mikä on tiedon luokittelu? Ohjeet ja prosessi

kuvittele olevasi 10 000 hengen organisaation CISO, jossa käyttäjät luovat miljoonia tiedostoja ja sähköposteja joka päivä. Osa näistä tiedoista on erittäin arkaluonteisia-jos ne vuotavat tai varastetaan, sinua uhkaa otsikoinninrikkomus ja seitsennumeroiset rangaistukset. Suurin osa päivittäin luoduista tiedoista voitiin kuitenkin julkaista Timesin etusivulla ilman välikohtauksia.

voi olla käytännössä mahdotonta priorisoida riskien lieventämistä tai noudattaa yksityisyyslakeja, kun ei tiedä, mitkä tiedot vaativat sotilastason suojelua. Siinä datan luokittelu tulee kuvaan mukaan.

tiedon luokittelun määritelmä

tiedon luokittelu on prosessi, jossa jäsenneltyä tai jäsentämätöntä tietoa analysoidaan ja se järjestellään kategorioihin tiedostotyypin, sisällön ja muun metatiedon perusteella.

tietojen luokittelu auttaa organisaatioita vastaamaan tärkeisiin tietoihin liittyviin kysymyksiin, jotka kertovat, miten ne vähentävät riskejä ja hallinnoivat tietojen hallintapolitiikkaa. Se voi kertoa, missä säilytät tärkeimpiä tietojasi tai millaisia arkaluonteisia tietoja käyttäjäsi luovat useimmiten. Kattava tietojen luokittelu on välttämätöntä (mutta ei riittävää) nykyaikaisten tietosuojasäännösten noudattamiseksi.

tietojen luokitteluohjelmiston avulla organisaatiot voivat tunnistaa organisaation etujen kannalta olennaisia tietoja. Esimerkiksi, sinulla voi olla vaatimus löytää kaikki viittaukset ”Szechuan kastike” verkossa, paikantaa kaikki maininnat ”glyfosaatti” laillista löytämistä varten, tai merkitä kaikki HIPAA liittyvät tiedostot verkossa, jotta ne voidaan automaattisesti salattu.

tietosuojasäännösten noudattamiseksi organisaatiot yleensä käynnistävät luokitteluprojekteja löytääkseen henkilökohtaisia tietoja (PII) tietovarastoistasi, jotta voit todistaa tilintarkastajille, että niitä säännellään asianmukaisesti.

tiedon luokittelu ei ole sama kuin tietojen indeksointi, vaikka näiden kahden välillä on joitakin yhtäläisyyksiä. Vaikka molemmat vaativat sisällön tarkastelua päättääkseen, onko sillä merkitystä avainsanalle vai käsitteelle, luokittelu ei välttämättä tuota haettavaa indeksiä.

monissa tapauksissa luokitustulokset luettelevat kohteen nimen ja vastaavan käytännön tai kaavan tallentamatta indeksiä olion sisällöstä:

• kohde: asiakkaat.xls
• sovitut kuviot: California Driver ’ s License (CCPA), American Express (PCI-DSS)

jotkin tietojen luokitteluratkaisut luovat indeksin, joka mahdollistaa nopean ja tehokkaan haun, joka auttaa täyttämään rekisteröidyn käyttöoikeuspyynnöt (DSAR) ja right-to-be-forgotten-pyynnöt.

Tietoluokituksen tarkoitus

tuoreimmassa Tiedostoanalyysiohjelmiston Markkinaoppaassa Gartner listaa neljä korkean tason käyttötapausta:

• riskinhallinta
  • rajoittaa pääsyä henkilökohtaisesti tunnistettaviin tietoihin (PII)
  • kontrollin sijainti ja pääsy immateriaalioikeuksiin (IP)
  • hyökkäyksen pinta-alan vähentäminen arkaluonteisiin tietoihin
  • luokituksen sisällyttäminen DLP-ja muihin politiikkaa valvoviin sovelluksiin

