Klasyfikacja danych

Większość organizacji nie może chronić wszystkiego na najwyższym poziomie. To zbyt kosztowne, a do tego paraliżuje zwykłą pracę. Klasyfikacja rozwiązuje ten problem, odpowiadając na pytanie wcześniejsze: które dane naprawdę wymagają jakiej ochrony? Gdy zbiór dokumentów ma poziom wrażliwości, każde dalsze zabezpieczenie może się do niego odwołać, zamiast rozstrzygać sprawę za każdym razem od nowa. Reguła w rodzaju „nie wysyłaj danych zastrzeżonych do odbiorców zewnętrznych” staje się wykonalna w poczcie, przy przesyłaniu przez WWW, w chmurze i na nośnikach wymiennych, bo etykieta podąża za danymi.

Ta sama logika stoi za zapobieganiem utracie danych (DLP), które musi wiedzieć, co chroni, zanim cokolwiek zablokuje. Większość schematów zaczyna od danych wrażliwych i stopniowo schodzi niżej.

Schematy różnią się między branżami, ale większość sprowadza się do trzech do pięciu poziomów:

Schematy państwowe i obronne dodają formalne oznaczenia oraz zasady postępowania, jednak logika jest ta sama: mniej kategorii stosowanych konsekwentnie działa lepiej niż drobny podział stosowany niespójnie.

Istnieją cztery metody nadawania poziomu. Przy klasyfikacji ręcznej autor wybiera poziom przy tworzeniu lub zapisie dokumentu, zwykle z listy etykiet w aplikacji. Działa to dobrze, gdy użytkownicy są przeszkoleni i zmotywowani, ale na dużą skalę wyniki są niespójne.

Klasyfikacja automatyczna bada treść i nadaje poziom na podstawie wzorców: trafień słownikowych, wyrażeń regularnych dla identyfikatorów strukturalnych (numery kart, numery identyfikacyjne), cyfrowych odcisków i wzorów dokumentów oraz modeli statystycznych i uczenia maszynowego.

Klasyfikacja kontekstowa wynika z miejsca, w którym dane się znajdują, albo z tego, kto je utworzył: repozytorium, udziału działowego lub aplikacji znanej z przechowywania danych regulowanych. Klasyfikacja dziedziczona przekazuje plikom pochodnym poziom źródła, dzięki czemu eksporty, kopie i załączniki pozostają pod nadzorem.

W praktyce metody się łączą: automat proponuje, użytkownik potwierdza lub zmienia decyzję, a kontekst zapewnia poziom minimalny, dzięki czemu nic nie zostaje bez oznaczenia. Opis samego oznaczenia znajduje się w artykule o etykietowaniu danych.

Każda metoda wymienia wysiłek na spójność. Tabela pokazuje, gdzie która się sprawdza.

Klasyfikacja jest powierzchnią kontroli, nie gwarancją. Powtarzają się trzy mechanizmy porażki. Luki w pokryciu sprawiają, że stare dane nieustrukturyzowane nie mają etykiet, więc polityki ich nie widzą. Utrata etykiety następuje, gdy kopiowanie, zrzut ekranu albo wklejenie do czatu zachowuje treść, ale gubi oznaczenie. Dezaktualizacja oznacza, że dane sklasyfikowano raz i nigdy nie sprawdzano, więc stare są nadmiernie chronione, a nowe niedostatecznie.

Dlatego egzekwowanie świadome treści zwykle łączy się z etykietami. Mechanizm, który rozpoznaje wrażliwą treść bezpośrednio, działa dalej, gdy etykieta brakuje albo jest nieaktualna, a to najważniejsze przy danych nieustrukturyzowanych, których nikt nie oznaczył.

W konsoli Anexet DLP jedna reguła blokująca może łączyć warunek etykiety z warunkiem tekstowym, a zestawy słów kluczowych dostarczają dopasowań tekstu. Obie wartości ustawia się w edytorze reguł blokowania z uwzględnieniem treści.

1 / 2

• 
• 

Regulacje rzadko narzucają konkretny schemat, ale zakładają, że taki istnieje. Obowiązki RODO dotyczą danych osobowych i danych szczególnych kategorii, a przepisy sektorowe obejmują dane płatnicze, medyczne i finansowe. Klasyfikacja pokazuje, które obowiązki odnoszą się do których danych. To praktyczna podstawa obsługi żądań osób, których dane dotyczą, harmonogramów retencji i oceny zgłoszeń naruszeń.

Zacznij od danych, których wyciek zaszkodziłby najbardziej, a potem zmapuj kanały, którymi te dane faktycznie krążą. Polityki pisane dla wszystkich plików naraz kończą blokowaniem pracy i zostają wyłączone. Poziomów powinno być na tyle mało, by ludzie wybierali poprawnie bez instrukcji, a każdy wybór zapisywać w etykiecie opisowej.

Czytaj dalej: Audyt dostępu do danych poufnych i uznaniowa kontrola dostępu.