Co dokumentuje mapa przepływu danych
Mapa przepływu danych zapisuje ten sam zestaw atrybutów dla każdego przepływu danych w organizacji:
| Atrybut | Co zapisuje |
|---|---|
| Źródło | Pochodzenie, na przykład formularz klienta lub dane od zewnętrznego dostawcy |
| Systemy przetwarzające | Aplikacje, bazy danych i procesy, które mają dostęp do danych |
| Przechowywanie | Gdzie dane są przechowywane i jak długo |
| Odbiorcy | Wewnętrzni odbiorcy, zewnętrzni partnerzy, dostawcy chmury lub transfery transgraniczne |
| Kategoria danych i podstawa prawna | Rodzaj danych i powód ich przetwarzania |
Jak wygląda mapowanie w praktyce
Większość organizacji łączy trzy metody, a każda z nich pokrywa lukę pozostałych. Obserwacja działa tylko na systemach, które już wykryło wykrywanie zasobów:
- 1
Wywiady z właścicielami
Przejdź każdy proces biznesowy, by ustalić, jakie dane w nim występują i dokąd są wysyłane.
- 2
Inwentaryzacja systemów
Spisz aplikacje, bazy danych i integracje wraz z danymi, które każda z nich obsługuje.
- 3
Obserwacja ruchu
Sprawdź rzeczywisty ruch sieciowy i aktywność na plikach, która ujawnia przepływy, o których nikt nie napisał.
Dlaczego organizacje je tworzą
Mapowanie wynika głównie z obowiązków, które wymagają pisemnego wykazania, dokąd trafiają dane:
- Rejestr czynności przetwarzania zgodnie z art. 30 RODO, który wymaga opisania celów, kategorii i odbiorców przetwarzania danych osobowych.
- Oceny skutków dla ochrony danych (DPIA), które wymagają dokładnego obrazu konkretnego przepływu, zanim można ocenić jego ryzyka.
- Przeglądy ryzyka dostawców i stron trzecich, które zależą od wiedzy, które podmioty zewnętrzne faktycznie otrzymują dane, a nie tylko które umowy o tym wspominają.
- Zasady transferów transgranicznych, które dotyczą wyłącznie przepływów opuszczających jurysdykcję, a tego mapa musi dowieść.
Czym różni się od pokrewnych pojęć
Kontrola przepływu danych egzekwuje reguły transferów w czasie rzeczywistym, a mapa opisuje przepływy, do których te reguły się odnoszą. Tabela pokazuje, jak trzy pokrewne pojęcia odnoszą się do mapy:
| Pojęcie | Co robi | Rola w mapie przepływu danych |
|---|---|---|
| Klasyfikacja danych | Oznacza dane według poziomu poufności | Jeden atrybut zapisywany dla każdego przepływu, a nie sama mapa |
| Pochodzenie danych (lineage) | Śledzi, jak zbiór danych zmienia się w potokach i raportach | Węższy, techniczny widok; mapa obejmuje też procesy biznesowe i strony trzecie |
| Kontrola przepływu danych | Zezwala, ostrzega lub blokuje wybrane transfery w czasie rzeczywistym | Działa na przepływach, gdy mapa już je pokazała |
Jak to wygląda w Anexet
Mapę tworzy się na podstawie dokumentów, ale Anexet Activity pokazuje, z jakich kanałów dane faktycznie korzystały. Poniższe statystyki zliczają w czasie wysłaną i odebraną pocztę, transfery FTP, urządzenia USB, zasoby sieciowe i drukarki, dzięki czemu każdy kanał można porównać z mapą.
Utrzymywanie mapy w aktualności
Mapa przepływu danych jest migawką. Nowe aplikacje, integracje i dostawcy zmieniają opisane przepływy niemal od chwili narysowania mapy, a mapa zbudowana raz na podstawie wywiadów szybko rozjeżdża się z rzeczywistością. Sprawdzanie jej według obserwowanego ruchu utrzymuje ją przydatną zarówno dla zgodności, jak i dla reagowania na wyciek danych.
Od czego zacząć
Zacznij od przepływów, które najbardziej zaszkodziłyby w razie wycieku, a potem sprawdź kanały, którymi one płyną, przy użyciu zapobiegania utracie danych. Mapa obejmująca wszystkie przepływy naraz rzadko bywa skończona, a mapa zaczynająca od najbardziej ryzykownych przepływów jest faktycznie używana.
Czytaj dalej: Techniczny wyciek informacji: czym jest i jak się chronić?.
Mapa powstała wyłącznie z wywiadów opisuje zamiary. Ruch zaobserwowany pokazuje, co faktycznie się dzieje.
Anexet TeamJak rozwiązuje to Anexet
Anexet nie tworzy gotowych do zgodności diagramów przepływu danych ani rejestru czynności przetwarzania, ale jego monitorowanie daje organizacji oparty na dowodach obraz tego, jak dane faktycznie się przemieszczają. Jest to przydatne do budowania lub weryfikowania mapy na podstawie rzeczywistości, a nie założeń:
Pełna widoczność kanałów
agenty na punktach końcowych obserwują dane przemieszczające się przez pocztę, przesyłanie przez przeglądarkę, aplikacje chmurowe, komunikatory, urządzenia wymienne, drukowanie, schowek i udziały sieciowe, czyli kanały, które musi uwzględniać mapa przepływu danych.
Wykrywanie świadome treści
tezaurusy bezpieczeństwa, banki hashy i biblioteki cyfrowych odcisków palca identyfikują, jaki rodzaj danych jest obecny w danym transferze, dzięki czemu obserwowany przepływ można powiązać z kategorią danych, a nie pozostawić go ogólnym.
Rejestrowane szczegóły transferów
każdy przepływ jest rejestrowany wraz z użytkownikiem, znacznikiem czasu, kanałem i miejscem docelowym, co daje faktyczny zapis tego, dokąd dane rzeczywiście trafiły, a nie tego, dokąd według dokumentu procesu powinny trafić.
Architektura on-premise
dane aktywności i dzienniki audytowe używane do weryfikacji mapy przepływu pozostają w infrastrukturze samej organizacji.
Anexet DLP
Dowiedz się więcej