Recommandations pour la classification des données
S’applique à la recommandation de la liste de contrôle de sécurité bien conçue : Power Platform
| SE:03 | Classez et appliquez de manière cohérente les étiquettes de confidentialité sur toutes les données de charge de travail et les systèmes impliqués dans le traitement des données. Utilisez la classification pour influencer la conception, la mise en œuvre et la priorisation de la sécurité de la charge de travail. |
|---|
Ce guide fournit des recommandations pour classer les données en fonction de leur confidentialité. Différents types de données ont différents niveaux de confidentialité, et la plupart des charges de travail stockent différents types de données. La classification des données vous aide à catégoriser les données en fonction de leur confidentialité, du type d’informations qu’elles contiennent et des règles de conformité qu’elles doivent suivre. De cette façon, vous pouvez appliquer le niveau de protection approprié, tel que des contrôles d’accès, des stratégies de conservation pour différents types d’informations, etc.
Définitions
| Terme | Définition |
|---|---|
| Classification | Processus pour catégoriser les actifs de la charge de travail par niveaux de confidentialité, type d’informations, exigences de conformité et autres critères fournis par l’organisation. |
| Métadonnées | Implémentation pour appliquer la taxonomie aux actifs. |
| Taxonomie | Système pour organiser des données classées en utilisant une structure convenue. Généralement, une représentation hiérarchique de la classification des données. Elle a des entités nommées qui indiquent les critères de catégorisation. |
Stratégies de conception clés
La classification des données vous aide à dimensionner correctement les garanties de sécurité et aide l’équipe de triage à accélérer la découverte lors de la réponse aux incidents. Une condition préalable au processus de conception est de comprendre clairement si les données doivent être traitées comme confidentielles, restreintes, publiques ou toute autre classification de confidentialité. Il est également essentiel de déterminer les emplacements de stockage des données, car celles-ci peuvent être distribuées sur plusieurs environnements. En sachant où les données sont stockées, vous pouvez concevoir une stratégie qui répond aux exigences de sécurité.
La classification des données peut être une tâche fastidieuse. Vous pouvez utiliser des outils qui peuvent trouver des actifs de données et recommander des classifications. Mais ne comptez pas uniquement sur les outils. Assurez-vous que les membres de votre équipe font les exercices soigneusement. Utilisez ensuite des outils pour automatiser lorsque cela est judicieux.
Parallèlement à ces bonnes pratiques, consultez Créer un cadre de classification des données bien conçu.
Comprendre la taxonomie définie par l’organisation
La taxonomie est une représentation hiérarchique de la classification des données. Ele a des entités nommées qui indiquent les critères de catégorisation.
Différentes organisations peuvent avoir différents cadres de classification des données ; cependant, ils comprennent généralement trois à cinq niveaux avec des noms, des descriptions et des exemples. Voici quelques exemples de taxonomie de classification des données :
| Confidentialité | Type d’informations | Description |
|---|---|---|
| Public | Documents marketing publics, informations disponibles sur votre site web | Informations en libre accès et non confidentielles |
| Internal | Stratégies, procédures ou budgets liés à votre organisation | Informations liées à une organisation spécifique |
| Confidentiel | Secrets commerciaux, données du client ou enregistrements finaux | Informations confidentielles qui doivent être protégées |
| Très confidentiel | informations d’identification personnelles confidentielles (PII confidentielles), données du titulaire de carte, informations de santé protégées (PHI), données du compte bancaire | Informations hautement confidentielles qui nécessitent le niveau de sécurité le plus élevé. Peuvent nécessiter des notifications légales en cas de violation ou de divulgation d’une autre manière. |
Important
En tant que propriétaire de la charge de travail, vous devez suivre la taxonomie établie par votre organisation. Tous les rôles de la charge de travail doivent convenir de la structure, des noms et des significations des niveaux de confidentialité. Ne créez pas votre propre système de classification.
Définir la portée de la classification
La plupart des organisations disposent d’un ensemble diversifié d’étiquettes.
Assurez-vous de savoir quels actifs et composants de données appartiennent à chaque niveau de confidentialité, et lesquels qui n’y appartiennent pas. L’objectif pourrait être une résolution plus rapide des problèmes, une récupération d’urgence plus rapide ou des audits juridiques. Lorsque vous connaissez bien votre objectif, cela vous aide à faire correctement votre travail de classification.