• Governance/Compliance
  • Identify data GDPR, HIPAA, CCPA, PCI, SOX, and future regulations
  • Apply metadata Tages to protected data to enable additional tracking and controls
  • Enable karantening, legal hold, arkistointi ja muut sääntelyn edellyttämät toimet
  • helpottavat ”oikeutta tulla unohdetuksi” ja rekisteröidyn Käyttöoikeuspyyntöjä (DSARs)

• tehokkuus ja optimointi
  • mahdollistavat sisällön tehokkaan saatavuuden tyypin, käytön jne. perusteella.
  • Löydä ja poista vanhentuneet tai tarpeettomat tiedot
  • siirrä voimakkaasti hyödynnetyt tiedot nopeampiin laitteisiin tai pilvipohjaiseen infrastruktuuriin

• analytiikka
  • ota metatunnisteet käyttöön liiketoiminnan optimoimiseksi
  • informoi organisaatiota datan sijainnista ja käytöstä

on tärkeää huomata, että tietojen luokittelu—vaikka perustava ensimmäinen askel—ei tyypillisesti riitä toteuttamaan mielekkäitä toimia monien edellä mainittujen käyttötapausten saavuttamiseksi. Metatietovirtojen, kuten käyttöoikeuksien ja tietojen käyttöaktiivisuuden lisääminen voi dramaattisesti lisätä kykyäsi käyttää luokitustuloksiasi keskeisten tavoitteiden saavuttamiseksi.

yksi Varonis-tietoturva-Alustan suosituimmista ominaisuuksista on kojelauta, joka paljastaa arkaluonteisten tietojen alajoukon, joka myös altistuu jokaiselle työntekijälle, joten tiedät tarkalleen, mistä aloittaa riskinhallintatoimet.

tietojen Herkkyystasot

organisaatiot määrittävät usein tietojen herkkyystasoja erottaakseen toisistaan erityyppisten luokiteltujen tietojen käsittelyn. Esimerkiksi Yhdysvaltain hallituksella on seitsemän luokitusastetta. Ne ovat, korkeimmasta alimpaan:

1. rajoitettu tieto / aiemmin rajoitettu tieto
2. Koodisanaluokitus
3. huippusalainen
4. salainen
5. luottamuksellinen
6. luottamuksellinen
7. valvottu luokittelematon tieto (CUI)

Center for Internet Security (CIS) käyttää termejä ”sensitive”, ”business confidential” ja ”public” korkean, keskitason ja matalan luokituksen herkkyystasoille.

kolme luokittelutasoa on yleensä oikea luku useimmille organisaatioille. Yli kolme tasoa lisää monimutkaisuutta, jota voi olla vaikea ylläpitää, ja alle kolme tasoa on liian yksinkertainen ja voi johtaa riittämättömään yksityisyyteen ja suojeluun.

tässä on suositusmääritelmät luokitteluluokitukselle, jossa on kolme herkkyystasoa:

• korkean herkkyyden tiedot: vaatii tiukkoja Kulunvalvontaa ja suojauksia sekä siksi, että se on usein suojattu GDPR: n, CCPA: n ja HIPAA: n kaltaisilla laeilla ja koska se voi aiheuttaa merkittävää haittaa yksilölle tai organisaatiolle, jos sitä rikotaan.
• Keskiherkkyystiedot: tarkoitettu vain sisäiseen käyttöön, mutta tietomurron vaikutus ei ole katastrofaalinen. Esimerkkejä ovat henkilötiedot, joita ei voida tunnistaa, tai rakenteilla olevan liikerakennuksen arkkitehtuurisuunnitelmat.
• Alhainen Herkkyystieto: Alhainen herkkyystieto on julkista tietoa, joka ei edellytä pääsyrajoituksia. Esimerkkejä ovat julkiset verkkosivut, työpaikkailmoitukset ja blogikirjoitukset.

voit käyttää eri nimikkeistöä, ja voit käyttää useampaa kuin kolmea kategoriaa käyttötapauksistasi riippuen.

