co je klasifikace dat? Pokyny a proces

Představte si, že jste CISO organizace 10 000 osob, kde uživatelé každý den vytvářejí miliony souborů a e-mailů. Některé z těchto informací jsou vysoce citlivé-pokud unikly nebo ukradly, čelíte porušení titulků a sedmimístným sankcím. Většina údajů vytvořených každý den však mohla být zveřejněna na titulní straně Times bez incidentu.

může být prakticky nemožné upřednostnit zmírňování rizik nebo dodržovat zákony na ochranu soukromí, když nevíte, které informace vyžadují vojenskou ochranu. To je místo, kde přichází klasifikace dat.

Klasifikace Dat Definice

klasifikace Dat je proces analýzy strukturovaných nebo nestrukturovaných dat a uspořádání do kategorií na základě typu souboru, obsah, a další metadata.

klasifikace Dat pomáhá organizacím odpovědět na důležité otázky týkající se jejich údajů, které informují, jak zmírnit rizika a spravovat data governance politiky. Může vám říci, kam ukládáte nejdůležitější data nebo jaké druhy citlivých dat uživatelé vytvářejí nejčastěji. Komplexní klasifikace dat je nezbytná (ale nestačí), aby byla v souladu s moderními předpisy o ochraně osobních údajů.

klasifikace Dat software umožňuje organizacím identifikovat informace, které jsou relevantní k organizaci zájmy. Například, můžete mít požadavek, aby najít všechny odkazy na „Szechuan Omáčka“ na síti, najít všechny zmínky o „glyfosát“ pro právní objev, nebo označit všechny HIPAA související soubory v síti, takže mohou být automaticky šifrována.

v souladu s ochrana osobních údajů právní předpisy, organizace typicky točit klasifikace projektů objevovat žádné osobně identifikovatelné informace (PII) na vaše data ukládá, takže můžete dokázat auditorovi, že je správně řídit.

klasifikace dat není stejná jako indexování dat, i když mezi nimi existují určité paralely. Zatímco oba vyžadují prohlížení obsahu, aby se rozhodlo, zda je relevantní pro klíčové slovo nebo koncept, klasifikace nemusí nutně produkovat prohledávatelný index.

V mnoha případech, klasifikace výsledky bude seznam název objektu a politiky nebo vzor, které bylo uzavřeno bez uložení index objektu je obsah:

• Předmět: Zákazníci.xls
• odpovídající vzory: Kalifornský Řidičák (CCPA), American Express (PCI-DSS)

Některé klasifikace dat řešení vytvořit index, chcete-li povolit rychlé a efektivní hledání pomoci splnit subjektu údajů přístup k žádosti (DSAR) a pravý-k-být-zapomenutý žádosti.

Účely Klasifikace Dat

V posledním Trhu Průvodce pro Analýzu Souborů Software, Gartner uvádí čtyři vysoké úrovni případy použití:

• Rizika
  • Omezit přístup k osobně identifikovatelné informace (PII)
  • Ovládací umístění a přístup k duševnímu vlastnictví (IP)
  • Snížení útoku na citlivá data
  • Integrovat zařazení do DLP a další politiky-prosazování aplikace

• Správa věcí veřejných a Dodržování předpisů
  • Identifikovat data působnosti obecného nařízení o ochraně údajů, HIPAA, CCPA, PCI, SOX, a budoucí nařízení
  • Použít metadata, tagy, aby chráněná data umožňující další sledování a kontroly
  • Povolit karantény, právní držet, archivace a další nařízení-požadované akce
  • Usnadnění „Právo být Zapomenut“ a Údajů na Žádosti o Přístup (DSARs)

• Efektivita a Optimalizace
  • Umožnit efektivní přístup k obsahu založené na typu, použití, atd.
  • Zjistit a odstranit zastaralé nebo nadbytečné údaje
  • Přesunout silně využívaných dat na rychlejší zařízení nebo cloud-based infrastruktury

• Analytics
  • Povolit tagování metadat pro optimalizaci obchodní činnosti
  • Informovat organizace o umístění a využití dat

Je důležité si uvědomit, že klasifikace dat—zatímco základní první krok—je obvykle dost, aby se smysluplné kroky k dosažení mnoha z výše uvedených případů použití. Přidání dalších toků metadat, jako jsou oprávnění a aktivita využití dat, může dramaticky zvýšit vaši schopnost používat výsledky klasifikace k dosažení klíčových cílů.

