Microsoft Information Protection SDK – Klassifizierungsbezeichnungskonzepte

Im Rahmen einer umfassenden Datenschutzstrategie sollten Organisationen ein Datenklassifizierungssystem implementieren, das die Vertraulichkeitsstufen von Daten innerhalb der Organisation angibt, und diese Klassifizierungen dann Dokumentattribute zuordnen.

Attribute im Zusammenhang mit der Klassifizierung umfassen in der Regel das Risiko für die Organisation, wenn dieses Dokument oder diese Daten verloren gehen oder von unbeabsichtigten Personen eingesehen werden. Im vertrauten Klassifizierungssystem der US-Regierung gibt es drei Klassifizierungsstufen. Jede verfügt über eine Definition, die beschreibt, wann diese Klassifizierung angewendet werden soll:

• Oberstes Geheimnis: Wird auf Informationen angewendet, deren unbefugte Offenlegung vernünftigerweise erwartet werden könnte, dass sie außergewöhnlich schwere Schäden an der nationalen Sicherheit verursachen kann, die die ursprüngliche Klassifikationsbehörde identifizieren oder beschreiben kann.
• Geheim: Diese Einstufung wird auf Informationen angewendet, deren unbefugte Offenlegung erwartungsgemäß ernsthafte Schäden für die nationale Sicherheit verursachen könnte, die von der ursprünglichen Klassifizierungsbehörde identifiziert oder beschrieben werden kann.
• Vertraulich: Wird auf Informationen angewendet, deren unbefugte Offenlegung vernünftigerweise zu Einem Schaden an der nationalen Sicherheit führen könnte, die die ursprüngliche Klassifikationsbehörde identifizieren oder beschreiben kann.
• Nicht klassifiziert: Dies ist nicht wirklich eine Klassifizierung, sondern das Fehlen einer der obigen drei.

In einer kommerziellen oder privaten Anwendung können wir eine Liste definieren, die dem Standard im Azure Information Protection-Dienst ähnelt, wobei geldpolitische Werte angefügt sind.

• Streng vertraulich: Wird auf Informationen angewendet, deren unbefugte Offenlegung vernünftigerweise zu Schäden führen könnte, die größer als 1 MIO. USD sind.
• Vertraulich: Wird auf Informationen angewendet, deren unbefugte Offenlegung vernünftigerweise zu Schäden führen könnte, die größer als 100 US-Dollar sind.
• Allgemein: Wird auf Informationen angewendet, deren unbefugte Offenlegung vernünftigerweise zu geringen messbaren Schäden führen könnte.
• Öffentlich: Wird auf Informationen angewendet, die für den öffentlichen, externen Verbrauch bestimmt sind.
• Nicht-Geschäftsbereich: Wird auf Informationen angewendet, die nicht in Zusammenhang mit direkten oder indirekten Geschäftsinformationen des Unternehmens stehen.

Jede Klassifizierung beschreibt das Risiko für das Unternehmen im Falle einer unbefugten Offenlegung dieser Informationen. Nach der Identifizierung dieser Klassifizierungen und Bedingungen sollten Attribute identifiziert werden, die Datenbesitzern helfen, zu verstehen, welche Klassifizierung angewendet werden soll.

Bezeichnen

Das Zuordnen einer Datenklassifizierung zu einer Gruppe von Informationen wird als Bezeichnung bezeichnet. Da es sich beim MIP SDK um das Anwenden von Klassifizierungsbezeichnungen auf Dokumente handelt, beziehen wir uns nicht auf Klassifizierungen, sondern auf Bezeichnungen. Ein Benutzer oder Prozess hat die Daten bereits basierend auf dem Wissen über die Informationen klassifiziert : Das MIP SDK bezeichnet dann die Informationen.

Bezeichnungen im MIP SDK

Bezeichnungen sind eine grundlegende Komponente des MIP SDK. Bezeichnungen steuern die Markierung, den Schutz und die Inhaltskennzeichnung aller Dokumente, die vom SDK berührt wurden. Das SDK kann:

• Anwenden von Bezeichnungen auf Dokumente
• Lesen vorhandener Bezeichnungen in Dokumenten
• Ändern eines vorhandenen Labels und Anfordern einer Begründung, wenn dies von der Richtlinie verlangt wird.
• Entfernen einer Bezeichnung aus einem Dokument

Die Kennzeichnung wendet Schutz- und Inhaltsmarkierungen basierend auf den von den Administratoren für Bezeichnungen definierten Konfigurationen im Security and Compliance Center an.

mip::Label vs. mip::ContentLabel

Zwei Bezeichnungstypen sind im MIP SDK vorhanden. Label und ContentLabel.

• Bezeichnung: Eine Bezeichnung, die von einem Benutzer oder Prozess gemäß der Definition in der Organisationsrichtlinie angewendet werden kann.
• ContentLabel: Eine Bezeichnung, die bereits in einem Dokument oder einer Information vorhanden ist. Er kann gelesen, aktualisiert oder entfernt werden.

Das heißt, ContentLabel ist eine Label , die auf ein Informationsstück angewendet wurde.

Metadaten

Das SDK unterstützt außerdem das Hinzufügen zusätzlicher Metadaten zu Dokumenten in Form von Schlüssel-Wert-Paaren. Wenn Ihre Organisation Unterklassifizierungen oder Tags enthält, die die Informationen auf eine spezifischere Weise beschreiben, kann das SDK verwendet werden, um diese Metadaten anzuwenden.

Nächste Schritte

Weitere Informationen zum Klassifizierungssystem der US-Regierung finden Sie unter https://www.gpo.gov/fdsys/pkg/FR-2010-01-05/html/E9-31418.htm.