Co oznacza klasyfikacja danych
Klasyfikacja danych przypisuje informacjom etykietę lub kategorię na podstawie tego, jak są wrażliwe i jaką szkodę wywołałoby ich ujawnienie. Schemat klasyfikacji określa niewielki zestaw poziomów, a każdy dokument, wiadomość lub zbiór danych powinien mieć jeden z nich. Schemat wyodrębnia przede wszystkim dane wrażliwe, bo to na nie stosuje się najsurowsze zasady postępowania.
Etykieta określa dalsze postępowanie: kto może mieć dostęp do danych, gdzie wolno je przechowywać, którymi kanałami mogą być przesyłane i jak szybko trzeba reagować na wyciek. Klasyfikacja to decyzja, a etykietowanie danych to zapisanie tej decyzji w pliku lub wiadomości.
Schematy państwowe i korporacyjne
Dominują dwie rodziny schematów. Różnią się przede wszystkim tym, kto ustala reguły.
Schematy korporacyjne przenoszą tę samą ideę do biznesu. Ich celem jest proporcjonalność: kosztowne środki, takie jak szyfrowanie, ograniczanie udostępniania i egzekwowanie DLP, skupiają się na niewielkiej części danych, które naprawdę są wrażliwe.
| Schemat | Typowe poziomy | Ustanawia |
|---|---|---|
| Państwowy i wojskowy | Ściśle tajne, Tajne, Poufne; poniżej nich Niejawne | Ustawa lub rozporządzenie (formalne, obowiązkowe) |
| Korporacyjny | Publiczne, Wewnętrzne, Poufne, Ograniczonego dostępu | Wewnętrzna polityka postępowania z danymi |
Jak przypisuje się etykiety
Etykieta może trafić do dokumentu na cztery sposoby.
- Klasyfikacja ręczna: autor lub właściciel danych wybiera etykietę przy tworzeniu dokumentu lub wiadomości, często za pomocą dodatku do etykietowania.
- Automatyczna analiza treści: narzędzia sprawdzają słowa kluczowe, wzorce i cyfrowe odciski dokumentów, a następnie nakładają lub sugerują etykietę.
- Klasyfikacja domyślna: etykieta bazowa, nakładana wtedy, gdy nie wiadomo nic bardziej szczegółowego.
- Dziedziczenie: pochodny dokument lub załącznik przejmuje najwyższą etykietę spośród swoich źródeł.
Dlaczego klasyfikacja ma znaczenie dla ochrony danych
Klasyfikacja sprawia, że polityka bezpieczeństwa uwzględnia dane. Reguła w rodzaju „blokuj dokumenty Poufne w prywatnej chmurze” działa tylko wtedy, gdy dokumenty mają etykiety. Systemy zapobiegania utracie danych mogą wtedy użyć etykiety bezpośrednio jako warunku polityki, zamiast wnioskować wrażliwość wyłącznie z treści.
Klasyfikacja wspiera też proporcjonalną ochronę i rozliczalność w ramach standardów takich jak RODO i ISO/IEC 27001, bo pozwala wykazać, że zabezpieczenia odpowiadają wrażliwości danych.
Co widać w konsoli
W Anexet DLP etykieta staje się warunkiem reguły blokowania. Zakładka Sensitivity labels dopasowuje etykietę nadaną wcześniej, a tezaurusy w sekcji Objects of analysis wychwytują treści, które nigdy nie dostały etykiety. Jedna reguła może łączyć warunek etykiety z warunkami tekstowymi połączonymi operatorem AND, więc oba sygnały muszą się zgadzać.
1 / 2
Kto decyduje, a kto stosuje etykiety
Klasyfikacja działa tylko wtedy, gdy osoby o różnych rolach znają swoją część pracy. Poniższe role są typowe, a ich nazwy różnią się między organizacjami.
| Rola | Odpowiada za | Zakres dostępu |
|---|---|---|
| Właściciel danychKierownik jednostki biznesowej | Decyzje o klasyfikacji | Pełny |
| Powiernik danychAdministrator IT | Przechowywanie, kopie zapasowe i ustawienia egzekwowania | Tylko techniczny |
| Użytkownik danychPracownik | Etykiety na plikach, które tworzy | Własne pliki |
Działający program
Większość danych organizacji jest nieustrukturyzowana i nigdy nie dostaje etykiety. Etykiety bywają nakładane niespójnie, nadmiarowo „dla pewności” albo giną, gdy treść jest kopiowana do innego formatu. Działające programy opierają się na czterech praktykach:
- 1
Kilka jasnych poziomów
Mały schemat, w którym każdy poziom jest wyraźny, więc użytkownik wybiera bez zgadywania.
- 2
Prosty proces etykietowania
Krok, który użytkownik wykona w kilka sekund w narzędziach, z których już korzysta.
- 3
Automatyczne wsparcie
Narzędzia pomagające nakładać lub sugerować etykiety, a w przypadkach granicznych ostateczny wybór należy do człowieka.
- 4
Egzekwowanie bez etykiety
Polityki działające także wtedy, gdy etykiety brakuje, z wykrywaniem treści jako rezerwą.
Od czego zacząć
Zacznij od danych, których wyciek zaszkodziłby najbardziej, a potem od kanałów, którymi naprawdę się przemieszczają. Polityki pisane dla wszystkich plików naraz kończą blokowaniem pracy i zostają wyłączone.
Czytaj dalej: Audyt dostępu do danych poufnych i uznaniowa kontrola dostępu.
Etykieta nie chroni niczego, dopóki reguła jej nie odczyta.
Anexet TeamJak rozwiązuje to Anexet
Anexet nie zastępuje programu klasyfikacji w organizacji. Sprawia natomiast, że istniejące etykiety da się egzekwować. Powiązanie działa przez warunki reguł:
Integracja z etykietami poufności. Dokumenty i wiadomości, które już mają etykiety poufności, mogą być dopasowywane przez polityki bezpieczeństwa Anexet. Etykieta nadana wcześniej staje się więc warunkiem egzekwowania: oznakowany plik wysyłany pocztą, przez WWW, do aplikacji chmurowych, komunikatorem lub na nośnik wymienny może zostać zablokowany, objęty kwarantanną, zapisany w dzienniku albo zgłoszony alertem zgodnie z polityką.
Wykrywanie oparte na treści obok etykiet. Dla danych, których nigdy nie oznaczono, analiza treści Anexet korzysta z tezaurusów bezpieczeństwa (słowników), banków skrótów i cyfrowych odcisków. Rozpoznaje wrażliwą treść w momencie transferu, dając regułom sygnał oparty na zawartości, gdy etykiety brakuje.
Ślad audytu. Każde zdarzenie jest zapisywane z metadanymi (użytkownik, znacznik czasu, kanał, klasyfikacja treści, podjęte działanie), co wspiera wyjaśnianie zdarzeń i wymogi dowodowe.
Architektura on-premise. Reguły dopasowania etykiet, biblioteki wykrywania i dzienniki zdarzeń pozostają w infrastrukturze organizacji.
Anexet DLP
Dowiedz się więcej