Jednou z nejoblíbenějších funkcí Varonis Data Security Platform je přístrojová deska, která odhaluje podmnožinu citlivá data, která je také vystavena každý zaměstnanec, takže přesně víte, kde začít s kroky ke zmírnění rizika.

Data Úrovní Citlivosti

Organizace často vytvořit údajů úrovní citlivosti rozlišit, jak k léčbě různých typů utajovaných údajů. Například vláda Spojených států má sedm úrovní klasifikace. Jsou, od nejvyšší po nejnižší:

1. Omezená Data/Formerly Restricted Data
2. Kód klasifikace
3. Top Secret
4. Tajemství
5. Důvěrné
6. Důvěra Veřejnosti
7. Kontrolovaných Neutajovaných Informací (CUI)

Center for Internet Security (CIS) používá pojmy „citlivý,“ „business důvěrné,“a „veřejné“ pro vysoké, střední a nízké klasifikace úrovní citlivosti.

tři úrovně klasifikace jsou obvykle správné číslo pro většinu organizací. Více než tři úrovně přidat složitosti, které by mohly být obtížné udržet, a méně než tři, je příliš zjednodušující a může vést k nedostatečné soukromí a ochranu.

Tady jsou doporučené definice pro klasifikační taxonomii s tři úrovně citlivosti:

• Vysoká Citlivost Dat: vyžaduje přísné kontroly přístupu a ochrany obojí, protože to je často chráněny zákony jako obecného nařízení o ochraně údajů, CCPA, a HIPAA a protože by to mohlo způsobit značné škody na jednotlivce nebo organizace, pokud narušena.
• Údaje O Střední Citlivosti: určeno pouze pro interní použití, ale dopad narušení dat není katastrofický. Příkladem jsou neidentifikovatelné osobní údaje nebo architektonické plány komerční budovy ve vývoji.
• data s nízkou citlivostí: data s nízkou citlivostí jsou veřejné informace, které nevyžadují žádná omezení přístupu. Příklady zahrnují veřejné webové stránky, příspěvky a příspěvky na blogu.

můžete používat jinou nomenklaturu a v závislosti na případech použití můžete mít více než tři kategorie.

Typy Klasifikace Dat

Existují dva základní paradigmata dodržovat při implementaci klasifikace dat procesu. Existují i další, ale většina případů použití bude spadat do jedné z těchto kategorií. Dalo by se úkol uživatelům s klasifikací dat, které vytvářejí, nebo byste mohli udělat pro ně s automatizovaným řešením.

Uživatel

Když jste úkol uživatelům klasifikovat jejich vlastní data, musíte definovat citlivost úrovně, trénovat svůj uživatelům identifikovat každé úrovni, a poskytnout mechanismus označit a klasifikovat všechny nové soubory, které vytvoří.

Většina klasifikačních systémů poskytují integrace do politiky-prosazování řešení, jako je prevence ztráty dat (DLP) software, sledovat a chránit citlivá data, tagged uživateli. Příklad politiky DLP může chtít, aby blokové soubory označené „vysoká citlivost“ byly nahrány do Dropboxu.

výhodou klasifikace uživatelů je, že lidé jsou docela dobří v posuzování, zda jsou informace citlivé nebo ne. S vhodných nástrojů a snadné pochopit pravidla, přesnost klasifikace může být docela dobré, ale je vysoce závislé na péči svých uživatelů, a nebude měřítku, aby udržel krok s daty vytvoření.

ruční označování dat je zdlouhavé a mnoho uživatelů úkol zapomene nebo zanedbá. Také, pokud máte velké množství pre-existujících dat (nebo strojově generovaných dat), je monumentální výzva, aby si uživatelé se vrátit a zpětně tag historická data.