Tietoluokitustyypit

tiedon luokitteluprosessia toteutettaessa on kaksi ensisijaista paradigmaa. On muitakin, mutta suurin osa käyttötapauksista kuuluu johonkin näistä kategorioista. Voit tehtävän käyttäjille luokittelemalla tiedot he luovat, tai voit tehdä sen heille automatisoitu ratkaisu.

käyttäjä

kun annat käyttäjille tehtäväksi luokitella omat tietonsa, sinun on määriteltävä herkkyystasot, koulutettava käyttäjäsi tunnistamaan jokainen taso ja tarjottava mekanismi, jolla voit merkitä ja luokitella kaikki heidän luomansa uudet tiedostot.

useimmat luokittelujärjestelmät tarjoavat integraatioita politiikkaa valvoviin ratkaisuihin, kuten DLP (data loss prevention)-ohjelmistoon, jotka seuraavat ja suojaavat käyttäjien merkitsemiä arkaluonteisia tietoja. Esimerkki DLP politiikka saattaa haluta estää tiedostot tagged ”korkea herkkyys” alkaen Ladataan Dropbox.

käyttäjäluokituksen etuna on se, että ihmiset osaavat melko hyvin arvioida, onko tieto arkaluonteista vai ei. Asianmukaisilla työkaluilla ja helposti ymmärrettävillä säännöillä luokittelutarkkuus voi olla melko hyvä, mutta se on erittäin riippuvainen käyttäjien huolellisuudesta, eikä skaalaudu tietojen luomiseen.

tietojen käsin merkitseminen on työlästä ja monet käyttäjät joko unohtavat tai laiminlyövät tehtävän. Myös, jos sinulla on suuria määriä ennestään tietoja (tai koneellisesti tuotettuja tietoja), se on valtava haaste saada käyttäjät mennä takaisin ja takautuvasti merkitä historiallisia tietoja.

automatisoidut

automatisoidut tiedon luokittelumoottorit käyttävät tiedostoparseria yhdistettynä merkkijonoanalyysijärjestelmään löytääkseen tietoja tiedostoista. Tiedostoparserin avulla tiedon luokittelumoottori voi lukea useiden erityyppisten tiedostojen sisällön. Merkkijonoanalyysijärjestelmä yhdistää tiedostojen tiedot määritettyihin hakuparametreihin.

Automaattinen luokittelu on paljon tehokkaampaa kuin käyttäjäluokitus, mutta tarkkuus riippuu jäsentimen laadusta. Varonis ’ Data Classification Engine sisältää muutamia keskeisiä ominaisuuksia auttaa validoimaan tuloksia ja vähentää vääriä positiivisia—nimittäin läheisyys tekstin, negatiiviset avainsanat, match ranges, ja validointi algoritmeja.

tarkkuuden lisäksi tärkeitä huomioita ovat tehokkuus ja skaalautuvuus automaattista luokittelutuotetta valittaessa. Ympäristöissä, joissa on satoja suuria tietovarastoja, haluat hajautettu, monisäikeinen moottori kuin voi puuttua useita järjestelmiä kerralla kuluttamatta liikaa resursseja tallentaa skannataan.

aika suuren monipetatavuympäristön alustavan luokittelukuvauksen suorittamiseen voi olla merkittävä. Todellinen inkrementaalinen skannaus voi auttaa nopeuttamaan myöhempiä skannauksia. Koska Varonis valvoo kaikkia tietoja Luo/muokkaa, skannausmoottorimme skannaa vain ne tiedostot, jotka on äskettäin luotu tai muutettu edellisen skannauksen jälkeen tarvitsematta tarkistaa jokaisen tiedoston ”date modified” aikaleimaa.

jotkut luokittelumoottorit vaativat indeksin jokaisesta luokittelemastaan kohteesta. Jos tallennuskapasiteetti on huolenaihe, Etsi moottori, joka ei vaadi indeksiä tai indeksoi vain esineitä, jotka vastaavat tiettyä käytäntöä tai mallia.

