Classificazione dei Dati

La maggior parte delle organizzazioni non può proteggere tutto al livello più alto. Sarebbe troppo costoso e bloccherebbe il lavoro quotidiano. La classificazione risolve il problema rispondendo a una domanda preliminare: quali dati richiedono davvero quale protezione? Quando un insieme di documenti porta un livello di sensibilità, ogni controllo successivo può farvi riferimento invece di decidere caso per caso. Una policy come «non inviare dati Riservati a destinatari esterni» diventa applicabile su email, caricamenti web, cloud storage e supporti rimovibili, perché l'etichetta viaggia con i dati.

La stessa logica sostiene la prevenzione della perdita di dati (DLP), che deve sapere cosa protegge prima di bloccare qualsiasi cosa. La maggior parte degli schemi parte dai dati sensibili e scende da lì.

Gli schemi variano per settore, ma la maggior parte si riduce a tre o cinque livelli:

Gli schemi governativi e di difesa aggiungono contrassegni formali e indicazioni di gestione, ma la logica è la stessa: meno categorie, applicate in modo coerente, battono categorie granulari applicate in modo incoerente.

Esistono quattro metodi per assegnare un livello. Nella classificazione manuale l'autore sceglie il livello quando crea o salva un documento, di solito tramite un selettore di etichette nell'applicazione. È accurata quando gli utenti sono formati e motivati, ma è incoerente su larga scala.

La classificazione automatizzata analizza il contenuto e assegna un livello in base a pattern: corrispondenze di parole chiave e dizionari, espressioni regolari per identificatori strutturati (numeri di carta, documenti d'identità), impronte e modelli di documento, e modelli statistici o di machine learning.

La classificazione basata sul contesto deduce il livello da dove risiedono i dati o da chi li ha creati, ad esempio un repository, una cartella condivisa di reparto o un'applicazione nota per contenere registrazioni regolamentate. La classificazione ereditata assegna ai file derivati il livello della fonte, così esportazioni, copie e allegati restano sotto governance.

Nella pratica i metodi si combinano: l'automazione propone, gli utenti confermano o correggono, e il contesto fornisce un valore minimo, così che nulla resti senza etichetta. L'etichetta che porta il risultato è descritta in etichettatura dei dati.

Ogni metodo scambia impegno con coerenza. La tabella mostra dove si adatta ciascuno.

La classificazione è una superficie di controllo, non una garanzia. Tre modalità di guasto si ripetono. Le lacune di copertura lasciano i vecchi dati non strutturati senza etichetta, quindi le policy non li vedono mai. La perdita dell'etichetta avviene quando copia, screenshot o incolla in chat portano il contenuto ma non l'etichetta. La deriva significa che i dati vengono classificati una volta e mai rivisti: i vecchi restano sovraprotetti, i nuovi sottoprotetti.

Per questo l'applicazione basata sul contenuto si affianca di norma alle etichette. Un controllo che riconosce direttamente i contenuti sensibili continua a funzionare quando l'etichetta manca o non è aggiornata, ed è ciò che conta di più per i dati non strutturati che nessuno ha etichettato.

Nella console di Anexet DLP una singola regola di blocco può combinare una condizione sull'etichetta con una condizione sul testo, e i set di parole chiave forniscono le corrispondenze testuali. Entrambe si impostano nell'editor delle regole di blocco basato sul contenuto.

1 / 2

• 
• 

I quadri normativi raramente impongono uno schema specifico, ma ne presuppongono uno. Gli obblighi del GDPR si applicano ai dati personali e alle categorie particolari; le norme di settore coprono i registri di pagamento, sanitari e finanziari. La classificazione mostra quali obblighi riguardano quali dati. È la base pratica per le richieste degli interessati, i tempi di conservazione e le valutazioni delle notifiche di violazione.

Partite dai dati la cui fuga causerebbe il danno maggiore, poi mappate i canali che quei dati usano davvero. Le policy scritte per tutti i file insieme finiscono per bloccare il lavoro e vengono disattivate. Tenete pochi livelli, così le persone scelgono bene senza un manuale, e registrate ogni scelta in una etichetta descrittiva.

Per approfondire: Access Audit sui dati riservati e Discretionary Access Control.