automatizované

automatizované klasifikační motory používají analyzátor souborů v kombinaci se systémem analýzy řetězců k nalezení dat v souborech. Analyzátor souborů umožňuje klasifikaci dat motoru číst obsah několika různých typů souborů. Systém analýzy řetězce pak porovnává data v souborech s definovanými parametry vyhledávání.

automatizovaná klasifikace je mnohem efektivnější než klasifikace založená na uživateli, ale přesnost závisí na kvalitě analyzátoru. Varonis Data Klasifikace Motoru zahrnuje několik klíčových funkcí, které pomáhají ověřovat výsledky a snížení falešných poplachů—a sice blízkost textu, negativní klíčová slova, zápas se pohybuje, a ověření algoritmů.

kromě přesnosti, účinnosti a škálovatelnost jsou důležité aspekty při výběru automatizované klasifikace produktu. Pro prostředí s stovky velkých datových skladů, budete chtít, distribuované, multi-threaded motoru, než může řešit více systémů najednou, aniž by spotřebovává příliš mnoho zdrojů na obchodech skenované.

doba dokončení počátečního klasifikačního skenování velkého multi-petabajtového prostředí může být významná. Skutečné přírůstkové skenování může pomoci urychlit následné skenování. Protože Varonis sleduje všechny data vytváří/upravuje, naše skenovací motor skenuje pouze ty soubory, které jsou nově vytvořeny nebo změněny od předchozí kontroly, aniž by museli zkontrolovat každý soubor na „datum změny“ časové razítko.

některé klasifikační motory vyžadují index každého objektu, který klasifikují. Pokud je kapacita úložiště problémem, vyhledejte motor, který nevyžaduje index nebo pouze indexuje objekty, které odpovídají určité politice nebo vzoru.

organizace se mohou usadit na jedné nebo druhé nebo na kombinaci klasifikace uživatelů i automatizace. Vždy je dobré poskytnout uživatelům školení a funkčnost, aby se zapojili do ochrany dat, a je moudré sledovat automatizaci, abyste se ujistili, že věci nepropadnou trhlinami.

Klasifikace Dat Procesu

klasifikace Dat procesy se mírně liší v závislosti na cílech projektu. Většina projektů klasifikace dat vyžaduje automatizaci ke zpracování úžasného množství dat, která společnosti vytvářejí každý den. Obecně existují některé osvědčené postupy, které vedou k úspěšným iniciativám klasifikace dat:

1. Definujte cíle procesu klasifikace dat

• co hledáte? Proč?
• které systémy jsou v rozsahu pro počáteční klasifikační fázi?
• jaké předpisy o dodržování předpisů se vztahují na vaši organizaci?
• existují další obchodní cíle, které chcete řešit? (např. zmírňování rizik, optimalizace úložiště, analytika)

2. Kategorizovat Datové Typy

• Identifikovat, jaké druhy údajů organizace vytváří (např. seznamy zákazníků, finanční záznamy, zdrojový kód, produkt plány)
• Vymezení vlastnických data vs. veřejné datové
• Myslíte, že k nalezení obecného nařízení o ochraně údajů, CCPA, nebo jiných regulovaných údajů?

3. Stanovte úrovně klasifikace

• kolik úrovní klasifikace potřebujete?
• Dokument každé úrovni, a poskytnout příklady
• Vlak uživatelům klasifikovat data (pokud manuál klasifikace je plánováno)

4. Definovat Automatické Klasifikace Procesu

• Definovat, jaké jsou priority dat, které chcete skenovat první (např. upřednostnit aktivní přes zatuchlý, otevřít přes chráněné)
• Stanovení frekvence a zdrojů bude věnovat automatizované klasifikace

5. Definujte kategorie a klasifikační kritéria

• Definujte své kategorie na vysoké úrovni a uveďte příklady (např., PII, PHI)
• Definovat nebo povolit použitelné klasifikační vzory a štítky
• Vytvořit proces přezkoumání a ověření jak uživatele klasifikovány a automatizované výsledky

6. Definujte výsledky a použití utajovaných údajů

• dokumentujte kroky ke zmírnění rizika a automatizované zásady (např. soubory globálního přístupu ze složek s citlivými daty)
• Definujte proces použití analytiky na výsledky klasifikace
• stanovte očekávané výsledky z analytické analýzy

