzeuge prüfen Schlüsselwörter, Muster und digitale Fingerabdrücke von Dokumenten und setzen oder empfehlen dann eine Kennzeichnung.
• Standardklassifizierung: Grundkennzeichnung, die gilt, wenn nichts Genaueres bekannt ist.
• Vererbung: Ein abgeleitetes Dokument oder ein Anhang übernimmt die höchste Kennzeichnung seiner Quellen.

Klassifizierung macht die Sicherheitsrichtlinie datenbewusst. Eine Regel wie „vertrauliche Dokumente nicht in private Cloud-Speicher hochladen“ funktioniert nur, wenn Dokumente Kennzeichnungen tragen. DLP-Systeme können die Kennzeichnung dann direkt als Richtlinienbedingung nutzen, statt die Sensibilität allein aus dem Inhalt zu erschließen.

Klassifizierung unterstützt außerdem verhältnismäßigen Schutz und Rechenschaftspflicht in Rahmenwerken wie der DSGVO und ISO/IEC 27001, weil eine Organisation damit zeigen kann, dass Schutzmaßnahmen zur Sensibilität passen.

In Anexet DLP wird eine Kennzeichnung zur Bedingung einer Sperrregel. Die Registerkarte Sensitivity labels greift auf eine zuvor vergebene Kennzeichnung zu, während die Wortlisten unter Objects of analysis Inhalte erfassen, die nie gekennzeichnet wurden. Eine einzelne Regel kann eine Kennzeichnungsbedingung mit Textbedingungen per UND verbinden, sodass beide Merkmale zutreffen müssen.

1 / 2

• 
• 

Klassifizierung funktioniert nur, wenn Menschen mit unterschiedlichen Aufgaben ihren Anteil kennen. Die folgenden Rollen sind typisch, ihre Bezeichnungen unterscheiden sich von Organisation zu Organisation.

Der größte Teil der Daten einer Organisation ist unstrukturiert und wird nie gekennzeichnet. Kennzeichnungen werden oft uneinheitlich vergeben, aus Vorsicht übermäßig gesetzt oder gehen verloren, wenn Inhalte in ein anderes Format kopiert werden. Tragfähige Programme stützen sich auf vier Praktiken:

1. 1

   Wenige, klare Stufen

   Ein kleines Schema, in dem jede Stufe eindeutig ist, damit Nutzer ohne Raten wählen können.

2. 2

   Einfacher Kennzeichnungsablauf

   Ein Schritt, den Nutzer in Sekunden in den Werkzeugen erledigen, die sie ohnehin verwenden.

3. 3

   Automatische Unterstützung

   Werkzeuge, die beim Setzen oder Vorschlagen helfen, wobei bei Grenzfällen ein Mensch die letzte Entscheidung trifft.

4. 4

   Durchsetzung ohne Kennzeichnung

   Richtlinien, die auch dann wirken, wenn eine Kennzeichnung fehlt, mit Inhaltserkennung als Rückfallebene.

Beginnen Sie mit den Daten, deren Abfluss den größten Schaden anrichten würde, und dann mit den Kanälen, über die sie tatsächlich laufen. Richtlinien, die alle Dateien auf einmal erfassen, blockieren am Ende die Arbeit und werden abgeschaltet.

Weiterlesen: Zugriffsaudit für vertrauliche Daten und Discretionary Access Control.