Dane wrażliwe

Dane wrażliwe to szeroka grupa. Rekord klienta, dokumentacja pacjenta, numer karty płatniczej i projekt produktu wymagają ochrony, mimo że niewiele je łączy. Wspólne jest to, że ujawnienie może zaszkodzić osobie lub organizacji: skutkami prawnymi, finansowymi albo wizerunkowymi.

Pojęcie obejmuje dane ustrukturyzowane w bazach i logach, a także treści nieustrukturyzowane, takie jak dokumenty, arkusze czy wiadomości w czatach. Zanim firma je zabezpieczy, musi wiedzieć, co w jej środowisku jest wrażliwe, i tym zajmuje się klasyfikacja danych.

Dane wrażliwe dzieli się zwykle na kilka uznanych kategorii. Dane osobowe identyfikują konkretną osobę, bezpośrednio lub po połączeniu z innymi danymi. Tabela pokazuje główne grupy i zasady, które najczęściej je obejmują.

Nie istnieje jedna uniwersalna lista danych wrażliwych. Każda regulacja definiuje je w swoim zakresie:

Przepisy regionalne i branżowe, takie jak CCPA i CPRA w Kalifornii albo brazylijska LGPD, dodają własne definicje. Dlatego organizacje prowadzą zwykle wewnętrzny spis danych powiązany z każdą obowiązującą regulacją.

• RODO chroni dane osobowe, czyli każdą informację o zidentyfikowanej osobie. Szczególne kategorie z art. 9 wymagają dodatkowego uzasadnienia przed przetwarzaniem.
• HIPAA definiuje chronione informacje zdrowotne jako dane zdrowotne tworzone lub obsługiwane przez podmiot objęty regulacją w każdej formie: elektronicznej, papierowej lub ustnej.
• PCI DSS koncentruje się na danych posiadacza karty. Po autoryzacji zabrania przechowywania wrażliwych danych uwierzytelniających, takich jak pełne dane ścieżki, CVV i PIN.

Narzędzia wykrywania łączą kilka metod, a każda ma inne mocne strony:

• Tezaurusy: słowniki słów kluczowych dla danego tematu, na przykład terminy z zakresu kart płatniczych lub finansów.
• Wzorce: wyrażenia regularne dopasowujące identyfikatory, na przykład numery kont bankowych, kody pocztowe czy format amerykańskiego numeru SSN.
• Odciski cyfrowe i banki skrótów: dokładne kopie oraz szablony znanych dokumentów.
• Etykiety wrażliwości: treści, które już mają etykietę wrażliwości Microsoft.

Definicje różnią się w zależności od regulacji, a dane wrażliwe są rozproszone po systemach. Utrata kontroli oznacza kary, obowiązki zgłaszania naruszeń i szkody wizerunkowe, dlatego praktycznym pierwszym krokiem jest wykrycie i klasyfikacja. Dane wrażliwe są centralnym obiektem zapobiegania utracie danych (DLP), a DLP chroni tylko to, co potrafi znaleźć.

1. 1

   Wykryj

   Ustal, gdzie w systemach, na stacjach roboczych i w usługach chmurowych znajdują się dane wrażliwe.

2. 2

   Sklasyfikuj

   Oznacz dane tak, by ich wrażliwość była jasna dla ludzi i narzędzi.

3. 3

   Zastosuj zabezpieczenia

   Dobierz ochronę do wrażliwości każdej kategorii, zaczynając od najbardziej narażonych kanałów.

W Anexet DLP zakładka Objects of analysis zawiera elementy wykrywania. Pierwszy kadr pokazuje wbudowane słowniki, a drugi wyrażenia regularne dla identyfikatorów o stałym formacie. Administrator wybiera je przy tworzeniu reguły blokowania.

1 / 2

• 
• 

Większość projektów wykrywania zawodzi w ten sam sposób: zaczyna się od reguł, a nie od jasnej listy tego, co trzeba chronić. Słownik, który łapie każdą wzmiankę o wynagrodzeniach, albo wzorzec pasujący do dowolnej dziewięciocyfrowej liczby zalewa kolejkę fałszywymi alarmami, a pracownicy szybko uczą się je ignorować.

• Pisanie reguł przed powstaniem spisu danych, przez co najbardziej wrażliwe zasoby pozostają bez ochrony.
• Jedna lista słów dla wszystkich działów, która blokuje zwykłą pracę.
• Traktowanie etykiety jak dowodu: może brakować, być błędna albo nie trafić na skopiowane pliki.
• Kontrola tylko poczty przy pominięciu chmury, komunikatorów i nośników wymiennych, gdzie wyciek danych może zacząć się niezauważenie.

Zacznij od danych, których wyciek zaszkodziłby najbardziej, a potem od kanałów, którymi naprawdę się przemieszczają. Reguły napisane na każdy plik naraz blokują uczciwą pracę i kończą wyłączone. Wąska pierwsza polityka, którą ludzie akceptują, jest warta więcej niż szeroka, wyłączona po tygodniu.

Czytaj dalej: Audyt dostępu do danych poufnych i uznaniowa kontrola dostępu; Top 5 rodzajów danych, które próbują wykraść konkurenci.