7. Sledovat a Udržovat

• Vytvořit probíhajícího pracovního postupu pro klasifikaci nových nebo aktualizovaných údajů
• Recenze klasifikace procesu, a pokud je to nutné aktualizovat vzhledem ke změnám v podnikání nebo nových předpisů

Příklady Klasifikace Dat

RegEx –zkratka pro regulární výraz – je jedním z více společných řetězec analýzy systémů, které definují údaje o vyhledávací vzory. Například, pokud bych chtěl najít všechna čísla kreditních karet VISA v mých datech, RegEx bude vypadat:

\b(?<!)(4\d{3}\d{4}\d{4}\d{4}\b|4\d{12}(?:\d{3})?)\b

tato sekvence hledá 16-znakové číslo, které začíná ‚4,‘ a má 4 kvartety ohraničené‘ -. ‚Pouze řetězec znaků, který odpovídá regulárnímu výrazu, přímo generuje pozitivní výsledek. Jít o krok dále, tento výsledek může být ověřen luhnovým algoritmem.

zde je případ, kdy RegEx sám nebude dělat svou práci. Tento RegEx najde ověřovat e-mailové adresy, ale nelze odlišit Osobní od obchodních e-mailů:

sofistikovanější klasifikaci dat politika může použít RegEx pro pattern matching a pak použít slovník vyhledávání zúžit výsledky založené na knihovně osobní e-mailovou adresu služby, jako je Gmail, Outlook, atd.

kromě regulární výrazy, které hledat vzory v textu, mnoho parserů se také podívat na soubor metadat—jako příponu souboru, vlastníka, a rozšířené vlastnosti—určují jeho klasifikaci. Některé skenovací stroje jsou dostatečně robustní, aby přesahovaly obsah souboru a zahrnovaly oprávnění a aktivitu používání do pravidla klasifikace.

Pokročilé klasifikace dat využívá strojového učení pro nalezení dat, aniž by se spoléhat pouze na předdefinovaná pravidla nebo politiky tvoří slovníky a RegExes. Například byste mohli být schopni krmit algoritmus strojového učení korpusem 1 000 právních dokumentů, abyste vycvičili motor, jak vypadá typický právní dokument. Motor může objevovat nové právní dokumenty na základě svého modelu, aniž by se spoléhal na shodu řetězců.

Klasifikace Dat Osvědčených Postupů

Zde jsou některé osvědčené postupy, jak implementovat a realizovat údajů klasifikace údajů na stupnici.

• Určit, který souladu předpisy nebo zákony na ochranu soukromí se vztahují k vaší organizace, a budovat své klasifikace, plán se odpovídajícím způsobem
• Začněte s realistický rozsah (nechci vařit oceánu) a pevně definovanými vzory (jako je PCI-DSS)
• Použít automatizované nástroje pro zpracování velkých objemů dat rychle
• Vytvořit vlastní klasifikační pravidla, když je potřeba, ale nechci vynalézat kolo
• Nastavit pravidla klasifikace/úrovních, jak je potřeba,
• Ověřit své výsledky klasifikace
• Přijít na to, jak nejlépe využít své výsledky a aplikovat klasifikaci na vše od zabezpečení dat pro business intelligence

klasifikace Dat je součástí celkové strategii ochrany dat. Jakmile víte, jaká data jsou citlivá, zjistěte, kdo má k těmto datům přístup a co se s nimi neustále děje. Tímto způsobem můžete chránit vaše citlivá data a aby se vaše organizace od objevit se v nešťastné titulek.

zdroje pro klasifikaci dat

• jak provést klasifikaci dat na stupnici
• Tipy pro klasifikaci dat: Nalezení Čísla Kreditních Karet,
• Klasifikace Dat Štítky
• CCPA Klasifikace
• ochrana Osobních Údajů
• Data Governance

klasifikace Dat nemusí být složité. Varonis má předem vytvořená pravidla, inteligentní validace, a přizpůsobení blízkosti, které musíte udělat většinu práce. Podívejte se na tuto Masterclass a podívejte se, jak zákazníci klasifikují svá citlivá data.