Classificação Padrão

Classificação padrão é o nível de sensibilidade que os dados recebem automaticamente quando ninguém escolheu outro. Ela é a camada de reserva de um esquema de classificação de dados e vale para todo arquivo, mensagem ou registro novo que chega sem uma decisão associada.

A definição importa porque a maioria dos dados nunca é revisada por uma pessoa. Um compartilhamento de arquivos típico guarda milhares de documentos que ninguém rotulou, então uma única configuração define como grande parte do acervo é tratada. O mesmo documento pode ficar aberto para todos com um padrão e fortemente restrito com outro, e os dados sensíveis são os primeiros a vazar quando essa configuração está errada.

Um nível padrão pode ser definido em vários lugares. As organizações costumam ter mais de um em vigor ao mesmo tempo, e o resultado vai para o documento como um rótulo descritivo:

O padrão define o que acontece quando ninguém tomou uma decisão. É exatamente a situação que os controles de segurança precisam suportar.

Esquemas maduros definem o padrão um degrau acima de Público. Isso protege pela omissão sem travar o trabalho do dia a dia, e os níveis mais altos ficam reservados para decisões explícitas ou correspondências automáticas confiáveis. As duas pontas falham de maneiras opostas:

• Um padrão permissivo (Público ou Não classificado) falha em modo aberto. Dados sensíveis sem rótulo circulam livremente, e cada lacuna de rotulagem vira uma lacuna de proteção.
• Um padrão restritivo (Interno ou Confidencial) falha em modo fechado. Nada fica desprotegido por omissão, mas vem a superclassificação. Os usuários batem em bloqueios no trabalho rotineiro, pedem exceções e, no fim, tratam os rótulos como ruído.

Definir o padrão alto demais parece seguro, mas custa caro de outro jeito. Quando a maioria dos documentos carrega um nível que implica tratamento rigoroso, esse nível deixa de distinguir qualquer coisa. Revisores aprovam exceções em lote, e os usuários aprendem que a marcação não significa o que diz.

Material realmente restrito passa a ser tratado tão casualmente quanto a pauta de uma reunião. A classificação só funciona quando os níveis mais altos continuam raros, por isso o padrão precisa ser um nível que a organização consiga sustentar em milhares de arquivos comuns.

No Anexet DLP, uma regra de bloqueio pode ler um rótulo de confidencialidade da Microsoft como condição, e os conjuntos de palavras-chave integrados reconhecem conteúdo sensível que não tem rótulo algum. Os dois caminhos importam quando o padrão é o único nível que o arquivo possui.

1 / 2

• 
• 

Os padrões valem para dados novos. Mais difícil são os dados não estruturados acumulados ao longo dos anos, como compartilhamentos de arquivos e caixas de e-mail, que normalmente não têm rótulo algum. Aplicar um padrão retroativamente ou deixa todo o acervo desprotegido, ou o protege demais, por isso a abordagem usual tem três etapas:

1. 1

   Faça uma varredura de descoberta

   Inspecione o conteúdo de compartilhamentos de arquivos e caixas de e-mail.

2. 2

   Proponha níveis onde importa

   Sugira níveis para registros regulados, contratos e credenciais.

3. 3

   Deixe o padrão cobrir o resto

   O padrão trata a cauda longa de dados comuns.

O padrão não é uma configuração única. Revise-o quando a empresa mudar o que processa, como novos dados regulados ou novos mercados. Um aumento no volume de exceções sugere que o padrão está rígido demais. Incidentes em que dados sem rótulo aparecem no centro de um vazamento sugerem que ele está permissivo demais.

O padrão também define como a prevenção de perda de dados age sobre dados que ninguém tocou, então uma configuração errada aparece como trabalho bloqueado ou como vazamento. Observe os dois sinais.

• Incluir um novo tipo de dado regulado sem revisar o padrão.
• Tratar a lista crescente de exceções como normal, em vez de como sinal.
• Presumir que um relatório de rótulos limpo significa que não restam dados sem rótulo.

Comece pelos dados que mais prejudicariam a empresa se vazassem e depois escolha um padrão que cubra o restante sem bloquear o trabalho do dia a dia. O padrão é a regra que vale quando ninguém decidiu, então precisa ser uma que a organização consiga defender todos os dias.