Etichettatura dei Dati

Un'etichetta non è un nome di cartella né un commento da leggere per le persone. È un insieme di metadati strutturati, memorizzati nell'oggetto o collegati ad esso, in modo che il software possa interrogarli.

Un elaboratore di testi, un client di posta, un agente DLP e un servizio di cifratura possono leggere la stessa etichetta e arrivare alla stessa decisione su un documento, anche se nessuno di loro l'ha creata. La classificazione dei dati è il giudizio sul livello di sensibilità. L'etichetta è la registrazione duratura di quel giudizio, quindi la decisione non va ripetuta ogni volta che il file viene aperto, copiato o inviato via e-mail.

La maggior parte degli schemi di etichettatura combina più tipi di informazione in un unico contrassegno:

Le etichette raramente provengono da un'unica fonte. La maggior parte degli ambienti combina più metodi, così che nulla resti senza etichetta.

Etichettatura manuale: l'autore sceglie un'etichetta da un menu quando crea o salva un documento. Funziona se le persone sono formate, ma è facile da saltare sotto la pressione delle scadenze.

Etichettatura automatica: il software analizza il contenuto alla ricerca di parole chiave e identificativi strutturati, come numeri di carta o di documento d'identità, e impronte digitali dei documenti, e applica un'etichetta senza attendere una persona.

Etichettatura predefinita: un'etichetta di base viene applicata quando un file o un'e-mail viene creato. Un documento non resta mai completamente senza etichetta, nemmeno prima che qualcuno lo riveda.

Etichettatura ereditata: una copia, un allegato o un file esportato prende l'etichetta della sua fonte. In questo modo il contenuto derivato resta governato senza un passaggio di etichettatura separato.

Cifratura, accesso e condivisione, prevenzione della perdita di dati e conservazione possono leggere la stessa etichetta invece di dedurre la sensibilità. Una policy che usa un'etichetta segue quattro passaggi:

1. 1

   Verifica dell'etichetta

   La policy controlla se l'etichetta è presente, oltre al suo identificativo o al nome interno.

2. 2

   Corrispondenza con la regola

   L'etichetta trovata diventa una condizione in più, accanto alle condizioni sul testo e sul canale.

3. 3

   Applicazione dell'azione

   Consentire, registrare, avvisare, mettere in quarantena per revisione o bloccare su e-mail, web, cloud, messaggistica e supporti rimovibili.

4. 4

   Registrazione dell'esito

   L'evento viene registrato nel log, così che l'esito possa essere verificato in seguito.

L'etichettatura è una superficie di controllo, non una garanzia. Fallisce in tre modi prevedibili, e gli strumenti che riconoscono direttamente il contenuto sensibile continuano a funzionare quando manca l'etichetta.

• Lacune di copertura: anni di dati non strutturati su condivisioni di file e in caselle di posta personali sono stati creati prima di qualsiasi policy di etichettatura. Raramente vengono etichettati a posteriori.
• Perdita dell'etichetta: l'etichetta sta sul contenitore. Copiare un paragrafo, fare uno screenshot o incollare in una finestra di chat porta avanti il contenuto e lascia l'etichetta indietro. Un paragrafo copiato può comunque finire nelle mani del destinatario sbagliato, ed è così che inizia una fuga di dati.
• Etichette obsolete: il documento viene etichettato una volta e non viene mai riesaminato. Può restare iperprotetto molto dopo aver smesso di essere sensibile, o sottoprotetto quando viene aggiunto nuovo contenuto.

In una regola di blocco basata sul contenuto, la scheda Sensitivity labels confronta l'etichetta stessa, non solo il testo. La condizione può verificare se l'etichetta è presente, quale sia il suo identificativo o il suo nome interno.

Le normative raramente nominano uno schema di etichettatura specifico. Presuppongono però che un'organizzazione sappia dimostrare quali registrazioni sono personali, legate ai pagamenti o alla salute e che il loro trattamento è stato coerente con l'obbligo. Un'etichetta coerente è una prova concreta di questo. Permette di rispondere a una richiesta dell'interessato, di delimitare la notifica di una violazione o di mostrare a un revisore che una registrazione è stata trattata secondo la sua sensibilità fin dalla creazione.