organisaatiot voivat tyytyä jompaankumpaan, tai sekä käyttäjä-että automaatioluokituksen yhdistelmään. On aina hyvä tarjota käyttäjille koulutusta ja toiminnallisuutta sitoutua tietosuojaan, ja on viisasta seurata automaatiota, jotta asiat eivät putoa rakoilta.

tiedon Luokitteluprosessi

tiedon luokitteluprosessit eroavat hieman projektin tavoitteista riippuen. Useimmat tiedon luokitteluprojektit edellyttävät automaatiota, jotta yritykset voivat käsitellä hämmästyttävän määrän dataa, jota yritykset luovat päivittäin. Yleisesti ottaen on olemassa joitakin parhaita käytäntöjä, jotka johtavat onnistuneisiin tiedon luokitteluhankkeisiin:

1. Määrittele tiedon Luokitteluprosessin tavoitteet

• mitä etsit? Miksi?
• mitkä järjestelmät soveltuvat luokittelun alkuvaiheeseen?
• mitä sääntöjä organisaatioosi sovelletaan?
• onko muita liiketoiminnan tavoitteita, joihin haluat tarttua? (esim. riskinhallinta, varastoinnin optimointi, analytiikka)

2. Luokittele tietotyypit

• tunnista minkälaisia tietoja organisaatio luo (esim. asiakasluettelot, taloudelliset tiedot, lähdekoodi, tuotesuunnitelmat)
• Määrittele omistusoikeudelliset tiedot vs. julkiset tiedot
• Odotatko löytäväsi GDPR: n, CCPA: n tai muita säänneltyjä tietoja?

3. Määritä Luokitustasot

• kuinka monta luokitustasoa tarvitset?
• dokumentoi jokainen taso ja anna esimerkkejä
• junien käyttäjät luokittelemaan tietoja (jos suunnitellaan manuaalista luokittelua)

4. Määrittele Automaattinen Luokitteluprosessi

• määrittele, miten priorisoidaan ensin skannattavat tiedot (esim. priorisoidaan aktiivinen yli tunkkainen, avoin yli suojattu)
• Määritä, kuinka usein ja miten paljon resursseja osoitat automaattiselle tietojen luokittelulle

5. Määrittele Kategoriat ja luokituskriteerit

• Määrittele korkean tason Kategoriat ja anna esimerkkejä (esim., PII, PHI)
• Määrittele tai ota käyttöön sovellettavat luokitusmallit ja merkinnät
• luo prosessi sekä käyttäjien turvaluokiteltujen että automatisoitujen tulosten tarkistamiseksi ja validoimiseksi

6. Määrittele turvallisuusluokiteltujen tietojen

• tulokset ja käyttö dokumentoi riskinhallintatoimenpiteet ja automatisoidut käytännöt (esim., siirrä tai arkistoi PHI, jos sitä ei ole käytetty 180 päivän ajan, poista global access-ryhmät automaattisesti kansioista, joissa on arkaluonteisia tietoja)
• Määrittele prosessi analytiikan soveltamiseksi luokitustuloksiin
• Määritä analyyttisen analyysin odotetut tulokset

7. Seuraa ja ylläpitää

• luo jatkuva työnkulku uusien tai päivitettyjen tietojen luokittelemiseksi
• Luokitteluprosessin tarkistamiseksi ja tarvittaessa päivittämiseksi liiketoimintamuutosten tai uusien säännösten vuoksi

esimerkkejä tietojen luokittelusta

RegEx –lyhenne säännöllisestä lausekkeesta – on yksi yleisemmistä merkkijonoanalyysijärjestelmistä, jotka määrittelevät hakumallien yksityiskohtia. Jos esimerkiksi haluaisin löytää kaikki VISA-luottokorttinumerot tiedoistani, RegEx näyttäisi:

