Ευαίσθητα Δεδομένα

Τα ευαίσθητα δεδομένα είναι μια ευρεία κατηγορία. Μια εγγραφή πελάτη, ένας ιατρικός φάκελος, ένας αριθμός κάρτας και το σχέδιο ενός προϊόντος χρειάζονται προστασία, παρότι έχουν λίγα κοινά στοιχεία. Αυτό που τα ενώνει είναι ότι η έκθεσή τους μπορεί να βλάψει ένα πρόσωπο ή έναν οργανισμό, με νομικές, οικονομικές ή φήμης συνέπειες.

Η έννοια καλύπτει δομημένες εγγραφές σε βάσεις δεδομένων και αρχεία καταγραφής, αλλά και μη δομημένο περιεχόμενο, όπως έγγραφα, υπολογιστικά φύλλα και μηνύματα συνομιλίας. Πριν προστατεύσει αυτά τα δεδομένα, μια εταιρεία πρέπει να ξέρει τι είναι ευαίσθητο στο δικό της περιβάλλον, και αυτή είναι η δουλειά της ταξινόμησης δεδομένων.

Τα ευαίσθητα δεδομένα συνήθως ομαδοποιούνται σε αναγνωρισμένες κατηγορίες. Τα προσωπικά δεδομένα, για παράδειγμα, ταυτοποιούν ένα συγκεκριμένο πρόσωπο, είτε άμεσα είτε όταν συνδυαστούν με άλλα δεδομένα. Ο πίνακας δείχνει τις βασικές ομάδες και τους κανόνες που συνήθως ισχύουν για καθεμία.

Δεν υπάρχει ενιαία καθολική λίστα ευαίσθητων δεδομένων. Κάθε πλαίσιο τα ορίζει για το δικό του πεδίο εφαρμογής:

Τοπικοί και κλαδικοί νόμοι, όπως το CCPA και το CPRA της Καλιφόρνιας, προσθέτουν δικούς τους ορισμούς. Γι' αυτό οι οργανισμοί κρατούν συνήθως εσωτερική απογραφή δεδομένων συνδεδεμένη με κάθε εφαρμοστέο πλαίσιο.

• Ο GDPR προστατεύει τα προσωπικά δεδομένα, δηλαδή κάθε πληροφορία για ταυτοποιήσιμο πρόσωπο. Οι ειδικές κατηγορίες του άρθρου 9 απαιτούν πρόσθετη αιτιολόγηση πριν από την επεξεργασία.
• Ο HIPAA ορίζει τα προστατευόμενα ιατρικά δεδομένα ως δεδομένα υγείας που δημιουργούνται ή χειρίζονται από μια καλυπτόμενη οντότητα σε κάθε μορφή: ηλεκτρονική, έντυπη ή προφορική.
• Το PCI DSS εστιάζει στα δεδομένα του κατόχου κάρτας. Μετά την εξουσιοδότηση, απαγορεύει την αποθήκευση ευαίσθητων δεδομένων ταυτοποίησης, όπως τα πλήρη δεδομένα της μαγνητικής ταινίας, το CVV και το PIN.

Τα εργαλεία εντοπισμού συνδυάζουν διάφορες μεθόδους, και καθεμία έχει διαφορετικά πλεονεκτήματα:

• Θησαυροί: λεξικά λέξεων-κλειδιών για ένα θέμα, όπως όροι για πιστωτικές κάρτες ή οικονομικό λεξιλόγιο.
• Μοτίβα: κανονικές εκφράσεις που εντοπίζουν αναγνωριστικά, όπως αριθμούς τραπεζικών λογαριασμών, ταχυδρομικούς κώδικες ή τη μορφή του αμερικανικού SSN.
• Ψηφιακά αποτυπώματα και τράπεζες κατακερματισμού: εντοπισμός ακριβών αντιγράφων και προτύπων γνωστών εγγράφων.
• Ετικέτες ευαισθησίας: περιεχόμενο που έχει ήδη ετικέτα ευαισθησίας της Microsoft.