Commencez par ces questions simples et développez si nécessaire en fonction de la complexité de votre système :
- Quelle est l’origine du type de données et d’informations ?
- Quelle est la restriction prévue en fonction de l’accès ? Par exemple, s’agit-il de données d’informations publiques, de réglementations ou d’autres cas d’utilisation prévus ?
- Quelle est l’empreinte des données ? Où les données sont-elles stockées ? Combien de temps les données doivent-elles être conservées ?
- Quels composants de l’architecture interagissent avec les données ?
- Comment les données sont-elles déplacées dans le système ?
- Quelles informations sont prévues dans les rapports d’audit ?
- Avez-vous besoin de classer les données de préproduction ?
Effectuer l’inventaire de vos magasins de données
La classification des données s’applique au système dans son ensemble. Effectuez l’inventaire de tous les magasins et composants de données concernés. Si vous concevez un nouveau système, assurez-vous d’avoir une catégorisation initiale par définitions de taxonomie. Réfléchissez à la manière dont les données circulent à travers votre système entre les composants et assurez-vous que les données ne dépassent pas les limites de classification des données.
Réfléchissez à la façon dont vous vous connecterez aux données :
Nouvelles données : si votre charge de travail génère de nouvelles données qui n’étaient auparavant stockées nulle part, comme lors du passage d’un processus papier, nous vous suggérons de stocker ces données dans Microsoft Dataverse. Vous pouvez ensuite Connecter et gérer Microsoft Dataverse les données via Microsoft Purview.
Lecture/écriture à partir d’un système existant : si votre charge de travail doit accéder à des données qui existent déjà, vous devez concevoir comment lire et écrire dans la base de données ou le système existant. Vous pouvez utiliser des tables virtuelles, vous connecter aux données via des connecteurs ou flux de données ou utiliser une passerelle locale pour les données locales.
Définir votre portée
Soyez précis et explicite lors de la définition de la portée. Supposons que votre magasin de données soit un système tabulaire. Vous souhaitez classer la confidentialité au niveau de la table ou même les colonnes au sein de la table. De même, assurez-vous d’étendre la classification aux composants autres que ceux du magasin de données qui pourraient être liés ou participer au traitement des données. Par exemple, avez-vous classé la sauvegarde de votre magasin de données hautement confidentielles ? Si vous mettez en cache les données confidentielles de l’utilisateur, la mise en cache du magasin de données entre-t-elle dans le champ d’application ? Si vous utilisez des magasins de données analytiques, comment les données agrégées sont-elles classées ?
Concevoir en fonction des étiquettes de classification
La classification doit influencer vos décisions architecturales. Le domaine le plus évident est votre stratégie de segmentation, qui doit prendre en compte les diverses étiquettes de classification.
Les informations de classification doivent se déplacer avec les données au fur et à mesure de leur transition dans le système et entre les composants de la charge de travail. Les données étiquetées comme confidentielles doivent être traitées comme confidentielles par tous les composants qui interagissent avec elles. Par exemple, veillez à protéger les données personnelles en les supprimant ou en les obfusquant de tout type de journaux d’application.
La classification a un impact sur la conception de votre rapport dans la manière dont les données doivent être exposées. Par exemple, en fonction de vos étiquettes de type d’informations, devez-vous appliquer un algorithme de masquage des données pour l’obfuscation comme résultat de l’étiquette de type d’informations ? Quels rôles devraient avoir une visibilité sur les données brutes par rapport aux données masquées ? S’il existe des exigences de conformité pour les rapports, comment les données sont-elles mises en correspondance avec les réglementations et les normes ? Lorsque vous disposez de ces connaissances, il est plus facile de démontrer la conformité à des exigences spécifiques et de générer des rapports pour les auditeurs.
Elle a également un impact sur les opérations de gestion du cycle de vie des données, telles que la conservation des données et les programmes de mise hors service.
Appliquer la taxonomie pour les requêtes
Il existe de nombreuses façons d’appliquer des étiquettes de taxonomie aux données identifiées. L’utilisation d’un schéma de classification avec des métadonnées est la manière la plus courante d’indiquer les étiquettes. Le processus de conception de l’architecture doit inclure la conception du schéma.