\b(?<!)(4\d{3}\d{4}\d{4}\d{4}\b|4\d{12}(?:\d{3})?)\b

tuo sekvenssi etsii 16-merkkistä lukua, joka alkaa kirjaimella ”4”, ja siinä on 4 kvartettoa, jotka on rajattu kirjaimella” -. ”Vain merkkijono, joka vastaa RegEx suoraan tuottaa positiivisen tuloksen. Tämä tulos voidaan vahvistaa Luhn-algoritmilla.

tässä on tapaus, jossa pelkkä RegEx ei riitä. Tämä RegEx löytää vahvistaa sähköpostiosoitteet, mutta ei voi erottaa henkilökohtaisia yrityksen sähköpostit:

kehittyneempi tietojen luokittelukäytäntö saattaa käyttää Regexiä kuvioiden sovittamiseen ja sitten soveltaa sanakirjahakua rajatakseen tuloksia henkilökohtaisten sähköpostiosoitteiden kirjaston, kuten Gmailin, Outlookin jne.perusteella.

niiden säännöllisten lausekkeiden lisäksi, jotka etsivät tekstistä kuvioita, monet jäsentäjät tarkastelevat myös tiedoston metatietoja—kuten tiedostopäätettä, omistajaa ja laajennettuja ominaisuuksia—määrittääkseen sen luokittelun. Jotkut skannausmoottorit ovat riittävän kestäviä, jotta ne voivat ylittää tiedoston sisällön ja sisällyttää käyttöoikeudet ja käyttöaktiivisuuden luokittelusääntöön.

Advanced data classification käyttää koneoppimista tiedon etsimiseen turvautumatta pelkästään ennalta määriteltyihin sääntöihin tai käytäntöihin, jotka koostuvat sanakirjoista ja Regexeistä. Esimerkiksi, saatat pystyä syöttämään koneoppimisen algoritmi corpus 1,000 oikeudellista asiakirjaa kouluttaa Moottorin mitä tyypillinen oikeudellinen asiakirja näyttää. Moottori voi löytää malliinsa perustuvia uusia lakiasiakirjoja turvautumatta merkkijonosovitukseen.

tiedon luokittelu parhaat käytännöt

Tässä muutamia parhaita käytäntöjä, joita kannattaa noudattaa, kun toteuttaa ja toteuttaa tietojen luokittelupolitiikkaa laajuudessa.

• tunnista organisaatioosi sovellettavat vaatimustenmukaisuus-tai yksityisyyslait ja rakenna luokittelusuunnitelmasi sen mukaisesti
• Aloita realistisella laajuudella (älä kiehuta valtamerta) ja tiukasti määritellyt kuviot (kuten PCI-DSS)
• käytä automatisoituja työkaluja suurten tietomäärien käsittelyyn nopeasti
• luo tarvittaessa mukautettuja luokittelusääntöjä, mutta älä keksi pyörää uudelleen
• säädä luokittelusääntöjä/tasoja tarpeen mukaan
• validoi luokitustuloksesi
• selvitä, miten voit parhaiten käyttää tuloksiasi ja soveltaa luokittelua kaikki tietoturvasta yritystietoon

tietojen luokittelu on osa yleistä tietosuojastrategiaa. Kun tiedät, mitkä tiedot ovat arkaluonteisia, selvitä, kenellä on pääsy niihin tietoihin ja mitä niille tapahtuu kaikkina aikoina. Näin voit suojata arkaluonteisia tietojasi ja estää järjestöäsi ilmestymästä ikävään otsikkoon.

tiedon Luokitteluresurssit

• tiedon luokittelu asteikolla
• tiedon Luokitteluvihjeet: Luottokorttinumeroiden löytäminen
• tietojen Luokitusmerkinnät
• CCPA-luokitus
• Tietosuoja
• tiedonhallinta

tietojen luokittelun ei tarvitse olla monimutkaista. Varonis on valmiiksi rakennettu säännöt, älykäs validointi, ja läheisyys matching sinun täytyy tehdä suurimman osan työstä. Tutustu tähän Masterclass nähdä, miten asiakkaat luokitella arkaluonteisia tietoja.