Οι ορισμοί διαφέρουν ανά πλαίσιο και τα ευαίσθητα δεδομένα είναι διάσπαρτα σε πολλά συστήματα. Η απώλεια ελέγχου φέρνει πρόστιμα, υποχρεώσεις ειδοποίησης περιστατικών και ζημιά στη φήμη, γι' αυτό το πρώτο πρακτικό βήμα είναι ο εντοπισμός και η ταξινόμηση. Τα ευαίσθητα δεδομένα είναι το κεντρικό αντικείμενο της πρόληψης απώλειας δεδομένων (DLP), που μπορεί να προστατέψει μόνο όσα βρει.

1. 1

   Εντοπισμός

   Βρείτε πού βρίσκονται τα ευαίσθητα δεδομένα στα συστήματα, στους σταθμούς εργασίας και στις υπηρεσίες cloud.

2. 2

   Ταξινόμηση

   Επισημάνετε τα δεδομένα ώστε η ευαισθησία τους να είναι σαφής σε ανθρώπους και εργαλεία.

3. 3

   Εφαρμογή ελέγχων

   Ορίστε προστασία ανάλογη με την ευαισθησία κάθε κατηγορίας, ξεκινώντας από τα πιο εκτεθειμένα κανάλια.

Στο Anexet DLP, η καρτέλα Objects of analysis συγκεντρώνει τα στοιχεία του εντοπισμού. Το πρώτο καρέ δείχνει τα ενσωματωμένα λεξικά και το δεύτερο τις κανονικές εκφράσεις για αναγνωριστικά σταθερής μορφής. Ο διαχειριστής τα επιλέγει όταν δημιουργεί κανόνα αποκλεισμού.

1 / 2

• 
• 

Τα περισσότερα έργα εντοπισμού αποτυγχάνουν με τον ίδιο τρόπο: ξεκινούν από τους κανόνες αντί από μια σαφή λίστα όσων πρέπει να προστατευτούν. Ένα λεξικό που πιάνει κάθε αναφορά σε μισθοδοσία ή ένα μοτίβο που ταιριάζει σε οποιονδήποτε εννεαψήφιο αριθμό γεμίζουν την ουρά με ψευδείς συναγερμούς, και το προσωπικό γρήγορα μαθαίνει να τους αγνοεί.

• Γράψιμο κανόνων πριν υπάρξει απογραφή δεδομένων, οπότε τα πιο ευαίσθητα αποθετήρια μένουν χωρίς κάλυψη.
• Μία λίστα λέξεων για όλα τα τμήματα, που μπλοκάρει την κανονική δουλειά.
• Αντιμετώπιση της ετικέτας ως απόδειξης: μπορεί να λείπει, να είναι λανθασμένη ή να μην εφαρμόζεται σε αντιγραμμένα αρχεία.
• Έλεγχος μόνο του email με παράλειψη του cloud storage, των messenger και των αφαιρούμενων μέσων, όπου μπορεί να ξεκινήσει μια διαρροή δεδομένων χωρίς να γίνει αντιληπτή.

Ξεκινήστε από τα δεδομένα των οποίων η διαρροή θα έβλαπτε περισσότερο και μετά από τα κανάλια από τα οποία πραγματικά κυκλοφορούν. Οι κανόνες που γράφονται για όλα τα αρχεία μαζί μπλοκάρουν τη νόμιμη εργασία και καταλήγουν απενεργοποιημένοι. Μια πρώτη, στενή πολιτική που την αποδέχονται οι άνθρωποι αξίζει περισσότερο από μια ευρεία που απενεργοποιείται μέσα σε μία εβδομάδα.

Περισσότερα: Έλεγχος Πρόσβασης σε ευαίσθητα δεδομένα και Διακριτικός Έλεγχος Πρόσβασης; Top 5 τύποι δεδομένων που προσπαθούν να κλέψουν οι ανταγωνιστές.