Gardez à l’esprit que toutes les données ne peuvent pas être clairement classées. Prenez une décision explicite sur la manière dont les données qui ne peuvent pas être classifiées doivent être représentées dans les rapports.
La mise en œuvre réelle dépend du type de ressources. Les données consommées par votre charge de travail Power Platform peuvent provenir de sources de données externes à Power Platform. Votre schéma doit inclure des détails sur la façon dont les données de différentes sources de données sont déplacées à travers la charge de travail ou sont potentiellement transférées d’un magasin de données à l’autre, tout en maintenant l’intégrité de la classification.
Certaines ressources Azure disposent de systèmes de classification intégrés. Par exemple, Azure SQL Server dispose d’un moteur de classification, prend en charge le masquage dynamique et peut générer des rapports basés sur des métadonnées. Microsoft Teams, les groupes Microsoft 365 et les sites SharePoint peuvent avoir des étiquettes de confidentialité appliquées au niveau du conteneur. Microsoft Dataverse s’intègre à Microsoft Purview pour appliquer des étiquettes de données.
Lorsque vous concevez votre implémentation, évaluez les fonctionnalités prises en charge par la plateforme et tirez parti d’elles. Assurez-vous que les métadonnées utilisées pour la classification sont isolées et stockées séparément des magasins de données.
Il existe également des outils de classification spécialisés qui peuvent détecter et appliquer automatiquement des étiquettes. Ces outils sont connectés à vos sources de données. Microsoft Purview dispose de capacités de découverte automatique. Il existe également des outils tiers offrant des fonctionnalités similaires. Le processus de découverte doit être validé par une vérification manuelle.
Révisez régulièrement la classification des données. La maintenance de la classification doit être intégrée aux opérations, sinon des métadonnées obsolètes peuvent générer des résultats erronés pour les objectifs identifiés et des problèmes de conformité.
Compromis : Soyez attentif au compromis de coût sur l’outillage. Les outils de classification nécessitent une formation et peuvent être complexes.
Enfin, la classification doit être déployée dans l’organisation par l’intermédiaire d’équipes centrales. Obtenez leur avis sur la structure prévue du rapport. De même, tirez parti des outils et processus centralisés pour obtenir un alignement organisationnel et aussi réduire les coûts opérationnels.
Facilitation de Power Platform
La classification doit influencer vos décisions architecturales.
Microsoft Purview offre une visibilité sur les actifs de données de votre organisation. Pour plus d’informations, consultez En savoir plus sur Microsoft Purview.
Microsoft Purview Data Map permet la découverte automatisée des données et la classification des données sensibles. L’intégration entre Microsoft Purview et Microsoft Dataverse vous aidera à mieux comprendre et à mieux gérer le parc de données de vos applications métier, à protéger ces données et à améliorer leur posture de risque et de conformité.
Avec cette intégration, vous pouvez :
- Créez une carte de données holistique et à jour sur Microsoft Dynamics 365, Power Platform et d’autres sources prises en charge par Microsoft Purview.
- Classer automatiquement les actifs de données en fonction des classifications système intégrées ou des classifications personnalisées définies par l’utilisateur, pour aider à identifier et comprendre les données confidentielles.
- Permettre aux consommateurs de données de découvrir des données précieuses et fiables.
- Permettre aux curateurs de données et aux administrateurs de sécurité de gérer et de protéger le paysage de données, de réduire l’exposition des données et de mieux protéger les données confidentielles.
Pour plus d’informations, consultez Connecter et gérez Microsoft Dataverse dans Microsoft Purview.
Alignement de l’organisation
Cloud Adoption Framework fournit des conseils aux équipes centrales sur la façon de classer les données afin que les équipes de la charge de travail puissent suivre la taxonomie organisationnelle.
Pour plus d’informations, consultez En quoi consiste la classification des données ?
Informations associées
- Classification des données et taxonomie des étiquettes Sensibilité
- Créer un cadre de classification des données bien conçu
- Connecter à et gérer Microsoft Dataverse dans Microsoft Purview
Liste de contrôle de sécurité
Référez-vous à l’ensemble complet des recommandations.